6. Juni 2024
Zu Ihrem Job gehört die Verantwortung für das NERC-Compliance-Programm Ihres örtlichen Energieversorgers, und Sie haben gerade einen weiteren 12-Stunden-Tag hinter sich, um sich auf die bevorstehende Betriebsprüfung vorzubereiten. Endlich sind Sie zu Hause und holen das Abendessen aus dem Kühlschrank, nachdem Ihre Familie schon vor Stunden gegessen hat, als Sie eine SMS auf Ihrem Arbeitshandy hören. Bevor Sie überhaupt ans Telefon gehen können, um Ihre Nachricht abzurufen, klingelt es, und der Anruf kommt von Ihrem Chef. „Oh oh“, denken Sie, als Sie antworten. Sie ist am anderen Ende ganz außer sich und fragt sofort: „Warum haben wir Colins Zugriff vom Netzwerkteam nicht widerrufen? Ich habe eine Stichprobe gemacht, und sie haben immer noch Zugriff auf ALLES, und sie wurden vor drei Wochen entlassen!“ Oh oh, tatsächlich.
Gemäß den NERC-Anforderungen an das Zugriffsmanagement hätte dem Mitarbeiter innerhalb von 24 Stunden nach seiner Kündigung sowohl der physische als auch der elektronische Zugriff entzogen werden müssen. Darüber hinaus muss der Zugriff auf die BES Cyber System Information (BCSI) bis zum Ende des auf die Kündigung folgenden Kalendertages entzogen werden. Niemand hat Sie darüber informiert, und dennoch müssen Sie nun eine Selbstanzeige einreichen, und wer weiß, was die Prüfer zu diesem Fehler sagen werden. Dies ist eine der größten Herausforderungen dieses Standards, denn ohne einen automatisierten Prozess für die Zugriffskontrolle sind Sie auf Tabellenkalkulationen und Mitarbeiter angewiesen, um die Compliance Ihres Versorgungsunternehmens aufrechtzuerhalten. Wenn Sie sich schon lange genug mit der NERC-Compliance beschäftigen, haben Sie sicherlich schon die Ausrede gehört: „Ich wusste nicht, dass ich das tun sollte.“ Keine gute Antwort, und Sie sind derjenige, der dies mit den Prüfern der regionalen Einheit klären muss, nicht der IT-Manager, der nicht wusste, dass er die Compliance-Abteilung über die Kündigung seines Mitarbeiters informieren sollte.
Der CIP-004-Standard der North American Electric Reliability Corporation (NERC) konzentriert sich auf die physische und elektronische Zugangskontrolle für kritische Infrastrukturen innerhalb ihrer sicheren Umgebungen. Er schreibt außerdem Personal- und Schulungsanforderungen zum Schutz dieser kritischen Cyber-Assets in Elektrizitätswerken vor. Die Einhaltung von CIP-004 stellt sicher, dass nur autorisiertes, gut geschultes Personal Zugriff auf kritische Infrastrukturen hat, wodurch das Risiko von Cyber- und physischen Sicherheitsverletzungen reduziert wird. Die Einhaltung der Vorschriften ist jedoch komplex, insbesondere in den dynamischen Umgebungen von Versorgungsunternehmen. Sie endet nie, und bei den Audits der regionalen NERC-Einheiten müssen Sie bei Ihren Prozessen, Ihrer Dokumentation und Ihren Bemühungen perfekt sein, sonst drohen Ihnen Selbstauskünfte, Feststellungen, Bußgelder … oder, noch schlimmer, Sie geraten in die Schlagzeilen.
Werfen wir einen Blick auf das Problem und besprechen wir die wichtigsten Herausforderungen bei der Verwaltung des physischen und Cyber-Zugriffs, die Schwierigkeiten bei der Einhaltung der Schulungsanforderungen und die zusätzliche Komplexität, die entsteht, wenn sich diese beiden Bereiche überschneiden.
Herausforderungen bei der Verwaltung des physischen und Cyber-Zugriffs
Rollenänderungen und Zugriffsverwaltung
Bei der Neuzuweisung oder Versetzung von Mitarbeitern ist die zeitnahe und korrekte Aktualisierung ihrer Zugriffsrechte entscheidend. Diese werden jedoch häufig manuell mithilfe von Tabellenkalkulationen verwaltet und auf verschiedene Abteilungen verteilt, was zu Fehlern und Verzögerungen führt. Wird beispielsweise ein Mitarbeiter, der keinen Zugriff mehr auf kritische Systeme benötigt, nicht umgehend entfernt, stellt dies ein Sicherheitsrisiko dar. Die Anforderung, den Zugriff bis zum Ende des nächsten Kalendertages nach der Feststellung, dass der Zugriff nicht mehr erforderlich ist, zu entfernen, ist ein besonders anspruchsvoller Aspekt der CIP-004-Compliance, mit dem Energieversorger ständig zu kämpfen haben. Was passiert, wenn jemand vergisst, die Compliance-Abteilung zu benachrichtigen? Wer trägt letztendlich die Verantwortung für diesen Fehler? Sie!
