NIST SP 800-82:
Kryptografie und PKI für die Sicherheit der Betriebstechnik
Übersicht
| Region | Vereinigte Staaten (die weithin als globaler Maßstab für die Sicherheit von OT/ICS gelten) |
| Anwendbarkeit | Bundesbehörden:Betrieb oder Beschaffung von OT/ICS gemäß FISMA und dem NIST-Risikomanagement-RahmenwerkBetreiber kritischer Infrastrukturen:Unternehmen aus den Bereichen Energie, Wasserversorgung, Fertigung und Verkehr OT/ICS-Anbieter und -Integratoren:Unternehmen, die SPS, DCS, SCADA-Komponenten und Engineering-Workstations für Umgebungen liefern, die sich auf SP 800-82 beziehen |
| Relevante Abschnitte | SP 800-82r3 Anhang F:Kontrollfamilie „System- und Kommunikationsschutz“ (SC)SP 800-82r3 Anhang F:Kontrollfamilie „Identifizierung und Authentifizierung“ (IA)SP 800-82r3 Anhang F:Zuordnung der SP 800-53-Kontrollen zur Anwendbarkeit auf ICS |
NIST SP 800-82, Revision 3, „Leitfaden zur Sicherheit der Betriebstechnik (OT)“, ist der wichtigste Leitfaden des NIST zur Absicherung industrieller Steuerungssysteme, von SCADA-Systemen, verteilten Steuerungssystemen und der breiter gefassten Kategorie der Betriebstechnik (OT), einschließlich Gebäudeautomation und physischer Zugangskontrollsysteme. Mit der Revision 3 wurde der Anwendungsbereich über klassische ICS hinaus auf die gesamte Bandbreite vernetzter Betriebstechnik ausgeweitet, was die tiefere Integration zwischen IT- und OT-Netzwerken widerspiegelt.
In der Praxis wendet der Leitfaden die Kontrollfamilien aus NIST SP 800-53 auf OT-Umgebungen an, wobei Anhang F eine OT-spezifische Ergänzung enthält, die den Praktikern aufzeigt, welche Kontrollmaßnahmen unverändert gelten, welche aufgrund industrieller Einschränkungen angepasst werden müssen und welche nicht anwendbar sind. Die Kontrollfamilien „System- und Kommunikationsschutz“ (SC) sowie „Identifizierung und Authentifizierung“ (IA) beinhalten die direkten kryptografischen Anforderungen: die Verschlüsselung von Daten, die Authentifizierung von Geräten und Benutzern sowie die Etablierung formeller Schlüsselverwaltungsverfahren, die für Umgebungen geeignet sind, die oft 15 bis 25 Jahre lang in Betrieb sind.
Warum das wichtig ist
Warum das wichtig ist
NIST SP 800-82 ist die wichtigste NIST-Richtlinie, auf die sich Bundesbehörden bei der Absicherung von OT-Umgebungen stützen, und wird bei der Umsetzung der NIST-RMF-Anforderungen häufig herangezogen. Sie dient Betreibern kritischer Infrastrukturen, Branchenaufsichtsbehörden und Cyber-Versicherern häufig als Maßstab bei Cybersicherheitsbewertungen, wenn es um die Beurteilung des Reifegrades der OT-Sicherheit geht – auch außerhalb des Bundesbereichs.
