Kritische Infrastruktur umfasst Dienste, deren Ausfall die Öffentlichkeit treffen würde, etwa Energie, Wasser, Gesundheit, Verkehr, Finanzen und Kommunikation.
Ein Cybervorfall in diesen Diensten ist nicht nur ein Geschäftsschaden, weil Menschen Sicherheit, Versorgung, Reise oder Zugang zu Geld verlieren können.
So funktioniert es
Betreiber haben langlebige Anlagen, Lieferanten und Sicherheitsregeln, die gewöhnliche Bürosicherheit nicht erfasst.
Verfügbarkeit und Unversehrtheit können wichtiger sein als Geheimhaltung, wenn eine Steuerung eine Anlage in sicheren Grenzen hält, und das macht Vertraulichkeit nicht freiwillig, ändert aber, welchen Ausfall Sie zuerst üben.
Schutz beruht auf Trennung zwischen Büro und Betriebsnetz, sorgsamem Fernzugriff, geprüften Sicherungen und Beziehungen zu Aufsicht und anderen Betreibern.
Pläne sollten sagen, wie Sie einen reduzierten, aber sicheren Dienst fahren, wenn Rechnern nicht zu trauen ist, und wer diesen Ruf tun darf.
Konkrete Beispiele
- Ein Wasserbetrieb trennt ein Aufbereitungsnetz, damit ein Bürovorfall die Chemiedosierung nicht direkt ändern kann.
- Ein Krankenhaus führt die Notfallversorgung mit Papier und lokalen Verfahren fort, wenn das Planungssystem nicht verfügbar ist.
- Ein Strombetreiber stimmt sich mit dem Branchenkontakt ab, wenn ein Vorfall mehr als ein Unternehmen treffen könnte.
Schutzmaßnahmen
- Trennen Sie Betriebsnetze vom gewöhnlichen Bürozugriff und prüfen Sie jeden Fernweg in die Betriebsseite.
- Üben Sie einen reduzierten sicheren Betrieb, der Menschen schützt, auch wenn die gewohnten Rechner getrennt werden müssen.
- Kennen Sie Aufsicht und Branchenkontakte, die Sie anrufen, und halten Sie diese Nummern außerhalb der betroffenen Systeme.
- Testen Sie Sicherungen und Ersatzverfahren in einem Rhythmus, der zu den Sicherheitspflichten passt und nicht nur zur Finanzberichterstattung.