Cyber Security

Eine funktionierende Energieversorgung spielt eine zentrale Rolle im täglichen Leben eines jeden Menschen und für die gesamte Volkswirtschaft der Schweiz. Im Falle eines Blackouts wären, je nach Umfang und Dauer, nachhaltig wirkende Versorgungsengpässe beispielsweise bei der Wasser- und Lebensmittelversorgung und erhebliche Störungen der öffentlichen Sicherheit zu erwarten. Auf den Punkt gebracht, unser gesamtes System würde zum Erliegen kommen.

Die stark beeinträchtigte Energieversorgung in der Ukraine im Dezember 2015 und 2016 hat die negativen Auswirkungen eines Cyberangriffs auf kritische Infrastruktur mehr als verdeutlicht. Die Prävention gegen Cyberrisiken hat daher als Thema auch auf politischer Ebene deutlich an Präsenz gewonnen. Für Energieversorgungsunternehmen bedeutet das, dass in Zukunft durchdachte Sicherheitskonzepte zu implementieren sind, die bestimmten, gesetzlich festgesetzten Mindestanforderungen genügen müssen.

Aktuelle Entwicklungen in der Schweiz

Auf dem politischen Parkett ist das Thema Cybersicherheit keinesfalls neu und wird seit einigen Jahren immer wieder aufgegriffen. Das Resultat sind mehrere Initiativen und Gesetzesnovellen.

Im Rahmen der nationalen SKI-Strategie (Schutz kritischer Infrastruktur) wurde 2015 beispielsweise ein Leitfaden erarbeitet und die zweite Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) wurde im April 2018 verabschiedet. Mit dem 1. Januar 2018 ist zudem das revidierte Energiegesetz in Kraft getreten. Nach dem Stromversorgungsgesetz sind die Netzbetreiber schon seit 2007 für ein in jeder Hinsicht sicheres Netz verantwortlich. Allerdings gehen weder der Gesetzestext noch die Initiativen darauf ein, wie diese Mindestanforderungen in Bezug auf die Cybersicherheit konkret aussehen.

Dies wird sich höchstwahrscheinlich ändern. Die letzte diesbezügliche Motion «Verpflichtender Grundschutz für kritische Strominfrastruktur» wurde zwar Ende 2019 abgelehnt, im Rahmen der Revision des Energiegesetzes jedoch inhaltlich berücksichtigt und in der Leitlinie für die sichere Energieversorgung soll auch der Schutz von kritischen Infrastrukturen (einschliesslich Informations- und Kommunikationstechnik) erwähnt werden.

Momentan fehlen derartige Rechtsgrundlagen in der Schweiz noch. Massgebend für die Versorgungsunternehmen sind nur die spezifischen Fachgesetze wie das Energiegesetz und das Stromversorgungsgesetz. In keinem von beiden ist im Detail ausgeführt, welchen branchenspezifischen Grundschutz die Betreiber aufweisen müssen.

Dieses Framework basiert auf dem «Defense-in-Depth» Prinzip, das mit fünf Schritten arbeitet: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Eine Voraussetzung ist, dass man akzeptiert, dass es keinen vollständigen Schutz gegen jegliche Art von Cyber-Bedrohungen geben kann. Auf Basis dieses Bewusstseins über die eigene Verwundbarkeit können dann entsprechende Strategien und Massnahmen entwickelt werden. Am Beginn steht daher die Identifikation von Angriffsvektoren (Identifizieren), um sich in einem weiteren Schritt bestmöglich gegen diese absichern zu können (Schützen). Durchbricht eine Angreifer:in diese Barrieren, muss der Angriff erkannt (Erkennen) und bestenfalls sofort richtig gehandelt (Reagieren) werden, damit sich anschliessend der Normalzustand so schnell wie möglich wiederherstellen lässt (Wiederherstellen).

Dabei wird insbesondere dem Zusammenspiel von Mensch, Prozessen und Technik, im Rahmen einer neu zu etablierenden Organisation, eine hohe Bedeutung beigemessen. Denn die kontinuierliche Überwachung (Erkennen), als Kernelement des Frameworks, macht nur Sinn, wenn auf die Alarmmeldungen angemessen und präzise reagiert wird.

Die Anwendung dieses Frameworks in der OT stellt ein komplexes Unterfangen dar und erfordert eine intensive Auseinandersetzung mit dessen Inhalten und spezifisches Fach- und Branchenwissen, um den gewünschten Sicherheitslevel zu erreichen.

