IT-security dwingt machinebouwers tot andere IT-architectuur

De digitalisering in de maakindustrie zal machinebouwers dwingen hun besturingsarchitectuur van machines aan te passen om aan internationale normen voor IT-security te voldoen. Security by design wordt het toekomstige basisprincipe. Dat is niet gemakkelijk, omdat de levensduur van werktuigmachines heel lang is én de werking van een machine zeer veel rekenkracht vergt. Daarnaast zullen gebruikers hun bijdrage moeten leveren. De VDW heeft al de eerste richtlijnen ontwikkeld.

Het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) heeft begin dit jaar een zwakke plek ontdekt in de Java bibliotheek Log4j. Via dit lek kunnen hackers een code in het IT-systeem plaatsen die pas over enkele maanden actief wordt.

IT-security krijgt extra aandacht op Metav 2022

Toenemend risico

IT-specialisten in de machinebouw zien hierin de bevestiging van hun pleidooi voor meer aandacht voor IT-security oplossingen voor de machinebouw. Deze beveiligingsfout toont hoe de risico voor de industrie toenemen en dan met name in componenten die niet direct betrokken zijn bij de waardecreatie, zegt professor Felix Hackelöer, hoogleraar slimme automatisering aan de Faculteit Computerwetenschappen en Ingenieurswetenschappen aan de Technische Universiteit van Keulen. Hackeloër is niet de enige die voor meer aandacht voor cyber- en IT-security in de machinebouw pleit. Dat gebeurt ook binnen de VDW, de koepel van Duitse fabrikanten van werktuigmachines. Vorig jaar al is in een werkgroep van de VDW een eerste richtlijn voor IT security voor werktuigmachines ontwikkeld. Hierin worden tips gedeeld met de gebruikers van deze machines. Professor Hackeloër heeft als externe adviseur hieraan meegewerkt. Ondertussen is er een tweede richtlijn opgesteld, dit keer voor de producenten van werktuigmachines. Een van de belangrijke conclusies van de werkgroep is dat je IT-security niet los kunt zien van de functionele veiligheid van een machine. ”IT security dringt door in alles. Iedereen moet zich hiermee bezig houden”, zegt Eberhard Beck, hoofd besturingstechniek bij Index Werke en voorzitter van de VDW-werkgroep 2 Steuerungs- und Systemtechnik.

Kan het nog: een oude besturing en de machine met het web verbinden?

Digitalisering koppelt steeds meer componenten

De redenen hiervoor zijn voor de hand liggend: componenten die vroeger nog als stand alone componenten gezien werden, worden door de opmars van de digitalisering in toenemende mate gekoppeld aan het net. De digitalisering van de werktuigmachine zorgt ervoor dat deze componenten aan het internet worden gekoppeld, bijvoorbeeld om ze de koppelen aan de cloud of te laten communiceren met andere componenten. En hier doet zich een nieuw spanningsveld voor, zeggen de IT-specialisten. IT-specialisten zijn gewend dat een industriële PC’s zelden ouder dan twee jaar zijn of minstens voorzien van het nieuwste besturingssysteem. Werktuigmachines hebben echter een veel langere levensduur. Soms zijn ze na tientallen jaren nog in bedrijf. En de besturingsarchitectuur kan best tien jaar oud zijn of nog ouder, in elk geval uit een periode dat cybercriminaliteit nog geen thema was.

Machinebouwers moeten anders gaan werken

Professor Felix Hackeloër denkt dat de machinebouwers nu uitgedaagd gaan worden om volgens de internationale norm IEC 62443 te gaan werken. Deze norm is de maatstaf voor IT-security en schrijft voor dat beveiliging vanaf de basis in de IT-architectuur moet zitten. Dit principe zal zich gaan nestelen in de besturings- en softwarearchitectuur van de werktuigmachines. Dat is echter niet gemakkelijk bij werktuigmachines omdat bijvoorbeeld alleen al het laten meedraaien van een virusscanner soms zoveel rekenkracht vergt, dat het de werking van de machine kan beïnvloeden. In de nieuwe leidraad die de VDW ontwikkelt, zal dan ook de nadruk liggen op de gezamenlijke verantwoordelijkheid voor de IT-security van een werktuigmachine: fabrikant, leveranciers van componenten en gebruikers moeten alle drie bijdragen aan de IT-security van de machine. 100 procent veiligheid is niet realistisch, meent Ralf Reinis van de afdeling Onderzoek en Techniek van de VDW. “Belangrijk is de risico’s tegen elkaar af te wegen: hoe sterk is de dreiging van een cyberaanval in een bepaalde toepassing en welke maatregelen kunnen er genomen worden.”

Metav 2022 vindt van 21 – 24 juni in de Messe Düsseldorf plaats.