Twitterfrage zu Bestrebungen in Richtung Zertifizierung oder Anforderungen bei IT & OT

Während des Vortrags auf dem 94. netzpolitischen Abend der Digitalen Gesellschaft erreichte uns diese Frage auf Twitter:

Die Beantwortung passt nicht in 260 Zeichen, deswegen haben wir hier kurz gebloggt. Vielen Dank an unser Mitglied Clarity für das spontane Verfassen des Beitrags.

KRITIS-Betreiber sind jetzt schon dazu angehalten, Sicherheitsmaßnahmen nach „Stand der Technik“ umzusetzen – das kann auch die ausschließliche Verwendung von (ggf. zertifizierten) Geräten von vertrauenswürdigen Herstellern umfassen. Dies ist jedoch noch nicht bei jeder kritischen Infrastruktur umgesetzt.

Einzelne Branchen verfügten bereits vor der KRITIS-Gesetzgebung über eigene Zertifizierungsverfahren, um Geräte zu prüfen; oft gibt es auch Standards und Normen, die sich mit KRITIS-Regulatorik zumindest überschneiden (beispielsweise standardisierte Signalsicherung für Ampeln, die Konflikt-Grün verhindert o.ä.). Auch für #SCADA bzw. #IoT-Geräte im Industrieumfeld gibt es einschlägige Normen wie die DIN EN IEC 62443-Reihe, welche technische Anforderungen an ebenddiese Geräte stellen. Auch offizielle Stellen empfehlen beispielsweise die Nutzung dieser Norm.

Im neuen Entwurf zur Resortabstimmung des IT-Sicherheitsgesetzes 2.0 gibt es den Paragraph 9b „Untersagung des Einsatzes kritischer Komponenten nicht vertrauenswürdiger Hersteller“, welcher aber eher auf Backdoors (dein zweiter Tweet) abzielt. Laut dem Entwurf soll (a) der Einbau von kritischen Komponenten beim @BMI_Bund angezeigt werden (b) der Hersteller einer solchen Komponente eine Garantieerklärung über die „Backdoorfreiheit“ abgeben und (c) das BMI den Einbau bestimmter Komponenten verbieten können, wenn der Lieferant nicht vertrauenswürdig ist. Die Probleme daran haben wir in unserer Stellungnahme verlinkt.

Konkrete technische Anforderungen (zum ersten Tweet) gibt es in den Gesetzen, abseits der Stand-der-Technik-Verpflichtung, nicht.

Umsetzung des Citrix Workaround verläuft schleppend

#Citrix Workaround durch zahlreiche Betreiber erst sehr spät oder bis heute nicht implementiert!

Angesichts der Tatsache, dass seit der vergangenen Woche mehrere Exploits frei im Internet verfügbar sind, ist das geradezu fahrlässig #KRITIS #shitrix

— AG KRITIS (@AG_KRITIS) January 16, 2020

Spiegel-Artikel: Kompromittiert mit Ansage

Unter ihnen  Behörden, Parteien, Banken, Kraftwerksbetreiber, Universitäten, Krankenhäuser und Gemeinden.

„Wer nicht den #Workaround von #Citrix implementiert hat, tut gut daran, seine Systeme jetzt darauf zu überprüfen, ob sie #kompromittiert sind“, sagt Sicherheitsexperte Manuel Atug von der @AG_KRITIS.

Für die Organisierte Kriminalität oder staatlich unterstützte Hacker sei Citrix ein „Jackpot“, sagt Atug. Schließlich ermögliche die #Schwachstelle nicht zuletzt, sich in den Systemen von Betreibern kritischer Infrastrukturen einzunisten.

Verantwortungsdiffusion und Zuständigkeitschaos der staatlichen Cybersicherheitsarchitektur

 

Auch aus unserer Sicht eine spannende Frage, also haben wir dazu einen kleinen Thread geposted.

Wir befinden uns immer noch in einer Situation, wo sich die einzelnen Institutionen im Wesentlichen durch #Koexistenz statt #Kooperation auszeichnen. 1/6 
Software, Hardware und Know-How wird individuell beschafft und sorgt für eine suboptimale Nutzung – leider auch nicht zum Schutz unserer Kritischen Infrastrukturen. 2/6 
Das #NCAZ, das im #Krisenfall die Reaktion der #Behörden koordinieren soll, hat unklare geregelte Zuständigkeiten, da die Entscheidung, wer zuständig ist, von korrekter #Attribution ausgeht. 3/6 
Ein unabhängiges @BSI_Bund könnte hier übergreifende Prozesse schaffen, so könnte das #BSI als zentraler und defensiver Ankerpunkt die wesentliche koordinierende Rolle als Drehscheibe einnehmen und die Verantwortungsdiffusion zu großen Teilen auflösen. 4/6 
Solange sich einzelne #Behörden nicht austauschen und nur mäßig funktionierende gemeinsame Lagezentren vorhanden sind, die einen trägen Informationsaustausch pflegen, bezeichnen wir das als „chaotisch“. 5/6 
Andere Länder sind hier bereits weiter. Wir fordern – rein defensive – gemeinsame Lagezentren von #Staat#Wirtschaft und #Forschung6/6 

Indisches Atomkraftwerk als Command’n’Control Server benutzt!

Zur Unterscheidung:

IT sind Informationstechnische Systeme (#PC #Laptop #Windows #Office#Buchhaltung…)

OT sind Operative Systeme (#ICS #SCADA #SPS #HMI #PLC #Steuertechnik…) 

Angemessener Stand der Technik #SdT wie in #KRITIS gefordert wurde offenbar im #AKW nicht eingehalten.

Strikte #Trennung zwischen #OT-Steuersystemen und #IT ist eine wesentliche #Sicherheitsmaßnahme!

Weitere #Maßnahmen und #Forderungen finder Ihr hier.

ag.kritis.info/politische-for… 

Ob diese Meldung wohl eigentlich einen anderen Hintergrund hat?

SG steht mit hoher Wahrscheinlichkeit für Steam Generator.

m.economictimes.com/industry/energ… 

Die eingesetzte #Malware #dtrack wird oft im #Finanzumfeld in #Indien gefunden und der #Lazarus Gruppe zugeordnet. Die Vermutung liegt daher nahe, dass die kerntechnische Anlage eher ein #Kollateralschaden und nicht das eigentliche Ziel des Angriffs war.
#collateraldamage #KRITIS