Cybersecurity-Strategien für den Energiesektor: Wie kann Widerstandsfähigkeit erreicht werden?

Die IEC befürwortet einen ganzheitlichen Ansatz zum Aufbau von Cyberwiderstandsfähigkeit, der bewährte Verfahren mit Prüfungen und Zertifizierungen kombiniert. Ein ganzheitlicher Ansatz bezieht nicht nur Technologie und Prozesse, sondern auch und vor allem Menschen mit ein.

„Menschen, die ihren normalen betrieblichen Aufgaben nachgehen, sind die größte Bedrohung“, sagt die Cybersecurity-Expertin Frances Cleveland. „Es ist wichtig zu erkennen, dass selbst dann, wenn man Cybersecurity implementiert und geschult hat, man sich immer noch um Insider und insbesondere verärgerte Mitarbeiter kümmern muss. Sie oder er hat Wissen über das Unternehmen, Passwörter und kritische Prozesse des Energieversorgungssystems.“

Der IEC-Technologiebericht „Cyber security and resilience guidelines for the smart energy operational environment“ beschreibt fünf kritische Konzepte für die Cybersecurity, die nachfolgend weiter erläutert werden.

1. Widerstandsfähigkeit
2. Sicherheit durch Design
3. die fundamentale Bedeutung, den Unterschied zwischen Informationstechnologie (IT) und Betriebstechnologie (OT) zu verstehen
4. Risikobewertung, Risikominderung und kontinuierliche Aktualisierung von Prozessen
5. die Rolle Internationaler Normen

Kommunikation und Datenaustausch in der Energieversorgung – aber sicher!

Die VDE SPEC 90002 greift unter anderem folgende Fragen auf:

• Ist eine sicherere Kommunikation erforderlich?
• Sind die etablierten Kommunikationsprotokolle sicher?
• Wie kann die IEC-Normenreihe 62351 angewendet werden?

Der neue Bericht empfiehlt, der Cyberwiderstandsfähigkeit Vorrang vor traditionellen Cyberverteidigungsansätzen zu geben. Bei der Erreichung von Widerstandsfähigkeit geht es weitgehend darum, Risiken zu verstehen und zu mindern, aber auch unvermeidliche Sicherheitsereignisse zu erkennen und zu bewältigen.

Ziel ist es, den richtigen Schutz an den richtigen Stellen im System anzuwenden und dabei die Sicherheit und Zuverlässigkeit der Prozesse zu beachten. Es ist wichtig, dass dieser Prozess eng mit den Zielen der Organisation abgestimmt ist, da Entscheidungen zur Risikominderung schwerwiegende Auswirkungen auf den Betrieb haben können.

„Widerstandsfähigkeit ist nicht nur ein technisches Problem“, warnt der Bericht, „sondern muss einen ganzheitlichen Geschäftsansatz beinhalten, der bewährte Cybersecurity-Techniken mit Systemtechnik und -betrieb kombiniert, um sich auf veränderte Bedingungen vorzubereiten und sich an diese anzupassen sowie Störungen zu überstehen und sich schnell davon zu erholen“.

Der Bericht identifiziert Sicherheit durch Design als den kosteneffektivsten Ansatz. Das bedeutet: Sicherheit wird von Anfang an in die Systeme und den Betrieb integriert, anstatt sie erst nach der Implementierung der Systeme anzuwenden. Der Gedanke ist, dass der Versuch, die Sicherheit im Nachhinein zu verbessern, im besten Fall eine schnelle Lösung ist und im schlimmsten Fall bedeutet, etwas zu unternehmen, nachdem das Kind bereits in den Brunnen gefallen ist.

Einem Bericht von Deloitte zufolge „muss Sicherheit in die DNA der operativen Programme eingebettet werden, damit Organisationen großartige Produkte haben und sorgenfrei sein können“.

Systemkomitee DKE/K 901 Smart Energy

Das Systemkomitee DKE/K 901 Smart Energy ist das Spiegelgremium zu IEC/SyC Smart Energy.

Das Systemkomitee hat im Auftrag des TBINK die nationale Normungsarbeit zum Systemthema „Smart Energy“ gremienübergreifend und auch in Zusammenarbeit mit den auf diesem Gebiet tätigen, anderen Normungsgremien und Organisationen national, europäisch und international zu koordinieren und das Thema strategisch, konzeptionell und organisatorisch weiterzuentwickeln.

