Das Kongressprogramm für SECURITY UNTER KONTROLLE steht fest. Der Beirat des OT-Security-Events hat entschieden, welche der zahlreichen Einreichungen am 10. und 11. Mai 2023 bei der Premiere des Kongresses auf dem Programm stehen werden. Insgesamt 14 hochqualitative Vorträge in sieben Themenblöcken sowie ein Keynote-Vortrag sind geplant.

Kongress will OT-Security aus der Nische holen

So richtig erwachsen ist „OT-Security“, Security für die Automatisierungstechnik, noch nicht. Die Methoden sind nicht ausgereift, Modelle und Diagramme nicht standardisiert, die Fachliteratur spärlich, in den Universitäts-Curricula ist das Thema kaum vorhanden – und in der Praxis fehlt es oft an Lösungen für grundlegende, in der IT-Security vermeintlich längst gelöste, Probleme.

Ein Symptom dafür ist auch der fehlende Ort, an dem OT-Security stattfindet. Sie ist entweder ein Randthema auf Automatisierungstechnik-Kongressen oder ein Randthema auf IT-Security-Kongressen. So oder so: Ein Randthema. Niemand kommt an diese Orte für die OT-Security. Ab 2023 wird es einen neuen Kongress geben: „Security unter Kontrolle“.

Gemeinschaftsprojekt von Vulkan Verlag und admeritia

SECURITY UNTER KONTROLLE wird ins Leben gerufen von der admeritia GmbH und dem Vulkan Verlag und von einem Beirat aus Betreibern, Integratoren, Herstellern, Behörden und der Akademia begleitet. Gemeinsam mit Ihnen möchten wir alle, die sich mit Security in der Industrie beschäftigen, zusammenbringen, fördern und als Community sichtbar machen.

Spannendes Programm in Industrie-Atmosphäre

In Absprache mit dem Beirat wurde aus den zahlreichen Einreichungen ein Kongress-Programm zusammengestellt, das sich in die folgenden Abschnitte mit jeweils zwei Vorträgen gliedert:

Wie organisieren wir Security?

Für Security braucht man “People, Processes und Technology” – aber zu oft reden wir nur über Technology. In diesem Vortragsblock geht es auch um Menschen und Prozesse. Von den beiden Speakern können wir lernen: Über die Organisation eines OT-Security-Programms für einen globalen Konzern und über die Organisation eines Security Incident Response Teams.

Angriffserkennung für OT maßschneidern

Systeme zur Angriffserkennung sind in aller Munde, seit das IT-Sicherheitsgesetz 2.0 sie vorschreibt. Na, dann nimmt man eben irgendeines der zahlreichen IDS/IPS-Systeme aus der IT, oder? In diesem Vortragsblock geht es darum, wie ein System zur Angriffserkennung die Stärken der OT nutzen kann – denn wer kennt die zu schützende Anlage besser als ihr Leitsystem?

Schwachstellenmanagement – können wir das nicht wegautomatisieren?

Wenn man das Wort „Schwachstellenmanagement“ nur hört, wird man sofort müde. Kein Wunder: Hunderte, Tausende von Schwachstellen, ähnlich viele Updates und Patches, nichts davon passt zusammen und was in den eigenen Systemen verbaut ist, weiß man auch nicht so genau. Doch nun schüren maschinenlesbare Formate die Hoffnungen, dass wir das lästige Thema vielleicht endlich so beseitigen können, wie wir Automatisierer es mögen: Wegautomatisieren.

Sichere Produktentwicklung und sichere Lieferketten: Security für Hersteller und Integratoren

Hersteller und Integratoren müssen ihre Produkte möglichst „by design“ so sicher wie möglich machen – brauchen also einen sicheren Entwicklungsprozess, wie der erste Vortrag dieses Blocks zeigt. Der zweite Vortrag beleuchtet dann den blinden Fleck, der Herstellern trotz Security by Design zu schaffen macht: Was bringt es, wenn ich selbst sicher entwickle – aber die Hersteller meiner zugekauften Komponenten nicht? Der erste Schritt zur Lösung des Problems ist die Transparenz darüber, was in zugekaufte Komponenten eigentlich drin ist – die Software Bill of Materials (SBOM).

Gegen was muss ich mich eigentlich schützen? Risiken systematischer finden

Es ist die Gretchenfrage bei der Auswahl von Security-Maßnahmen: Gegen welche Risikoszenarien sollen die Maßnahmen eigentlich schützen? Womit muss ich wirklich rechnen? Solange wir Security-Risiken noch aus nicht enden wollenden Bedrohungskatalogen oder Schwachstellenlisten abschreiben, haben wir methodisch Luft nach oben. Den Vorträgen in diesem Block ist gemein, dass sie die Suche nach Risiken systematischer angehen.

Der Teufel steckt in der Implementierung: Digitale Identitäten

Verschlüsselung und Authentifizierung gehören zum Standardrepertoire der Security-Anforderungen. So grundlegend, dass es dafür bestimmte längst Standardlösungen gibt, oder? Denkste: Für OT und besonders, je näher es Richtung Feld geht, gibt es in der Umsetzung noch große Probleme. Die beiden Vorträge in diesem Block machen Mut, indem Sie erzählen, wie die Implementierung gelingen kann.

Let’s not fight the future: Security für neue Technologien

Es ist allzu leicht, als Security-Verantwortlicher neuen Technologien grundsätzlich mit angehobenen Augenbrauen zu begegnen. Brauchen wir nicht, wollen wir nicht, erhöht nur die Angriffsfläche. Es ist auch leicht, „hab ichs doch gesagt“ zu seufzen, wenn dann etwas schief geht. Es ist viel schwieriger (und viel nützlicher), wenn die Security bei der Einführung neuer Technologien vorne mit dabei ist und auslotet, wie man den Fortschritt mitnehmen kann, ohne einen Security-Rückschritt in Kauf zu nehmen.

Zertifizierung von SECURITY UNTER KONTROLLE

Das Landesamt für Natur, Umwelt und Verbraucherschutz Nordrhein-Westfalen (LANUV) hat SECURITY UNTER KONTROLLE als offiziellen Fortbildungslehrgang für Störfallbeauftragte staatlich anerkannt. Eine Teilnahme am Kongress lohnt sich für Sie damit gleich doppelt.

Weitere Informationen gibt es hier