Wie Resilient Communications die Betriebskontinuität für Energie- und Versorgungsunternehmen gewährleistet

Cyberangriffe auf Energie- und Versorgungsunternehmen nehmen sowohl an Häufigkeit als auch an Komplexität zu. Berichten zufolge ist die Zahl der Angriffe auf diesen Sektor im Vergleich zum Vorjahr um 80 % gestiegen. Diese Angriffe stellen nicht nur eine direkte Bedrohung für den gesamten Energiesektor dar, sondern wirken sich auch auf die öffentliche Sicherheit und die nationale Sicherheit aus. Durch die Priorisierung sicherer, widerstandsfähiger und missionskritischer Kommunikation kann der Energie- und Versorgungssektor dazu beitragen, seine Infrastruktur zu schützen, eine unterbrechungsfreie Dienstleistungserbringung zu gewährleisten und die Zukunft sicher zu gestalten.

Die Diskussion muss sich nicht mehr darum drehen, warum Sicherheit dringend notwendig ist, sondern sich darauf konzentrieren, wie man Resilienz aufbauen kann, um die Betriebskontinuität zu gewährleisten. Wenn es unvermeidlich zu einem Angriff oder einer Sicherheitsverletzung kommt, ist die Integrität der Kommunikationsinfrastruktur der wichtigste Faktor, um den Schaden zu begrenzen und die Geschwindigkeit der Wiederherstellung zu bestimmen. Sie ist die operative Lebensader.

Säule 1: Identität und Plattform-Souveränität (Die Zero-Trust-Grundlage)

Echte Resilienz bedeutet nicht nur, eine Nachricht zu verschlüsseln, sondern auch zu garantieren, wer kommuniziert, und sicherzustellen, dass die Versorgungsunternehmen selbst und nicht Dritte die Schlüssel und Zugriffsregeln kontrollieren.

Kryptografische Identitätsprüfung

Über einfache Passwörter und Multi-Faktor-Authentifizierung (MFA) hinaus muss moderne sichere Kommunikation eine kryptografische Identitätsprüfung umfassen.  

• Das Problem der offenen Registrierung: Viele verschlüsselte Messaging-Dienste basieren auf offenen Public-Key-Infrastrukturmodellen (PKI), bei denen jeder an einer privaten Unterhaltung teilnehmen kann. Um die Sicherheit von Unterhaltungen im Versorgungsbereich zu gewährleisten, muss jeder Benutzer (Kontrollraumoperator, Außendiensttechniker, Partner) über von der Organisation ausgestellte Anmeldedaten kryptografisch authentifiziert werden.

• Die Lösung: Kommunikationsplattformen für Versorgungsunternehmen müssen die digitale Identität direkt mit dem internen System einer Organisation (z. B. Active Directory) verknüpfen. Dadurch wird sichergestellt, dass kompromittierte Geräte sich nicht als Benutzer ausgeben und Zugriff auf wichtige Diskussionen oder Betriebsdaten erhalten können. Auf diese Weise kann eine Cyber-Sicherheitsverletzung nicht zu einem Ausfall des Befehls- und Kontrollsystems eskalieren.

Kundenschlüssel-Eigentum und Datenhoheit

Um Risiken wirklich zu managen und die strengen NERC-CIP-Anforderungen zu erfüllen, müssen Versorgungsunternehmen die Verschlüsselungsschlüssel besitzen, auch wenn die Plattform in der Cloud gehostet wird.

• Über die End-to-End-Verschlüsselung (E2EE) hinaus : E2EE schützt zwar den Inhalt, aber nicht die Plattform, über die die Interaktion stattfindet. Plattformen, die für kritische Infrastrukturen konzipiert sind, müssen in souveränen, vom Kunden kontrollierten oder staatlich verwalteten Clouds einsetzbar sein. Dadurch erhält das Versorgungsunternehmen die physische und technologische Kontrolle über die Netzwerkkomponenten und die Verschlüsselungsschlüssel, sodass keine staatliche Vorladung oder ausländische Gerichtsbarkeit ohne seine Genehmigung auf seine Kommunikation zugreifen kann.

• Die Lösung: Hochsichere mobile Kommunikationslösungen, wie sie beispielsweise von BlackBerry angeboten werden, ermöglichen eine zertifizierte, durchgängig verschlüsselte Sprach-, Nachrichten- und Dateifreigabe. So können Kommando- und Kontrollteams während eines umfassenden Netzwerkvorfalls sicher und ohne Abhörgefahr kommunizieren.

Säule 2. Hochsichere Zertifizierung und Validierung

In kritischen Bereichen muss die „Sicherheit“ durch eine unabhängige, strenge Bewertung durch Dritte nachgewiesen werden. Durch Zertifizierungen verlagert sich der Fokus von den Marketingaussagen eines Anbieters auf die Zusicherung einer unabhängigen Regulierungsbehörde.  

Common Criteria (CC) Zertifizierung

Die Common Criteria (CC), formalisiert als ISO/IEC 15408, sind ein internationaler Standard zur Bewertung von IT-Sicherheitsprodukten. Sie gelten als Goldstandard für viele Behörden und kritische Infrastrukturen.  

• Schutzprofile (PPs): In den USA verlangt die National Information Assurance Partnership (NIAP), dass Bewertungen den Schutzprofilen (PPs) entsprechen. Diese Profile definieren die obligatorischen Sicherheitsanforderungen für bestimmte Produktkategorien (z. B. mobile Geräte, VPNs) und stellen sicher, dass das Produkt anhand eines konsensbasierten, realistischen Bedrohungsmodells getestet wird.  

