Sicherheit industrieller Kontrollsysteme (ICS): Vorschriften

Industrielle Kontrollsysteme (ICS) sind kritische Systeme, die in Industrieunternehmen wie Elektrizität, Wasser, Öl, Gas und Daten eingesetzt werden. ICS funktionieren auf der Grundlage zentraler Überwachungsbefehle, die an entfernte Stationen und Geräte übermittelt werden. Diese Feldgeräte steuern den Betrieb, sammeln Daten und überwachen die Umgebung.

ICS-Sicherheit

In den letzten Jahren haben Cyberangriffe auf ICS drastisch zugenommen, was den Bedarf an fortschrittlicher Sicherheit für industrielle Kontrollsysteme deutlich macht. Angriffe auf diese Systeme können verheerende Folgen für die Gemeinden und Umgebungen haben, die sie umgeben.

Die Zahlen

Bei über 10.000 registrierten ICS allein in Frankreich kann man sich leicht vorstellen, wie viele ICS es weltweit gibt, die alle einem hohen Risiko von Cyberangriffen ausgesetzt sind. Allein in den letzten fünf Jahren hat die Zahl der Angriffe auf die ICS in den USA um 490 % zugenommen. Auch mehr als die Hälfte der Öl- und Gasunternehmen in der EU sind nicht ausreichend auf einen größeren Angriff auf industrielle Kontrollsysteme vorbereitet, wobei im Vereinigten Königreich 91 % der SCADA-Systeme besonders anfällig für Angriffe sind.

Sicherheitsvorschriften für industrielle Kontrollsysteme

In dem Bemühen, katastrophale Angriffe zu verhindern, haben viele Länder begonnen, Sicherheitsvorschriften für industrielle Kontrollsysteme zu erlassen. Im Folgenden finden Sie eine Übersicht über die relevanten Behörden und Vorschriften für die folgenden Länder und Sektoren. Wir haben die Informationen in dieser praktischen Infografik zusammengefasst:

USA: ICS-Sicherheit

Die Vorschriften zum Schutz kritischer Infrastrukturen werden von der North American Electric Reliability Corporation (NERC) durchgesetzt. Diese Vorschriften beziehen sich auf die Bereitschafts- und Reaktionsprotokolle für schwerwiegende Vorfälle, die kritische Infrastrukturen in einer bestimmten Region oder Nation betreffen. In diesem Fall handelt es sich um die Zuverlässigkeitsstandards für den Großteil des US-Stromnetzes.

Im Bereich der Kernenergie übertrug das Direktorat für Cybersicherheit 2013 die gesamte Verantwortung für die Durchsetzung und Regulierung an die United States Nuclear Regulatory Commission (USNRC). Das Direktorat zentralisierte die Aufsicht, um die Zuverlässigkeit des nordamerikanischen Stromnetzes zu gewährleisten. Diese umfassenden Vorschriften wurden zum Schutz von digitalen Computern, Kommunikationssystemen und Netzwerken im Zusammenhang mit der Kernenergie erlassen.

Derzeit sind alle von der Direktion für den Schutz kritischer Infrastrukturen und der Direktion für Cybersicherheit aufgestellten Vorschriften verbindlich und sehen Sanktionen bei Nichteinhaltung vor.

Kritische Infrastruktursysteme müssen Protokolle für den Umgang mit Cyberangriffen erstellen.

EUROPÄISCHE UNION

Die Richtlinie über die Sicherheit von Netz- und Informationsdiensten (NIS-Richtlinie) wurde im Juli 2016 vom Europäischen Parlament verabschiedet. Sie wurde mit Hilfe der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) entwickelt, die die Weiterentwicklung und Umsetzung solcher Richtlinien unterstützt und mit europäischen operativen Teams für die Einhaltung zusammenarbeitet.

Die Richtlinie zielt darauf ab, ein hohes gemeinsames Niveau der Netz- und Informationssicherheit in der gesamten Union zu erreichen.

Die NIS-Richtlinie schreibt Folgendes vor:

• Die Mitgliedstaaten müssen über geeignete Notfallteams verfügen und eine geeignete NIS-Behörde auswählen.
• Die Mitgliedstaaten müssen zusammenarbeiten und einschlägige Sicherheitsinformationen mit anderen Mitgliedstaaten austauschen, indem sie ein Computer Incident Response Team-Netzwerk einrichten, um einen schnellen und effektiven Austausch zu fördern.
• Die Mitgliedstaaten müssen geeignete Sicherheitsmaßnahmen ergreifen, um Sektoren zu schützen, die als lebenswichtig für Wirtschaft und Gesellschaft gelten (Energie, Verkehr, Wasser, Finanzinstitute, Gesundheitswesen, digitale Infrastruktur usw.).

