9. DFN-Forum Kommunikationstechnologien · 06.01.2016 · BBK. Gemeinsam handeln. Sicher leben....

BBK. Gemeinsam handeln. Sicher leben.

Kritische Infrastrukturen und IT-Sicherheit 9. DFN-Forum Kommunikationstechnologien

Inhalt

01.06.2016 | Kritische Infrastrukturen und IT-Sicherheit | BBK II.3 |

• Bevölkerungsschutz und Kritische Infrastrukturen

• IT-Sicherheitslage

• IT und Kritische Infrastrukturen

• Initiativen und Maßnahmen

• Fazit

Bevölkerungsschutz

Quelle: BBK-Glossar, BBK 2011, S. 7

http://www.bbk.bund.de/SharedDocs/Downloads/BBK/DE/Publikationen/Praxis_Bevoelkerungsschutz/Band_8_Praxis_BS_BBK_Glossar.pdf?__blob=publicationFile

„Der Bevölkerungsschutz beschreibt als Oberbegriff alle Aufgaben und Maßnahmen der Kommunen und der Länder im Katastrophenschutz sowie des Bundes im Zivilschutz.

Anmerkung: Der Bevölkerungsschutz umfasst somit alle nichtpolizeilichen und nichtmilitärischen Maßnahmen zum Schutz der Bevölkerung und ihrer Lebensgrundlagen vor Katastrophen und anderen schweren Notlagen sowie vor den Auswirkungen von Kriegen und bewaffneten Konflikten. Der Bevölkerungsschutz umfasst auch Maßnahmen zur Ver-meidung, Begrenzung und Bewältigung der genannten Ereignisse.“

Bevölkerungsschutz und Kritische Infrastrukturen

Quelle: Schutzkonzepte Kritischer Infrastrukturen im Bevölkerungsschutz, BBK 2012, S. 30

http://www.bbk.bund.de/SharedDocs/Downloads/BBK/DE/Publikationen/Wissenschaftsforum/Bd_11_Schutzkonzepte_KRITIS.pdf?__blob=publicationFile

01.06.2016 | Kritische Infrastrukturen und IT-Sicherheit | BBK II.3 | 4

Kritische Infrastrukturen – Definition

Thorben Wengert / pixelio M. Großmann / pixelio Martin Berk / pixelio SiepmannH / pixelio Dieter Schütz / pixelio

Erich Westendarp / pixelio Gabi Schoenemann / pixelio Lupo / pixelio Siegfried Fries / pixelio

„Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, eine erhebliche Störung der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“

KRITIS-Strategie, BMI 2009

Seite 6 01.06.2016 | Kritische Infrastrukturen und IT-Sicherheit | BBK II.3 |

Kritische Infrastrukturen: Sektoren und Branchen

Sektor Branche

Energie Elektrizität, Gas, Mineralöl

Informationstechnik und Telekommunikation

Telekommunikation, Informationstechnik

Transport und Verkehr Luft-, See-, Binnenschifffahrt, Schienen-, Straßenverkehr, Logistik

Gesundheit Medizinische Versorgung, Arzneimittel/ Impfstoffe, Labore

Wasser Öffentliche Wasserversorgung / Abwasserbeseitigung

Ernährung Ernährungswirtschaft, Lebensmittelhandel

Finanz- und Versicherungswesen

Banken, Börsen, Versicherungen, Finanzdienstleister

Staat und Verwaltung Regierung, Verwaltung, Parlament, Justizeinrichtungen, Notfall-/ Rettungswesen einschl. Katastrophenschutz

Medien und Kultur Rundfunk, gedruckte/elektronische Presse, Kulturgut, symbolträchtige Bauwerke

Kritische Infrastrukturen: Sektoren und Branchen

Sektor Branche

Energie Elektrizität, Gas, Mineralöl

Informationstechnik und Telekommunikation

Telekommunikation, Informationstechnik

Transport und Verkehr Luft-, See-, Binnenschifffahrt, Schienen-, Straßenverkehr, Logistik

