Phar­ma­zeu­ti­sche Pro­duk­ti­ons­stät­ten: 6 Wege, um auf die kom­men­den Cyber-Bedro­hun­gen 2021 vorzubereiten

Jede Pro­duk­ti­ons­an­la­ge erfor­dert in der phar­ma­zeu­ti­schen Indus­trie ein beson­de­res Maß an Sorg­falt. In der letz­ten Zeit ist dies sogar noch mehr der Fall als sonst, da Angrei­fer immer schnel­ler aggres­si­ve Mal­wa­re ent­wi­ckeln, die auf sen­si­ble, wich­ti­ge Bran­chen wie die phar­ma­zeu­ti­sche Indus­trie und ihre Pro­duk­ti­on abzielt. Gera­de ange­sichts der Coro­na-Pan­de­mie und ihrer noch immer nicht abseh­ba­ren poli­ti­schen, finan­zi­el­len und sozia­len Fol­gen, ver­su­chen selbst staat­li­che Orga­ni­sa­tio­nen sich durch ille­ga­les Erlan­gen von For­schungs­er­geb­nis­sen oder Wirk­stoff­for­meln Vor­tei­le zu verschaffen.
So haben etwa laut dem süd­ko­rea­ni­schen Geheim­dienst sowie dem rus­si­schen Sicher­heits­soft­ware-Her­stel­ler Kas­pers­ky nord­ko­rea­ni­sche Hacker ver­sucht, ille­gal an Infor­ma­tio­nen über den Coro­na­vi­rus-Impf­stoff des US-Phar­ma-Unter­neh­mens Pfi­zer zu gelan­gen und hat­ten es dabei auch auf Daten zur Behand­lung einer Coro­na-Infek­ti­on abge­se­hen. Cyber­an­grif­fe durch kri­mi­nel­le oder ter­ro­ris­ti­sche Orga­ni­sa­tio­nen stel­len gera­de für sen­si­ble Schlüs­sel­tech­no­lo­gien wie phar­ma­zeu­ti­sche Unter­neh­men erns­te Bedro­hun­gen dar. Betriebs­un­ter­bre­chun­gen, Aus­fall­zei­ten, ver­un­rei­nig­te Pro­duk­te, die Not­wen­dig­keit mona­te­lan­ger Neu-Eva­lu­ie­run­gen, das Aus­lau­fen von Gefah­ren­stof­fen und Daten­schutz­ver­let­zun­gen (die zur unfrei­wil­li­gen Bekannt­ga­be von Rezep­tur- oder Wirk­stoff­da­ten füh­ren) sind die dro­hen­den Fol­gen die­ser Unsi­cher­heits­fak­to­ren. Die Sta­ke­hol­der kön­nen und soll­ten vor den poten­zi­ell töd­li­chen Fol­gen sol­cher Vor­fäl­le geschützt werden.

Haupt­be­dro­hun­gen in der OT

Die zwei größ­ten Sicher­heits­her­aus­for­de­run­gen in phar­ma­zeu­ti­schen OT (Ope­ra­tio­nal Technology)-Umgebungen sind zum einen die Über­prü­fung der Sicher­heit von End­ge­rä­ten, die per Air-Gap (Luftspalt)-Methode abge­schot­tet sind. Bei die­ser Metho­de wer­den zwei IT-Sys­te­me von­ein­an­der phy­sisch und logisch getrennt, die Über­tra­gung von Nutz­da­ten aber den­noch zuge­las­sen. Zum ande­ren gilt es, Bedro­hun­gen ein­zu­däm­men, die durch Tech­ni­ker von Dritt­an­bie­tern ver­ur­sacht wer­den, die ihre eige­nen End­ge­rä­te in das Netz­werk eines Unter­neh­mens ein­brin­gen. Denn wenn Part­ner, Lie­fe­ran­ten oder Bera­ter zur War­tung der IT vor Ort sind, müs­sen sie ihre poten­zi­ell infi­zier­ten Lap­tops oder USB-Sticks mit dem Netz­werk des Indus­tri­al Con­trol Sys­tems (ICS) oder den Pro­duk­ti­ons­an­la­gen ver­bin­den. Laut einer aktu­el­len Umfra­ge  haben 60 % der befrag­ten Unter­neh­men im Jahr 2020 “Mal­wa­re-Akti­vi­tä­ten ver­zeich­net, die sich von einem Mit­ar­bei­ter zum ande­ren ver­brei­tet haben”.
Kon­ven­tio­nel­le End­point Secu­ri­ty Lösun­gen kön­nen die­se Pro­ble­me nicht lösen, da sie für On-Pre­mi­se IT-Umge­bun­gen ent­wi­ckelt wur­den und für Anwen­dungs­fäl­le in der Phar­ma­in­dus­trie nicht geeig­net sind. Um die OT-Netz­wer­ke der Phar­ma­in­dus­trie vor Sicher­heits­be­dro­hun­gen zu schüt­zen, stellt TXO­ne Net­works, ein füh­ren­der Anbie­ter von OT-Sicher­heits­lö­sun­gen, eini­ge Erkennt­nis­se aus ers­ter Hand vor, was gro­ße phar­ma­zeu­ti­sche Pro­duk­ti­ons­un­ter­neh­men tun kön­nen, um die Sicher­heit ihrer Pro­duk­ti­ons­an­la­gen zu stärken.

