Cyber-Sicherheitslücke bei Kontrollsystemen: Herausforderungen und Lösungen

WASHINGTON / LONDON (IT BOLTWISE) – Die Verteidigungsbehörde der USA intensiviert ihre Bemühungen, um die Sicherheitslücke im Bereich der Kontrollsysteme zu schließen. Angesichts der zunehmenden Bedrohung durch Cyberangriffe auf kritische Infrastrukturen wird die Ausbildung von Fachkräften in diesem Bereich immer dringlicher.

Die Verteidigungsbehörde der USA hat kürzlich neue Ausbildungsprogramme und Arbeitsrollen für die Cybersicherheit von Kontrollsystemen eingeführt. Diese Maßnahmen sind eine Reaktion auf den Mangel an Fachkräften, die in der Lage sind, sogenannte operationale Technologien zu schützen. Zu diesen Technologien gehören unter anderem Gasleitungen, Stromnetze und Verkehrssignalanlagen. Die Luftwaffe hat als erste ein spezielles Cybersecurity-Training entwickelt, das sich auf den Schutz solcher Systeme konzentriert und die Standards für die Rolle des ‘Control Systems Security Specialist’ erfüllt.

Die Bemühungen der Luftwaffe werden vom neuen Cyber Resiliency Office of Control Systems (CROCS) geleitet. Daryl Haegley, technischer Direktor für die Cyber-Resilienz von Kontrollsystemen bei der Luftwaffe, betonte die Zusammenarbeit mit dem Chief Information Officer des Verteidigungsministeriums, um die Kernkompetenzen für diese Rolle zu definieren. Diese sollen anschließend von der National Institute of Standards and Technology und anderen Diensten validiert werden, um eine dauerhafte Arbeitsrolle zu schaffen, an der sich Fachkräfte orientieren können.

Parallel dazu arbeiten die Cyber-Verantwortlichen der Luftwaffe mit dem Air Force Institute of Technology und der Defense Acquisition University zusammen, um weitere Schulungen im Bereich der Kontrollsysteme einzuführen. Wanda Jones-Heath, die Hauptberaterin für Cyberfragen bei der Luftwaffe, betonte die Notwendigkeit, nicht nur Fachleute zu haben, die diese Welt verstehen, sondern auch solche, die in der Lage sind, in ihr zu operieren.

Die Arbeit der Luftwaffe im Bereich der OT-Cybersicherheit erfolgt vor dem Hintergrund von Warnungen der Geheimdienste, dass staatliche Hacker gezielt die kritische Infrastruktur der USA angreifen. Die Bedrohungsanalyse der Geheimdienste für 2025 weist auf Kampagnen wie den China-verbundenen Volt Typhoon hin. Sollte Peking glauben, dass ein größerer Konflikt mit Washington bevorsteht, könnte es aggressive Cyberoperationen gegen die kritische Infrastruktur und militärische Vermögenswerte der USA in Betracht ziehen.

Doch nicht nur fortgeschrittene staatliche Hacker stellen eine Bedrohung dar. Die Cybersecurity and Infrastructure Security Agency (CISA) warnte in einem Bericht im Mai, dass auch weniger versierte Cyberakteure von schlechter Cyberhygiene profitieren, um operationale Technologiesysteme in den Energie- und Verkehrssektoren zu hacken. Brian Scott, stellvertretender nationaler Cyberdirektor für Cyberpolitik und Programme, betonte auf der ‘Defend the Airport’-Konferenz die zunehmende Abhängigkeit von OT-Systemen und die Notwendigkeit, deren Sicherheit zu verbessern.

Die Herausforderungen in der OT-Cybersicherheit sind oft weitaus komplexer als in der Unternehmens-IT. Von CISA gesponserte Richtlinien heben die Notwendigkeit hervor, die Sicherheit in operativen Technologieumgebungen zu priorisieren und sicherzustellen, dass das Cyberpersonal zumindest ein grundlegendes Verständnis für die Funktionsweise der physischen Systeme hat. CISA arbeitet auch daran, OT-Systeme in sein regierungsweites Programm für kontinuierliche Diagnosen und Abhilfemaßnahmen zu integrieren, das den Behörden Cyberüberwachungs-Dashboards und -Tools zur Verfügung stellt.

Viele Organisationen fehlen jedoch die Fachkräfte mit den notwendigen Fähigkeiten und Schulungen, um Kontrollsysteme und andere OT zu sichern. Ollie Gagnon, Chefberater für Heimatschutz am Resilience Optimization Center des Idaho National Laboratory, sagte, dass das INL in den letzten vier Jahren die Cybersicherheitskompetenz im Luftfahrtsektor evaluiert hat. Die meisten Flughäfen, die in den letzten vier Jahren untersucht wurden, weisen eine geringe Cyberreife sowohl im technischen als auch im Managementbereich auf.

Anthony DiPietro, technischer Direktor für kritische Infrastrukturen bei der Cybersecurity Directorate der National Security Agency, bezeichnete die Ausbildung eines geschulten und einsatzbereiten OT-Cyberpersonals als ein branchenweites Problem. Die NSA hat Erfolge erzielt, indem sie Cybersecurity-Schulungen für Personen in traditionellen Berufen wie Elektrikern und Eisenbahnarbeitern anbietet. DiPietro erklärte, dass ein traditioneller Elektriker, der eine Cyberausbildung erhält, ein tiefes Verständnis für das System entwickelt und weiß, wie es zu reparieren ist, wenn es durch eine Cyberausnutzung beeinträchtigt wird.

Die Luftwaffe plant, operationale Technologien in ihre grundlegenden Cybertrainingskurse zu integrieren, so Haegley. Jones-Heath erklärte, dass die Arbeit der Luftwaffe zur Ausarbeitung der Arbeitsrolle des Control Systems Security Specialist die regierungsweiten Ansätze zur OT-Cybersicherheit beeinflussen könnte. Vielleicht könnten die guten Freunde im Office of Management and Budget und im Office of Personnel Management das, was die Luftwaffe entwickelt hat, für die gesamte Bundesregierung nutzen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!