KRITIS Ernstfall

 Die Definition und Umsetzung einer angemessenen Balance zwischen Betriebssicherheit und Handlungsfähigkeit erfordert gerade im KRITIS-Umfeld Richtungsentscheidungen mit enormen Konsequenzen.

Matthias Ochs, Geschäftsführer, genua GmbH

Der Kampf gegen die Corona-Pandemie konfrontiert KRITIS-Organisationen mit neuen Fragen im Bereich der IT-Sicherheit. Um systemkritischen Kernprozesse aufrechtzuerhalten und die gesundheitlichen Vorgaben zu erfüllen, müssen Strukturen und Prozesse für Remote Working und Remote-Steuerung auch langfristig etabliert und weiterentwickelt werden. Während der Shutdown-Phase wurden im Eiltempo zusätzliche Infrastrukturen und Kommunikationskanäle aufgebaut. Die IT-Sicherheit konnte dabei nicht immer ausreichend priorisiert werden. Nun gilt es entschlossen zu handeln, um eine Grundlage für den Betrieb sicherer und skalierbarer Remote-Architekturen zu schaffen. Wir zeigen die wichtigsten Handlungsfelder und Lösungsansätze.

genua empfiehlt 
Wovor sollten IT-Security-Teams KRITIS-Infrastrukturen schnell und wirksam schützen? Wesentliche IT-Sicherheitsrisiken haben wir für Sie im folgenden Überblick zusammengefasst.

Im Regelbetrieb sind KRITIS-Netze gegen Zugriffe von außen zuverlässig abgesichert. Mitarbeiter und Partner durchlaufen entsprechende physische Kontrollen, bevor sie Zugriff auf relevante Systeme und interne Netze bekommen. In der aktuellen Ausnahmesituation ist das nur eingeschränkt gewährleistet. Bedingt durch die Krise sind eine perfekt geplante und orchestrierte Einführung und der Rollout neuer Tools und Infrastrukturen, die Bereitstellung des nötigen Know-hows und umfassende Risikobetrachtungen nicht immer möglich. Somit sind in vielen Organisationen Systeme und Remote-Zugänge mit unzureichenden Sicherheitskonzepten in Betrieb. Darüber hinaus fehlen für eine Vielzahl sicherheitskritischer Prozesse und Strukturen, die sich im Kontext der Pandemie als hochgradig relevant erweisen, verbindliche Standards, die das notwendige Sicherheits- und Qualitätsniveau garantieren und als Orientierungspunkt fungieren. Das betrifft sowohl behördliche Empfehlungen und gesetzliche Regulierungen als auch organisationsinterne Governance-Vorgaben.

Durch den Aufbau improvisierter Workflows werden sensible Unternehmensdaten teilweise in Umgebungen verarbeitet, die keinen geeigneten Schutz bieten – etwa in Privatsystemen, die zum Home Office umfunktioniert wurden. So werden beispielsweise für Remote Work auch Tools und Systeme eingesetzt, die sich im privaten Umfeld bewährt haben. Meistens genügen sie jedoch nicht den hohen Sicherheitsanforderungen, die im KRITIS-Umfeld zwingend notwendig sind, und führen somit zu vielfältigen neuen Risiken. So können Angreifer, die private Rechner und Netzwerke kompromittiert haben, auch Zugriff auf kritische Zugangsdaten und Dokumente erlangen, diese manipulieren und auch einen Zugang in das Unternehmensnetzwerk finden. Dabei kommt neben Technologien auch Social Engineering zum Einsatz, das die emotionalen Ausnahmezustände ausnutzt, mit denen viele Menschen in der Krise konfrontiert sind.

Eine zentrale Herausforderung in der aktuellen Krise bildet die Organisation der Fernwartung und Fernsteuerung kritischer Infrastrukturen in Industrieanlagen und Versorgungssystemen (Remote Maintenance, Remote Condition Monitoring und Remote Control). Die dafür erforderliche direkte Verbindung zwischen dem Wartungs- und dem Zielsystem erfolgt häufig über VPN. Ist der Zugang jedoch nicht ausreichend geschützt, oder erfolgt er von einem kompromittierten Rechner, kann nicht nur die zu wartende Anlage, sondern sogar das gesamte Netz der KRITIS-Organisation angegriffen werden.

genua empfiehlt 
Mit welchen Maßnahmen und Technologien lassen sich KRITIS-Infrastrukturen effektiv gegen Cyberattacken abschirmen? Folgende Ansatzpunkte sind bei der Abwehrstrategie zu berücksichtigen.

KRITIS-Organisationen, die wesentliche Teile ihrer Kernprozesse digitalisiert haben, sind deutlich besser in der Lage, die operativen Herausforderungen der Pandemieschutzmaßnahmen zu meistern. Gleichzeitig müssen aber auch immer anspruchsvollere Maßnahmen ergriffen werden, um die kritischen Infrastrukturen vor Cyber-Attacken zu schützen und einen hohen Grad an IT-Sicherheit zu gewährleisten. Ein strukturiertes, ganzheitliches und vorausschauendes Vorgehen erfordert deshalb ein professionelles Information Security Management System (ISMS). Dieses legt Regeln, Prozesse, Standards und Technologien aus der Perspektive der IT-Security fest, organisiert das Einspielen von aktuellen Patches und sollte ein wesentliches Element des unternehmensweiten Risikomanagements sein.

Intelligente, eigens für einen spezifischen Einsatzbereich ausgelegte Systeme helfen, hochsensible Bereiche abzusichern und bilden den Kern des Information Security Management Systems. So sind beispielsweise die Segmentierung der Netze sowie die Prüfung der Netzübergänge kritisch, z. B. durch Application Level Gateways oder OT-Firewalls mit relevanten Protokollen. Von besonderer Relevanz ist auch die wirkungsvolle Kontrolle der Fernwartungszugriffe externer Servicemitarbeiter auf Anlagen (Remote Maintenance) und die Erkennung von Anomalien innerhalb von Transaktions- und Kommunikationsprozessen. Ein weiteres Feld, in dem dedizierte Systeme erfolgreich zum Einsatz kommen, ist die Übertragung von Betriebs- und Sensordaten von Maschinen und Anlagen, die zu kritischen Netzen und Systemen gehören. Diese sollten durch Lösungen geschützt sein, die Einbahn-Datentransfers innerhalb eines Produktionsnetzes ermöglichen und Manipulation „by Design“ ausschließen, wie etwa beim Einsatz von genuas Cyber-Diode.

Die Komplexität und der Umfang der zu schützenden kritischen Infrastrukturen nehmen ständig zu. Um schnell und effektiv auf Bedrohungen reagieren zu können ist es deshalb entscheidend, die Angriffsflächen so gering wie möglich zu halten und für hohe Transparenz zu sorgen. Ein wichtiger Ansatz besteht darin, die Kopplung zwischen Wartungssystem und Zielsystem zu minimieren und die Anzahl der Zugänge restriktiv zu managen. Aus dieser Perspektive muss auch die Verlagerung wichtiger Arbeits- und Kommunikationsprozesse ins Home Office betrachtet werden: Je standardisierter die Regeln für einen sicheren Remote-Zugriff und die zugelassene Hardware, je umfassender die Separierung der privaten und der Unternehmensdaten und je konsequenter die Trennung von privaten Netzwerken und Systemen, desto geringer die Gesamtangriffsfläche.

Weitere Informationen zum Thema