#EnergySector und #CyberSecurity: Die andere Kapazitätslücke

Wir kennen Kapazitätslücken im Energiesektor. Hier ist eine Aussage, der die meisten unserer Branchenführer sicher zustimmen: Die Gesellschaft braucht Energie und die Nachfrage wird nur wachsen. Wir brauchen mehr Energie und klüger darüber, wie wir damit die Versorgungssicherheit erhalten, schreibt Michael John, Director of Operations bei ENCS.

Ersetzen Sie nun das Wort "power" durch "cyber security resource". Würden so viele Leute zustimmen? Sie sollten, weil es wahr ist.

Diese Ressourcenlücke ist real, und es ist entscheidend, dass wir sie in den Griff bekommen, da unsere Infrastruktur intelligenter und vernetzter wird. Ein Teil dieser Gleichung ist die bereits erwähnte Qualifikationslücke – der Mangel an Cybersicherheitsexperten in der Branche. Neben den Qualifikationen müssen wir jedoch auch die Ressourcen aufstocken und sie intelligenter einsetzen.

Alles an Bord?

Europas Energieunternehmen haben in vielerlei Hinsicht echte Fortschritte in der Cyber-Sicherheit gemacht. Während vor zehn Jahren noch nicht viele Gespräche auf Vorstandsebene mit Cyber-Sicherheit in Verbindung gebracht wurden, ist es nicht ungewöhnlich, dass ein CEO den Beteiligten versichert, wie ernst sie das Thema nehmen.

Doch Taten sagen mehr als Worte, und Lippenbekenntnisse reichen nicht aus. In der Regel handelt es sich bei Vorstandsmitgliedern um erfahrene Führungskräfte, die ihre Karriere in einer ganz anderen Welt gemacht haben, in der Sicherheit nur mit Maschendrahtzäunen verbunden ist. Es ist verständlich, dass sie das Ausmaß und die Bedeutung der Bedrohung möglicherweise nicht begreifen und – außerdem – viele andere geschäftliche Themen um ihre Aufmerksamkeit buhlen.

Was wir also brauchen, sind mehr Menschen mit Cyber-Sicherheitskenntnissen in den Boards, um sicherzustellen, dass sie ganz oben auf der Agenda stehen. Das "C" im CISO zeigt, wie wichtig sie sind, und die Zahl der Chief Information Security Officers (CISOs) im europäischen Energiesektor wächst, aber wir brauchen noch mehr von ihnen mit mehr Entscheidungsbefugnissen. Cyber-Sicherheit muss eine zentrale Komponente jeder Strategie eines Versorgungsunternehmens sein.

Ressourcenwettbewerb

Die meisten Versorgungsunternehmen haben heutzutage einige talentierte Sicherheitsleute in der Organisation. Sehr wenige haben jedoch genug Leute, so dass ein Team mit eingeschränkten Ressourcen eine Reihe konkurrierender Prioritäten bewältigen muss.

Da Sicherheitsvorschriften und -standards zu Recht in den Energiebereich Einzug halten, werden die Teams Zeit und Ressourcen in die Einhaltung von Vorschriften investieren und gleichzeitig eine Vielzahl von allgemeinen Sicherheitsaufgaben bewältigen müssen.

Das wäre in einem gut ausgestatteten Sicherheitsteam gut, aber in Wirklichkeit werden wir sehen, dass andere wichtige Projekte in die Hackordnung fallen. Es wird Cybersicherheitsanforderungen in dem Dienstprogramm geben, die aufgrund von Ressourcenbeschränkungen nicht adressiert werden. Die Investitionen müssen daher steigen.

Die alte OT / IT-Kluft

Die Trennung zwischen Betriebstechnik (OT) und Informationstechnologie (IT) ist für den Laien zwar wenig bedeutsam, in unserer Welt jedoch allgegenwärtig. IT- und OT-Systeme unterscheiden sich nach wie vor stark. Sie werden von unterschiedlichen Menschen mit unterschiedlichen Abschlüssen und Weltanschauungen entwickelt und verwenden unterschiedliche Protokolle für unterschiedliche Zwecke. Der Ingenieur, der vor zwanzig Jahren den Transformator im Umspannwerk entwarf, dachte nie an Cybersicherheit – schließlich waren die Systeme damals noch nicht so vernetzt wie heute. Ebenso wenig kam dem Programmierer, der das Kundenabrechnungssystem entwickelte, das Kommunikationsprotokoll für intelligente Zähler in den Sinn, da es so etwas damals noch nicht gab.

