5,558
edits
Changes
→25.10.2021 um 15.00 Uhr: Update Informations-Sicherheit
=2825./2926.10.2021 2022 in KölnMainz===2825.10.2021 2022 um 1215.00 Uhr: '''Update Informations-Sicherheit'''==*Randbedingungen u. a. durch die Störfallverordnung*Aktuelle Herausforderungen zu der KAS-51"Maßnahmen gegen Eingriffe Unbefugter"*Empfehlungen zur Durchführung von Penetrationstests*Ausblicke Überblick und Entwicklungen Cyber-SecurityAbgrenzung der ISO 27000 Normenreihe [[File:20211026 Verteidiger Dilemma mR.png|700px]]<br />*Checklisten und NutzwertanalysenVerteidiger Dilemma <br />===Randbedingungen [[#top|-> <u>Inhaltsverzeichnis</u. a. durch die Störfallverordnung===> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Sprachgebrauch mR.png|700px]]<br />
<br /><br />
<br /><br />
[[File:20211026 Prozess-Steuerung mR.png|700px|link=]]<br />
*Prozess-Steuerung
<br />
<br /><br />
[[File:20211026 Angriffspunkte mR.png|700px|link=]]<br />
*Angriffspunkte
<br />
<br /><br />
[[File:20211026 Die richtigen Daten mR20221017 Separation air gap.png|700px|link=]]<br />*Die richtigen Daten Separation
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Verteidiger Dilemma Schadsoftware verstehen mR.png|700px|link=]]<br />*Verteidiger Dilemma Schadsoftware verstehen
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Störfall-Verordnung mR20221017 Allianz Risk Barometer 2022.png|700px|link=]]<br />*Störfall-Verordnung Allianz Risk Barometer 2022
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Entwicklung Maßnahmen mR20221017 Bitkom Wirtschaftsschutz 1.png|700px|link=]]<br />*Entwicklung Maßnahmen Weitere Zunahme von Cyberattacken erwartet
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Ergänzende Bemerkungen mR20221017 Bitkom Wirtschaftsschutz 2.png|700px|link=]]<br />*Ergänzende Bemerkungen Wirtschaft rechnet mit verstärkten Cyberangriffen
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Schadsoftware verstehen mR20221017 Bitkom Wirtschaftsschutz 3.png|700px|link=]]<br />*Schadsoftware verstehen Cyberattacken bedrohen Existenz
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
===Empfehlungen zur Durchführung von Penetrationstests===
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Allianz Risk Barometer 2mR20221017 Notfall-Kommunikation analog.png|700px|link=]]<br />*Allianz Risk Barometer Notfall-Kommunikation analog
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
===Überblick und Abgrenzung der ISO 27000 Normenreihe=== [[File:20211026 BSI Lagebericht mR20221017 ISO 27000 Normenreihe.png|700px|link=]]<br />*BSI Lagebericht ISO 27000 Normenreihe
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 Wirtschaftsschutz 2021 REINER mR.png|700px|link=]]<br />*Wirtschaftsschutz 2-Faktor Authentifizierung
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
[[File:20211026 BSI Newsletter Zero Trust mR.png|700px|link=]]<br />*BSI Newsletter Zero Trust
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Ressourcen-Wikis)]]
<br /><br />
===Checklisten===
'''Checkliste zu Ausfällen'''
{|class="wikitable"
|+
!Nr
!Ausfall
!Fragen
|-
|1
|Gesamt-Strom-Ausfall
(bei Einspeisung)
|Vitale Stromkreise definiert?<br />
Altenative Einspeisung?<br />
Generator?<br />
Überbrückungsdauer?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|2
|Teil-Strom-Ausfall
|Redundanz auf Gelände? z.B. Offener Ring?<br />
Altenative Einspeisung?<br />
Generator?<br />
Überbrückungsdauer?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|3
|Gesamt-Internet-Ausfall
(bei Einspeisung)
|Vitale LAN-Strecken definiert?<br />
Altenative LAN-Struktur?<br />
Dauer bis Reaktivierung?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|4
|Teil-Internet-Ausfall
|LAN-Redundanz auf Gelände?
