Die Betreiber kritischer Infrastrukturen (KRITIS) im Vereinigten Königreich sind gewarnt. Das Nationale Zentrum für Cybersicherheit (NCSC) hat seine Warnungen in den letzten Monaten verschärft und vor einem bevorstehenden Angriff mit potenziell verheerenden gesellschaftlichen Folgen gewarnt. Laut NCSC besteht eine zunehmende Kluft zwischen der Bedrohung dieser Systeme und der Fähigkeit der KRITIS-Betreiber, sie zu verteidigen.

Zuletzt wandte sich Jonathan Ellison, Direktor für nationale Resilienz, via LinkedIn erneut an die Öffentlichkeit und forderte den Ausbau einer „starken Cyberabwehr und -resilienz“ im Sektor. „Die Betreiber kritischer Infrastrukturen in Großbritannien müssen dies nicht nur zur Kenntnis nehmen, sondern, wie bereits erwähnt, jetzt handeln“, sagte er.

Doch was genau bedeutet „jetzt handeln“ in diesem Zusammenhang? Und wie kann man überlegt und abgestimmt handeln?

Ein Worst-Case-Szenario

Ellisons Schreiben wurde durch einen beispiellosen Cyberangriff auf die polnische Energieinfrastruktur ausgelöst, der von einer mutmaßlichen russischen Militärgeheimdiensteinheit namens Sandworm verübt wurde. Rund 30 Standorte, darunter Windparks, Solaranlagen und Blockheizkraftwerke, wurden in einer koordinierten Kampagne angegriffen. Obwohl der Angriff vereitelt werden konnte, bevor es zu einem größeren Stromausfall kam, gelang es den Hackern, auf betriebstechnische Systeme (OT-Systeme) zuzugreifen, die „für den Netzbetrieb von entscheidender Bedeutung sind, und wichtige Anlagen vor Ort irreparabel zu beschädigen“, so Ellison. Dragos.

Der Einsatz zerstörerischer Löschsoftware sollte britischen IT-Sicherheitsbeauftragten in kritischen Infrastrukturen (KRITIS) einen Schauer über den Rücken jagen. Als enge Verbündete der Ukraine sind sowohl Polen als auch Großbritannien potenziellen russischen Angriffen ausgesetzt – ein Umstand, der dem NCSC (National Cyber ​​Security Centre) nicht entgangen ist. Die Wahrscheinlichkeit einer ähnlichen Kampagne gegen Einrichtungen in der näheren Umgebung hat sich nun erhöht.

Uns allen sollte bewusst sein, was auf dem Spiel steht. Angriffe auf kritische Infrastrukturen bedrohen nicht nur finanzielle Verluste, sondern auch die öffentliche Sicherheit und die nationale Sicherheit. Und sie häufen sich. Das NCSC aufgezeichnet Die Zahl der im letzten Jahr bearbeiteten „schwerwiegenden Vorfälle“ stieg um 50 Prozent – ​​das dritte Jahr in Folge mit einem Anstieg. Geopolitische Spannungen, rasanter technologischer Wandel und eine hochentwickelte Cyberkriminalität verstärken weiterhin das Risiko schwerwiegender Vorfälle.

Wie geht es von hier aus weiter?

Die gute Nachricht ist, dass bereits verschiedene Ressourcen zur Verfügung stehen, die CISOs bei der Erstellung einer Antwort unterstützen. Ellison verwies auf die Ressourcen des NCSC. Rahmenwerk zur Cyberbewertung (CAF) und ein neueres CNI-Leitfaden zur Bewältigung schwerwiegender Bedrohungen. Es hat auch Dokumentationen erstellt über Prinzipien für sichere Verbindungen für OT und Empfehlungen zur Entwicklung einer sicheren OT-ArchitekturDie Frage ist, wie man all diese Hinweise auf ganzheitliche und komplementäre Weise aufnehmen kann.

Es geht nicht darum, bestehende Pläne zu verwerfen. Vielmehr geht es darum, sich auf die gravierendsten Bedrohungen zu konzentrieren und so zu planen, dass man mit Kompromittierungen rechnet, die Wiederherstellung Zeit in Anspruch nehmen kann und Gegner eher auf Zerstörung als auf bloße Störung abzielen. Während die kanadischen Streitkräfte (CAF) eher präventive Maßnahmen bevorzugen, liegt der Wert der CNI-Leitlinien in der Entwicklung resilienter Systeme – um deren Funktionsfähigkeit und Unterstützung der Wiederherstellung auch bei längeren Störungen zu gewährleisten.

