Em 23 de abril de 2021, o Bundestag aprovou a Lei de Segurança de TI revisada (ITSiG 2.0). ITSiG 2.0, o sistema de detecção de ataques, é obrigatório para o KRITIS. As infraestruturas críticas precisam configurar um sistema holístico para detecção de ataques dentro de dois anos. A cadeia de suprimentos torna-se parte da Lei de Segurança de TI.
Em 23 de abril de 2021, o Bundestag aprovou a Lei de Segurança de TI revisada (ITSiG 2.0). Além dos poderes estendidos para o Escritório Federal de Segurança da Informação (BSI), os requisitos de segurança cibernética estão sendo reforçados. As infraestruturas críticas como os fornecedores de energia e água e agora também as empresas de eliminação de resíduos e grandes empresas com importância económica são obrigadas a implementar um sistema de deteção de ataques com a alteração. De acordo com a explicação do texto legal, este deve proteger a tecnologia de comunicação dos operadores de infraestruturas críticas da forma mais abrangente possível, ou seja, levar em consideração toda a infraestrutura para “identificar continuamente e evitar ameaças”, de acordo com o § 8a (1a ). Isso significa que também entra em foco a tecnologia de telecontrole, controle de processo e rede da operadora, que é chamada de tecnologia operacional (OT) para diferenciá-la da TI corporativa.
A proteção KRITIS é obrigatória
"Mesmo que a lei permaneça pouco clara em termos de design, a demanda por um sistema holístico para detecção de ataques está absolutamente atrasada", confirma o CEO da Rhebo, Klaus Mochalski. »Isso leva em consideração tanto a crescente relevância da segurança cibernética OT quanto a tendência para a convergência de TI corporativa e OT. No monitoramento de projetos e análises de risco em fornecedores de energia e empresas industriais, por exemplo, há muitos anos identificamos ameaças que percorrem as interfaces das redes anteriormente gerenciadas separadamente. Isso não apenas aumenta o risco de ataques cibernéticos ocorrendo por meio do OT. O risco de processos industriais, como fornecimento e produção de energia, serem permanentemente interrompidos também aumentou significativamente nos últimos anos." A avaliação dos ataques cibernéticos a empresas fornecedoras de energia que se tornaram públicos em 2020 mostra um aumento de 38% em todo o mundo em relação ao ano anterior. Para as empresas industriais, houve um aumento de 111% (fonte: www.hackmageddon.com).
Atraso Desnecessário
Os operadores de infraestrutura crítica agora têm 24 meses para implementar o sistema de detecção de ataques. Nos primeiros rascunhos do ITSiG 2.0, o BSI havia solicitado a implementação em 12 meses. Devido à complexidade de algumas infraestruturas críticas, o prazo de implementação só foi duplicado nas últimas semanas de negociações. "Em relação à atual situação de risco, um compromisso de curto prazo teria sido desejável", diz Mochalski, comentando o ajuste de última hora. “Particularmente porque há muito tempo existem abordagens e tecnologias que permitem que até infraestruturas complexas sejam protegidas rapidamente. Por exemplo, alguns de nossos clientes operam um grande número de subestações, usinas de energia renovável e outras subestações. A integração de nosso monitoramento de rede industrial com detecção de anomalias pode ser feita aqui em um tempo muito curto. Isso também é possível porque podemos basear facilmente nossa solução em componentes de rede existentes, por ex. B. Barracuda, INSYS icom, RAD e Welotec«.
Fornecedores são responsabilizados
Outra inovação do ITSiG 2.0 é a extensão da legislação para incluir grandes fornecedores de infraestrutura crítica. Isso leva em consideração um cenário de ameaças cibernéticas cada vez mais complexo, que deve levar em consideração toda a cadeia de suprimentos.
“Mesmo que esta regulamentação seja provavelmente destinada a fornecedores estrangeiros para a rede 5G, este também é o passo certo para todos os operadores de infraestruturas críticas ou empresas economicamente relevantes”, enfatiza Mochalski. "Não menos importante, o incidente da SolarWinds deixou isso claro." Usando a técnica de ataque conhecida como comprometimento da cadeia de suprimentos, os invasores primeiro comprometeram o provedor de serviços da plataforma de TI SolarWinds no final de 2020 para obter acesso a seus alvos reais - clientes da SolarWinds - a partir daí. »Por esse motivo, trabalhamos há algum tempo com vários fabricantes de componentes OT e sistemas IoT críticos«>. Desde 2019, a Rhebo protege os sistemas de armazenamento de energia do fabricante alemão Sonnen GmbH, que são usados em todo o mundo. No início de 2021, a Rhebo foi adquirida pelo fornecedor líder de soluções de gerenciamento de energia, Landis+Gyr. Com a integração do Rhebo na Infraestrutura de Medição Avançada da Landis+Gyr, as infraestruturas críticas em todo o mundo receberão uma solução segura para digitalização e automação adicionais de seus serviços.
Mais em Rhebo.com
Rhebo GmbH
A Rhebo desenvolve e comercializa soluções e serviços inovadores de monitoramento industrial para fornecedores de energia, empresas industriais e infraestruturas críticas. A empresa permite que seus clientes garantam a segurança cibernética e a disponibilidade de suas infraestruturas OT e IoT e, assim, superem os complexos desafios de proteger redes industriais e infraestruturas inteligentes. Desde 2021, a Rhebo é uma subsidiária 100% da Landis+Gyr AG, fornecedora líder global de soluções integradas de gerenciamento de energia para o setor de energia, com cerca de 5.500 funcionários em todo o mundo. A Rhebo é parceira da Alliance for Cyber Security do Federal Office for Information Security (BSI) e está ativamente envolvida no grupo de trabalho Teletrust - Bundesverband IT-Sicherheit eV e Bitkom em gerenciamento de segurança para o desenvolvimento de padrões de segurança.