Kritische Infrastrukturen
Übertragungsnetze und die Digitale Transformation
Fortsetzung des Artikels von Teil 3
Wirksamkeit der IT-Schutzmaßnahmen sicherstellen
Über die physikalische Ausfallsicherheit hinaus entwickelte TÜV Rheinland auch eine IT-Sicherheitsstrategie für die 50Hertz-Rechenzentren, die den Anforderungen an Compliance für Betreiber Kritischer Infrastrukturen sowie den Anforderungen des IT-Sicherheitsgesetzes Rechnung trägt. Die Rechenzentren sind nach Funktion gegliedert, also nach Büroanwendungen (SAP und Microsoft), nach Netzwerken, Übertragungstechnik und Telefonie sowie einem Rechenzentrum für Echtzeit-IT für das Netzleitsystem und Scada-Systeme. Aus Gründen der Ausfallsicherheit sind alle Datacenter in der neuen Konzeption redundant aufgebaut. Um Zugriffe auf Prozessrechner der technischen Systeme zu verhindern, wurden typische Angriffsvektoren, wie zum Beispiel das WLAN für Gäste oder Remote-Zugänge für die Wartung entsprechend abgesichert. Darüber hinaus bestätigt TÜV Rheinland 50Hertz die bestehende umfassende Trennung von Office- und Echtzeit-IT, die konsequente Netzwerk-Segmentierung sowie die nachhaltige Absicherung der einzelnen Bereiche. Die Wirksamkeit der Segmentierung überprüfen die Experten für Cyber Security durch Penetrationstests.
In Ihrem IT-Security Assessment bewertete TÜV Rheinland auch die sogenannten Medienräume von 50Hertz: Hier kommuniziert das Unternehmen mit internationalen Kooperationspartnern, mit Lieferanten, Behörden oder Kunden. Selbstverständlich müssen alle Mediengeräte einwandfrei funktionieren, vor allem aber muss die Kommunikation vertraulich bleiben. Man ermittelte alle potenziellen Angriffspunkte in der Architektur der Medientechnik und konzipierte zum Schutz des Informationsaustauschs die entsprechenden Maßnahmen. Auch hier gilt es zum Abschluss die Wirksamkeit der IT-Sicherheitsmaßnahmen durch Penetrationstests prüfen.
Absicherung der gesamten Unternehmenskommunikation
Zur Steuerung und Überwachung des Übertragungsnetzes nutzt 50Hertz ein eigenes Kommunikationsnetz, das von entscheidender Bedeutung für das Kerngeschäft des Übertragungsnetzbetreibers ist. Dieses Netz muss aufgrund von Messungen und weiteren essenziellen und hoch verfügbaren Funktionen besondere Anforderungen an die Zuverlässigkeit und Redundanz erfüllen. Die Herausforderung besteht darin, die vorhandene Hardware der TK-Infrastruktur im Zusammenspiel mit den Prozessnetzen zu modernisieren sowie die Schnittstellen zum Sicherheitsnetz, wie etwa der Haustechnik zur Überwachung, entsprechend abzusichern. Außerdem sind wichtige bisher extern erbrachte Leistungen wie etwa Telefoniedienste in den Gesamtprozess der 50Hertz zu integrieren – alles ohne den laufenden reibungslosen Wirkbetrieb zu stören. TÜV Rheinland steuert hier das Programm- und Projektmanagement (Gesamtkoordination) und stellt in diesem Zusammenhang auch das Projektmanagementoffice (PMO).
Bis zur geplanten Fertigstellung des Gesamtprojekts bis 2020 sind noch einige Aufgaben zu bewältigen: Neben der Modernisierung des Kommunikationsnetzes und der Spannungsversorgung stehen die Implementierung des Netzmanagementcenters (NMC), die Übernahme der Betriebsführung, die Migration der Sprachdienste sowie die Überführung der Netzdokumentation auf der Agenda von TÜV Rheinland.
Integrität und Vertraulichkeit der Daten auch auf Office-Geräten sichern
Darüber hinaus spielen Verfügbarkeit, Integrität und Vertraulichkeit der Daten auch im Office-Bereich von 50Hertz eine große Rolle. Deshalb hat TÜV Rheinland auch die Aufgabe, das Konzept für den Bereich Druck und Scan zu modernisieren und neu zu gestalten. Dabei werden sowohl die Drucker als auch die Steuerung (Server) erneuert. Das Konzept folgt einer „Follow-me“-Strategie und ist in der Lage, bei Wartungsaktivitäten eigenständig den Hersteller zu kontaktieren. Das Konzept soll sicherstellen, dass wirklich nur die Daten übermittelt werden, die dafür bestimmt sind. Gerade bei digitalen Druckern und Scannern, die Teil des Unternehmensnetzwerks sind, ist die Sicherheit der Daten, die beim Druck oder einem Scanvorgang auf dem Gerät zwischengespeichert werden, ein hohes Gut. Entscheidend ist außerdem zu verhindern, dass zum Beispiel mögliche Schnüffelsoftware sensible oder businesskritische Daten per E-Mail an unbefugte Dritte weiterleiten oder ein Drucker an exponierter Stelle als Einstieg in das Unternehmensnetzwerk missbraucht werden kann.
Und nicht zuletzt gilt es auch die IP-Telefonie von 50Hertz abzusichern: Das zentrale Skype for Business-System muss so geschützt sein, dass keine Nachrichten unbefugt abgehört werden können oder Kommunikation mitgeschnitten werden kann. TÜV Rheinland ist derzeit im Begriff, realistische Angriffsszenarien und wirtschaftlich angemessene Gegenmaßnahmen zu entwickeln, um die zentralen Server der IP-Telefonie bei 50Hertz optimal zu schützen. Auch hier wird abschließend die Wirksamkeit durch einen Penetrationstest überprüft.
- Übertragungsnetze und die Digitale Transformation
- Neue potenzielle Einfallstore
- Prüfstandard als Grundlage für die spätere Zertifizierung
- Wirksamkeit der IT-Schutzmaßnahmen sicherstellen
Lesen Sie mehr zum Thema