Altenative LAN-Struktur?<br />
Dauer bis Reaktivierung?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|-
|5
|Telefon-Ausfall
|Festnetz-/ Mobiltelefon-Redundanz;
Wer besitzt Firmen-Mobiltelefon?<br />
? Mobiltelefon-Gruppengespräche möglich? Falls ja, welche Gruppengröße?
|-
|6
|Teil-Steuerungs-Infrastruktur-Ausfall
|Steuerungs-Infrastruktur-Redundanz auf Gelände?
Altenative LAN-Struktur?<br />
'''(teil-)offene Zuführung außerhalb Gelände?'''
|}
'''BSI-Checkliste'''
#Cyber-Sicherheit ist Chefsache!
#Cyber-Resilienz erhöhen!
#Netzwerke schützen Netzwerke!
#Managen Sie Cyber-Risiken!
#Schützen Sie die „Kronjuwelen“!
#Sichern Sie Ihre Daten!
#Die Mitarbeiter mitnehmen und regelmäßig schulen!
#Patchen, patchen, patchen!
#Verschlüsselung sollte der Normalfall werden!
#Nutzen Sie die Angebote des BSI!
'''AKIS-Checkliste zur ersten Orientierung'''
{|class="wikitable"
|+
!Nr
!Maßnahmen
!Durchführung
|-
|
|'''Information Security Dilemma'''
|Der Verteidiger muss alle Zugänge schützen.
Dem Angreifer '''genügt 1 Zugang'''.
|-
|
|'''Problem: Vernetzung'''
|0: ursprünglich reines lokales Netzwerk mit wenigen offsite Komponenten.
1: Unternehmen mit Kunden, Lieferanten, Partnern (und ggf. untereinander) verbunden.
|-
|1
|Außenkommunikation
|Sind Sie in der Außenkommunikation zurückhaltend, was Details Ihrer Schutzmaßnahmen betrifft.
|-
|2
|Awareness
|Führen Sie regelmäßig Awareness-Trainings durch, unterstützt durch "interne" Spear Fishing Angriffe.
Werden Sie alle Security- und Privacy-Spezialisten.
Führen Sie interne Tests durch.
|-
|3
|Backups
|Prüfen und validieren Sie die Backup-Prozesse (Offline-, OffSite-Kufri und Lafri-Backups).
Backups werden regelmäßig erstellt und an Alternativ-Standorten gelagert.
Regelmäßig werden die Restore-Prozesse getestet.
|-
|4
|Begriffsdefinition
|Erstellen/Updaten Sie Ihr Firmen-Glossar mit Quellen-Bezug und -Zeitstempel und stellen Sie es zentral zur Verfügung.
|-
|5
|Beschaffungsplanung
|Bei Neu- und Ersatzbeschaffungen muss immer der Information Security Impact (ISI) bewertet und berücksichtigt werden.
|-
|6
|Erfahrungs-Austausch
|Tauschen Sie "im Verband" Erfahrungen aus.
|-
|7
|Härten
(engl. Hardening)
|"Härten“ bedeutet die Entfernung aller Softwarebestandteile und Funktionen, die zur Erfüllung der vorgesehenen Aufgabe durch das Programm nicht zwingend notwendig sind. Oftmals gelingt einem Angreifer der Einbruch in einen Server durch den Missbrauch eines Programms, das auf diesem Server gar nicht installiert sein müsste. Nichtbenutzte Ports sind zu schließen. Ggf. werden sogar einzelne, nicht benötigte „Befehle“ (die zugehörigen Betriebssystemroutinen) entfernt.
|-
|8
|Inhouse Consulting
|Involvieren Sie Ihre Mitarbeiter durch Anreizsystem, ggf. serous game, Wettbewerb, Preise vergeben. Animieren Sie Ihre Mitarbeiter, Firmen-Schwachstellen zu benennen.