Doch jetzt verschmelzen die Welten. Durch die Schaffung von mehr digitalen, vernetzten intelligenten Netzwerken bringen wir IT und OT zusammen und schaffen Sicherheitsherausforderungen in der OT-Domäne, die bisher ausschließlich der IT gehörte.

Wir brauchen sicherlich mehr Leute in der Branche, die beide Bereiche verstehen. Das wird Zeit brauchen. Unternehmen verschlimmern das Problem jedoch oft, indem sie die Ressourcen, die sie in einer Organisation haben, schlecht organisieren.

Bis jetzt hatten die IT-Leute wahrscheinlich wenig Interaktion mit den Ingenieuren, die sich um OT kümmerten. Versorgungsunternehmen müssen jedoch Wege finden, diese Menschen zusammenzubringen und sie dazu zu bringen, miteinander zu reden, um mit der Schaffung einer Mischung aus Wissen und Fähigkeiten zu beginnen und den Wert einer begrenzten Ressource zu maximieren.

Sicherheit als nachträglicher Einfall

Seit gut zehn Jahren haben wir Sätze wie "End-to-End-Sicherheit" und "Sicherheit durch Design" gehört. Das Kernprinzip ist, dass Sicherheit von Anfang an berücksichtigt und am Ende nicht angegangen werden muss.

Aber in der Praxis passiert es einfach nicht genug.

Angenommen, Sie arbeiten bei einem Dienstprogramm und möchten eine neue Technologie oder einen neuen Dienst testen. Es besteht die Möglichkeit, dass Sie unter erheblichem Zeitdruck arbeiten, damit die Konkurrenz Sie nicht auf den Markt bringt. An diesem Punkt versuchen viele, ein Pilotprojekt in Gang zu bringen, um die Machbarkeit zu testen, ohne jedoch die Cyber-Sicherheit zu berücksichtigen. Schließlich ist es vielleicht keine Idee, die weiter entwickelt wird. Es wäre also eine Verschwendung von Zeit und Ressourcen, sich in diesem frühen Stadium um die Sicherheit zu sorgen, oder?

Verständlich, aber falsch. Denn Sicherheit kann nicht einfach am Ende hinzugefügt werden. Es kann einen grundlegenden Fehler in dem Ansatz geben, der nicht einfach gepatcht werden kann, es könnte zu viele Schwachstellen geben, um ihn auf den Markt zu bringen. Das Sicherheitsteam, das als letzte Überlegung einberufen wurde, könnte in der wenig beneidenswerten Position sein, das ganze Projekt zu nixen und die Idee komplett auszulöschen. All das funktioniert umsonst!

Das ist nicht die Rolle, die Sicherheitsexperten spielen wollen, aber zu oft ist es diejenige, die sie tun müssen. Und das wird so bleiben, bis sie von den ersten Projektphasen an richtig konsultiert werden. Auch hier wird eine Neuorganisation der Nutzung der begrenzten Cyber-Sicherheitsressourcen durch Unternehmen erforderlich sein.

Gründe um fröhlich zu sein?

Es ist jedoch nicht alles Untergangsstimmung. Es wird in Cyber-Sicherheit investiert - weit mehr als je zuvor. Dies geht Hand in Hand mit wachsendem Bewusstsein in den Führungsteams, und was als Lippenbekenntnis beginnt, wird nach und nach wahr, wenn die Bedeutung der Cybersicherheit erkannt wird.

Und gerade die Energiewende, die den Bedarf an Cyber-Sicherheit erhöht, schafft auch Chancen. Sehen Sie sich alle großen Versorgungsunternehmen an, die ihre Strategie als Unternehmen grundlegend ändern, Assets ausschöpfen und Führungsteams komplett neu ausrichten. Es gab nie einen besseren Zeitpunkt für radikale Veränderungen - zum Beispiel, Sicherheitsexperten an die Tafel zu bringen.

Die gute Nachricht ist, dass wir viele der richtigen Dinge tun. Die schlechte Nachricht ist, dass wir es nirgendwo schnell genug machen.

Teile diesen Artikel: