Der Reifegrad und das Verständnis betrieblicher Technologierisiken bleiben hinter denen von IT-Systemen zurück. Das Australian Cyber Security Centre könnte eine führende Rolle bei der Überbrückung der Wissenslücke übernehmen, heißt es in einem neuen Papier.
Laut a bestehen erhebliche Sicherheitsdefizite bei den australischen Anbietern kritischer nationaler Infrastruktur Neues Papier des International Cyber Policy Centre (ICPC) des Australian Strategic Policy Institute (ASPI) veröffentlicht Dienstag.
Sicherheit
- 8 Gewohnheiten hochsicherer Remote-Mitarbeiter
- So finden und entfernen Sie Spyware von Ihrem Telefon
- Die besten VPN-Dienste: Wie schneiden die Top 5 im Vergleich ab?
- So finden Sie heraus, ob Sie in einen Datenverstoß verwickelt sind – und was als nächstes zu tun ist
Das Problem ist eines, das bereits zuvor identifiziert wurde: die Konvergenz der Betriebstechnologie (OT)-Systeme, die traditionell von der Informationstechnologie (IT) der Organisationen getrennt waren Systeme.
OT ist die Kombination von Hardware- und Softwaresystemen, die die physischen Arbeiten steuern. Dazu gehören die industriellen Steuerungssysteme, die alles betreiben, von Kraftwerken und Wasserverteilung bis hin zu Eisenbahnen und Ölraffinerien.
„Unter australischen Anbietern kritischer nationaler Infrastruktur hinkt der Reifegrad und das Verständnis der spezifischen Risiken von OT-Systemen dem von IT-Systemen hinterher“, heißt es in dem Papier.
„Es mangelt an Fachkräften mit OT-Sicherheitskenntnissen, kommerzielle Lösungen sind weniger leicht verfügbar und den Vorständen mangelt es an Fachwissen und Erfahrung.“
In Interviews mit einem Dutzend kritischer Infrastrukturanbieter quer durch die Schlüsselsektoren Telekommunikation, Energie, Wasser und Transport hatten zwei Drittel das Gefühl, nur teilweise oder unzureichend auf eine Reaktion vorbereitet zu sein Vorfall.
„Viele Organisationen waren eindeutig der Meinung, dass es Spielraum für Verbesserungen gibt“, heißt es in dem Papier.
„Die Hälfte meinte, es gäbe Raum für Verbesserungen in ihrem Verständnis des Konvergenzgrades ihrer Systeme und indem sie sicherstellten, dass sie einen umfassenden Überblick über die Risiken und Schwachstellen hatten“, heißt es sagte.
„Weniger als die Hälfte konnte bestätigen, dass mindestens einmal jährlich Schwachstellentests ihrer OT-Systeme durchgeführt wurden.“
In einem Drittel der Organisationen entsprach der OT-Sicherheitsvorfallreaktionsplan dem IT-Sicherheitsvorfallreaktionsplan.
„Die unterschiedlichen Ansätze zur Isolierung und Wiederherstellung nach OT-Angriffen und der Fokus auf Verfügbarkeit.“ in OT bedeuten, dass die Wiederverwendung des IT-Reaktionsplans für diese Art von Vorfall wahrscheinlich nicht effektiv sein wird.“
Betitelt Schutz kritischer nationaler Infrastruktur im Zeitalter der IT- und OT-KonvergenzDer Artikel wurde von Rajiv Shah, Geschäftsführer von MDR Security, verfasst.
Das Papier kommt zu einer Zeit, in der der Schutz kritischer Infrastrukturen ein aktuelles Medienthema ist.
Einem Bericht zufolge hat eine Hackergruppe, die als „gefährlichste Bedrohung“ für Industriesysteme bezeichnet wird, einen Angriff auf sich gezogen großes Interesse an Stromnetzen in den USA und anderswo.
Erst vor zwei Wochen nahm die Eskalation der Cyberkriegsführung eine neue und gefährliche Wendung, als die USA berichteten, dass dies der Fall sei Einschleusen von Schadsoftware in russische Stromnetze.
Unterdessen sei hier in Australien „die Fähigkeit, diese Angriffe zu verhindern, zu erkennen oder darauf zu reagieren, weiterhin gering“, schrieben Andrew Dowse und Mike Johnstone von der Edith Cowan University in Westaustralien.
„Cyberkrieg ist Realität. „Wir sollten damit rechnen, dass Cyberkriminelle und Gegner von Nationalstaaten in Zukunft einen gewissen Einfluss auf unser Leben haben könnten, indem sie kritische Infrastrukturen wie das Stromnetz angreifen“, schrieben sie.