Gesundheit Medizinische Versorgung, Arzneimittel/ Impfstoffe, Labore

Wasser Öffentliche Wasserversorgung / Abwasserbeseitigung

Ernährung Ernährungswirtschaft, Lebensmittelhandel

Finanz- und Versicherungswesen

Banken, Börsen, Versicherungen, Finanzdienstleister

Staat und Verwaltung Regierung, Verwaltung, Parlament, Justizeinrichtungen, Notfall-/ Rettungswesen einschl. Katastrophenschutz

Medien und Kultur Rundfunk, gedruckte/elektronische Presse, Kulturgut, symbolträchtige Bauwerke

Schutz KRITIS : All-Gefahren-Ansatz

Quelle: Nationale KRITIS-Strategie, BMI 2009; http://www.bmi.bund.de/cae/servlet/contentblob/598730/publicationFile/34416/kritis.pdf

Interdependenzen

Quelle: Schutzkonzepte Kritischer Infrastrukturen im Bevölkerungsschutz, BBK 2012, S. 30 www.bbk.bund.de/SharedDocs/Downloads/BBK/DE/Publikationen/Wissenschaftsforum/Bd_11_Schutzkonzepte_KRITIS.pdf?__blob=publicationFile

Quelle: Schutz Kritischer Infrastrukturen. Risiko- und Krisenmanagement, BMI 2011 (2. Auflage), S. 10 www.bbk.bund.de/SharedDocs/Downloads/BBK/DE/Publikationen/PublikationenKritis/Leitfaden_Schutz-Kritis.pdf?__blob=publicationFile

(Inter-) Dependenzen: Informationstechnik

NACH: Schutz Kritischer Infrastrukturen – Risiko- und Krisenmanagement, BMI 2011 (2. Auflage), S. 10 http://www.bbk.bund.de/SharedDocs/Downloads/BBK/DE/Publikationen/PublikationenKritis/Leitfaden_Schutz-Kritis.pdf?__blob=publicationFile

Vernetzung: Beispiel SCADA-Systeme

• SCADA (Supervisory Control And Data Acquisition)

• Typische KRITIS-Komponente: Prozesssteuerungssysteme

• Einsatz in der Energie-, Wasserversorgung, (Verkehrs)Leittechnik, …,

Vorteile: Nachteile

Personaleinsparung Erhöhung von Komplexität / Anfälligkeit, Möglichkeiten des Fernzugriffs

Kostenersparnis werksseitige Schwachstellen, Softwarefehler

Zentralisierung hohe Produktlebenszeiten

… …

Vernetzung: Trends der IT-Nutzung - auch in KRITIS

• Internet der Dinge

• Smart Grid, Smart Meter

• Smart City

• Industrie 4.0

• Cloud Services

E-Government-Gesetz

(August 2013)

IT-Sicherheitslage

Angriffsmethoden und -mittel

Aktionen in der Fläche:

• Spam (mit Schadsoftware)

• Drive-by-Exploits

Gezielte Aktionen:

• Distributed Denial-of-Service (DDoS)

• Social Engineering

• Spezialisierte Trojaner

• Zero-Day-Exploits

• Advanced Persistent Threat (APT)

Quelle: BSI, Die Lage der IT-Sicherheit in Deutschland 2015

Erhältlichkeit von Schadsoftware

• Plattformen im Darknet

• „Malware-as-a-service“

Kriminelle Ideen können leicht

in die Tat umgesetzt werden …

Trojaner-Baukasten mit Support:

Folgen

Aggressive Umgebung:

• Exploit-/Malware-Kits für Amateure

• Gleichzeitig hohe Professionalisierung

• Viele Akteure von Script Kiddies, über Hacker, Kriminelle bis hin zu Staaten

Eingriffe in Integrität, Authentizität und Verfügbarkeit:

• Verlust von Geld, Reputation

• Verfälschung von Daten, Falschmeldungen

• Ausfall von Services (DDoS bis APT)

www.n-tv.de/politik/Nachrichtenagentur-meldet- Obama-Attentat-article10528591.html