|-
|9
|Kommunikation
|Kommunizieren Sie mit Geschäftspartnern verschlüsselt.
|-
|10
|Load balancing
|Das Operations-Support-System (OSS) ist so zu optimieren, dass ungeplante Komponenten-Abschaltungen bzw. Leistungsminderungen aufgefangen werden und teilautomatisch ausgeglichen werden können.
|-
|11
|Logging
|Systemzustände, Zugriffsberechtigungen, Firewall-Einstellungen und Zugriffe werden alle dokumentiert und redundant abgespeichert.
Überprüfen Sie jedes IT-Gerät auf Log-Speicherung.
|-
|12
|Löschungen
|Insbesondere Lösungen und Überschreibungen müssen nachvollziehbar und ggf. rückabwickelbar dokumentiert werden.
|-
|13
|Melde-Kommunikation
|„was tun, wenn …“ Anweisungen bei Anomalien und/oder Ausfällen definieren;
Kommunikation über z.B.:
* Anweisungs-Aushänge in jedem Raum (z.B. A4);
* Anweisungs-Einstecker für Mitarbeiter (z.B. A8)
|-
|14
|Melde-Wege
|Meldegründe, Schwellwerte, Rollen
|-
|15
|Multiple Sourcing
|Redundanz durch Diversity, Einsatz mehrerer, paralleler, unabhängiger Softwaresysteme zur Lösung der selben Funktionalität und Prüfung bzw. Übernahme validierter Ergebnisse.
|-
|16
|Netzwerk
|Vermeiden/beschränken Sie drahtlose Verbindungen.
|-
|17
|Notfallplan
|Erstellen/Updaten und veröffentlichen Sie den abgestuften Notfallplan, auch durch Aushang in allen Räumen. Ggf. Ansprechpartner mit Mobilfunknummern.
|-
|18
|Notfalltraining
|Simulieren Sie verschiedene Not-Situationen und trainieren Sie die entsprechenden Notfall-Konzepte.
|-
|19
|Not-Telephon
|Installieren Sie eine Unabhängige, offline Analog-Nebenstellenanlage mit separaten ggf. speisefreien Endgeräten zwischen den Hauptgebäuden.
|-
|20
|Open Source
|Kann proprietäre Software durch Open Source- oder quell-offene Software ersetzt werden?.
|-
|21
|Pattern-Recognition,
Anomalien
|Definition von üblichen Muster-Prozess-Abläufen; laufender Vergleich mit IST-Prozess-Abläufen; Erkennung von "Auffälligkeiten".
|-
|22
|Penetration
|Penetration-Test Teams von unabhängigen, konkurrierenden Anbietern (und Mitarbeitern) sollen parallel und quasi-regelmäßig Einbruchsversuche vornehmen und dokumentieren.
|-
|23
|PreOp-Testing
|Ziel für später: "No surprises!"
|-
|24
|Rechte-Konzept
|Führen Sie ein zentrales Authentisierungs- und Rechte-Konzept ein.
|-
|25
|Remote Support Zugriffe
|Prüfen und Dokumentieren Sie alle Remote Support Zugriffe.
|-
|26
|Risiko-Analyse
|Führen Sie regelmäßig TOM-Risiko-Analysen durch (Technik, Organisation, Menschen).
Priorisieren Sie Daten, Anwendungen und Prozesse entsprechend der Risiko-Analyse.
Analysieren Sie Ihre IT-Ressourcen bezüglich Verfügbarkeit, Zuverlässigkeit, Loyalität und Qualifikation
|-
|27
|Sechs-Augen-Prinzip
|Speziell IT-Administrations-Funktionen sollten nur im Vier- oder besser: im Sechs-Augen-Prinzip erfolgen und vollständig dokumentiert we
|-
|28
|Separierung
|Alle Endgeräte sowie Netz- und Speichergeräte werden bewertet und in entsprechenden, separaten Netzwerkbereichen betrieben.
