14. Februar 2024
Im Mai 2021 führte ein Ransomware-Angriff zur Schließung der Colonial Pipeline, die fast die Hälfte des an der Ostküste verbrauchten Kraftstoffs transportiert. Tagelang drängten sich ängstliche Menschenmengen in langen Schlangen vor den Tankstellen, und der Flugverkehr wurde unterbrochen. Panikkäufe führten zu Engpässen und sprunghaft ansteigenden Benzinpreisen.
Die Grundursache des Angriffs: Die IT-Systeme von Colonial Pipeline wurden mit einem kompromittierten Passwort gekapert, das bei einem separaten Datenleck offengelegt und wahrscheinlich wiederverwendet wurde.
Als Folge des Angriffs auf die Colonial Air Force erließ die Transportation Security Administration (TSA) zwei verbindliche Pipeline-Sicherheitsrichtlinien. Die erste war Sicherheitsrichtlinie Pipeline-2021-01: Verbesserung der Pipeline-Sicherheit, die dringend notwendige Maßnahmen für Pipeline-Eigentümer und -Betreiber festlegt. Diese Richtlinie verpflichtet Unternehmen zur Durchführung einer Schwachstellenanalyse auf Grundlage der Pipeline-Sicherheitsrichtlinien, die als eines der ursprünglichen Ziele der TSA nach dem 9. September erstellt wurden.
Die zweite ist Sicherheitsrichtlinie Pipeline 2021-02: Maßnahmen zur Minderung der Cybersicherheit von Pipelines, Notfallplanung und Tests. Diese Richtlinie enthält eine Reihe von Anforderungen, die sich auf die Verhinderung von Cyberangriffen und die Verbesserung der Widerstandsfähigkeit der kritischen Infrastruktur des Landes insgesamt konzentrieren.
Im Folgenden erläutern wir die Anforderungen, darunter drei separate Pläne, die gemäß der zweiten Richtlinie erforderlich sind, und wie automatisierte Compliance-Management-Software zur Reduzierung von Cybersicherheitsrisiken beitragen kann.
Laden Sie eine kostenlose Broschüre herunter, wie die AssurX Patch-Verwaltung Lösung unterstützt Energie- und Versorgungsunternehmen bei der Verbesserung der IT-/OT-Systemsicherheit
Ein ergebnisorientierter Ansatz zur Pipeline-Sicherheit
Die zweite TSA-Richtlinie zur Pipeline-Sicherheit verfolgt einen leistungsorientierten Ansatz zum Schutz der Pipeline-Sicherheit, damit sich die Industrie an neue Bedrohungen anpassen und neue Technologien nutzen kann. Zu diesem Zweck müssen die Maßnahmen zum Schutz dieser kritischen Infrastruktur folgende Ergebnisse erzielen:
- Erstellen Sie Richtlinien und Kontrollen zur Netzwerksegmentierung, damit Betriebstechnologiesysteme (OT) nicht beeinträchtigt werden, wenn ein Informationstechnologiesystem (IT) verletzt wird, und umgekehrt.
- Richten Sie Zugriffskontrollen ein, um unbefugten Zugriff auf kritische Cybersysteme zu verhindern
- Entwickeln Sie kontinuierliche Überwachungs- und Bedrohungserkennungsprozesse, um Risiken zu identifizieren und Anomalien zu beheben, die kritische Cybersysteme beeinträchtigen könnten
- Reduzieren Sie das Ausnutzungsrisiko durch zeitnahe Sicherheitspatches und Updates für Betriebssysteme, Anwendungen, Treiber und Firmware, indem Sie ein risikobasiertes Patch-Management Strategie
Anforderungen an Pipeline-Eigentümer und -Betreiber
Die ursprüngliche Richtlinie verpflichtet Pipelinebesitzer und -betreiber dazu:
- Melden Sie Cybersicherheitsvorfälle umgehend der Cybersecurity and Infrastructure Security Agency (CISA).
- Stellen Sie einen Cybersicherheitskoordinator bereit, der der TSA und CISA rund um die Uhr zur Verfügung steht.
- Führen Sie jährlich eine Schwachstellenanalyse im Bereich Cybersicherheit durch
Um die oben genannten Ziele zu erreichen, verlangt die zweite Richtlinie von den Eigentümern und Betreibern von Pipelines außerdem, drei konkrete Pläne zu entwickeln und umzusetzen:
- Von der TSA genehmigter Implementierungsplan für Cybersicherheit
- Reaktionsplan für Cybersicherheitsvorfälle
- Programm zur Bewertung der Cybersicherheit
Nachfolgend besprechen wir jeden der oben genannten Pläne im Detail, einschließlich dessen, was sie abdecken sollten und wie eine automatisierte Compliance-Management-System kann helfen.
Von der TSA genehmigter Implementierungsplan für Cybersicherheit
Eigentümer und Betreiber von Pipelines müssen einen von der TSA genehmigten Cybersicherheitsimplementierungsplan implementieren, in dem die verwendeten spezifischen Cybersicherheitsmaßnahmen und der Zeitplan zur Erreichung der oben genannten Leistungsergebnisse beschrieben werden.
Dieser Plan muss alle kritischen Cybersysteme identifizieren, definiert als alle IT- oder OT-Systeme oder Daten, deren Verletzung Betriebsstörungen verursachen würde. Er muss außerdem darlegen, wie Sie die vier oben genannten Ziele erreichen wollen, schreibt aber nicht vor, wie.
