Remote Management im Einklang mit NIS2 So funktioniert KRITIS-konformer Fernzugriff via Cloud

Anbieter zum Thema

BTC AG

Cloudgermany.de GmbH

Kritische Infrastrukturen KRITIS-konform aus der Ferne managen? Das geht: mit einer cloudbasierten Zugriffsplattform, die für NIS2-betroffene Unternehmen ebenso interessant sein dürfte wie für alle, die ihre kritischen Systeme besser gegen Cyberattacken schützen wollen.

Für den Betrieb kritischer Infrastruktur gelten besonders hohe Sicherheitsanforderungen, die im KRITIS-Dachgesetz festgehalten sind. Dies hat zur Folge, dass zum Beispiel Remote Monitoring oder Fernwartung für Leitwarten von Energieversorgern nicht so leicht umgesetzt werden können wie der Zugriff auf klassische Office-Anwendungen aus dem Homeoffice.

Die gute Nachricht: Ein KRITIS-konformer Fernzugriff für das Monitoring und Management kritischer Infrastrukturen und Applikationen ist mithilfe einer speziell aufgebauten Cloud-Architektur gut machbar und sogar BSI-auditfähig. So können auch hier Unternehmen und Mitarbeitende von den Remote-Work-Vorteilen profitieren, ohne Kompromisse bei der Sicherheit machen zu müssen.

Eine solche Lösung dürfte auch für Unternehmen interessant sein, die bisher nicht KRITIS-konform aufgestellt waren, aber aufgrund von NIS2 bald neu als Betreiber kritischer Infrastruktur gezählt werden. So gelten beispielsweise Anlagen und Services als kritisch, wenn sie mindestens 500.000 Personen versorgen – egal, ob es sich dabei um Logistik-Unternehmen, Krankenhäuser, Pharmaunternehmen, Labore, Wasserwirtschaftsunternehmen, Lebensmittelproduktion, -verarbeitung und -handel, Abfallwirtschaft und Recycling oder andere handelt.

Auch Unternehmen, die unabhängig von dieser Gesetzeslage, aber aufgrund der steigenden Anzahl von Cyberangriffen eigene kritische Systeme besser schützen wollen, ohne auf den Komfort von Remote Work zu verzichten, können von einer KRITIS-konformen Zugriffsarchitektur in der Cloud profitieren.

Remote Monitoring und Management nach dem Zero-Trust-Prinzip

Um bestehende Management- und Monitoring-Systeme für kritische Infrastruktur und Applikationen KRITIS-konform zu machen, müssen sie nicht ausgetauscht werden. Die Grundidee ist, für ihre Bedienung aus der Ferne eine cloudbasierte Zugriffumgebung vorzuschalten, die dem Zero-Trust-Prinzip folgt und so für höchste Sicherheit sorgt, denn es gilt:

• Niemand, kein Gerät, kein Benutzer, keine Applikation, genießt Vertrauen. Jeder wird als potenzielles Sicherheitsrisiko behandelt.

• Das Zero-Trust-Netzwerk wird in kleine, jeweils streng kontrollierte Bereiche segmentiert, um die Risiken für einen Angriff zu reduzieren.

• Benutzer und Geräte erhalten immer nur die Zugriffsrechte, die für ihre Aufgaben minimal notwendig sind.

• Für den Zugriff auf kritische Applikationen gelten strenge Regeln zur Authentifizierung und Autorisierung.

• Identität und Status von Benutzern und Geräten werden auch während laufender Sitzungen kontinuierlich überwacht, um Missbrauch zu vermeiden oder zumindest frühzeitig aufzudecken.

Damit eine KRITIS-konforme Zugriffsumgebung technisch umgesetzt werden kann, braucht es einige organisatorische Vorbereitungen. Dazu gehört zum Beispiel die Definition von Rollenkonzepten für die Zugriffsrechte sowie die Festlegung von Compliance-Regeln. Wichtig ist außerdem die Klärung der Frage, wer dann für die cloudbasierte Zugriffsumgebung nach der Inbetriebnahme als Betreiber fungiert und sich um die kontinuierlichen Aufgaben wie das Release Management kümmert, wer als Security Operations Center (SOC) die Cybersicherheitsrisiken von innen und außen im Auge behält, und wie das Security Information und Event Management (SIEM) umgesetzt werden soll, das relevante Sicherheitsmeldungen und -alarme aus Anwendungen und Netzwerkkomponenten überwacht.

