Kurz gefasst
Secomea ist ein gutes Produkt mit einer echten Antwort auf die Souveränitätsfrage, und genau deshalb geht dieser Vergleich um Umfang und nicht um Qualität. SiteManager sitzt an der Maschine, LinkManager läuft auf dem Rechner des Technikers, und GateManager vermittelt zwischen beiden. Anders als die reinen Cloud-Optionen dieser Kategorie kann GateManager auf einem Server laufen, der Ihnen gehört, weshalb Secomea Einkaufsfragen übersteht, an denen Talk2M und IXON Cloud scheitern.
Was es nicht leistet, weil es nie dafür gedacht war, ist irgendetwas am Netzwerk, sobald der Techniker drinnen ist. Ist Ihre einzige Anforderung, Maschinen zu erreichen, beantwortet Secomea sie. Betreiben Sie die Anlage, kommen vier weitere Anforderungen dazu.
Was Secomea richtig macht
Geben wir dem Produkt zuerst, was ihm zusteht.
- Die selbstgehostete Option ist echt. GateManager auf Ihrer Infrastruktur bedeutet keinen Dritten im Zugriffspfad, und das ist der häufigste Einwand gegen diese Kategorie in einer NIS2-Lieferkettenprüfung.
- Der OEM-Service-Workflow ist ausgereift. Rollenbasierter Zugriff, Audit-Logging und ein Supportmodell, das auf Maschinenbauer zugeschnitten ist, die ausgelieferte Anlagen erreichen. Lange Historie, gut verstanden von denen, die es kaufen.
- Es ist fokussiert. Ein Produkt, das eine Aufgabe erfüllt und nichts anderes behauptet, ist leichter bereitzustellen und leichter zu durchdenken als eine Plattform mit breiter Oberfläche.
Die vier Lücken
1. Das Netzwerk hinter der Tür bleibt flach
Fernwartung regelt den Weg von außen hinein. Zum Verkehr zwischen den Assets innerhalb der Anlage sagt sie nichts, und genau dort verläuft laterale Bewegung. Eine Anlage, die den Dienstleisterzugang gelöst hat, hat weiterhin ein OT-Segment, in dem das HMI den Historian erreicht, der Historian die SPS erreicht und ein infizierter Engineering-Laptop alle drei.
Das ist keine Kritik an Secomea, sondern eine Kategoriegrenze. Segmentierung ist ein anderes Produkt, und es separat zu kaufen bedeutet meist ein Firewall-Projekt, einen VLAN-Umbau und ein Wartungsfenster, das die Linie nicht hergibt.
2. Niemand weiß, was im Netzwerk steht
Secomea erreicht Geräte, die Sie registriert haben. Für den Fernservice ist das das richtige Modell, für die Sicherheitslage das falsche, denn die Assets, die weh tun, sind die, die niemand registriert hat: das Notebook des Dienstleisters, das noch im Schaltschrank steckt, das zweite HMI aus einem Retrofit, der Ersatzantrieb, den jemand an einem Störungstag getauscht hat.
Automatische Erkennung beantwortet eine Frage, die Registrierung nicht beantworten kann: was tatsächlich hier steht, im Unterschied zu dem, was hier stehen sollte.
3. Zugriffslogs sind keine Compliance-Nachweise
Ein Prüfer nach IEC 62443 oder NIS2 fragt nicht nach Verbindungsprotokollen. Er verlangt, eine Maßnahme zu benennen, zu zeigen, wo sie durchgesetzt wird, und zu belegen, dass sie über einen Zeitraum gegriffen hat. Verbindungsprotokolle sind eine Eingangsgröße dieser Antwort. Sie zur Antwort zusammenzusetzen ist Arbeit, und diese Arbeit kehrt bei jedem Audit zurück.
Nachweise, die am Durchsetzungspunkt entstehen und schon dem Rahmenwerk zugeordnet sind, machen aus einem wiederkehrenden Projekt einen Bericht.
4. Eine Box je Maschine wird zum Gerätepark
Ein SiteManager je Maschine passt bei einer Maschine und wird bei fünfzehn unbequem. Jede Box trägt eigene Konfiguration, Firmware und Zertifikat, und weil sie über Jahre mit unterschiedlichen Linien eintreffen, laufen sie auseinander. Die Zugriffsrichtlinie des Standorts steht dann nirgends geschrieben: Sie ist die Summe von fünfzehn lokalen Konfigurationen, und die Frage, wer die Verpackungslinie erreichen darf, verlangt einen Blick in fünfzehn Geräte.
Multiplizieren Sie das mit den Standorten, und es entsteht ein Bestand, den zentral niemand verantwortet. Die Lösung ist kein besseres Verwaltungswerkzeug für die Boxen, sondern weniger Boxen: ein Durchsetzungspunkt je Standort, mit einem Richtliniensatz für alles dahinter.
Wie Konsolidierung aussieht
Das praktische Argument lautet nicht "ersetzen Sie Secomea". Es lautet: Wenn Sie Fernwartung und Segmentierung und Inventar und Nachweise brauchen, können Sie vier Dinge kaufen oder eines, und eine Appliance je Standort einsetzen statt einer Box je Maschine.
Trout Access Gate vermittelt die Fernsitzung wie Secomea, ohne Client für den Dienstleister, mit MFA, Zeitfenster und vollständiger Aufzeichnung. Dann geht es weiter: Overlay-Enclaves, die die Anlage segmentieren, ohne ein einziges VLAN anzufassen, automatische Erkennung jedes gesehenen Assets, ein kuratierter Industrie-Regelsatz für die Detektion mit Weiterleitung an Ihr SIEM, und Compliance-Nachweise, zugeordnet zu IEC 62443, NIS2 und CMMC.
Die Bereitstellung adressiert nichts neu. Assets behalten IP, Gateway und Routing, und das Gate wird über eine Routing- oder DNS-Änderung eingefügt, stufenweise einführbar und rückrollbar wie jede andere.
Beides einsetzen, nicht eines statt des anderen
Die Empfehlung lautet nicht, Secomea zu ersetzen. Sie lautet, Konnektivität nicht länger allein einzusetzen.
Secomea ist eine gute punktuelle Lösung, und für einen Maschinenbauer, der Anlagen an fremden Standorten betreut, ist es womöglich das Einzige, was sich einsetzen lässt. Nichts hier spricht dafür, es zu entfernen.
Das Risiko ist, was ein Gateway allein zurücklässt. Ein SiteManager je Maschine bedeutet ebenso viele Türen in die Anlage, ohne Sicht auf das, was hindurchgeht, und ohne Zugriffskontrolle an einem OT-Kontrollpunkt. Die vier Lücken oben sind kein Versagen von Secomea, sondern die Arbeit, für die kein Fernwartungsprodukt gebaut ist.
Die belastbare Architektur ist beides. Behalten Sie Secomea, wo es sich bewährt, setzen Sie Access Gate als Kontrollpunkt dahinter, und jede Sitzung trifft weiterhin auf Identität, Protokollrichtlinie und Aufzeichnung, in einer segmentierten und inventarisierten statt flachen und unbekannten Anlage.
Weiterlesen
- Access Gate gegenüber Secomea, der vollständige Vergleich
- Industrielle Fernwartung im Vergleich, fünf Optionen, Broker-Betrieb und Sitzungsumfang
- IEC 62443 Zonen und Conduits erklärt