Eine Partnerschaft, um Sie optimal zu begleiten

Vor diesem Hintergrund sind die OMICRON electronics GmbH und ALSEC Cyber Security Consulting AG eine Partnerschaft eingegangen, um Sie bestmöglich bei der Definition und Implementierung der Massnahmen aus dem VSE Handbuch Grundschutz für «Operational Technology» in der Stromversorgung zu begleiten. Denn die Umsetzung des Frameworks erfordert ein Ineinandergreifen von massgeschneiderten Produkten einerseits und organisatorischen Massnahmen andererseits.

Mit StationGuard hat OMICRON eine spezifische Überwachungslösung für Unterstationen nach IEC 61850 entwickelt. StationGuard erfüllt die Kernaufgabe des Cyber-Security-Frameworks, indem mit einem speziellen Whitelisting-Ansatz das gesamte Anlagennetzwerk überwacht wird. Angriffsversuche lassen sich so sofort identifizieren und werden gemeldet. Zusätzlich bietet StationGuard auch in den anderen Bereichen des Frameworks Unterstützung: Richtlinien können überwacht und forciert werden, die gesamte Whitelist wird dokumentiert und lässt sich auf diese Weise auditieren. Alle kritischen Ereignisse und deren Netzwerkverkehr werden in einem manipulationssicheren Logbuch aufgezeichnet. Diese Meldungen können über verschiedene Kanäle weitergeleitet werden, beispielsweise an ein Security Information and Event Management (SIEM) System.

Die Darstellung von Alarmen in der Benutzeroberfläche von StationGuard orientiert sich an Anlagenplänen und -Terminologie, sodass Schutz- und Leittechniker:innen bei der Analyse mit Security Spezialist:innen effizient zusammenarbeiten können. Da StationGuard die Vorgänge in der Schaltanlage kennt, entstehen zudem nur sehr wenig Fehlalarme, wodurch StationGuard auch einen sehr niedrigen Betreuungsaufwand aufweist, was sich eins zu eins in der Wirtschaftlichkeit der Lösung widerspiegelt.

Um all die Vorteile die StationGuard mit sich bringt nutzen zu können, ist es jedoch unerlässlich, dass das IDS in eine funktionierende Sicherheitsorganisation eingebettet ist. Und genau hier greift die Kooperation mit ALSEC. Mit jahrelanger Erfahrung in der Branche unterstützt ALSEC Sie bei der Einbettung des IDS in Ihre Organisation und legt dabei den Fokus auf die Menschen und Prozesse.

Zu den Leistungen von ALSEC Cyber Security Consulting AG gehören:

• Unterstützung bei der Cyber Security Strategie, Risikoerfassung und Security Architektur
• Projektleitung vom Projektantrag bis zur Umsetzung, basierend auf vorangegangenen Audit-Ergebnissen
• Definition der Anforderungen neuer Systeme sowie deren Überprüfung bei der Systemabnahme und vor der Inbetriebsetzung
• Beratung bei der Definition und Umsetzung der Prozesse um das IDS herum, insbesondere des Incident-Response Prozesses, sowie der Change-, Configuration- und Security Asset-Management Prozesse
• Durchführung des Projektmanagements für die Integration von IDS in mehreren Unterstationen
• Individuelle Optimierung von StationGuard auf Ihr System
• Schulungen und Awareness Kampagnen für das Personal zur Cybersicherheit
• Sicherheits-Auditierung Ihrer Unterstationen auf Basis des Branchenstandards
  • Bei Unterstationen ohne IDS kommt StationGuard als Auditing Tool zum Einsatz
  • Bei Unterstationen mit StationGuard kann die Whitelist auditiert werden

 

Während der Umsetzung spielt insbesondere die Ausbildung und Begleitung der involvierten Mitarbeiter:innen eine entscheidende Rolle. Damit wird sichergestellt, dass die Belegschaft eine entsprechende Sensibilisierung erhält und alle kritischen Prozesse genau kennt, um zu einer übergreifenden und verzahnten Informationssicherheit zu gelangen. Es müssen die Domänen „Technologie – Prozesse – Menschen“ gleichermassen behandelt werden, um den Maturitätslevel einer Organisation vollumfänglich zu erhöhen.

Agieren statt reagieren

Das Thema Cyber Security, speziell im Bereich der Operational Technology (OT), ist komplex und erfordert spezifisches Fachwissen. Branchenvorgaben zu den neuen Mindeststandards existieren bereits und gesetzliche Vorgaben zeichnen sich in naher Zukunft ab. Wir stehen Ihnen daher gerne beratend und mit modernsten, spezifischen Lösungen zur Seite, um ihre Anlagen effektiv und umfassend vor Cyberrisiken zu schützen und auf kommende gesetzliche Vorgaben vorbereitet zu sein.