Wie sich dies auf die Kryptografie übertragen lässt
NIST SP 800-82 behandelt das Thema Kryptografie in erster Linie im Rahmen der Kontrollgruppen „System- und Kommunikationsschutz“ sowie „Identifizierung und Authentifizierung“, die speziell auf die älteren Geräte der OT und deren Verfügbarkeitsbeschränkungen zugeschnitten sind. Die wichtigsten Kontrollbereiche mit direkten kryptografischen Auswirkungen sind:
| Abschnitt | Funktion | Was dort steht | Zugehörige Produkte |
|---|---|---|---|
| SC-8, SC-28 – Vertraulichkeit bei der Übertragung, Schutz gespeicherter Informationen | Vertraulichkeit von Daten (im Ruhezustand und während der Übertragung) | Verschlüsselung der OT-Kommunikation sowie der Historien- und Konfigurationsdatenspeicher, wobei das zertifikatsgestützte Schlüsselmaterial zentral und nicht geräteweise verwaltet wird | Command |
| IA-2, IA-3, IA-5 – Identifizierung und Authentifizierung (Benutzer innerhalb der Organisation, Geräte, Verwaltung von Authentifikatoren) | Geräte- und Benutzerauthentifizierung | Zertifikatsbasierte Authentifizierung für OT-Geräte, Engineering-Workstations und Bediener als Ersatz für statische oder gemeinsam genutzte Anmeldedaten, wie sie in bestehenden ICS-Systemen üblich sind | EJBCA |
| SC-12, SC-13 – Einrichtung und Verwaltung kryptografischer Schlüssel, Einsatz von Kryptografie | Einrichtung und Verwaltung kryptografischer Schlüssel | Einsatz zugelassener Algorithmen sowie formeller Verfahren zur Schlüsselgenerierung, -verteilung, -speicherung und -vernichtung über den gesamten Lebenszyklus der OT-Schlüssel hinweg | Command |
| SI-7, CM-14 – System- und Informationsintegrität, signierte Komponenten | Integrität von Firmware und „ Software “ | Kryptografische Überprüfung der Integrität von Firmware und „ software “ vor der Installation auf OT-Geräten | SignServer |
| SC-8(1), SC-23 – Vertraulichkeit und Integrität der Übertragung, Authentizität der Sitzung | Integrität der Kommunikation | Nachrichtenauthentifizierung und gegenseitig authentifizierte Sitzungen (TLS/DTLS) zum Schutz des OT-Protokollverkehrs vor Manipulationen und Wiederholungsangriffen | EJBCA |
| AC-17, IA-2(1) – Fernzugriff, Multi-Faktor-Authentifizierung | Schutz beim Fernzugriff | Zertifikatsbasierte Multi-Faktor-Authentifizierung für Fernwartungs- und Herstellerzugriffssitzungen in OT-Umgebungen | Command |
Prüfungsbereitschaft
Bei NIST SP 800-82-Prüfungen – unabhängig davon, ob sie selbst durchgeführt, von einem zuständigen Bundesbeamten vorgenommen oder von einem Kunden oder Versicherer überprüft werden – liegt der Schwerpunkt auf Nachweisen dafür, dass OT-spezifische Kontrollmaßnahmen nicht nur dokumentiert, sondern auch tatsächlich umgesetzt werden. Zu den wichtigsten Bereichen, die von den Prüfern untersucht werden, gehören:
- OT-Bestandsaufnahme und kryptografische Bestandsaufnahme: Hatdie Organisation alle OT-Geräte, deren kryptografische Funktionen sowie den aktuellen Status der Zertifikate und Schlüssel erfasst?
- Zuordnung der Kontrollüberlagerung: Hatdie Organisation dokumentiert, welche Kontrollen gemäß NIST SP 800-53 SC und IA gemäß der Überlagerung in Anhang D unverändert gelten, mit Anpassungen gelten oder nicht anwendbar sind?
- Ausgleichsmaßnahmen für ältere Geräte:Wurden fürGeräte, die PKI oder starke Authentifizierung nicht nativ unterstützen, Ausgleichsmaßnahmen ermittelt und dokumentiert?
- Zertifikatsverwaltung für den Fernzugriff: Werdenbei Fernwartungs- und Lieferanten-Sitzungen eindeutige, widerrufbare Zertifikate anstelle von gemeinsam genutzten Anmeldedaten verwendet?
- Überprüfung der Firmware-Signatur: Kanndie Organisation nachweisen, dass Firmware-Updates kryptografisch signiert sind und dass die Überprüfung vor der Bereitstellung durchgeführt wird?
- Dokumentation des Schlüssellebenszyklus: Sinddie Verfahren zur Schlüsselgenerierung, -rotation und -sperrung dokumentiert und werden sie bei allen ICS-Anbietern und -Integratoren einheitlich angewendet?
LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER
NIST SP 800-82 ist die Referenz, anhand derer Bundesprüfer, Aufsichtsbehörden für kritische Infrastrukturen und Cyberversicherer mittlerweile unser OT-Sicherheitsprogramm bewerten. Die meisten unserer Geräte wurden nie dafür konzipiert, ihre Identität nachzuweisen oder zu überprüfen, von wem eine „ command “ gesendet wurde – und genau diese Lücke zu schließen, ist das, was NIST SP 800-82 von uns verlangt.
Wenn wir nicht nachweisen können, dass sich technische Arbeitsstationen, externe Anbieter und SPSen mit echten, widerrufbaren Zugangsdaten statt mit gemeinsam genutzten Passwörtern authentifizieren, sind wir das am wenigsten schützbare Ziel in der Branche. Ein dokumentiertes, überprüfbares Programm ist es, was Bundeskunden, Branchenaufsichtsbehörden und Versicherer nach dem nächsten Vorfall zufriedenstellt – und nicht ein Richtlinienheft, das noch nie getestet wurde.
Zugehörige Compliance-Vorgaben
