1 年 2023 月 2.0 日に、IT セキュリティ法 XNUMX の改正が施行されます。 移行期間が終了すると、BSI は重要なインフラストラクチャの運用者に新しい要件を要求します。 それが具体的にどうなるのか、誰が影響を受けるのか、それまでにどのような対策を講じなければならないのか。 からのコメント レーダー サイバー セキュリティ。
サイバー犯罪者は、重要なインフラストラクチャの運用者や経済的に特に重要な企業を標的にする傾向が強まっています。 これは、数百万ドルに相当する生産損失と供給のボトルネックにつながる可能性があるだけでなく、最悪の場合、公共の安全を危険にさらす可能性があります。 さらに、KRITIS のオペレーターは、金銭目的の脅迫の試みから身を守る必要があるだけではありません。 ハイブリッド戦争の一環としての政治的動機による攻撃も、現実の脅威となっています。
ITSig 2.0 – 2.0 年 2023 月からの IT セキュリティ法 XNUMX
ドイツの国会議員は、早ければ 2021 年に、情報技術システムのセキュリティを高めるための第 2.0 法、つまり IT セキュリティ法 2 でこれらの危険に対応しました。 これにより、既存の BSI 法がさらに補足されました。 XNUMX 番目のネットワークおよび情報セキュリティ指令 (NIS XNUMX) も、EU レベルでこれに続きます。
従来の KRITIS オペレーターに加えて、兵器メーカーや経済的に特に重要な企業など、「特定の公益」として知られる企業も、特定の IT セキュリティ対策を実施する必要があります。 その結果、重要インフラの輪が拡大し、廃棄物処理や兵器生産などのセクターが含まれるようになりました。
IT Security Act 2.0: 新しい要件の概要
- 重要インフラ事業者は、遅くとも 1 年 2023 月 XNUMX 日までに攻撃検知システムを実装する必要があります。
- KRITIS の運用者は、重要なコンポーネントの計画的な初期使用について、連邦内務省に通知する必要があります。たとえば、製造業者が第三国によって管理されている場合、またはドイツ連邦政府、EU、または NATO のセキュリティ ポリシーの目標に反している場合です。
- 特別公益企業は、定期的に自己申告書を提出することが義務付けられています。 過去 XNUMX 年間に実施された IT セキュリティ分野の認定と、IT システムがどのように保護されているかを説明する必要があります。
重要インフラを守るための対策
IT および制御技術をサイバー攻撃から保護する必要がある KRITIS のオペレーターおよび企業は、IT セキュリティ法 2.0、BSI 法、および情報セキュリティに関する ISO 標準 27001 に準拠した統合ソリューションを必要としています。 したがって、テクノロジー側では次の検出モジュールを使用する必要があります。
- ログデータ分析 (LDA) / セキュリティ情報およびイベント管理 (SIEM): これは、さまざまなソースからのログの収集、分析、および関連付けを意味します。 これにより、セキュリティの問題または潜在的なリスクに関するアラートが発生します。
- 脆弱性管理とコンプライアンス (VMC): 脆弱性管理により、包括的な検出、コンプライアンス チェック、および完全なカバレッジのためのテストによる継続的な内部および外部の脆弱性スキャンが可能になります。 ソフトウェア コンプライアンスの一環として、一連のルールと継続的な分析を使用して、各サーバーまたはサーバー グループのソフトウェアの許可された使用が決定されます。 操作されたソフトウェアはすぐに認識できます。
- ネットワーク状態監視 (OT モジュール): これは、エラーのない操作の中断を示すリアルタイムの通信を報告します。 したがって、技術的な過負荷状態、物理的な損傷、構成ミス、およびネットワーク パフォーマンスの低下が即座に認識され、エラーの原因が直接特定されます。
- Network Behavior Analytics (NBA): ネットワーク ビヘイビア分析を使用すると、署名および動作ベースの検出エンジンに基づいて、危険なマルウェア、異常、およびネットワーク トラフィックのその他のリスクを検出できます。
- エンドポイントの検出と対応 (EDR): エンドポイントの検出と対応は、コンピューター コンピューター (ホスト) 上の異常の分析、監視、および検出を表します。 EDR を使用すると、アクティブな保護アクションと即時のアラートが提供されます。
🔎 パート 1: Kritis の IT セキュリティ法 2.0 (画像: Radar Cyber Security)。
複雑さのため、これらのモジュールからのセキュリティ関連情報のさらなる処理は、セキュリティの専門家によって実行されます。 膨大なデータ コレクションから自動的に得られた洞察を評価し、優先順位を付けます。 この分析結果は、社内の専門家による適切な対策を開始するための基礎となります。
可能な限り最高のデータ セキュリティを確保するために、最も安全な展開形式としてオンプレミス ソリューションをセットアップすることもお勧めします。 トレンドがますますクラウドに向かっているとしても、これはKRITISの領域におけるデータの機密性の高さという点で問題があります.
