Sicherheit durch Transparenz - für ein Universum aus Glas

Mehr als 130 Jahre nach Unternehmensgründung repräsentiert SCHOTT ein Portfolio, das beinahe alle Lebensbereiche abdeckt. Der Hidden Champion ist globaler Innovationspartner für die Hausgeräteindustrie, Pharma, Elektronik, Optik, Life Sciences, Automotive und Aviation. Im Geschäftsjahr 2017/18 konnte ein Umsatz von über 2 Milliarden Euro weltweit verbucht werden, davon 86 % außerhalb Deutschlands. An Produktions- und Vertriebsstandorten in 34 Ländern sind rund 15.500 Mitarbeiter beschäftigt. Die Muttergesellschaft hat ihren Hauptsitz in Mainz und ist zu 100% im Besitz der Carl-Zeiss-Stiftung.

Ein solches Hightech-Unternehmen verfügt über zahlreiche Patente und ein enormes Spezialwissen, das es unter allen Umständen zu behüten gilt. Diesen Schatz zu sichern, war bei SCHOTT denn auch der ursprüngliche Ansatz für den Ausbau der IT-Sicherheit. „Als ich bei SCHOTT begonnen habe, war unser Fokus im Prinzip: Wie schützen wir unsere Kronjuwelen?“, erläutert Dirk Ossenbrueggen, Head of Information Governance and Security bei SCHOTT. „Der ganze große Rest ging so ein bisschen im IT-Betrieb unter. Es ist dann aber das Bewusstsein gewachsen, dass es außer den Kronjuwelen auch noch andere Dinge zu schützen gilt und dafür auch Geld in die Hand genommen werden muss. Wir hatten damals vor allen Dingen zu wenig Transparenz. Wir hatten keinen tieferen Einblick in unser Netz, wussten nicht, wie wir aufgestellt sind und wie das Sicherheitsniveau überhaupt ist. Um dieses Problem zu lösen, habe ich nach Tools gesucht, die mir einen schnellen Überblick über das Sicherheitslevel unserer IT geben.“

Nachdem Dirk Ossenbrueggen zunächst auf ein anderes Tool gestoßen war, führte ihn die weitere Recherche zum Security Lighthouse von AMPEG. Nach dem Abgleich beider Tools mit den spezifischen Anforderungen von SCHOTT fiel die Entscheidung auf das Security Lighthouse. Das Team um Dirk Ossenbrueggen ließ sich dabei von folgenden Anforderungen leiten: „Wir wollten wissen, wie wir in Richtung Update-Management stehen, was ist drin und was ist nicht drin? Wie aktuell sind unsere Patches? Darüber hinaus stellte sich auch die Frage nach der Endpoint Protection, sprich Anti-Virus. Welche Systeme sind abgedeckt und wie aktuell sind die Signaturen? Das dritte Gebiet war die Festplattenverschlüsselung. Bei allen Fragestellungen hatten wir das Gefühl, dass AMPEG uns mit seinem Security Lighthouse die notwendigen Einblicke geben kann. Neben den Kollektoren für die bereits erwähnten Zielsysteme hatten wir außerdem noch den für Active Directory im Blick, und das war dann auch das initiale Setup, mit dem wir gestartet sind.“

Der Personenkreis, der das Security Lighthouse bei SCHOTT aktiv nutzt, hat sich inzwischen deutlich erweitert: „Bis vor kurzem wurde das AMPEG Tool ausschließlich von unserem fünfköpfigen Security Team angewendet“, so Ossenbrueggen. „Wir haben die im Monitoring gewonnenen Daten gesammelt und die jeweiligen IT-Verantwortlichen dann entsprechend instruiert. Inzwischen sind wir dazu übergegangen, dass auch die IT-Verantwortlichen in den Standorten selbst aktiv mit dem Tool arbeiten. Das Security Lighthouse gibt das ja her. Zum einen werden die Mitarbeiter im Umgang mit dem System geschult, und zum anderen ist das System per se so komfortabel und bedienungsfreundlich gestrickt, dass die Mitarbeiter eigenverantwortlich damit umgehen können. Das ist auch ein Stück Motivation, wenn die Leute merken, schau an, ich kann selbst aktiv dazu beitragen, die IT-Sicherheit zu erhöhen und damit die Situation zu verbessern. Außerdem hoffen wir dadurch einen gewissen sportlichen Ehrgeiz in Sachen IT-Security zu wecken, nach dem Motto: Warum ist der andere Standort grün und meiner nicht?“

Im Anschluss an die in der Startphase installierten Kollektoren wurden im weiteren Verlauf der Zusammenarbeit zusätzliche Kollektoren in Auftrag gegeben, darunter ein CMDB-Kollektor (Configuration Management Database) zur Erfassung von Informationen über alle Systeme, die im Service Management bekannt sind. Die Erfahrungen im globalen Office-Netz führen bei SCHOTT zu der Überlegung, das Monitoring mit AMPEG auch auf die Sicherheit der Operation Technology (OT) des Unternehmens auszudehnen.

„Wir haben das Security Lighthouse im Moment nur in der Office-IT. Wir sehen aber schon jetzt auch einen Teil von der Produktions-IT, nämlich da wo z. B. eine Endpoint-Protection Lösung in place ist, die eigentlich hinter der Firewall ist, aber eben mit der Zentrale telefoniert. Und da sehen wir dann auch Systeme, die eigentlich nicht im Office-Netz sind, sondern dahinter“, erklärt Dirk Ossenbrueggen. „Unsere Überlegungen gehen dahin, die Produktion möglicherweise auch tiefergehend in das Monitoring einzubeziehen. Man muss aber schauen, wie praktikabel das auf diesem Sektor ist. Es wird nicht möglich sein, den Systemen in der Produktion dieselben Regeln verordnen zu wollen wie denen im Office-Netz. Denn wenn ich der Produktion sage, ihr müsst eure Maschinen alle vier Wochen patchen, bedeutet das natürlich Maschinenstillstände, die naturgemäß nicht ohne Weiteres machbar sind. Eine Lösung für das Security Lighthouse könnte darin bestehen, dass man bei den Assets unterscheiden kann, ob es sich um IT oder OT handelt. Dann hätte ich zwei Kategorien, die sich unterschiedlich behandeln ließen. In eine solche Richtung könnte es zukünftig gehen.“

An dieser Stelle bleibt zu ergänzen, dass AMPEG inzwischen spezielle Kollektoren für den OT-Bereich entwickelt und bereitstellt. Insofern könnte die hier skizzierte Zukunftsvision von SCHOTT, neben der IT auch den OT-Sektor in das Monitoring zu integrieren, durchaus Realität werden.