Umfrageergebnisse zur Sicherheitslage

Quelle: Cyber-Sicherheits-Umfrage 2015 - Allianz für Cyber-Sicherheit / BSI www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/cybersicherheitslage/umfrage2015_ergebnisse.pdf?__blob=publicationFile&v=4

Umfrageergebnisse zur Sicherheitslage

Quelle: Cyber-Sicherheits-Umfrage 2015 - Allianz für Cyber-Sicherheit / BSI www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/cybersicherheitslage/umfrage2015_ergebnisse.pdf?__blob=publicationFile&v=4

IT und Kritische Infrastrukturen

Angriffsformen

• Verschleierung

• Mehrere Ziele gleichzeitig

• Attributionsproblematik

• Politischer Kontext

→ Wahrscheinlichkeit gering,

aber nicht unmöglich

• breite Streuung von Schadsoftware

• verschiedene Angriffsvektoren

• sehr heterogener Vorbereitungsstand

• breite Betroffenheit

alle können zum Ziel werden

Existenz von Gegenmaßnahmen

Gezielte Angriffe ungezielte Angriffe

Physische Gefahren

→ Auch physische Gefahren können für IT-Ausfälle sorgen (z.B. Wettergefahren, Brand, Hochwasser,…).

→ IT-Nutzung bedeutet neue Risikoelemente für den physischen Schutz (z.B. Computer, Server, Datenverbindungen,…).

→ Ein ganzheitlicher Ansatz im Risiko- und Krisenmanagement ist auch für Kritische Infrastrukturen essentiell!

http://hallespektrum.de/nachrichten/vermischtes/telefon-und-stift-polizeirechenzentrum-von-hochwasser-betroffen/49727/

http://www.wirsiegen.de/2016/02/brand-im- serverraum-der-kreispolizeibehoerde/150755/

IT-/ Cyber-Vorfälle im Hochschul- und Wissenschaftsbereich

• 2014: Spionageangriffe auf das Deutsche Zentrum für Luft- und Raumfahrt http://www.spiegel.de/netzwelt/web/dlr-mit-trojanern-von-geheimdienst-ausgespaeht-a-964099.html

• 2015: Informationen über Angriffe u.a. auf Max-Planck-Gesellschaft, DESY http://www.tagesspiegel.de/wissen/spionage-hacker-geheimdienste-deutsche-forschungseinrichtungen-werden-

ausgespaeht/11833948.html

• 2015/2015: wiederholte Cyber-Attacken auf die Universität Berkeley http://www.csmonitor.com/USA/Education/2016/0229/UC-Berkeley-breach-Universities-increasingly-targeted-in-

cyberattacks

• 2016: Krypto-Trojaner Locky in System des Fraunhofer-Instituts Bayreuth http://www.br.de/nachrichten/oberfranken/inhalt/

trojaner-locky-fraunhofer-institut-bayreuth-100.html

• 2016: Angriff auf die Universität Hamburg http://www.abendblatt.de/hamburg/article207021129/

Schwerer-Hackerangriff-auf-die-Uni-Hamburg.html

Angriffe auf das Gesundheitswesen - 2016

www.t-online.de/regionales/id_76985444/it-angriffe-auf-krankenhaeuser-sind-wachsendes-problem.html

Umfrageergebnisse: Ransomware

Quelle: BSI, Ergebnisse der Umfrage zur Betroffenheit durch Ransomware, 04/2016 www.allianz-fuer-cybersicherheit.de/ACS/DE/_/downloads/ransomware-umfrage-2016-04.pdf?__blob=publicationFile&v=4

Herausforderungen und Maßnahmen

Bedrohungslage:

• Hohe Professionalisierung der Angreifer

• Steigende Anzahl von Schadprogrammen

• Jeder ist potentielles Ziel

Risiken:

• Steigende Vernetzung

• „Bring Your Own Device“

• Nutzung Standardsoftware / Standardprotokollen

Maßnahmen:

• IT-Sicherheit: Managementaufgabe

• gutes Patchmanagement

• gute Systemkonfiguration

• Segmentierung der Netze (Büroverwaltung, Steuerung)

• Mitarbeitersensibilisierung für IT-Sicherheit (Passwortschutz, Social Engineering)

