Cybersecurity und Resilienz der kritischen Infrastruktur

18. Jänner 2023 / Redaktion

Sind Sie sicher, dass Sie sicher sind?

In Zeiten der Digitalisierung sind Unternehmen, Organisationen und Institutionen der kritischen Infrastruktur vielen Bedrohungen ausgesetzt. Totaler Blackout, Spear-Phishing und Hacking-Angriffe sind nicht nur Worst-Case-Szenarien, sondern in einigen Fällen bereits Realität geworden. Doch welche effektiven Maßnahmen gibt es zur Sicherung der IT-Systeme und welche Rolle spielt IT-Resilienz dabei? Diesen und weiteren Fragen widmen sich Vertreter der österreichischen Infrastruktur wie z.B. A1, BRZ, BMI, BMLV, Stadt Wien, KAGes, Verbund u.v.m. bei der ADV-Tagung „30 Minuten nach dem Blackout – Resilienz & Sicherheit der Infrastruktur in Österreich“ am 26. Jänner 2023 im A1 Headquarter in Wien.

Blackout – eine neue Art von Armageddon?

Es ist ein bedrohliches Szenario: Ein totaler Ausfall der Stromversorgung kann den Zusammenbruch der Infrastruktur zur Folge haben. Mobilfunknetze und Internet sind quasi stillgelegt, der öffentliche Verkehr kommt zum Erliegen und die Wirtschaft muss darum kämpfen, operativ zu bleiben.

Auch Naturkatastrophen sind eine Bedrohung, die aufgrund des Klimawandels immer relevanter wird. Erdrutsche, Hochwasser und Brände können Rechenzentren in Mitleidenschaft ziehen. Daraus resultieren große Datenverluste, die vor allem bei kritischen Infrastrukturen wie Krankenhäusern oder Stromversorgern eine verheerende Auswirkung haben können. Hacker-Attacken sind ebenfalls mögliche Ursachen für den Verlust an Daten und Datendiebstahl. Dies kann etwa Erpressung zur Folge haben und zu erheblichen wirtschaftlichen Verlusten für die Unternehmen führen, aber auch die Reputation von etwa Versicherungen oder Banken schädigen. Mit dem digitalen Wandel werden auch Cyberangriffe immer ausgeklügelter und können wie beim WannaCry-Case zu Milliardenverlusten führen.

Moderne Probleme erfordern moderne Lösungen!

Um sich nachhaltig vor Bedrohungen der IT- und Telekommunikationsbranche zu schützen, gibt es zahlreiche Lösungen. Durch Awareness-Schulungen von Mitarbeiterinnen und Mitarbeitern kann dafür gesorgt werden, dass personenbezogene Angriffsvektoren wie Phishing-E-Mails schneller erkannt werden. Darauf aufbauend sorgen Zwei-Faktor-Authentifizierungen und Server-Side-Filter für ein sicheres Netzwerk innerhalb der Unternehmen.

Weiters ist regelmäßiges Pentesting geradezu ein Muss! Diese Form der Schwachstellenanalyse eignet sich perfekt, um die Effektivität der gesetzten Schutzmaßnahmen zu testen und die Sicherheit des Netzwerks und der Softwaresysteme zu analysieren – ganz nach dem Motto „think like a hacker“. Weiterführend sind Disaster-Recovery-Pläne mit gezielten IT-Recovery-Strategien sowie Business-Continuity-Plänen ein guter Leitfaden, um im Falle einer Katastrophe (Hacker-Angriff, Blackout) das Unternehmen zu schützen. Ein gutes Fundament für den Wiederaufbau beziehungsweise die Weiterführung des Betriebs schafft ein Backup-Server in Kombination mit Snapshots (Abbildern eines Datenträgers oder IT-Systems im Rahmen einer Momentaufnahme). Auch Notstromaggregate und Sendeanlagen mit Notbatterien sind besonders für Netzanbieter eine wichtige Absicherung für den Fortbestand ihrer Systeme.

Obendrein sind Zertifizierungen ein wichtiges Instrument, um die Cybersecurity-Standards seiner Organisation oder seines Unternehmens hoch zu halten. Institutionen der kritischen Infrastruktur wie etwa Banken und Krankenhäuser, aber auch andere große Unternehmen sollten daran denken, ihre MitarbeiterInnen zertifizieren zu lassen. Hierfür eignet sich insbesondere ISO/IEC 27001, die weltweit bekannteste Norm für das Informationssicherheitsmanagement. Auch mit CISA und CISSP können Mitarbeiterinnen und Mitarbeiter hervorragend geschult werden, um dank dieses Wissens für größtmögliche IT-Sicherheit zu sorgen.

Richtlinien und EU-Gesetze

EU-Richtlinien und EU-Gesetze wie die DSGVO oder NIS 2 sind ideale Orientierungspunkte für den Aufbau eines sicheren Netzwerkes. Weiters dienen Empfehlungen von staatlichen Organisationen oder international anerkannten Vereinigungen als nützliche Hilfen für das Gestalten eines Disaster-Recovery-Plans wie etwa von ENISA – European Union Agency for Cybersecurity, GovCERT Austria und CSIRTs — Computer Security Incident Response Teams.

Viele Fragen – und viele Antworten. Am 26. Jänner 2023 widmen sich zahlreiche Expertinnen und Experten der IT-Resilienz, Cybersecurity, IT-Crash und weiteren spannenden Themen rund um die kritische Infrastruktur. Besuchen Sie die ADV-Tagung „30 Minuten nach dem Blackout – Resilienz & Sicherheit der Infrastruktur in Österreich“ im A1 Headquarter in Wien und erfahren Sie mehr über die Zukunft der Cybersicherheit!