Konsequenzen aus der NIS-2-Richtlinie
Fünf Maßnahmen für die ICS/OT-Cybersecurity
Die Cybersecurity-Richtlinie NIS-2 der EU muss bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Was folgt daraus für Industrieunternehmen, und welche Maßnahmen für die Cybersecurity von ICS/OT sind generell erforderlich?
Die Bewältigung von Cyberrisiken in der Operational Technology (OT) kann äußerst schwierig sein, besonders für Betreiber kritischer Infrastrukturen, die keine ausreichende Transparenz ihrer Assets und kein effektives Schwachstellenmanagement haben. In diesem Jahr kommt als weitere Herausforderung die NIS-2-Richtlinie hinzu: der erste EU-weite Rechtsakt zur Cybersecurity, der bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden muss.
Viele Unternehmen stehen nun vor der Frage, welche Maßnahmen sie zur Vorbereitung auf NIS-2 und für mehr ICS/OT-Cybersecurity (Industrial Control Systems) umsetzen sollen. Zu diesem Zweck hat das SANS-Institut fünf Maßnahmen für die Cybersecurity von ICS/OT identifiziert, mit deren Hilfe Unternehmen eine Grundlage für ihren Schutz schaffen und sich zugleich auf die kommenden Anforderungen der NIS-2-Richtlinie vorbereiten können:
ICS Incident Response Plan: Im Rahmen der NIS-2-Anforderungen für den Umgang mit Zwischenfällen sollte ein konkreter Plan mit den richtigen Ansprechpartnern erstellt werden. Welche Mitarbeiter verfügen in welchem Asset über welche Fähigkeiten, und welche nächsten Schritte für Szenarien sind an welchen Standorten geplant? Dafür sollten zuerst verantwortliche Parteien, Benachrichtigungen und Eskalationsrichtlinien festgelegt und anschließend die Incident-Response-Pläne mit Tabletop-Übungen getestet und kontinuierlich verbessert werden.
Verteidigungsfähige Architektur: Die NIS-2-Richtlinie fordert Strategien und Verfahren zur Beurteilung von Cybersecurity-Maßnahmen. Alle erfolgreichen OT-Sicherheitsstrategien beginnen mit der Härtung der Umgebung. Dabei werden fremde OT-Netzwerkzugriffspunkte entfernt, strenge Richtlinienkontrollen an IT/OT-Schnittstellen beibehalten und Schwachstellen mit hohem Risiko entschärft. Noch wichtiger als eine sichere Architektur sind die Menschen und Prozesse, die sie aufrechterhalten - die Ressourcen und technischen Fähigkeiten, die zur Bewältigung neuer Schwachstellen und Bedrohungen erforderlich sind, sind nicht zu unterschätzen.
Transparenz und Überwachung von ICS-Netzwerken: Ein erfolgreiches OT-Sicherheitskonzept umfasst eine Bestandsaufnahme der Assets, eine Zuordnung von Schwachstellen zu diesen Assets (und Pläne zur Abhilfe) sowie eine aktive Überwachung des Datenverkehrs auf potenzielle Bedrohungen. Diese gewonnene Transparenz validiert die implementierten Sicherheitskontrollen in einer verteidigungsfähigen Architektur. Die Erkennung von Bedrohungen durch die Überwachung ermöglicht zudem eine Skalierung und Automatisierung für große und komplexe Netzwerke.
Sicherer Fernzugriff: Ein sicherer Fernzugriff ist für OT-Umgebungen von entscheidender Bedeutung. Die Multi-Faktor-Authentifizierung (MFA) ist ein seltener Fall einer klassischen IT-Maßnahme, die sich auch in OT-Umgebungen sinnvoll anwenden lässt, und schafft zusätzliche Sicherheit für geringe Investitionen. Wo MFA nicht möglich ist, sollten alternative Maßnahmen wie Jump-Hosts mit gezielter Überwachung in Betracht gezogen werden. Das Hauptaugenmerk sollte dabei auf Verbindungen in und aus dem OT-Netz liegen und nicht auf Verbindungen innerhalb des Netzes.
Risikobasiertes Schwachstellenmanagement: Für Informationssysteme schreibt die NIS-2-Richtlinie Risikoanalysen und Sicherheitsmaßnahmen vor. Eine verteidigungsfähige Architektur zeichnet sich dadurch aus, dass Schwachstellen frühzeitig erkannt werden und ein Plan zu ihrer Behebung vorhanden ist. Das setzt voraus, dass korrekte Informationen und Risikobewertungen sowie alternative Abhilfestrategien zur Minimierung des Risikos im laufenden Betrieb vorliegen.
In Zukunft werden OT-spezifische Incident-Response-Pläne für industrielle Umgebungen ein zentrales Thema sein. Traditionelle, präventive Ansätze gehören der Vergangenheit an: Diese fünf Maßnahmen konzentrieren sich auf die aktive Verteidigung und entsprechen damit nicht nur dem risikobasierten Ansatz der NIS-2-Richtlinie, sondern bieten auch eine schnelle und zuverlässige Reaktion als Eckpfeiler der ICS/OT-Cybersecurity.
Der Autor:
Kai Thomsen ist Director of Global Incident Response Services bei Dragos.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