• ganzheitlicher Ansatz: Schutz vor Elementarschäden, Einbrechern,…

Initiativen und Maßnahmen

Kooperationsplattformen

Daten:

• gegründet: 2007

• neue Organisationsstruktur seit 2013

• über 300 Unternehmen / Organisationen

Teilnehmer:

• KRITIS-Betreiber (gemäß Sektoreneinteilung)

• deren Fachverbände

• deren Aufsichtsbehörden

Aktuelle Themen u.a.:

• Umsetzung IT-Sicherheitsgesetz (Standards, Audits, Meldewege)

• Anforderungen an Lieferanten bzgl. IT-Sicherheitsanforderungen

• Maßnahmen zur (ganzheitlichen) Krisenvorsorge einschließlich Krisenkommunikationssysteme

→ www.kritis.bund.de

• z.B. BAK Gesundheitsversorgung:

Mitgliedschaft verschiedener Uni-Kliniken

Informationsdrehscheibe für sektorspezifische Vorfälle

Quelle: UP KRITIS, Öffentlich-Private-Partnerschaft zum Schutz Kritischer Infrastrukturen, S. 25

IT-Sicherheitsgesetz

• Artikelgesetz

• Adressat: KRITIS-Betreiber in den Sektoren Energie, IKT, Transport, Wasser, Ernährung, Gesundheit, Finanz-/ Versicherungswesen

• Schwerpunktmaßnahmen:

• § 2: Definition Kritischer Infrastrukturen im Sinne des Gesetzes

• § 8a: Etablierung von Sicherheitsmaßnahmen, Nachweis der Umsetzung (z.B. durch Audits, Zertifizierung)

• § 8b: Benennung einer Kontaktstelle / Ansprechstelle, Meldeverpflichtung von Sicherheitsvorfällen

• § 10: Rechtsverordnung zur Bestimmung des Adressatenkreises

§ 10 IT-Sicherheitsgesetz: Wer?

Quelle: BSI

§ 8a IT-Sicherheitsgesetz: Was?

Quelle: BSI

§ 8a IT-Sicherheitsgesetz: Was?

Quelle: BSI

§ 8a IT-Sicherheitsgesetz: Wie?

Quelle: BSI

§ 8a IT-Sicherheitsgesetz: Wie?

Quelle: BSI

§ 8b IT-Sicherheitsgesetz: Meldeverfahren

Quelle: BSI

• IT als Herausforderung

• hoch dynamische Gefährdungslage

• sehr heterogenes Schutzniveau

• viele Ansätze zur Verbesserung:

• Risiken identifizieren, (geeignete) Maßnahmen umsetzen (IT-Grundschutz, Standards…)

• Vernetzung überdenken, Redundanzen einplanen

• Think big: Technik UND Organisation UND Mensch

• IT-SiG:

• Begrenzter Adressatenkreis (Betreiber KRITIS ab einer bestimmten Schwelle)

• aber: „good practice“ auch für Nicht-KRITIS-Betreiber

• Impuls für Sensibilisierungs- und Lernprozess

BBK. Gemeinsam handeln. Sicher leben.

Vielen Dank für Ihre Aufmerksamkeit!

Kontakt

Referat II.3 Strategie KRITIS, Cyber-Sicherheit KRITIS

Abteilung II Risikomanagement, internationale Angelegenheiten

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe

Provinzialstraße 93, 53127 Bonn

Tel.: 0228 99 550 0

Fax: 0228 99 10 550 1620

Email: BBK-Abteilung-II at bbk.bund.de

Internet: www.bbk.bund.de

9. DFN-Forum Kommunikationstechnologien · 06.01.2016 · BBK. Gemeinsam handeln. Sicher leben....

Documents

Transcript of 9. DFN-Forum Kommunikationstechnologien · 06.01.2016 · BBK. Gemeinsam handeln. Sicher leben....

