OT-Security
Audits
Audits für OT-Security
OT-Security (Operational Technology Security) schützt Maschinen, Anlagen und industrielle Systeme vor Cyberangriffen und Sicherheitsrisiken. Anders als in der klassischen IT geht es dabei nicht nur um Daten, sondern vor allem um die sichere, verfügbare und zuverlässige Funktion von Produktions- und Steuerungssystemen.
Wie gut sind Ihre Produkte und Prozesse geschützt? Und erfüllen sie aktuelle Cyber-Security-Anforderungen, Normen und regulatorische Vorgaben?
Mit den Cyber-Security-Audits von TG alpha erhalten Sie eine fundierte Bewertung Ihrer Produkte und Systeme. Wir prüfen einzelne Komponenten ebenso wie übergeordnete Sicherheitskonzepte, identifizieren Schwachstellen, bewerten Risiken und zeigen konkrete Verbesserungsmöglichkeiten auf.
Dabei können relevante EU-Vorgaben, Normen und Sicherheitsstandards berücksichtigt werden. Nach erfolgreichem Abschluss bestätigen wir die geprüften Anforderungen mit einem TG alpha-Zertifikat.
KomponentEn-Audit
Technische Schwachstellen erkennen und gezielt beheben
Unser Komponenten-Audit ist ein speziell auf OT-Systeme zugeschnittener Penetrationstest. Wir identifizieren technische Schwachstellen und potenzielle Angriffsflächen – damit Sie Risiken gezielt bewerten und Ihr Produkt wirksam absichern können.
Den Prüfungsumfang stimmen wir individuell mit Ihnen ab: von einzelnen Komponenten bis zu größeren Bereichen Ihrer OT-Infrastruktur.
Auf OT spezialisiert
T-Systeme erfordern andere Prüfmethoden als klassische IT-Systeme. Tests müssen so gewählt werden, dass sie aussagekräftige Ergebnisse liefern, ohne den laufenden Betrieb unnötig zu beeinträchtigen.
Deshalb passen wir jedes Audit an Produkt, Einsatzbereich und Systemumgebung an – auf Testsystemen ebenso wie im laufenden Betrieb.
Das Komponenten-Audit führen wir als Grey-Box-Test durch. Ausgewählte Informationen zu Produkt und Systemaufbau ermöglichen eine gezieltere Prüfung, reduzieren den Aufwand und erhöhen die Aussagekraft der Ergebnisse.
Individueller Prüfungsumfang
Den Scope des Audits legen wir gemeinsam mit Ihnen fest. So prüfen wir gezielt die Bereiche und Angriffsszenarien, die für Ihr Produkt und Ihre Sicherheitsanforderungen relevant sind.
Nach Abschluss erhalten Sie einen detaillierten Prüfbericht mit:
- identifizierten Schwachstellen
- technischer Bewertung
- möglichen Auswirkungen auf Produkt und Infrastruktur
- konkreten Maßnahmen zur Verbesserung der Cyber-Security
Auf Wunsch stellen wir Ihnen vorab einen Beispielbericht sowie eine Übersicht typischer Tests und Tools zur Verfügung.
Konzept-Audit
Wie gut erfüllt Ihr Produkt
aktuelle Security-Anforderungen?
Während das Komponenten-Audit technische Schwachstellen prüft, bewertet das Konzept-Audit die übergeordneten Cyber-Security-Anforderungen an Ihr Produkt.
Wir zeigen, welche Anforderungen bereits erfüllt sind, wo noch Lücken bestehen und welche Maßnahmen sinnvoll sind. Dabei berücksichtigen wir relevante Normen, Standards und gesetzliche Vorgaben. So erhalten Sie eine klare Einschätzung Ihres aktuellen Security-Niveaus und eine belastbare Grundlage für Verbesserungen oder eine spätere Zertifizierung.
Berücksichtigt werden können unter anderem:
- BSI IT-Grundschutz-Kompendium – Elementare Gefährdungen
- BSI IT-Grundschutz-Kompendium – IT-Grundschutz-Bausteine
- Maschinenverordnung (EU) 2023/1230
- IEC 62443-4-2
Einen Beispielbericht stellen wir Ihnen gerne auf Anfrage zur Verfügung.
BSI IT-Grundschutz-kompendium
Das IT-Grundschutz-Kompendium des Bundesamtes für Sicherheit in der Informationstechnik (BSI) beschreibt Anforderungen und Maßnahmen für einen angemessenen Schutz von Informationen und IT-Systemen.
Im Rahmen des Konzept-Audits betrachten wir insbesondere zwei Bereiche:
1. Elementare Gefährdungen
Die elementaren Gefährdungen des BSI umfassen Cyber-Security-Risiken wie Schadprogramme und DoS-Angriffe, aber acuh Gefahren wie Naturereignisse und Ausfälle.
Im Konzept-Audit bewerten wir gezield die Security relevanten Anforderungen. Andere Gefährdungen sind nicht Bestandteil der Prüfung.
2. IT-Grundschutz-Bausteine
Das BSI definiert unterschiedliche Anforderungen für verschiedene IT-Systeme und Komponenten. Gemeinsam wählen wir die für Ihr Produkt relevanten Bausteine aus und beziehen sie geziehlt in die Prüfung ein.
So entsteht eine individuelle Bewertung, die sich an Ihrem Produkt statt an allgemeinen Vorgaben orientiert.
Maschinen-Verordnung
Mit der neuen Maschinenverordnung (EU) 2023/1230 spielen Cyber-Security-Anforderungen für Maschinen eine deutlich größere Rolle.
Wir haben die relevanten Cyber-Security-Anforderungen der Maschinenverordnung in unser Konzept-Audit integriert. Damit erhalten Sie eine unabhängige Einschätzung, inwieweit Ihr Produkt die Cyber-Security-Anforderungen der Verordnung erfüllt und an welchen Stellen noch Handlungsbedarf besteht.
IEC 62443-4-2
Die IEC 62443-4-2 definiert Cyber-Security-Anforderungen für Komponenten industrieller Automatisierungs- und Steuerungssysteme.
Wir bewerten Ihr Produkt unabhängig nach diesen Anforderungen und zeigen, welches Security Level erreicht wird. Eine Gap-Analyse macht sichtbar, welche Maßnahmen für die nächste Sicherheitsstufe notwendig sind.
Erfüllt Ihr Produkt Security Level 2, bestätigen wir dies mit einem TG alpha-Zertifikat – als Nachweis für Kunden und Geschäftspartner und als Grundlage für eine spätere formale Zertifizierung.