Das Wachstum verbundener Geräte hat die Konvergenz der einstmals getrennten Bereiche der Informationstechnologie (IT) und der Betriebstechnologie (OT) beschleunigt, was zu einem industriellen IoT (IIOT) geführt hat.

Der IEC-Technologiebericht legt nahe, dass IT-Sicherheit allzu oft nur in Bezug auf IT verstanden wird, während die betrieblichen Einschränkungen in Sektoren wie Energie, Herstellung, Gesundheitswesen oder Verkehrswesen oft übersehen werden. Die IT-Sicherheit, so heißt es im Bericht weiter, muss sich mit beiden befassen. Zunächst sei es jedoch notwendig, die Unterschiede zwischen IT und OT zu verstehen.

Der primäre Fokus der IT ist die Vertraulichkeit der Daten. Integrität und Verfügbarkeit sind sekundär. Sie existiert in der virtuellen Welt, in der Daten gespeichert, abgerufen, übertragen und manipuliert werden. Die IT ist fließend und hat viele bewegliche Teile und Gateways, die sie für eine Vielzahl von sich ständig weiterentwickelnden Angriffen anfällig machen und für diese eine große Angriffsfläche bieten. Bei der Abwehr von Angriffen geht es darum, jede Schicht zu schützen und Schwachstellen fortlaufend zu identifizieren und zu korrigieren, um die Vertraulichkeit der Daten zu gewährleisten. Tatsächlich besteht die primäre Aktion der IT bei einem Angriff darin, die angreifenden Computersysteme abzuschalten, um die Daten zu schützen.

Die OT dagegen gehört zur physischen Welt, wo die Verfügbarkeit der Daten am kritischsten ist, damit die physischen Systeme weiter funktionieren können. Bei OT geht es darum, die Kontrolle über die Systeme zu behalten: an oder aus, geschlossen oder offen. Die OT stellt die korrekte Ausführung aller Aktionen sicher. Alles in der OT ist auf die physische Bewegung und Kontrolle von Geräten und Prozessen ausgerichtet, um die Systeme wie beabsichtigt funktionieren zu lassen, mit einem primären Fokus auf Sicherheit und erhöhte Effizienz.

Die OT hilft beispielsweise sicherzustellen, dass ein Generator bei erhöhtem Strombedarf sofort seine Leistung erhöht oder dass sich ein Überlaufventil öffnet, wenn ein Chemikalientank voll ist, um das Verschütten gefährlicher Stoffe zu vermeiden. In der OT-Welt könnte es gefährlich sein, Computersysteme als Reaktion auf ein Sicherheitsproblem abzuschalten.

In der Vergangenheit hatten IT und OT getrennte Rollen. OT-Teams waren es gewohnt, mit geschlossenen Systemen zu arbeiten, die sich stark auf physische Sicherheitsmechanismen verließen, um die Integrität zu gewährleisten. Mit dem Aufkommen des IIoT und der Integration von physischen Maschinen mit vernetzten Sensoren und Software verschwimmen die Grenzen zwischen den beiden. Da immer mehr Objekte miteinander verbunden sind, kommunizieren und interagieren, ist die Anzahl der Endpunkte gestiegen und die Möglichkeit von Computerausfällen, menschlichen Fehlern und Naturkatastrophen, die physische Systeme beeinträchtigen, nimmt zu. Und natürlich gibt es nun mehr mögliche Wege, über die Cyberkriminelle Zugriff auf Netzwerke und Infrastruktursysteme erlangen können.

Mit dem DKE Newsletter sind Sie immer am Puls der Zeit! Monatlich ...

• fassen wir die wichtigsten Entwicklungen in der Normung kurz zusammen
• berichten wir über aktuelle Arbeitsergebnisse, Publikationen und Entwürfe
• informieren wir Sie bereits frühzeitig über zukünftige Veranstaltungen

Ein Schlüsselkonzept der tiefgreifenden Verteidigung besteht darin, dass die Sicherheit eine Reihe von koordinierten Maßnahmen erfordert. Dazu gehört vor allem die Notwendigkeit, das System zu verstehen und zu wissen, was am wertvollsten ist und am meisten Schutz benötigt. Der Technologiebericht sagt, dass für die Cybersecurity ein risikobasierter Ansatz am effektivsten ist, vor allem wenn er auf einer Bewertung bestehender oder möglicher interner Schwachstellen und identifizierter oder potenzieller externer Bedrohungen basiert. Von grundlegender Bedeutung bei Risikobewertungen ist die Abwägung der Kosten für die Minderung von Sicherheitsbedrohungen gegen die potenziellen Auswirkungen eines erfolgreichen Cyberangriffs. Es ist wichtig, dass sämtliche implementierten Lösungen im Laufe der Zeit überwacht werden, um ihre kontinuierliche Wirksamkeit sicherzustellen und festzustellen, ob mögliche Angriffe die Kontrolllösungen möglicherweise überwunden haben.