Netze mit Hoch-Risiko-Komponenten werden galvanisch von anderen Netzen getrennt (air gap). Datenaustausch erfolgt über Datenträger.
Operations-Support-System (OSS) und Betriebs-Support-System (BSS) und Administration-Support-System (ASS) sind kontrollierbar zu vernetzen.
|-
|29
|Supply-Chain Problematik
|IT-Dienstleister auf "IT-Security" prüfen; Abhängigkeiten minimieren, Risiken evaluieren, Notfallpläne mit Dienstleistern abstimmen.
|-
|30
|Training
|Üben Sie regelmäßig Notfälle und Notfallpläne mit "relevanten" Mitarbeitern.
|-
|31
|Updates
|Funktions- und insbesondere Security-Updates sind notwendig. Prüfen und validieren Sie die Update-Prozesse.
Hierbei besteht die Möglichkeit, verschlüsselte Informationen zu Externen zu übertragen (-> Hash).
|-
|32
|Vertretungsregelung
|Prüfen und Updaten des Vertretungskonzepts.
|-
|33
|Zugriffsregelung
|Berechtigungen sollen nur auf einer Need-to-know Basis erfolgen.
|}
<br />
[[#top|-> <u>Inhaltsverzeichnis</u> (dieses Störfallrecht Ressourcen-Wikis)]]
<br /><br />
|-
|18
|[https://shop.reiner-sct.com/authenticator/reiner-sct-authenticator Link]|REINER SCT (2FA)|Zwei-Faktor-Authentisierung (2FA) mit Time-based One-time Password Algorithmus (TOTP): Wirkungsvoller Schutz vor Identitäts-Diebstahl, für Smartphone, Tablet, Notebook oder Desktop, bei allen führenden Online-Plattformen sofort nutzbar.
|}
|-
|5
|[https://www.lanuv.nrw.de/fileadmin/lanuvpubl/4_arbeitsblaetter/Arbeitsblatt41_gesichert.pdf LinkDownload]
|Darstellung des Sicherheitsmanagementsystems im Sicherheitsbericht
|LANUV NRW
|-
|8
|[https://www.youtube.com/watch?v=rsRWH11z-pk Link]
|Video: ZDFinfo Doku Blackout Deutschland ohne Strom
|Blackout - Deutschland ohne Strom [Doku Deutsch 2015] Droht uns die totale Vernetzung und sind wir gegen Cyber-Attacken gewappnet?
|-
|119
|[https://shop.vds.de/publikation/vds-10000 Link]
|VdS 10000
|Die vorliegenden Richtlinien legen Mindestanforderungen an die Informationssicherheit fest und beschreiben ein auf kleine und mittlere Unternehmen (KMU) zugeschnittenes Informationssicherheitsmanagementsystem (ISMS).
|-
|1210
|[https://www.vdi.de/fileadmin/pages/vdi_de/redakteure/richtlinien/inhaltsverzeichnisse/3049143.pdf Download]
|VDI/VDE 2180 (Inhaltsverzeichnis)
|Diese Richtlinie basiert auf DIN EN 61511 (VDE 0810) und gilt für Anlagen der Prozessindustrie, z.B. der chemischen und petrochemischen Industrie. Sie stellt eine bewährte Möglichkeit dar, die Anforderungen der 12. BImSchV (Störfallverordnung) an PLT-Einrichtungen mit Sicherheitsfunktion umzusetzen. Anlagen der Prozessindustrie sind vorzugsweise mit Nicht-PLT-Einrichtungen abzusichern. PLT-Sicherheitseinrichtungen kommen dann zum Einsatz, wenn andere Maßnahmen nicht anwendbar, nicht ausreichend oder bei vergleichbarer Risikoreduzierung nicht wirtschaftlich sind.