• Sicherheitsstufe: Die CC-Zertifizierung belegt die Sicherheitsrobustheit der Hardware und Software eines Produkts und deckt alles ab, von Berechtigungen und Zugriffskontrolle bis hin zur kryptografischen Implementierung (z. B. FIPS 140-2-validierte Verschlüsselung).  

Einhaltung von Vorschriften und Rahmenbedingungen

Während Zertifizierungen die Technologie validieren, validieren Compliance-Rahmenwerke die Praktiken und Richtlinien rund um diese Technologie.

• NERC CIP: Für Energie- und Versorgungsunternehmen schreiben die NERC CIP-Standards (Critical Infrastructure Protection) spezifische Kontrollen in Bezug auf elektronische Sicherheitsperimeter, Konfigurationsänderungsmanagement und Incident-Response-Planung für Cybersysteme von Großstromnetzen (BES) vor.  

• NIST-Frameworks: Das NIST Cybersecurity Framework (CSF) und spezifische NIST Special Publications bieten eine detaillierte Taxonomie von Sicherheitsergebnissen, die Organisationen bei der Verwaltung ihrer Cyberrisiken unterstützen und häufig die Verwendung starker kryptografischer Kontrollen und PKI für Sicherheitsdienste wie Vertraulichkeit, Integrität und Nichtabstreitbarkeit vorschreiben.

Die Lösung

Die Auswahl von Tools, die für den Schutz der Kommunikation einer großen, verteilten und stark regulierten mobilen Belegschaft zertifiziert sind, wie beispielsweise die Tools aus der BlackBerry® Secure Communications Suite, bietet Lösungen auf Regierungsniveau, die umfassend zertifiziert und durchgehend verschlüsselt sind. Diese Tools wurden entwickelt, um hochsensible Informationen zu schützen und die Betriebskontinuität gegenüber Bedrohungen auf staatlicher Ebene und ausgeklügelten Cyberangriffen aufrechtzuerhalten.

Säule 3: Stärkung der Mitarbeiter an vorderster Front durch sichere Tools

Die Betriebskontinuität hängt in hohem Maße von den Personen ab, die die Anlagen verwalten, sowohl im Kontrollraum als auch vor Ort. Sind ihre Tools anfällig, gefährdet dies ihre Fähigkeit, die Ausfallsicherheit der Dienste aufrechtzuerhalten.

Sichere Zusammenarbeit für Geschwindigkeit und Sicherheit

Die Verwendung von Kommunikationsmitteln für Verbraucher, wie private Telefone und unverschlüsselte Chat-Apps für geschäftliche Zwecke, führt zu massiven Sicherheits- und Compliance-Lücken. Eine sichere, speziell entwickelte Plattform gewährleistet Folgendes:

• Sensible Daten sind enthalten: Betriebsdaten, Diagramme und vertrauliche Diskussionen werden in einer verschlüsselten, kontrollierten Umgebung gespeichert. Dadurch wird das Risiko von Datenlecks minimiert und das Versorgungsunternehmen kann die Eigentumsrechte und die Kontrolle über seinen Echtzeit-Kommunikationsfluss behalten.

• Schnellere und sicherere Reaktion auf Vorfälle: Bei einem Stromausfall oder einem physischen Ereignis ist eine schnelle Kommunikation der Schlüssel zur Wiederherstellung des Dienstes. Dank sicherer Sprach- und Nachrichtenübermittlung können Teams Live-Telemetriedaten austauschen, Teams koordinieren und komplexe Wiederherstellungspläne ausführen, ohne dass sie eine Überwachung oder Manipulation befürchten müssen. Dies führt direkt zu schnelleren Reaktionszeiten und einer verkürzten Ausfallzeit.

Die Lösung

Die Gewährleistung der betrieblichen Ausfallsicherheit bei Zwischenfällen ist die Aufgabe einer Plattform Critical Event Management CEM), wie beispielsweise der hochgradig validierten Lösung BlackBerry® AtHoc®. Diese Tools integrieren Notfallbenachrichtigungen und die Reaktion auf Zwischenfälle in einem einheitlichen Rahmen. Diese Systeme sind auf Ausfallsicherheit mit nativen Failover-Funktionen ausgelegt und sorgen für einen reibungslosen Kommunikationsfluss über mehrere Kanäle hinweg, um Mitarbeiter zu alarmieren, die Wiederherstellung zu koordinieren und einen vollständigen Prüfpfad für die Compliance zu gewährleisten, selbst wenn die primären Unternehmenssysteme ausfallen.

Der Weg nach vorn: Ein Aufruf zum Handeln

Der Energie- und Versorgungssektor durchläuft derzeit einen unaufhaltsamen digitalen Wandel, der für die Schaffung einer nachhaltigeren und effizienteren Zukunft unerlässlich ist. Dieser Wandel kann jedoch nur auf der Grundlage einer unerschütterlichen Sicherheit gelingen, deren Kernstück eine sichere Kommunikation bildet. Kommunikationsausfälle gefährden nicht nur den Betrieb der Versorgungsunternehmen, sondern auch die öffentliche Sicherheit und die nationale Sicherheit. Durch den Aufbau widerstandsfähiger Kommunikationssysteme kann die Branche kritische Infrastrukturen schützen, einen reibungslosen Betrieb der Dienste gewährleisten und zuversichtlich in die Zukunft blicken.