VideoConference - DFN · 2017. 12. 13. · Impressum Herausgeber: Verein zur Förderung eines Deutschen Forschungsnetzes e.V. DFN-Verein Alexanderplatz ˝, ˝˛˝˙ˆ Berlin Tel.:

CP der DFN-PKI - FAU

DFN Mitteilungen · Für die kommenden Ausgaben der DFN-Mitteilungen etwa ist eine Folge von Arti- keln geplant, die über die Arbeit des DFN-CERT und der DFN-PCA berichten. Reimer

Verein zur Förderung eines Deutschen Forschungsnetzes mp/SecVerw 5.HV- 1 - 26.01.2014 Dr. Marcus Pattloch (DFN) pattloch@dfn.de 5. Tagung der DFN-Nutzergruppe.

Video on demand streaming – der Tübinger Internet Multimedia Server – timms Übersichts- und Erfahrungsbericht 41. DFN Betriebstagung, Forum Multi-Media-Dienste,

Informations- und Kommunikationstechnologien (IKT)€¦ · Informations- und Kommunikationstechnologien beitragen. China verfügt des weiteren über ein eigenständiges Satellitennavigationssystem

DFN Mitteilungen 64 Druck · 2004-09-08 · Prof. Dr. Eike Jessen, Vorsitzender des DFN-Vereins Ein Blick zurück, einmal ohne Zorn Zum 20-jährigen Bestehen des DFN-Vereins Peter

DFN-Nutzergruppe Hochschulverwaltung 15.5.2003 Folie 1 Plattformunabhängige Serverdienste am Beispiel von webCOB 6. Tagung der DFN-Nutzergruppe Hochschulverwaltung.

Chancen und Risiken von elektronischen Wahlen - … GUUG.pdfChancen und Risiken von elektronischen Wahlen Dr. Christian Paulsen DFN-CERT Services GmbH. paulsen@dfn-cert.de

Neues aus dem DFN-CERT€¦ · Andreas Bunten, DFN-CERT Neues aus dem DFN-CERT. 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 2 Tutorium „DFN-PKI in der Praxis“

IKT der Zukunft – Informations- und Kommunikationstechnologien · 2018-12-07 · IKT der Zukunft – Informations- und Kommunikationstechnologien 7 von 42 Bitte beachten Sie: Sind

DFN-Verein: Willkommen im Deutschen Forschungsnetz · 2018. 9. 26. · DFN Betriebstagungl 25.09.2018 Dipl. iur. Johannes Baur Zoom: Freie Softwarelizenzen DFN Betriebstagungl 25.09.2018

Neues aus der DFN-PKI · SOAP-Schnittstelle der DFN-PKI DFN-PKI HTML Browser SOAP soapclient Eigen-entwicklung Nutzer RA Software Nutzer Eigen-entwicklung

Kommunikationstechnologien für webbasierte Client-Server ...fractalsoft.de/uni/Diplom.pdf · Bevor man sich mit den Kommunikationstechnologien für webbasierte Client-Server-Anwendungen

SMS Gateway im Dienst DFN Fernsprechen · PDF fileSMS Gateway im Dienst DFN Fernsprechen “jede Nachricht zählt” in Kooperation mit . Markus GÜNTER

DFN-AAI und DFN-Cloud: Service Provider · PDF fileGliederung - Shibboleth Service Provider - Grundlagen - Konfiguration Nextcloud - User Lifecyle / Theming / User Experience DFN-AAI

Neues aus dem DFN-CERT - DFN-Verein: …Im Schnitt 2,2 CVE pro ADV. Juli und Okt. Ausreißer, da ca. 2,7 CVE pro ADV. Nur Mai und Nov. weniger neue CVEs als ADVs. 64. DFN-Betriebstagung,

Neuer Dienst im DFN-CERT Portal€¦ · 24.09.2009 · Neuer Dienst im DFN-CERT Portal 52. DFN-Betriebstagung Berlin 2. März 2010 Tilmann Haak

Quo vadis, DFN? · 2020. 1. 1. · 24.04.2018 Quo vadis, DFN? 5 Digitalisierung ist Thema der Wissenschaft Handlungsbedarf ist erkannt – mit der Möglichkeit zur Profilierung,

CP der DFN-PKI