Die Erwartung besteht darin, Systeme zu entwickeln, die im Falle eines Angriffs schnell segmentiert, isoliert oder in eingeschränkten Betriebsmodi betrieben werden können.

Theorie in die Praxis umsetzen

Für Matt Conlon, Mitbegründer und CEO von Cytidel, besteht die Herausforderung darin, die verschiedenen Frameworks, die CISOs zur Verfügung stehen, operationalisierbar zu machen, um von einem reaktiven „Kontroll-Implementierungs“-Ansatz wegzukommen.

„Allzu oft verfallen Sicherheitsteams in einen Teufelskreis: Sie reagieren auf Warnmeldungen, beheben Sicherheitslücken und implementieren isoliert voneinander ad hoc technische Kontrollen“, erklärt er gegenüber IO (ehemals ISMS.online). „Dieser Ansatz ist zwar notwendig, verbindet aber Governance, operationelles Risiko und technische Schutzmaßnahmen nicht zu einem einheitlichen Managementsystem.“

Um die Sicherheitslage zu verbessern, sollten CISOs Bedrohungsanalysen direkt in die Risiko- und Governance-Prozesse integrieren, argumentiert er. Das bedeutet, die Bedrohungslandschaft zu überwachen, ausgenutzte Schwachstellen zu identifizieren, diese Informationen in die Sicherheitsentscheidungen einfließen zu lassen und die Bedrohungen zu priorisieren, die am ehesten „wesentliche Auswirkungen“ haben, fügt er hinzu.

„Dieser Ansatz stellt sicher, dass sich Sicherheitsteams auf das Wesentliche konzentrieren, anstatt zu versuchen, alles auf einmal zu beheben und darauf zu hoffen, die kritischsten Risiken rechtzeitig zu beseitigen. Entscheidend ist, dass dies in allen Geschäftsbereichen kulturell verankert wird, nicht nur im Bereich Sicherheit“, argumentiert Conlon.

„Governance, operative Abläufe, Risikomanagement und Revision müssen sich alle auf eine dynamische Risikopriorisierung ausrichten. Das kann sich ungewohnt anfühlen, da die kontinuierliche Neupriorisierung von Risiken nicht immer problemlos in traditionelle Jahresprüfungszyklen oder statische Richtlinien passt. Doch im heutigen Umfeld, insbesondere bei kritischen Infrastrukturen, sind jährliche Risikobewertungen allein nicht nur unzureichend, sondern werden zunehmend als fahrlässig angesehen.“

Die nächsten Schritte mit ISO 27001

Conlon zufolge schafft dieser Ansatz ein „lebendiges Managementsystem“, das Strategie, Governance, technische Kontrollen und kontinuierliche Verbesserung miteinander verbindet. CISOs können und sollten jedoch noch weiter gehen und sich mit Lieferkettenrisikomanagement, Netzwerksicherheit, Resilienz und Wiederherstellung sowie weiteren Bereichen befassen. Hier kann ISO 27001 einen Mehrwert bieten.

„Normen wie ISO/IEC 27001 spielen eine wichtige Rolle“, sagt Conlon. „Sie bieten Struktur, Governance-Disziplin und die Gewissheit, dass Sicherheitskontrollen und -prozesse formell dokumentiert und konsequent angewendet werden.“

Diese Best Practices werden CISOs letztendlich dabei helfen, ihre Strategie mit einem proaktiven, strukturierten und für den Vorstand transparenten Ansatz im Risikomanagement weiterzuentwickeln. Angesichts des im Parlament verhandelten Gesetzesentwurfs zur Cybersicherheit und Resilienz bieten sie eine unschätzbare Gelegenheit, den Geschäftsbetrieb zukunftssicher zu gestalten – in einer Welt, in der Cyberresilienz unerlässlich ist.

Erweitern Sie Ihr Wissen

Blog - Was das Gesetz zur Cybersicherheit und Resilienz für kritische Infrastrukturen bedeutet

Blog - Im Bereich der Betriebstechnik ist Transparenz die Grundlage für effektive Sicherheit.

Blog - OT-Risiken könnten ein 330 Milliarden Dollar schweres Problem darstellen: Wie lösen wir es?