Zugriff für Lieferanten und Auftragnehmer
Lieferanten und Auftragnehmer erhöhen die Komplexität zusätzlich. Diese Personen benötigen oft vorübergehenden Zugriff, der sorgfältig protokolliert und nach Beendigung des Auftrags widerrufen werden muss. Ein wiederkehrendes Problem besteht darin, sicherzustellen, dass Lieferanten über aktuelle Schulungen verfügen. Beispielsweise muss ein Lieferant, der die erforderliche Schulung absolviert, das Unternehmen verlässt und dann zurückkehrt, seine Schulung möglicherweise wiederholen, um den aktuellen Standards zu entsprechen. Die Automatisierung dieses Prozesses ist unerlässlich, um Compliance-Verstöße zu vermeiden. Was passiert, wenn Ihr Lieferant Sie nicht über die Pensionierung eines Mitarbeiters informiert? Wer haftet für diesen Fehler? Sie!
Kommunikationsstörungen
Effektive Zugriffskontrolle erfordert eine solide Kommunikation zwischen den Abteilungen. Vergisst beispielsweise ein Manager, das Sicherheitsteam über den Austritt eines Mitarbeiters zu informieren, kann der Zugriff der Person möglicherweise nicht rechtzeitig widerrufen werden. Regelmäßige Erinnerungen und Audits sind notwendig, um die Compliance sicherzustellen. Diese Maßnahmen sind jedoch oft ressourcenintensiv und anfällig für menschliche Fehler.
Herausforderungen bei der Bewältigung beweglicher Ziele im Training
Die Schulungsanforderungen gemäß CIP-004 sind nicht statisch. Sie entwickeln sich mit Änderungen der Personalrollen, neuen Bedrohungen und Aktualisierungen der gesetzlichen Standards weiter.
Dynamischer Trainingsbedarf
Was passiert, wenn Sie ein Problem mit Ihrem EMS (Energiemanagementsystem) haben und Ihren EMS-Anbieter um Unterstützung bitten? Wie stellen Sie sicher, dass Sie nur autorisierten Zugriff auf Ihre kritische Infrastruktur und Ihre Systeme mit mittlerer und hoher Auswirkung gewähren? Haben Sie diese Informationen in einer Tabelle, auf die Sie zurückgreifen müssen, oder nutzen Sie ein automatisiertes System, das die Zugriffsbereitstellung ohne die erforderliche Dokumentation und Schulung nicht zulässt? Wenn Sie dies immer noch manuell erledigen, gibt es eine bessere Lösung? Die gibt es auf jeden Fall.
Versorgungsunternehmen müssen sicherstellen, dass alle Mitarbeiter eine auf ihre Aufgaben zugeschnittene Erst- und Weiterbildung erhalten. Dazu gehören Sicherheitsbewusstsein, spezifische technische Fähigkeiten und ein Verständnis der Zugangskontrollprotokolle. Die Schulungen müssen regelmäßig, in der Regel jährlich, aufgefrischt und an neue Sicherheitsbedrohungen und regulatorische Änderungen angepasst werden. Dieser ständige Bedarf an aktualisierten Schulungen erschwert die Einhaltung der Vorschriften. Wer ist dafür verantwortlich, dass alle erforderlichen Schulungen abgeschlossen sind und die persönliche Risikobewertung (PRA) weiterhin gültig ist? Ich denke, Sie verstehen, worauf ich hinauswill.
Umgang mit Abwesenheiten und Rückkehr
Mitarbeiter, die längere Abwesenheiten, beispielsweise in Mutterschaftsurlaub, in Anspruch nehmen, stellen eine weitere Herausforderung dar. Nach ihrer Rückkehr müssen sie versäumte Schulungen schnell nachholen, um wieder Zugang zu erhalten. Dies kann zu Engpässen und Compliance-Risiken führen, wenn es nicht effizient gemanagt wird. Darüber hinaus kann der Zeitpunkt von Schulungsanforderungen, beispielsweise aufgrund von Rollenwechseln oder neuen Zugriffsanforderungen, zu erheblichem Verwaltungsaufwand führen.
Schulung von Lieferanten und Auftragnehmern
Lieferanten und Auftragnehmer benötigen oft spezielle Schulungen für den Zugriff auf kritische Infrastrukturen. Die Verwaltung dieser Anforderungen ist komplex, insbesondere für Lieferanten, die regelmäßig wiederkehren. Für die Einhaltung der Vorschriften ist es entscheidend, sicherzustellen, dass ihre Schulung bei jedem Zugriffsbedarf aktuell ist. Die Automatisierung dieser Schulungsauslöser und ihre Integration in Zugriffsverwaltungssysteme können dazu beitragen, diese Herausforderungen zu meistern.
Wenn Zugangs- und Schulungsherausforderungen zusammenkommen
Die Überschneidung von Zugriffskontrolle und Schulungsanforderungen stellt für die Aufrechterhaltung Ihres NERC CIP-004-Compliance-Programms eine doppelte Herausforderung dar. Wir haben ausführlich über das Problem gesprochen. Wie sieht die Lösung aus?
Automatisierte Trigger und Workflow-Integration
Eine Möglichkeit besteht darin, Schulungsauslöser basierend auf Zugriffsänderungen zu automatisieren. Benötigt beispielsweise ein Lieferant Zugriff auf ein kritisches System, kann das System automatisch prüfen, ob seine Schulung aktuell ist, und nur dann Zugriff gewähren, wenn dies der Fall ist. Ebenso sollten Zugriffsänderungsanträge erst bearbeitet werden, wenn die Aktualität der erforderlichen Schulung bestätigt ist. Diese Integration und Automatisierung gewährleistet die Einhaltung der Vorschriften und reduziert gleichzeitig den Verwaltungsaufwand für die Mitarbeiter.
Rechtzeitige Zugriffswiderrufe
Die umgehende Sperrung des Zugriffs entlassener oder wechselnder Mitarbeiter ist entscheidend. Die Anforderung, den Zugriff innerhalb von 24 Stunden nach der Entscheidung zu sperren, erhöht jedoch den Druck auf die ohnehin komplexen Prozesse. Effektive interne Kontrollen und automatisierte Systeme sind unerlässlich, um dies zu bewältigen, ohne auf fehleranfällige manuelle Prozesse angewiesen zu sein. Aus den Gesprächen zu diesem Thema geht hervor, dass die Sperrung des Zugriffs innerhalb von 24 Stunden ganz oben auf der Liste der am schwierigsten zu handhabenden Aspekte von CIP-004 steht. Sind in Ihrem NERC-Compliance-Programm die internen Kontrollen integriert, um sicherzustellen, dass Sie stets perfekt arbeiten? Gibt es Verbesserungspotenzial bei der Automatisierung dieser Aufgaben und Arbeitsabläufe und der gleichzeitigen Dokumentation aller Schritte?
Kommunikation und Dokumentation
Eine klare Kommunikation und umfassende Dokumentation zwischen den Abteilungen ist nicht nur unerlässlich, sondern unerlässlich. Zugriffsprotokolle, Schulungsunterlagen und Compliance-Dokumente müssen sorgfältig geführt werden, um Audits standzuhalten. Beispielsweise kann die Dokumentation des Abschlusses von Schulungen und des Entzugs von Zugriffen in einem zentralen System Versorgungsunternehmen helfen, die Einhaltung der Vorschriften bei NERC-Audits nachzuweisen.
Fazit
Um einen ehemaligen CIP-004-Compliance-KMU zu zitieren: „CIP-004 erfordert eine intensive Kommunikation zwischen den Abteilungen“, was eine Untertreibung ist. Je größer das Unternehmen, desto anspruchsvoller ist in der Regel die Verwaltung Ihres Zugriffskontrollprogramms.
Wir haben gesehen, dass die erfolgreichsten Audits bei Elektrizitätswerken diejenigen sind, bei denen Ihr Interne Kontrollen sichern Ihre Compliance-Bemühungen Durch Automatisierung, maßgeschneiderte Workflows und die Integration in alle wichtigen Systeme. Die verschiedenen Abteilungen können effektiv miteinander kommunizieren, um Perfektion zu gewährleisten. Bei NERC müssen Sie stets perfekt sein, und die Prüfer können jahrelang nach Fehlern suchen.
Die Einhaltung der NERC CIP-004-Vorschriften erfordert die Bewältigung der doppelten Herausforderungen der Verwaltung von Zugangskontrolle und Schulungsanforderungen. Die Komplexität dieser Aufgaben steigt, wenn sie sich überschneiden. Daher müssen Versorgungsunternehmen automatisierte Lösungen und robuste interne Kontrollen einführen. Durch die Integration von Schulungsauslösern in die Arbeitsabläufe des Zugangsmanagements sowie die Gewährleistung rechtzeitiger Widerrufe und umfassender Dokumentation können Versorgungsunternehmen die Einhaltung der Vorschriften besser gewährleisten und kritische Infrastrukturen schützen.
Nehmen Sie an unserem kommenden Webinar teil, wo wir tiefer auf diese Herausforderungen eingehen und praktische Lösungen zur Optimierung der CIP-004-Konformität in Ihrem Unternehmen diskutieren. Können Sie den Prozess automatisieren? Auf jeden Fall. Können wir Ihnen zeigen, wie? Natürlich. Wir sehen uns am 27. Juni!
Über den Autor
Scott Crow ist Senior Business Systems Strategist für Energie und Versorgung bei AssurX. Scott verfügt über langjährige Erfahrung in der Bereitstellung erfolgreicher IT/OT-Lösungen, die die Herausforderungen der Cybersicherheit für kritische Infrastrukturen lösen. Er ist leidenschaftlich daran interessiert, durch Innovationen bessere Lösungen für Geschäftsprobleme auf den Markt zu bringen und sich auf die Schnittstelle zwischen Mensch, Technologie und Prozessen zu konzentrieren.