6 Tipps zur Ver­bes­se­rung der OT Sicherheit

Mit die­sen sechs Prak­ti­ken kön­nen die betrieb­li­che Sicher­heit ver­bes­sert und Pro­duk­ti­ons­stät­ten vor mög­li­chen Beein­träch­ti­gun­gen geschützt werden:

1. Mobil-taug­li­ches Scan­sys­tem installieren

Um den aktu­el­len Zustand der ein­ge­setz­ten IT bes­ser erfas­sen zu kön­nen, wird eine mobi­le IT-Sicher­heits­lö­sung zum Scan­nen von Mal­wa­re benö­tigt, die zur rou­ti­ne­mä­ßi­gen War­tung der IT-Sys­te­me von Gerät zu Gerät mit­ge­nom­men wer­den kann, um Bedro­hun­gen so früh wie mög­lich zu erken­nen und zu ver­hin­dern, dass sie sich in loka­len Datei­en verstecken.

2. Rou­ti­ne­mä­ßi­ge “Log-Only”-Cybersecurity-Checks

Bei sen­si­blen Pro­duk­ti­ons­an­la­gen soll­ten Unter­neh­men eine Scan-Lösung ein­set­zen, die soge­nann­te “Log-Only”-Scans durch­füh­ren kann, bei denen die Ergeb­nis­se ledig­lich pro­to­kol­liert und doku­men­tiert wer­den. Sicher­heits­ex­per­ten und IT-Admi­nis­tra­to­ren bevor­zu­gen in der Regel Scan­ner, die ein Scan-Pro­to­koll erstel­len, ohne bei erkann­ten Bedro­hun­gen sofort Maß­nah­men zu ergrei­fen. Auf die­se Wei­se kön­nen sie ver­mei­den, dass geschäfts­kri­ti­sche Pro­gram­me oder Datei­en ent­fernt wer­den, und die Unter­neh­men kön­nen bei Bedarf einen maß­vol­le­ren Ansatz wäh­len, um die Bedro­hung zu beseitigen.

3. Prü­fen auf „End­punkt-Schwach­stel­len“

Die bei der Über­prü­fung der Pro­duk­ti­ons­an­la­gen gesam­mel­ten Daten kön­nen ver­wen­det wer­den, um zu ver­ste­hen, wel­che Patches und Anwen­dun­gen auf jedem ein­zel­nen End­ge­rät in der Pro­duk­ti­on instal­liert sind, und um nicht gepatch­te Gerä­te, Res­sour­cen oder Betriebs­sys­te­me zu erken­nen, deren Pro­dukt­le­bens­zy­klus abge­lau­fen ist (soge­nann­te „End-of-Life Ope­ra­ting Sys­tems“). Dies ver­bes­sert die trans­pa­ren­te Ermitt­lung des jewei­li­gen Sta­tus, ins­be­son­de­re bei eigen­stän­di­gen IT-Gerä­ten, und ver­ein­facht den Pro­zess der Ver­wal­tung eines indus­tri­el­len Steue­rungs­sys­tems (Indus­tri­al Con­trol Sys­tem — ICS).

4. Gründ­li­che Plug-and-Scan-Sicherheitsinspektionen

Jedes digi­ta­le End­ge­rät, das vor Ort am Pro­duk­ti­ons­stand­ort ein­ge­setzt wird, muss einen Kon­troll­punkt durch­lau­fen, an dem es auf Bedro­hun­gen für die IT-Sicher­heit gescannt wird, die sich in sei­nem Inne­ren ver­ste­cken kön­nen. Eine mobi­le Scan­ning-Lösung, die ein­fach und schnell zwi­schen den jewei­li­gen End­ge­rä­ten aus­ge­tauscht wer­den kann, ist dafür unerlässlich.