|-
|1311|[https://www.kritis.bund.de/SharedDocs/Downloads/Kritis/DE/UP_KRITIS_Fortschreibungsdokument.pdf?__blob=publicationFile LinkDownload]
|Umsetzungsplan KRITIS
|BSI/BMI
|Gegenüber 2007 hat sich insbesondere die IT-Bedrohungslage massiv verschärft. Die Bundesregierung hat darauf reagiert, indem sie die Strategien und Konzepte zum Schutz der Kritischen Infrastrukturen weiterentwickelt und an die aktuellen Gegebenheiten angepasst hat.
|-
|1412|[https://www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/bevoelkerungsschutz/kritis-leitfaden.pdf?__blob=publicationFile&v=4 LinkDownload]
|Schutz Kritischer Infrastrukturen – Risiko- und Krisenmanagement
Leitfaden für Unternehmen und Behörden
|Der Leitfaden stellt ein Managementkonzept für solche Einrichtungen vor, die von staatlicher Seite als Kritische Infrastrukturen bezeichnet werden. Das Konzept unterstützt die Betreiber Kritischer Infrastrukturen bei der strukturierten Ermittlung von Risiken, der darauf basierenden Umsetzung vorbeugender Maßnahmen sowie dem effektiven und effizienten Umgang mit Krisen. Kritische Infrastrukturen werden als „Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden“ verstanden.
|-
|1513
|[https://www.itskritis.de/_uploads/user//IT-Sicherheit%20Kritische%20Infrastrukturen%E2%80%93screen.pdf Download]
|IT-Sicherheit für Kritische Infrastrukturen – State of the Art
|Ergebnisse des Förderschwerpunkts IT-Sicherheit für Kritische Infrastrukturen IST, KRITIS des BMBF
|-
|1614|[https://monitor.itskritis.de/ITSKRITIS_Monitor_2_digital.pdf LinkDownload]
|Monitor 2.0 IT-Sicherheit Kritischer Infrastrukturen
|BMBF
|"Bemerkenswert ist, dass die am häufigsten genannte Ursache für den Erfolg von Cyberangriffen das Fehlverhalten von Mitarbeitern ist."
|-
|1715
|[https://www.bbk.bund.de/SharedDocs/Downloads/DE/Mediathek/Publikationen/KRITIS/baukasten-kritis-vokabular-1.pdf?__blob=publicationFile&v=5 Download]
|Klärung und Erweiterung des KRITIS-Vokabulars
|Abgrenzung der Begriffe „kritisch“ und „systemrelevant“ im KRITIS-Kontext und Abgrenzung der Begriffe „Kritische Infrastruktur“ und „Kritische Infrastruktur im Sinne von BSIG/ BSI-KritisV“.
|-
|1816
|[https://www.bdew.de/media/documents/Awh_20180507_OE-BDEW-Whitepaper-Secure-Systems.pdf Download]
|Whitepaper Anforderungen an sichere Steuerungs- und Telekommunikationssysteme
Das Whitepaper definiert Anforderungen an Einzelkomponenten und für aus diesen Komponenten zusammengesetzte Systeme und Anwendungen. Ergänzend werden auch Sicherheitsanforderungen an Wartungsprozesse, Projektorganisation und Entwicklungsprozesse behandelt.
|-
|1917
|[https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_067.html Download]
|Anforderungen an netzwerk-fähige Industriekomponenten
|BSI/BMI
|Speicher-programmierbare Steuerungen (SPS) und ähnliche industriell genutzte, netzwerkfähige Komponenten verfügen zunehmend über Dienste, die auch bei Serversystemen zu finden sind. Zusätzlich zu diesen Standarddiensten gibt es bei solchen Geräten eine Reihe von Prinzipien zu beachten, um als Hersteller ein sicheres Produkt anbieten zu können. Dieses Dokument gibt Herstellern einen Überblick über die zentralen Best Practices für solche Komponenten. In Ergänzung hierzu stellt das BSI einen Leitfaden für Hersteller von Industriekomponenten zur Verfügung, der bei dem Aufbau von Produkttests und Sicherheitsanalysen unterstützen soll.
|-
|99