重要なインフラストラクチャを保護するためのサイバー防御センター (CDC)
セキュリティ オペレーション センター (SOC) としても知られるサイバー ディフェンス センター (CDC) を使用すると、KRITIS のオペレーターと企業は、IT および OT インフラストラクチャに一貫性のある統合されたセキュリティ コンセプトを実装するために、上記のすべてのポイントを効果的に実装できます。 . CDC には、組織の情報セキュリティの監視、分析、および維持を担当するテクノロジ、プロセス、および専門家が含まれます。 CDC は、組織のネットワーク、サーバー、エンドポイント、およびその他のデジタル資産からリアルタイム データを収集し、インテリジェントな自動化を使用して、潜在的なサイバーセキュリティの脅威を XNUMX 時間 XNUMX 日検出し、優先順位を付けて対応します。 これにより、脅威を迅速に封じ込め、中和することができます。
🔎 パート 2: Kritis の IT セキュリティ法 2.0 (画像: Radar Cyber Security)。
さらに、特定の公共の利益のために、KRITIS の運営者および企業にヨーロッパのセキュリティ技術を使用することが推奨されます。 このようにして、法的データ保護要件を簡単に満たすことができます。 これらには、例えば、EU 一般データ保護規則 (GDPR) の要件や、お客様の情報技術システム、コンポーネントの可用性、完全性、信頼性、および機密性への混乱を回避するための予防措置を適切に証明するための BSI 法の要件が含まれます。またはそれらによって運用される重要なインフラストラクチャの機能に必要なプロセスが関連しています。
ヨーロッパのKRITISへの攻撃が増加します
また、欧州のセキュリティ技術を使用することで、BSI が重要なコンポーネントをチェックして、第三国のアクターが EU データ保護に違反する機密情報にいつでもアクセスできないようにすることが容易になります。 これは、米国とヨーロッパの間のプライバシー法が非アクティブな時代にはなおさら重要です。
ヨーロッパの重要なインフラストラクチャへの攻撃は今後も増加し続けると予想され、これはウクライナ戦争の地政学的段階で特に顕著です。 ドイツの KRITIS オペレーターは、総合的なサイバー ディフェンス センター ソリューションを使用して、攻撃から身を守るためにサイバー レジリエンスを大幅に向上させることができます。
詳細は RadarCS.com をご覧ください
レーダーサイバーセキュリティについて Radar Cyber Security は、独自の Cyber Detection Platform テクノロジーに基づいて、ウィーンの中心部にあるヨーロッパ最大のサイバー防御センターの XNUMX つを運営しています。 人間の専門知識と経験の強力な組み合わせと、XNUMX 年間の研究開発活動による最新の技術開発を組み合わせることで、同社は、製品 RADAR Services と RADAR Solutions の IT および OT セキュリティに関連する課題に対する包括的なソリューションを組み合わせています。