Der IEC-Technologiebericht empfiehlt die Verwendung internationaler Sicherheitsnormen für Umgebungen im Energiesektor, um den Risikomanagementprozess zu unterstützen und Sicherheitsprogramme und -richtlinien zu etablieren. Insbesondere gibt es einige wichtige Sicherheitsnormen, die detailliert beschreiben, „was“ zur Sicherung von Systemen getan werden sollte, und es gibt andere Sicherheitsnormen, die das „Wie“ der Technologien zur Gewährleistung dieser Sicherheit angeben.

Genauso wie Ärzte Medikamente mit nachgewiesenem Nutzen für ihre Patienten verschreiben, ist es am sinnvollsten, Cybersecurity-Sicherheitsmaßnahmen auf bewährte Praktiken zu stützen. Die Verwendung der richtigen Normen für die richtigen Zwecke zur richtigen Zeit wird die Widerstandsfähigkeit, Sicherheit und Interoperabilität im gesamten Energieumfeld verbessern.

IEC 62443: Die internationale Normenreihe für Cybersecurity in der Industrieautomatisierung

Die internationale Normenreihe IEC 62443 befasst sich mit der Cybersecurity von „Industrial Automation and Control Systems" (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.

Der Schutz unserer kritischen Infrastruktur (KRITIS) ist von wesentlicher Bedeutung. Wir sind so sehr auf eine effiziente und kontinuierliche Stromversorgung angewiesen, dass jeder Stromausfall schwerwiegende Auswirkungen auf eine Vielzahl von lebenswichtigen Dienstleistungen hätte. Der Technologiebericht befürwortet die Anwendung eines risikobasierten Systemansatzes auf der Grundlage von bewährten Verfahren sowie die Fähigkeit, die effektive und effiziente Umsetzung der Sicherheitsmaßnahmen nachzuweisen. Dies bedeutet, dass die richtigen Internationalen Normen mit der Konformitätsbewertung kombiniert werden müssen, um die Komponenten des Systems, die Kompetenzen der Personen, die es entwerfen, betreiben und warten, sowie Prozesse und Verfahren, die für den Betrieb des Systems verwendet werden, zu bewerten.

In einer Welt, in der Cyberbedrohungen immer häufiger auftreten, ist die Anwendung eines spezifischen Satzes internationaler Normen in Verbindung mit einem speziellen und weltweiten Zertifizierungsprogramm ein bewährter und äußerst effektiver Ansatz zur Gewährleistung der langfristigen Cyberwiderstandsfähigkeit.

Es mag das dritte Konzept im Bericht sein, aber der grundlegende Ratschlag, der wohl alles andere untermauert, lautet, dass Sicherheitsmaßnahmen sowohl IT als auch OT – Informations- und Betriebstechnologien – umfassen müssen, um wirksam zu sein. Cleveland bringt es prägnanter auf den Punkt: „Cyber ist sehr eng mit der Technik verflochten. Sie sollten nicht getrennt voneinander betrachtet werden.“

Redaktioneller Hinweis:

Der englischsprachige Originalartikel erschien erstmals im IEC-Newsletter e-Tech Ausgabe 05/2019.
Zu finden unter: https://etech.iec.ch/issue/2019-05/Cyber-security-strategies-for-the-energy-sector-how-to-achieve-resilience

Die starke Vernetzung unserer Infrastrukturen ruft einige Bedrohungen der Informationssicherheit und des Datenschutzes bei Systemen hervor. Innerhalb der DKE werden im Arbeitsfeld Cybersecurity wichtige Sicherheitsfragen behandelt, die sich über die gesamte Laufzeit eines Systems bzw. einer Systemkomponente erstrecken. Ein Hauptziel aus Normungssicht ist dabei, Cybersecurity als Innovationsthema zu verstehen und in den relevanten Bereichen ganzheitlich zu adressieren.