KRITIS nel contesto di attacchi informatici

2022-03-18 09:50:59 By : Mr. Jack Ji

I produttori e i servizi pubblici nei settori dell'energia, dell'acqua, della finanza e della salute, nonché le aziende industriali sono sempre più presi di mira dagli aggressori.Il risultato: perdite di produzione per milioni e strozzature nell'approvvigionamento, fino a mettere in pericolo la vita umana.Esempi recenti includono attacchi al più grande gasdotto degli Stati Uniti, l'autorità sanitaria irlandese e un incidente in una sottostazione croata che ha portato l'Europa sull'orlo di un blackout elettrico.Gli attacchi informatici alle amministrazioni comunali tedesche, come ad Anhalt-Bitterfeld, Schwerin e Witten, hanno anche messo in evidenza la vulnerabilità delle autorità tedesche, dove gran parte dei sistemi informatici si sono guastati o hanno dovuto essere spenti in caso di emergenza.La rapidità con cui la produzione alimentare può fermarsi è stato dimostrato dall'attacco informatico al terzo più grande caseificio austriaco, in cui sono state colpite tutte le aree dell'azienda, dalla produzione alla logistica e alla comunicazione.Inoltre, l'attacco all'impianto di trattamento delle acque sotterranee di Oldsmar in Florida ha dimostrato le conseguenze potenzialmente pericolose per la vita di un'infrastruttura critica compromessa.Gli aggressori sono penetrati con successo nel sistema informatico che controllava l'impianto di trattamento delle acque e hanno manipolato a distanza un computer per alterare l'equilibrio chimico dell'approvvigionamento idrico, il che avrebbe potuto causare gravi danni alle persone.Sullo sfondo di questo numero crescente di attacchi, gli operatori di infrastrutture critiche e le aziende di particolare rilevanza economica devono quindi fare i conti non solo con i tentativi di ricatto, ma anche con il tema della guerra informatica.Perché se i criminali informatici richiedono solo un riscatto, le organizzazioni possono almeno implementare in anticipo linee guida appropriate per l'azione se, ad esempio, si verifica un attacco ransomware riuscito.Tuttavia, se un attacco informatico è puramente motivato politicamente e l'organizzazione è stata scelta solo da uno stato-nazione ostile come vittima casuale per dare l'esempio, non esiste un partner negoziale e il danno non può solo avere un impatto enorme sulle capacità commerciali, ma assumono anche dimensioni per la società nel suo insieme.Questa nuova guerra ibrida è evidente nel conflitto Ucraina-Russia, in cui gli attacchi digitali hanno preceduto quelli militari e potrebbero continuare a farlo in futuro.Già nel 2015, la Russia è riuscita a paralizzare parte della rete elettrica ucraina con un grave attacco informatico, lasciando un quarto di milione di ucraini senza elettricità durante l'inverno.Un mese prima dell'inizio della guerra nel gennaio 2022, Microsoft ha trovato malware wiper distruttivo in dozzine di sistemi critici di agenzie e organizzazioni governative ucraine.Secondo il governo ucraino, ci sono chiare indicazioni che dietro questi attacchi ci sia la Russia.Inoltre, non si può escludere che tali incidenti possano estendersi ben oltre i confini nazionali dell'Ucraina.Le autorità di sicurezza tedesche hanno già invitato gli operatori di infrastrutture critiche, in particolare, ad armarsi contro possibili attacchi informatici.Pertanto, nell'area KRITIS, è fondamentale implementare un concetto di sicurezza coerente e integrato sia per l'infrastruttura IT che per quella OT, non solo a causa di attacchi a base monetaria, ma anche per quanto riguarda la sicurezza nazionale, come soluzione end-to-end include prodotti, processi e specialisti della sicurezza qualificati in tutte le aree.Il legislatore ha reagito alle nuove sfide digitali.Di conseguenza, gli operatori di infrastrutture critiche e le aziende di particolare interesse pubblico si trovano ad affrontare sfide importanti non solo per il numero crescente di minacce informatiche, ma anche per l'aggiornamento del quadro giuridico a livello tedesco ed europeo.Secondo la legge tedesca BSI, le organizzazioni sono operatori di infrastrutture critiche se appartengono a uno dei sette settori di energia, salute, tecnologia