„Die Sicherung unserer Infrastruktur hat für die Regierung Priorität und wird von den Marktteilnehmern zunehmend als solche anerkannt. Die Kosten und die Notwendigkeit von Sicherheitsmaßnahmen mögen vielen unangenehm erscheinen, aber es müssen Schritte unternommen werden, um eine Rückkehr ins dunkle Zeitalter zu verhindern.“
Das ASPI-Papier legt nahe, dass das Problem angegangen werden muss, indem Erwartungen von der Vorstandsebene nach unten festgelegt und identifiziert werden und Bewältigung der Risiken, Festlegung von Standards und Leitlinien, Bildung und Entwicklung von Qualifikationen der Belegschaft sowie Verteilung von Bedrohungen Information.
Zwar gebe es einen „allgemeinen Mangel an Fokus“, einem ausgereiften Verständnis oder wirksamen Lösungen für die OT-Risiken, in dem Papier wird jedoch darauf hingewiesen, dass einige der Maßnahmen bereits umgesetzt werden.
Diese „müssen möglicherweise jedoch noch beschleunigt oder verstärkt werden“, und „einige sind kritischer als andere“.
Die drei wichtigsten Empfehlungen sind:
- Vorstände kritischer Infrastrukturanbieter müssen ihre OT-Cyber-Risikotoleranz explizit festlegen und die Leistung ihrer Organisation anhand dieser überwachen. „Das Critical Infrastructure Centre scheint am besten in der Lage zu sein, dies in ganz Australien zu koordinieren und voranzutreiben, um einen gemeinsamen Best-Practice-Ansatz sicherzustellen“, heißt es in dem Papier.
- Auf allen Ebenen sind bessere Bildung und Information erforderlich. Dazu gehören allgemeine Sensibilisierung und Schulung, Fachkurse bei TAFE und anderen Institutionen, ein besserer Informationsaustausch über Bedrohungen und der Austausch technischer Informationen. „Das Australian Cyber Security Centre [ACSC] könnte diese Aktivität im Einklang mit seinen bestehenden Arbeitsprogrammen leiten“, heißt es in dem Papier.
- Ressourcen müssen priorisiert werden. „Je länger diese Aktion verzögert wird, desto größer ist der Vorsprung, den böswillige Akteure haben „Konvergenz wird stattgefunden haben, ohne dass die Sicherheit im Mittelpunkt stand, und desto größer wird die Bedrohung sein“, sagte der sagte das Papier.
„Angesichts der potenziellen Auswirkungen der zunehmenden Konvergenz der IT auf die Gesellschaft und unsere nationale Sicherheit und OT-Systemen ist es wichtig, dass dieses Problem priorisiert und effektiv verwaltet wird“, heißt es in dem ASPI-Papier sagte.
Verwandte Berichterstattung
Australien signalisiert den Fokus von Five Eyes auf den Indopazifischen Raum
Verteidigungsministerin Linda Reynolds sagt, bei der Zusammenarbeit zwischen Australien und den USA werde es um die Koordinierung der nationalen Interessen gehen jeweiligen indopazifischen Strategien, wobei der Schwerpunkt auf der Entwicklung von „Komplementaritäten“ und dem Aufbau liegt Eigenständigkeit.
5G ist nur ein Teil der „neuen Frontlinie des Kalten Krieges“ der Technologie
Während Nationen nach Technologien suchen, die „einen entscheidenden strategischen Vorteil“ bei der Kontrolle der „globalen digitalen Gemeingüter“ verschaffen, erinnern die globalen politischen Trends an die 1930er Jahre.
Australien sollte Cyber-Angreifer des Parlaments benennen
Im Falle eines so eklatanten Angriffs auf die australischen Regierungsinstitutionen sollten wir bereit sein, mit dem Finger darauf zu zeigen und dem Gegner echte Kosten aufzubürden.
Deutschland veröffentlicht Standards für moderne sichere Browser
Die deutsche Cybersicherheitsbehörde veröffentlicht ein Dokument über die Funktionen eines modernen „sicheren“ Browsers.
Wie KMU sensible Daten besser vor Cyberangriffen schützen können (TechRepublic)
Kennen Sie Ihren Feind und kennen Sie Ihr Risiko – das sind zwei Ratschläge, die in einem neuen Bericht des Sicherheitsunternehmens eSentire enthalten sind.