Mit der NIS-Richtlinie werden Vorschriften erlassen, die ein hohes gemeinsames Niveau der Netz- und Informationssicherheit in der EU gewährleisten.

Derzeit befindet sich die Umsetzung der NIS-Richtlinie in einer Übergangsphase, in der die Mitgliedsstaaten daran arbeiten, die Vorschriften der Richtlinie in ihre eigenen nationalen Gesetze zu übernehmen. Bis zum 18. Mai 2018 müssen alle Mitgliedsstaaten ihre nationalen Gesetze in Kraft gesetzt und die Betreiber wesentlicher Dienste bestimmt haben, die diese Gesetze einhalten müssen.

DEUTSCHLAND: ICS-Sicherheit

Das vom Bundesamt für Sicherheit in der Informationstechnik (BSI) durchgesetzte IT-Sicherheitsgesetz verpflichtet Unternehmen, ihre IT-Sicherheitssysteme zu verbessern.

Das Gesetz hat folgende Ziele:

• Verbesserung der Verfügbarkeit, Integrität, Vertraulichkeit und Authentizität der IT-Sicherheit in ganz Deutschland
• Verbesserung der IT-Sicherheit in Unternehmen
• Erhöhung der IT-Sicherheit und den Schutz der Bürgerinnen und Bürger bei der Nutzung des Internets

Schutz von Infrastrukturen, die als kritisch für das Funktionieren des Gemeinwesens gelten

Das IT-Sicherheitsgesetz zwingt Unternehmen, ihre IT-Sicherheitssysteme zu verbessern, um gemeinschaftskritische Infrastrukturen zu schützen.

Das IT-Sicherheitsgesetz betrifft Website-Betreiber, Telekommunikationsunternehmen und Betreiber kritischer Infrastrukturen. Die Einhaltung des Gesetzes ist für alle Diensteanbieter und Dritte verpflichtend, sieht jedoch eine zweijährige Übergangsfrist für die Nachrüstung kritischer Infrastrukturen vor. Nicht konforme Anbieter und Betreiber werden mit Geldstrafen belegt.

ENGLAND

Das Centre for the Protection of National Infrastructure in England hat einen Leitfaden über die neuesten Cybersicherheitsmaßnahmen und -praktiken entwickelt. Der Passport to Good Security führt die Benutzer durch einen 20-stufigen Prozess, um sicherzustellen, dass ihre Organisationen gegen eine Vielzahl von Sicherheitsbedrohungen geschützt sind. Zu den Schritten gehören die Identifizierung von Bedrohungen, das Risikomanagement, die Kontrolle des Systemzugangs, die Einrichtung eines Sicherheitswarnsystems und vieles mehr.

Der Passport to Good Security ist ein 20-stufiger Leitfaden für die Bewertung und den Schutz von Unternehmen vor Cyber-Bedrohungen.

FRANKREICH

Die Nationale Agentur für Cybersicherheit in Frankreich arbeitet mit der Einführung des Gesetzes über die militärische Programmierung an der Einhaltung der NIS-Richtlinie. Das Gesetz legt fest, welche Parteien den Vorschriften unterliegen und welche Art von Systemen eingerichtet werden müssen. Anbieter von kritischen Infrastrukturen und Diensten in einer Vielzahl von Branchen müssen für alle Dienste, die Auswirkungen auf industrielle Kontrollsysteme haben, entsprechende Sicherheitsvorkehrungen treffen:

• Militärische Operationen
• Die Wirtschaft
• Die Sicherheit Frankreichs
• Das Überleben Frankreichs im Falle einer Naturkatastrophe oder eines Krieges
• Die Sicherheit der französischen Bevölkerung

Das Gesetz über die militärische Programmierung legt fest, welche kritischen Industrien und Infrastrukturen aktualisiert werden müssen, um die Anforderungen der NIS-Richtlinie zu erfüllen.

Das Gesetz über die militärische Programmierung enthält über 60 verbindliche Vorschriften und wird von der Nationalen Agentur für Cybersicherheit in Frankreich durchgesetzt. Unternehmen, die sich nicht an die genannten Vorschriften halten, müssen mit Geldstrafen rechnen.

Erfüllen Sie die Compliance-Standards mit WALLIX

Es ist entmutigend, all diese Sicherheitsvorschriften für industrielle Systeme und die darin geforderten Änderungen zu verstehen. WALLIX macht es Ihnen jedoch leicht, diese wichtigen Standards zu erfüllen und die Risiken innerhalb Ihres Unternehmens zu minimieren.

WALLIX Privileged Access Management bietet Ihnen die Plattform, um

• externe Bedrohungen zu entschärfen,
• den Zugriff von Dritten auf Ihre Systeme zu kontrollieren,
• Insider-Bedrohungen zu verhindern,
• IT-Compliance-Standards einzuhalten.