dell'informazione e telecomunicazioni, trasporti e traffico, acqua, finanza e assicurazioni e cibo, forniscono servizi critici e, in così facendo, rispettare il regolamento BSI -KRITIS superare le soglie.In Germania, la seconda legge per aumentare la sicurezza dei sistemi informatici - in breve: IT Security Act 2.0 - è entrata in vigore a maggio 2021 come supplemento alla legge BSI.Ciò ha ampliato il gruppo di infrastrutture critiche per includere il settore dello smaltimento dei rifiuti urbani.Inoltre, in futuro anche altre società del cosiddetto "interesse pubblico speciale", come i produttori di armamenti o le società di particolare importanza economica, dovranno implementare determinate misure di sicurezza informatica.L'IT Security Act 2.0 ha comportato importanti adeguamenti per le aziende e in alcuni casi anche per gli operatori di infrastrutture critiche:Inoltre, la Commissione europea ha presentato una proposta di riforma della Direttiva europea NIS (NIS-2) e una "Direttiva sulla resilienza delle strutture critiche" per migliorare la resilienza fisica e digitale delle strutture e delle reti critiche.Lo scopo di queste proposte è ridurre al minimo i rischi attuali e futuri.L'attuazione di queste linee guida europee può quindi comportare una rinnovata revisione dell'IT Security Act 2.0.Produttori e fornitori nei settori dell'energia, dell'acqua e della salute, nonché le aziende industriali che devono proteggere la propria tecnologia informatica e di controllo dagli attacchi informatici, necessitano di soluzioni integrate che siano in linea con l'IT Security Act 2.0/BSI Act e la ISO 27000 standard per la sicurezza delle informazioni.Sul lato tecnologico, le seguenti competenze dovrebbero quindi essere collegate in modo da formare una fitta rete di sicurezza contro gli attacchi:Moduli di sicurezza per la protezione delle infrastrutture critiche:A causa della complessità, l'ulteriore elaborazione delle informazioni rilevanti per la sicurezza di questi moduli viene eseguita da specialisti della sicurezza.Valuti e dai priorità alle conoscenze acquisite automaticamente.Questa è la base per avviare le giuste contromisure.Infine, gli esperti di sicurezza mettono a disposizione tutte le informazioni in modo chiaro in un portale centrale a cui hanno accesso gli stakeholder rilevanti - inclusi i team operativi IT e OT, ma anche il management - o dal quale ricevono regolarmente report personalizzati che possono comprendere.Sebbene l'uso delle tecnologie di sicurezza europee non sia ancorato alla legge BSI, è consigliato agli operatori KRITIS e alle società di particolare interesse pubblico per poter soddisfare facilmente i seguenti requisiti legali:1. Rispetto del Regolamento Generale sulla Protezione dei Dati nonché integrità, autenticità e riservatezza dei sistemi informaticiGli operatori KRITIS, come le aziende di tutti gli altri settori, sono soggetti ai requisiti del Regolamento generale sulla protezione dei dati dell'UE (GDPR) e devono rispettarli in ogni momento e proteggerli di conseguenza.Inoltre, la legge BSI (§ 8a comma 1 BSIG) richiede agli operatori di infrastrutture critiche di fornire alla BSI una prova adeguata delle loro precauzioni per evitare interruzioni della disponibilità, integrità, autenticità e riservatezza dei loro sistemi informatici, componenti o processi che sono essenziali per la funzionalità delle infrastrutture critiche da esse gestite.Con i fornitori di sicurezza europei, i cui servizi si basano su una tecnologia proprietaria sviluppata in Europa, il rispetto dei requisiti di cui sopra è facile da implementare, poiché sono soggetti ai più elevati standard di protezione dei dati.Oltre all'origine del provider di sicurezza informatica, le aziende KRITIS dovrebbero prestare attenzione anche al modo in cui è configurato il software di sicurezza e alla raccolta dei dati di sicurezza.Per garantire la migliore sicurezza dei dati possibile, consigliamo di configurare soluzioni locali come forma di distribuzione più sicura.Anche se la tendenza è sempre più verso il cloud, questo va visto in modo critico vista l'elevata sensibilità dei dati nell'area di KRITIS.2. Componenti critici: Specifiche per i