In einem Security-Prozess werden eine Bedrohungs- und Risikoanalyse durchgeführt und hieraus Aktivitäten und Maßnahmen definiert.
Im Rahmen einer „First Line of Defense“ ist ein gefährdetes Netzwerk inklusive der angeschlossenen Komponenten als Ganzes zu schützen, indem der unbefugte Zugriff darauf über alle zur Verfügung stehenden möglichen Zugriffspunkte abgesichert wird.
Eine „Second Line of Defense“ wird dann relevant, wenn es dem Angreifer doch gelungen ist, sich Zutritt zum Netzwerk zu verschaffen. Dann sind auf Komponentenebene Maßnahmen zum Schutz einzelner Systeme zu realisieren.
Die betrachteten Systeme zerfallen grundsätzlich in die Systeme Steuerungs-, Sicherungs-, und Betreibersystem.
Formal ist die IT-Sicherheit für Betreiber kritischer Infrastrukturen ab gewissen Schwellenwerten zwingend nachzuweisen. Gesetzliche Grundlage sind die EU-Richtlinie 2016/1148 „Network and Information Security“ für Deutschland mit der nationalen Umsetzung im IT Sicherheitsgesetz. (mehr …)