Sicherheitspolitik: Sie wird als lebenswichtige Infrastruktur eingestuft, die für die Zukunft unverzichtbar ist.

Im Banken- und Energiesektor definieren Regulierungsbehörden bestimmte Systeme als kritisch. Ein kritisches System ist ein System, dessen Ausfall untragbaren Schaden für Kunden, Märkte oder die öffentliche Sicherheit verursachen könnte. Beispielsweise unterliegt eine Zahlungsplattform einer Clearingbank oder ein SCADA-Netzwerk eines Energieverteilers höchsten Governance-Anforderungen, darunter kontinuierliche Überwachung, dokumentiertes Änderungsmanagement und nachweisbare Ausfallsicherheit.

Die Richtlinienumgebung – ein Regelwerk, das sich über Firewalls, Cloud-Steuerungen und Mikrosegmentierung erstreckt – legt fest, welche Systeme aufeinander zugreifen dürfen, welche Kommunikationen blockiert werden und welche Ausnahmen gelten. Diese Regeln bilden zusammen die Sicherheitsrichtlinien-Kontrollschicht: die Governance-Ebene, die Geschäftsziele in Zugriffsentscheidungen über verteilte Ausführungspunkte hinweg umsetzt.

Eine falsch konfigurierte Hash-Regel während einer Cloud-Migration kann einen Zahlungsdienst von seiner Abwicklungsplattform trennen; ebenso kann eine temporäre Regel, die einen umfassenden Zugriff von einem Entwicklungs-Subnetz auf die Produktionsumgebung gewährt, aufgrund des Fehlens einer verantwortlichen Person für deren Entfernung noch Monate nach der tatsächlichen Inbetriebnahme in Kraft bleiben.

Firewall-Regeln, Segmentierungsrichtlinien und Zugriffsentscheidungen wirken sich alle direkt auf die operationellen Risiken aus, und wenn die Richtlinienumgebung versagt, versagen auch die lebenswichtigen Dienste, die sie steuern.

Dadurch wird das politische Umfeld selbst zu einer unverzichtbaren Infrastruktur .

Sie werden weiterhin als Routineaufgaben behandelt.

Trotzdem behandeln viele regulierte Organisationen ihre Richtlinien weiterhin rein operativ. Regeln werden per Änderungsantrag hinzugefügt, und ihre kumulative Wirkung wird selten im Hinblick auf die ursprüngliche Intention geprüft. Die Zuständigkeiten werden mit wechselnden Führungsrollen fragmentiert, und der Grund für die Existenz einer bestimmten Regel lässt sich – sofern überhaupt ein Änderungsantrag existiert – nur darin finden.

Ein Chief Information Security Officer (CISO), der niemals zulassen würde, dass eine Zahlungsplattform ohne kontinuierliche Überwachung oder dokumentierte Abhängigkeiten betrieben wird, könnte das Fehlen beider in den Richtlinien, die die Zugänglichkeit einer Plattform bestimmen, akzeptieren. Diese Situation lässt sich als ein Fall von weitreichenden Folgen für die Infrastruktur beschreiben, die jedoch nur auf der Ebene der routinemäßigen Governance Anwendung finden.

Im Bankensektor würde ein politischer Fehler, der die Kommunikation zwischen Abwicklungssystemen unterbricht, zu Störungen kritischer Geschäftsdienstleistungen führen. Die britische Finanzaufsichtsbehörde (FCA) würde solche Fehler genau beobachten, da der Ausfall einer solchen Dienstleistung erheblichen Schaden verursachen könnte.

Im Gesundheits- und Energiesektor unterscheiden sich die Folgen, doch der Mechanismus ist derselbe: Eine Fehlkonfiguration, die den Zugriff eines Unternehmensnetzwerks auf die klinischen Systeme einer Einrichtung des Nationalen Gesundheitsdienstes (NHS) oder auf die Betriebstechnik eines Energieversorgers ermöglicht, schafft Schwachstellen in der Versorgung mit essenziellen Dienstleistungen. Es handelt sich hierbei nicht um hypothetische Risiken, sondern um reale operative Konsequenzen, wenn die Verwaltung kritischer Infrastrukturen als Routineaufgabe behandelt wird. Für ein tieferes Verständnis der Bedeutung proaktiver Planung lesen Sie unseren Artikel „Bevor Sie beginnen: Fragen zur essenziellen Infrastruktur“.

Regulierungsprognosen bestätigen denselben Trend.

Die regulatorischen Anforderungen in Großbritannien steigen und bestätigen die Schlussfolgerung: Sicherheitsrichtlinien für den Zugang zu kritischen Diensten müssen mit einer der Infrastruktur angemessenen Disziplin umgesetzt werden. Das Programm der britischen Finanzaufsichtsbehörde (FCA) zur operativen Resilienz verpflichtet regulierte Unternehmen, kritische Geschäftsdienste zu identifizieren und kontinuierlich nachzuweisen, dass die unterstützende Infrastruktur innerhalb der festgelegten Toleranzgrenzen für Auswirkungen bleibt.

Die Regulierungsbehörde für den Gas- und Strommarkt (Ofgem) bewertet Anbieter kritischer Infrastrukturen anhand des Cyber-Bewertungsrahmens des Nationalen Zentrums für Cybersicherheit (NCSC) und prüft, ob bestimmte Sicherheitsziele kontinuierlich erreicht werden. Das Gesetz zur Cybersicherheit und Resilienz, das voraussichtlich noch in diesem Jahr in Kraft treten wird, wird ähnliche Verpflichtungen auf Rechenzentren , Managed-Service-Provider und kritische Zulieferer ausweiten.

Diese Rahmenwerke sind nicht detailliert und vorschreibend; keines von ihnen definiert die Firewall-Regeln, die eine Organisation haben muss, oder wie ihre Vertriebsrichtlinien zu konfigurieren sind. Was sie erfordern, ist ein Nachweis: dass das, was die Richtlinienumgebung zulässt, dem entspricht, was beabsichtigt war, und dass die Organisation dies konsistent nachweisen kann, anstatt die Beweise für jede Bewertung neu zu erbringen.

Warum kann das aktuelle System diesen Standard nicht erfüllen?

Die meisten Richtlinienumgebungen wurden nie so konzipiert, dass sie diesem Standard entsprechen. Tatsächlich wurden die meisten Richtlinienumgebungen nicht einmal bewusst oder absichtlich so gestaltet. Stattdessen entstehen Richtlinien tendenziell als Nebenprodukt von Implementierungsprozessen. Jedes Projekt und jede Migration bringt neue Regeln mit sich, und nur sehr wenige werden entfernt.

Mit der Zeit wird die „Richtlinienoberfläche“ – die Gesamtheit der Regeln und Zugriffsentscheidungen über alle Implementierungsebenen hinweg – größer als die Gruppe derer, die sie verstehen, bewältigen kann, und das System erreicht einen Punkt, an dem es zwar bedient, aber nicht mehr erklärt werden kann.

In regulierten Branchen wie dem Bankwesen, der Energiewirtschaft und dem Gesundheitswesen war dies unter den bisherigen Regulierungsrahmen praktikabel: regelmäßige Bewertungen, kontrollbasierte Audits und Compliance-Rahmenwerke, die eher die Existenz von Kontrollen als deren Wirksamkeit in Frage stellten. Doch das reicht nicht mehr aus. Der neue Standard verlangt fortlaufende Nachweise für einen beabsichtigten Zugriff.

Die Ergebnisse der britischen Finanzaufsichtsbehörde (FCA) nach einem Jahr der Selbsteinschätzungen zur betrieblichen Resilienz veranschaulichen die praktische Umsetzung. In Fällen, in denen regulierte Unternehmen wenige oder keine offenen Sicherheitslücken in der Infrastruktur ihrer kritischen Geschäftsdienste meldeten, hielt die FCA die Beweislage häufig für unzureichend, um festzustellen, ob die Sicherheitslücken tatsächlich nicht existierten oder lediglich unentdeckt geblieben waren.

Diese Lektion lässt sich direkt auf die Governance von Sicherheitsrichtlinien übertragen: Keine Organisation kann glaubhaft behaupten, dass Zugriffsschwachstellen unter Kontrolle sind, ohne Beweise dafür vorzulegen, was ihre Richtlinien erlauben, wie sie getestet wurden und ob die Schwachstellen behoben wurden.

Governance-Anforderungen auf Infrastrukturebene

Die Reaktion darauf besteht oft darin, mehr Transparenz und Dokumentation zu fordern. Dokumentation erfasst jedoch nur einen bestimmten Zeitpunkt; sie kann nicht die von den Aufsichtsbehörden erwartete fortlaufende Sicherheit bieten.

Ein CISO in einem regulierten Unternehmen benötigt mehr als nur eine Dokumentation der zulässigen Zugriffsrichtlinien. Konfiguration und effektiver Zugriff sind nicht dasselbe. Sicherheitsteams müssen verstehen, wie Regeln, Pfade, Objekte und Implementierungsschichten interagieren, um zu bestimmen, welche Systeme tatsächlich kommunizieren können.

Die Erfüllung dieses Standards bedeutet, zwei Dinge in Einklang zu bringen: den Nachweis zu erbringen, dass die Umgebung tatsächlich das zulässt, was sie zulassen sollte, und dies ohne Vorwarnung beweisen zu können.

Wir trennen die Definition der Richtlinienabsicht von deren Durchsetzung. Die Absicht wird zentral verwaltet und gepflegt, während die Durchsetzung weiterhin über Firewalls, Cloud-Steuerungen und Mikrosegmentierung in hybriden, Multi-Cloud- und Multi-Vendor-Umgebungen verteilt bleibt.

Die Einhaltung dieser Vorgaben wird kontinuierlich überprüft, anstatt sie nur punktuell zu kontrollieren: Vorgeschlagene Änderungen werden vor der Produktivsetzung anhand der Richtlinien geprüft, und der effektive Zugriff wird fortlaufend bewertet, um unnötige Offenlegung, Inkonsistenzen zwischen den Implementierungsebenen und Abweichungen von den Geschäftszielen zu erkennen. Was erlaubt und was geändert wurde, wird als Nachweis festgehalten.

Derselbe Informationssicherheitsbeauftragte, der niemals eine Zahlungsplattform akzeptieren würde, die ohne kontinuierliche Überwachung, verifizierte Änderungskontrolle und dokumentierte Abhängigkeiten betrieben wird, sollte diesen Standard auch auf die Richtlinien anwenden, die bestimmen, ob eine Plattform zugänglich ist oder nicht.

Die Financial Conduct Authority (FCA), der Cyber-Bewertungsrahmen des National Cyber ​​Security Center (NCSC) und der Gesetzentwurf zur Cybersicherheit und Resilienz weisen alle auf dieselbe grundlegende Frage hin: Kann diese Organisation dauerhaft nachweisen, dass die Infrastruktur, die ihre kritischen Dienste unterstützt, nach den für diese Dienste erforderlichen Standards verwaltet wird?

Die Beantwortung dieser Frage erfordert fundiertes Wissen (keine Annahme, keine Rekonstruktion nach eingehender Prüfung), was die politischen Rahmenbedingungen im jeweiligen Moment zulassen und ob das Zugelassene dem ursprünglichen Zweck entspricht. Diese unerlässlichen Fragen zur Infrastruktur bilden in diesem Zusammenhang einen entscheidenden Ausgangspunkt.