KRITIS-konformer Zugriff via Microsoft Azure Cloud

Da viele Unternehmen in einer Microsoft-basierten Umgebung arbeiten, wird hier gezeigt, wie eine KRITIS-konforme Zugriffsarchitektur für kritische Applikationen und Infrastrukturen mit verschiedenen Komponenten in einer Microsoft Azure Cloud umgesetzt werden kann. So entsteht zwar ein isolierter, aber nicht völlig neuartiger Teil einer IT-Architektur. Eine sichere cloudbasierte Zugriffsplattform lässt sich nach dem Zero-Trust-Prinzip in diesen vier logische Ebenen aufbauen:

1. Schutzebene Identität: Das Rollenkonzept legt granular die Nutzungsberechtigungen der Mitarbeitenden im Unternehmen fest, separat für Nutzer und Administratoren. Hier gewährleistet die passwortlose Multi-Faktor-Authentifizierung (MFA) – beispielsweise per FIDO2 Security Sticks (Fast Identity Online) – ein Höchstmaß an Sicherheit. Unternehmen, die von Beginn an auf eine passwortlose Authentifizierung setzen, können so die Angriffsflächen persönlicher Passwörter vollständig vermeiden. Ergänzend können weitere Bedingungen für einen Zugriff umgesetzt werden – zum Beispiel, dass nur vom Unternehmens-Laptop oder nur aus Deutschland ein Zugriff erfolgen kann. Wer für den Zugriff außerdem Plausibilitätsprüfungen durchführen und Bedrohungen analysieren möchte, kann hier Entra ID von Microsoft als Plattform für die Identitätsverwaltung nutzen. Sie wertet pro Tag weltweit ca. 6,5 Billionen Signale automatisch aus und kann entsprechende Maßnahmen einleiten. Schließlich wir auf dieser Ebene jeder Login und Zugriff der Identitäten überwacht, protokolliert und bei Erkennung von Risiken gesperrt.

2. Schutzebene Client: Kritische Applikationen und Infrastrukturen können über virtuelle Zugriffs-Clients wie Azure Virtual Desktop mit entsprechenden Konfigurationen sicherer und KRITIS-konform gemacht werden. Sie lassen sich außerdem durch spezifische Einstellungen und Sicherheitsfunktionen wie Bitlocker, Smart-Screen und Device Guard absichern, die mit Microsoft Intune verwaltet werden können. Um auf dieser Ebene ungewollte Veränderungen nachvollziehbar zu machen, ist hier ein aktives Threat and Vulnerability Mangement (TVM) sowie ein Patch- und Release Management wichtig. Verdächtige Vorgänge in einem Zugriffs-Client sollten dabei automatisch die Isolierung des betroffenen Clients zur Folge haben. SOLL-IST Abgleiche und die Erkennung bestimmter Zustände erlauben die Alarmierung betriebsführender Einheiten, so dass die operative Sicherheit und Verfügbarkeit wieder hergestellt werden können.

3. Schutzebene Netzwerk: Der Zugriffs-Client kommuniziert nur über Firewalls und erhält gemäß dem Zero-Trust-Prinzip nur auf das nötigste eingeschränkte Zugänge. Erlaubt werden nur einzeln definierte benötigte Zugriffe auf spezifische Applikation, Funktionen und Webservices. Außer den Firewalls sorgen auch Web-Security Gateways für die Einhaltung dieses Prinzips, so dass der Zugriff auf kritische Applikationen und Infrastrukturen nur in diesem engen erlaubten Korridor möglich ist.

4. Schutzebene Applikationszugriff: Sollten VPN-Verbindungen notwendig sein, werden sie dem Zero-Trust-Prinzip entsprechend zentral verwaltet und nur benutzerspezifisch erlaubt. Die Berechtigung für jeden Nutzer wird über die Mitgliedschaft in Berechtigungsgruppen festgehalten und schaltet nur notwendigen Verbindungen für den jeweiligen Arbeitsbereich frei. So kann ein Benutzer nur im Rahmen seiner definierten Rolle Netzwerkzugriffe tätigen.

Kritische Infrastruktur sicher remote managen

Eine solche Architektur ist KRITIS-konform und BSI-auditfähig. Ihr Beispiel zeigt, wie Unternehmen bestehende kritische Applikationen und Infrastrukturen durch eine cloudbasierte Zugriffsplattform ergänzen und die Sicherheit im Rahmen von NIS2 oder zum eigenständigen Schutz gegen Cyberattacken auf kritische Systeme deutlich erhöhen können. Den Betrieb einer solchen cloudbasierten Zugriffsplattform können die Unternehmen selbst übernehmen oder ihrem Cloudanbieter bzw. einem separaten Dienstleister übergeben. Ihre Umsetzung lässt sich meist gut in die eigene IT- und Cloud-Strategie einbetten. So können Unternehmen auch kritische Infrastrukturen flexibel mit verteilten Teams auch ortsunabhängig sicher managen.

(ID:50683899)