Methoden und Werkzeuge zur Gewährleistung der IT-Sicherheit für kleinere Betreiber von Kritischen Infrastrukturen
Die Betreiber von kritischen Infrastrukturen wie Wasserversorger, Energieunternehmen oder Telekommunikationsanbieter sind in der Regel auf den umfassenden Einsatz von Computer-, Leit- und Steuerungssystemen angewiesen. Diese Systeme sind nicht nur direkt miteinander, sondern zunehmend auch über das Internet vernetzt. Das macht sie immer häufiger zum Ziel von Cyber-Angriffen. Angesichts der oft begrenzten Ressourcen in finanzieller, personeller und organisatorischer Hinsicht ist der Schutz vor diesen Angriffen eine große Herausforderung. Klassische Ansätze der IT-Sicherheit lassen sich auf ihre Systeme nur eingeschränkt übertragen, weil bei diesen Infrastrukturen dezentrale Installationen, Dauerbetrieb über lange Zeiträume und seltene Wartungsfenster die Regel sind. Die Betreiber benötigen daher möglichst unkomplizierte sowie kostengünstige Methoden und Werkzeuge für ein maßgeschneidertes Risikomanagement. Marktgängige Angebote decken die Bedürfnisse gerade kleinerer Betreiber jedoch oft nur unzulänglich ab. Hier sind neue, systemische Ansätze gefragt.
Das Verbundprojekt MoSaIK (Modellbasierte Sicherheitsanalyse von IKT-basierten Kritischen Infrastrukturen) verfolgt das Ziel, insbesondere kleinere Betreiber Kritischer Infrastrukturen bei der Analyse der IT-Sicherheit ihrer Computer-, Leit- und Steuerungssysteme zu unterstützen. Diese sollen mit neuen Methoden und Werkzeugen in die Lage versetzt werden, sich stets mit vertretbarem Aufwand ein aktuelles und aussagekräftiges Bild der Risiken und des erreichten Sicherheitsniveaus zu verschaffen. Das Projekt verfolgt dabei einen modellbasierten Forschungsansatz für die Risikoanalyse und die Bewertung des Sicherheitsniveaus insbesondere bei kleineren Betreibern Kritischer Infrastrukturen. Dabei werden erprobte Verfahren der modellbasierten Analyse aus dem Bereich des System- und Software-Engineerings auf das Anwendungsfeld der Versorger-IT-Systeme übertragen. So können die Eigenschaften unterschiedlich komplexer Systeme methodisch konsistent erfasst und die Sicherheitslage mit passgenauen Werkzeugen voll- oder teilautomatisch analysiert und bewertet werden.
Die Entwicklung der innovativen Analyse- und Modellierungsmethode sowie eines auf die Bedürfnisse der Betreiber zugeschnittenen Werkzeugkastens bilden den Kern des Forschungsvorhabens. Die enge Kooperation mit Versorgern garantiert den Praxisbezug und ermöglicht es, innovative Lösungsansätze frühzeitig zu testen und ihre spätere Übertragbarkeit auf andere Kritische Infrastrukturen sicherzustellen. Dabei wird die Qualität von Analyse und Bewertung, basierend auf den im Vorhaben erreichten Forschungsergebnissen, deutlich über den aktuellen Stand der Technik hinausgehen. Betreiber sollen mit den neuen Instrumenten ihre Situation realistisch beurteilen können und entsprechend ihren Rahmenbedingungen Maßnahmen ergreifen.