Die Richtlinie ermöglicht einen flexiblen Ansatz. Der Plan sollte die Sicherheitsprozesse und -kontrollen festlegen, deren Einhaltung die TSA überprüft. Nach der Genehmigung des Plans wird von der Organisation erwartet, dass sie diese Prozesse und Kontrollen einschließlich der im Plan festgelegten Zeitpläne aufrechterhält.
Reaktionsplan für Cybersicherheitsvorfälle
Die TSA-Richtlinie verpflichtet Pipeline-Eigentümer und -Betreiber zur Erstellung und Pflege eines aktuellen Cybersecurity Incident Response Plans, um Betriebsunterbrechungen im Falle eines Vorfalls mit Auswirkungen auf IT- oder OT-Systeme zu verhindern.
Der Reaktionsplan für Cybersicherheitsvorfälle muss die spezifischen Maßnahmen dokumentieren, die Sie ergreifen werden, um Folgendes sicherzustellen:
- Sofortige Eindämmung aller infizierten Server oder Geräte
- Isolierung des infizierten Netzwerks oder Geräts, um die Verbreitung von Schadcode zu verhindern
- Sicherheit und Integrität der Sicherungsdaten, einschließlich der Art und Weise, wie Sie Sicherungsdaten sichern und trennen
- Sie haben die Möglichkeit, IT- und OT-Systeme zu isolieren, falls ein Cybersicherheitsvorfall eintritt
- Jährliche Überprüfung von mindestens zwei Zielen des Plans
Bewertungsplan für die Cybersicherheit
Pipeline-Eigentümer und -Betreiber müssen einen Cybersicherheitsbewertungsplan erstellen, der zeigt, wie das Unternehmen die Wirksamkeit seiner Cybersicherheitsmaßnahmen bewertet. Er muss auch zeigen, wie Schwachstellen in Geräten, Netzwerken und Systemen identifiziert und behoben werden sollen.
Dieser Plan muss:
- Bewerten Sie die Wirksamkeit des Cybersicherheits-Implementierungsplans
- Integrieren Sie eine halbjährliche Überprüfung des Entwurfs der Cybersicherheitsarchitektur
- Schließen Sie Bewertungen wie Penetrationstests und Tests aus der gegnerischen Perspektive ein
- Erstellen Sie einen Zeitplan für die Überprüfung der Wirksamkeit der oben genannten Maßnahmen, wobei jedes Jahr 30 % der Richtlinien und Prozesse abgedeckt werden, um über einen Zeitraum von drei Jahren 100 % abzudecken.
Darüber hinaus müssen Organisationen jährlich eine Aktualisierung dieses Plans zur Genehmigung vorlegen, die die Ergebnisse des Cybersecurity Assessment Plans des Vorjahres enthält.
Erfüllen Sie die Anforderungen und Ergebnisse der TSA mit automatisierter Compliance-Management-Software
Um die Anforderungen der TSA-Richtlinien zur Pipeline-Sicherheit zu erfüllen, müssen umfangreiche Daten zu OT- und IT-Systemen erfasst, überwacht und entsprechend verarbeitet werden.
Ein automatisiertes Compliance-Management-System rationalisiert diesen Prozess und verbessert die Cybersicherheit, indem es Unternehmen Folgendes ermöglicht:
- Erstellen und verwalten Sie Zeitpläne für die Evaluierung von Sicherheitspatches und Cybersicherheitsbewertungen und eskalieren Sie Aufgaben automatisch, wenn Fristen näher rücken.
- Sammeln Sie Nachweise im Zusammenhang mit Patch-Management und Cybersicherheitsbewertung, wie z. B. Evaluierungsdatum, Schadensbegrenzungspläne, Genehmigungen und digitale Signaturen.
- Verfolgen Sie die rechtzeitige Erfüllung der Anforderungen für Sicherheitsschulungen
- Überprüfen Sie die Einhaltung der technischen Kontrollen mit den Richtlinien und Plänen der Organisation
- Erstellen Sie Berichte über kritische Cybersysteme und alle Vermögenswerte, die unter die Pipeline-Richtlinien fallen
Zudem hat auch Frau Unternehmen können Belege einfacher dokumentieren und nachverfolgen für Cybersicherheitspläne wie Anlageninventare, Richtliniendokumente und Protokolldateien. Im Falle einer Inspektion ist die Möglichkeit, diese Informationen von einem zentralen Ort aus abzurufen, ein klarer Vorteil gegenüber manuellen Nachverfolgungsprozessen.
Fazit
Im Jahr 2021 endete der Ransomware-Angriff auf die Colonial Pipeline erst, als Pipeline-Beamte 75 Bitcoin, damals im Wert von 4.4 Millionen US-Dollar, an Cyberangreifer zahlten. Die Sicherheitsrichtlinien und -anweisungen der TSA für Pipelines zielen darauf ab, ähnliche zukünftige Ereignisse durch die Anforderung einer Reihe von Plänen, Richtlinien und Kontrollen zu verhindern. Ein automatisiertes Compliance-System ist für die Einhaltung der Anforderungen unerlässlich, damit Unternehmen sicherstellen können, dass ihre Pläne funktionieren und gut dokumentiert sind.
Laden Sie einen kostenlosen Best Practices-Leitfaden herunter, um Auswählen und Implementieren einer automatisierten NERC-Compliance-Management-Software
Über den Autor
Kathryn Wagner ist Vice President, Industry Solutions, Energy & Utilities bei AssurX. Kathryn bringt mehr als 25 Jahre Erfahrung in der Integration von Fertigungssystemen und Compliance mit und ist verantwortlich für die Entwicklung und Weiterentwicklung von Produktangeboten für NERC-Konformität und verwandte Systeme, bei denen Zuverlässigkeit und Belastbarkeit im Mittelpunkt stehen.
