Nationaler Monat für die Sicherheit und Widerstandsfähigkeit kritischer Infrastrukturen
Der November ist der nationale Monat für die Sicherheit und Widerstandsfähigkeit kritischer Infrastrukturen, und es gibt keinen besseren Zeitpunkt, um die Bedeutung der Sicherung einer der wichtigsten Infrastrukturen unseres Landes hervorzuheben: den Energiesektor.
Auch wenn wir dies oft als selbstverständlich ansehen, hängt unsere Lebensweise von der Sicherheit und Stabilität der Energiebranche unseres Landes ab. Jüngste Berichte über Cyberangriffe auf die Energieinfrastruktur weltweit, darunter das ukrainische Stromnetz (wird in einem neuen Tab geöffnet) sowie ein Kernkraftwerk in Deutschland (wird in einem neuen Tab geöffnet), unterstreichen die Risiken, denen unser Energiesektor ausgesetzt ist: Sicherheitsverletzungen könnten nicht nur zum Diebstahl von Daten, sondern auch zu physischen Schäden führen.
Unsere Energieinfrastruktur in den USA befindet sich in einer besonders kritischen Lage. Einerseits stützt sich der Großteil unseres Stromnetzes nach wie vor auf veraltete Technologien. Die American Society of Civil Engineers hat unter berichtet, dass (wird in einem neuen Tab geöffnet) 70 Prozent der Stromübertragungsleitungen unseres Landes älter als 25 Jahre sind. Andererseits verändert die Technologie die Funktionsweise des gesamten Energiesektors. Energiegeräte in unseren Haushalten und Gebäuden, Steuerungssysteme von Kraftwerken sowie die Systeme zur Verwaltung von Öl- und Gaspipelines sind zunehmend mit dem Internet verbunden – oft ohne die erforderlichen Sicherheitsmaßnahmen zu deren Schutz und Verwaltung. Mehr als 89 000 industrielle Steuerungssysteme sind online öffentlich zugänglich, von denen viele nur über minimale Sicherheitsvorkehrungen verfügen. Aufgrund der Vernetzung des Energiesektors und der rasanten Verbreitung in den sozialen Medien könnte bereits die Lähmung eines einzigen dieser Systeme öffentliche Panik auslösen und Bedenken hinsichtlich der Widerstandsfähigkeit des Stromnetzes wecken.
Der Schlüssel zur Risikominderung
Der Schlüssel zur Minderung dieses Risikos liegt in der Zusammenarbeit zwischen Energieunternehmen und staatlichen Stellen, die über die Grenzen der North American Electric Reliability Corporation – Critical Infrastructure Protection (NERC-CIP) hinausgeht. Glücklicherweise gibt es branchenweit Anzeichen dafür, dass die notwendigen Schritte für eine verstärkte internationale Zusammenarbeit unternommen werden.
Acht große internationale Energieunternehmen, darunter Shell und das norwegische Unternehmen Statoil, haben sich mit der Branchenzertifizierungsstelle DNV GL zusammengeschlossen, um branchenspezifische Richtlinien zur Cybersicherheit zu erarbeiten. Konkret werden sie eine empfohlene Vorgehensweise für industrielle Automatisierungs- und Steuerungssysteme erarbeiten, die innerhalb eines Jahres zu einem Industriestandard werden könnte. Diese Zusammenarbeit ist ein gutes Zeichen für die Branche, und ich möchte weitere Unternehmen dazu ermutigen, sich an dieser Initiative zu beteiligen.
Um die Cybersicherheit jedoch wirklich zu verbessern, bedarf es eines umfassenderen kulturellen Wandels innerhalb der Energieunternehmen – und dieser Wandel muss in den Vorstandsetagen beginnen: (öffnet in einem neuen Tab). Vorstandsmitglieder und Geschäftsführer müssen sich über ihre Cyberrisiken im Klaren sein und wissen, welche Maßnahmen sie zu deren Minderung ergreifen können. Einige erste Anzeichen deuten darauf hin, dass dies bereits geschieht. Ein aktueller Bericht des Weltenergierats, „ “ „The Road to Resilience – Managing Cyber Risk“ (wird in einem neuen Tab geöffnet), besagt, dass Energieunternehmen Cyberangriffe zunehmend als zentrale Bedrohung für ihr Geschäft erkennen.
Schlussfolgerung
Auch wenn dieser kulturelle Wandel innerhalb einer Organisation beginnen sollte, können Unternehmen und die Regierung doch viel dazu beitragen, ihr Cyberrisiko zu verringern, indem sie Bedrohungsinformationen untereinander austauschen. Viele Angriffe könnten verhindert werden, wenn Unternehmen (und Behörden) über Richtlinien verfügen würden, aus denen genau hervorgeht, welche Informationen sie weitergeben sollten und an wen sie diese Informationen weitergeben sollten. Allerdings befürchten Unternehmen häufig, dass rechtliche Schritte gegen sie eingeleitet werden, wenn sie einen Sicherheitsvorfall melden; oder schlimmer noch: Unternehmen sind aufgrund veralteter Infrastruktur und Tools nicht in der Lage, auf der Grundlage der bereitgestellten Informationen oder Anzeichen entsprechende Maßnahmen zu ergreifen. Dies ist ein Thema, mit dem sich die nächste Regierung befassen sollte, um eine verstärkte Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor zu fördern.
Wir befinden uns an einem entscheidenden Wendepunkt, an dem sich unser Stromnetz rasch wandelt und immer mehr mit dem Internet verbundene Energiegeräte ans Netz gehen werden. Meanwhile, the oil and gas industries are expected to spend $1,87 billion (opens in a new tab) on cybersecurity annually by 2018—a sign that they are taking the threat seriously. Doch Ausgaben sind nicht die endgültige Lösung. Stattdessen wird eine Kombination aus Zusammenarbeit und einem kulturellen Wandel, der darauf abzielt, veraltete Technologien zu modernisieren, weitaus mehr zur Verbesserung unserer Sicherheit beitragen.
Über den Autor: In seiner Funktion als Sicherheitsleiter bei Tanium konzentriert sich Andre McGregor auf den Bereich Cybersicherheit. Er verfügt über fundierte Kenntnisse über kriminelle und spionageabwehrbezogene Cybertechniken, die für Angriffe auf US-amerikanische Computernetzwerke und Infrastruktur eingesetzt werden. Bevor er zu Tanium kam, war Andre als Cyber-Spezialagent des FBI in New York City tätig und wurde später zum leitenden Spezialagenten in der FBI-Zentrale befördert. Beim FBI war McGregor leitender technischer Ermittler und federführender Einsatzleiter bei mehreren groß angelegten Cyberangriffen. Darüber hinaus war er sowohl als Cyber-Verbindungsbeamter des FBI bei den Vereinten Nationen als auch als Cyber-Verbindungsbeamter des FBI beim DHS, beim US-CERT und beim ICS-CERT tätig. Vor seiner Tätigkeit beim FBI studierte McGregor an der Brown University, begann seine berufliche Laufbahn bei Goldman Sachs und war später als IT-Leiter bei Advogent (Cardinal Health) für den gesamten landesweiten IT-Betrieb verantwortlich. In seiner Freizeit ist Andre zudem als FBI- und technischer Berater für „Mr. Robot“ tätig.