produttori utilizzatiL'uso della tecnologia di sicurezza europea facilita anche il test dei componenti critici da parte del BSI in conformità con § 9b BSIG.Ad esempio, la BSI può vietare l'uso iniziale di un componente critico se- il produttore è direttamente o indirettamente controllato dal governo, comprese altre agenzie governative o forze armate, di un paese terzo,– il fabbricante è stato o è già coinvolto in attività che hanno avuto effetti negativi sull'ordine pubblico o sulla sicurezza nella Repubblica federale di Germania o in un altro Stato membro dell'Unione europea, nell'Associazione europea di libero scambio o nel Trattato del Nord Atlantico o sulle loro istituzioni,– l'uso della componente critica non è coerente con gli obiettivi della politica di sicurezza della Repubblica federale di Germania, dell'Unione europea o del Trattato del Nord Atlantico.Gli attacchi alle infrastrutture critiche sono redditizi per i criminali informatici.Allo stesso tempo, presentano un potenziale particolarmente elevato di danni alla comunità: tra l'altro, colli di bottiglia nell'approvvigionamento, interruzioni significative della sicurezza pubblica o addirittura pericolo di vite umane.È quindi essenziale per le organizzazioni KRITIS selezionare fornitori di sicurezza per le loro misure di difesa che soddisfino pienamente i requisiti degli standard BSI e ISO 27000 e allo stesso tempo aderiscano ai più elevati standard europei di protezione dei dati.La premessa non dovrebbe essere solo quella di evitare sanzioni, ma in particolare di garantire una protezione efficace e sostenibile dei sistemi informatici e OT.Tuttavia, una forte resilienza informatica contro gli attacchi non si basa mai esclusivamente sulle tecnologie di sicurezza, ma include sempre i processi giusti e specialisti qualificati.Solo attraverso questa triade di prodotti, processi ed esperti è possibile avere una visione a 360 gradi dell'intera infrastruttura di un'organizzazione al fine di garantire un rilevamento olistico precoce e una risposta rapida alle minacce informatiche.Di Ali Carl Gulerman, CEO e Direttore Generale, Radar Cyber ​​SecurityRalf Ladner Alte Gruber Str. 19 D-85586 PoingSkype: ralf.ladner Numero Skype +55 85 4044 2216E-mail: ralf.ladner@netzpalaver.deUtilizziamo i cookie sul nostro sito web.Alcuni di questi sono essenziali, mentre altri ci aiutano a migliorare questo sito Web e la tua esperienza.Se hai meno di 16 anni e desideri dare il tuo consenso ai servizi di volontariato, devi chiedere il permesso al tuo tutore legale.Utilizziamo cookie e altre tecnologie sul nostro sito web.Alcuni di questi sono essenziali, mentre altri ci aiutano a migliorare questo sito Web e la tua esperienza.Possono essere trattati dati personali (es. indirizzi IP), ad es.B. per annunci e contenuti personalizzati o per la misurazione di annunci e contenuti.Puoi trovare maggiori informazioni sull'utilizzo dei tuoi dati nella nostra dichiarazione sulla protezione dei dati.Puoi revocare o modificare la tua selezione in qualsiasi momento in Impostazioni.Se hai meno di 16 anni e desideri dare il tuo consenso ai servizi di volontariato, devi chiedere il permesso al tuo tutore legale.Utilizziamo cookie e altre tecnologie sul nostro sito web.Alcuni di questi sono essenziali, mentre altri ci aiutano a migliorare questo sito Web e la tua esperienza.Possono essere trattati dati personali (es. indirizzi IP), ad es.B. per annunci e contenuti personalizzati o per la misurazione di annunci e contenuti.Puoi trovare maggiori informazioni sull'utilizzo dei tuoi dati nella nostra dichiarazione sulla protezione dei dati.Puoi revocare o modificare la tua selezione in qualsiasi momento in Impostazioni.Qui troverai una panoramica di tutti i cookie utilizzati.Puoi dare il tuo consenso a intere categorie o visualizzare ulteriori informazioni e quindi selezionare solo determinati cookie.I cookie essenziali abilitano le funzioni di base e sono necessari per il corretto funzionamento del sito web.I contenuti delle piattaforme video e dei social media sono bloccati per impostazione predefinita.Se vengono accettati i cookie da supporti esterni, l'accesso a questo contenuto non richiede più il consenso manuale.