5. Zen­tra­les Pro­to­kol­lie­ren von Asset-Infor­ma­tio­nen und Scan-Ergebnisse

Eine werks­wei­te oder sogar unter­neh­mens­wei­te Per­spek­ti­ve macht das Sam­meln von Infor­ma­tio­nen über die Unter­neh­mens-IT zu einem Kin­der­spiel. Um den Audit-Pro­zess zu straf­fen, soll­ten Phar­ma­un­ter­neh­men ein fes­tes Prüf­ver­fah­ren („Audit-Trail“) zur Ein­hal­tung der Com­pli­an­ce erstel­len. Auf die­se Wei­se kön­nen sie allen Betei­lig­ten in der Lie­fer­ket­te (ein­schließ­lich Kran­ken­häu­sern, Apo­the­ken und ande­ren Gesund­heits­dienst­leis­tern) auf ein­fa­che Wei­se Sicher­heits­zeit­plä­ne oder Doku­men­ta­tio­nen zum Sta­tus der IT zukom­men lassen.

6. Nut­zen von Secu­ri­ty Ope­ra­ti­on Zen­tren optimieren

Ein idea­les SIEM-Sys­tem (SIEM — Secu­ri­ty Infor­ma­ti­on and Event Manage­ment) soll­te in der Anwen­dung so bequem wie mög­lich sein, indem es zen­tral orga­ni­sier­te Pro­to­kol­le und Ereig­nis­er­fas­sung ermög­licht, unab­hän­gig vom Fabri­kat der Pro­duk­ti­ons­ge­rä­te, die ein Unter­neh­men in Bezug auf IT-Sicher­heit unter­sucht. Die Pro­to­kol­le soll­ten sich zum Bei­spiel leicht in SIEM-Sys­te­me wie etwa QRa­dar oder Splunk expor­tie­ren las­sen. Im Ide­al­fall wahrt ein Unter­neh­men die Daten­in­te­gri­tät und spei­chert die Daten so, dass sie bei­spiels­wei­se den Anfor­de­run­gen der Pati­en­ten­si­cher­heit bei kli­ni­schen Stu­di­en und ande­ren recht­li­chen Vor­ga­ben genügen.
Wenn unge­si­cher­te mobi­le Gerä­te an einen Pro­duk­ti­ons­stand­ort gebracht wer­den und den IT-Kon­troll­punkt eines Unter­neh­mens errei­chen, müs­sen die Sicher­heits-Scans schnell und gründ­lich erfol­gen. Auf­zeich­nungs­sys­te­me zum Nach­weis der Com­pli­an­ce und zur Über­wa­chung von Pro­duk­ti­ons­ge­rä­ten soll­ten bequem und so gestal­tet sein, dass sie sich gut in die täg­li­chen Arbeits­rou­ti­nen ein­fü­gen. Jeder Pro­zess im Sicher­heits­kon­zept eines Unter­neh­mens soll­te so ein­fach und intui­tiv wie mög­lich sein. Ein viel­ver­spre­chen­der Weg, die­se kom­ple­xen und viel­fäl­ti­gen Sicher­heits­her­aus­for­de­run­gen zu bewäl­ti­gen, ist der Ein­satz von por­ta­blen End­punkt-Sicher­heits­lö­sun­gen zum Schutz der OT-Netz­wer­ke der Phar­ma­in­dus­trie. Die­ser Ansatz funk­tio­niert am bes­ten, wenn die jewei­li­ge mobi­le Lösung genau auf die Bedürf­nis­se des Unter­neh­mens zuge­schnit­ten ist.

Fazit

Mobi­le Sicher­heits­lö­sun­gen, soge­nann­te Por­ta­ble Secu­ri­ty Lösun­gen, hel­fen den Eigen­tü­mern und Betrei­bern von Indus­tri­al Con­trol Sys­tems („ICS“) bei der Durch­füh­rung von Mal­wa­re-Scans sowie bei der Erfas­sung sicher­heits­re­le­van­ter Infor­ma­tio­nen auf Stan­da­lo­ne-Com­pu­tern und in Air-Gap­ped-Sys­te­men. Die­se USB-basier­ten Lösun­gen ent­hal­ten bereits die benö­tig­te Scan-Soft­ware und kön­nen so das Erken­nen und Ent­fer­nen von Mal­wa­re wesent­lich erleich­tern, da kei­ne Sicher­heits-Soft­ware auf den Ziel­sys­te­men sel­ber instal­liert wer­den muss. So kön­nen Phar­ma­un­ter­neh­men bei Bedarf Mal­wa­re-Scans durch­füh­ren, wann und wo immer sie benö­tigt wer­den, und müs­sen sich kei­ne Sor­gen über Leis­tungs­ein­bu­ßen auf den gescann­ten Gerä­ten machen. So ver­ein­fa­chen mobi­le Sicher­heits­lö­sun­gen den Pro­zess der Sicher­heits­über­prü­fung und ermög­li­chen es den Anwen­dern, ihre Com­pli­an­ce nachzuweisen.