Was ist der Security of Critical Infrastructure Act 2018 (SOCI Act 2018)?

Australien nutzt den Security of Critical Infrastructure Act 2018 (SOCI Act 2018) als Rahmen, um dem Land zu helfen, Bedrohungen für die kritische Infrastruktur des Landes zu mindern und zu beheben. Dies geschah, nachdem mehrere hochkarätige Cyberangriffe das Bewusstsein Australiens für die Notwendigkeit von Cybersicherheit und die Standardisierung von Cybersicherheitsmaßnahmen für vorrangige Organisationen geschärft haben.

Der Security Legislation Amendment (Critical Infrastructure) Act 2021 wurde später als Änderung des SOCI Act eingeführt, und dies wurde durch den Security Legislation Amendment (Critical Infrastructure Protection) Act 2022 (SLACIP) im April 2022 weiter gestärkt.

Das Gesetz und seine Änderungen sind im australischen Federal Register of Legislation einsehbar. Zusammengenommen haben sie einen erheblichen Einfluss auf das Bewusstsein, die Bereitschaft und die Widerstandsfähigkeit Australiens angesichts immer häufigerer und ausgefeilterer Cyberbedrohungen.

In diesem Beitrag erhalten Sie einen Überblick über die wichtigsten Merkmale und Überlegungen des wegweisenden SOCI-Gesetzes, die Änderungen zur Verbesserung der Cybersicherheit der kritischen Infrastruktur Australiens und eine Vorstellung von den Auswirkungen der Gesetzgebung auf die australischen Cybersicherheitsrichtlinien und -verfahren.

SLACIP-Änderungen des SOCI-Gesetzes 2018

SLACIP hat einige Änderungen am SOCI Act 2018 vorgenommen, um einige neue Schlüsselmaßnahmen für das Cyber-Risikomanagement einzuführen:

Identifizierung von Systemen von nationaler Bedeutung

Eines der Ziele dieser SLACIP-Änderung der SOKI besteht darin, die akzeptablen Mindestsicherheitspraktiken für Einrichtungen kritischer Infrastrukturen zu verbessern.

Die australische Regierung hat festgelegt, dass SOCI und die SLACIP-Änderungen für die folgenden kritischen Infrastruktureinrichtungen gelten, die sie identifiziert hat:

Kritischer Rundfunk
Kritische Datenspeicherung und -verarbeitung
Bestimmte kritische Verteidigungsmittel
Kritische Domain-Name-System-Assets
Kritische Energieanlagen, einschließlich Strom-, Wasser-, Gas- und Flüssigbrennstoffanlagen
Die Vermögenswerte des Finanzdienstleistungssektors sind unterteilt in kritische Banken, kritische Versicherungen, kritische Finanzmarktinfrastrukturen und kritische Rentenversicherungen
Kritische Vermögenswerte im Lebensmittel- und Lebensmittelhandel
Kritische Güterverkehrsinfrastruktur
Spezifische kritische Ressourcen im Gesundheitswesen

Nach der Hinzufügung von Teil 6A zum SOCI-Gesetz kann der Innenminister eine kritische Infrastruktur von nationaler Bedeutung zu einem System von nationaler Bedeutung erklären, wobei die potenziellen Auswirkungen eines Cyberangriffs auf die folgenden Kriterien zu berücksichtigen sind:

Nationale Sicherheit
Die Verteidigung des Landes
Soziale Stabilität
Wirtschaftliche Stabilität

Der genannte Vermögenswert muss nicht auf nationaler Ebene tätig sein oder dem gesamten Land dienen. Auch wenn dies nicht der Fall ist, versteht es sich, dass ein Vermögenswert und seine Funktion dennoch nationale Bedeutung haben können.

Bei der Benennung eines Vermögenswerts als System von nationaler Bedeutung muss der Minister die Verflechtung dieses Vermögenswerts mit anderen Vermögenswerten und Systemen anerkennen.

Ein Grund dafür, dass die Auswirkungen einer Datenschutzverletzung eines Drittanbieters oder eines Angriffs auf die Lieferkette so verheerend sein können, ist, dass ein einziger Angriff viele Organisationen und Einzelpersonen betrifft, die mit dem kompromittierten Netzwerk verbunden sind, entweder durch Kundenbeziehungen, Geschäftspartnerschaften oder die Abhängigkeit von der Bereitstellung von Waren und Dienstleistungen, die ein Geschäftsökosystem aufrechterhalten.

Sobald ein Vermögenswert als System von nationaler Bedeutung eingestuft wurde, muss er die folgenden Anforderungen erfüllen:

Schwachstellen-Assessments
Planung der Reaktion auf Vorfälle
Übungen zur Cybersicherheit
Meldepflichten an das Australian Signals Directorate

Planung des Risikomanagements

Im Rahmen der SOKI müssen Unternehmen kritischer Infrastrukturen ein angemessenes Risikomanagementprogramm implementieren. Ein risikobasierter Ansatz bedeutet, dass das Unternehmen Folgendes berücksichtigt:

Die potenziellen Bedrohungsakteure, die sich auf die Informationssicherheit auswirken könnten
Die Cyberrisiken, die sich auf die Informationssicherheit auswirken könnten
Die potenziellen Auswirkungen dieser Risiken und Bedrohungen auf das Geschäft mit kritischen Infrastrukturen und das Geschäftsökosystem
Die Wahrscheinlichkeit, dass jeder Vorfall eintritt

Durch die Suche nach klaren Informationen über Cybersicherheitsrisiken und die entsprechende Priorisierung können Unternehmen mit den Maßnahmen zur Eindämmung und Behebung von Schwachstellen beginnen, die die größte Wirkung haben.

Insbesondere stellt die SLACIP-Änderung klar, dass das Risikomanagementprogramm in schriftlicher Form vorliegen muss und dass es sich um ein sich entwickelndes, lebendiges Dokument handeln muss, das sich mit der Organisation, den Ergebnissen von Audits und den Entwicklungen in der Cyber-Bedrohungslandschaft ändert.

Bei einer robusten Suite von Cybersicherheitspraktiken geht es um mehr als nur die Abwehr bekannter Bedrohungen. Es reagiert nicht nur auf Bedrohungen, sondern identifiziert auch proaktiv Schwachstellen und Gefährdungen.

Ein Unternehmen mit einem ausgereiften Cybersicherheits-Framework unternimmt Schritte, um neue Bedrohungen vorherzusagen und sich darauf vorzubereiten, und ist bereit, mit anderen Unternehmen zusammenzuarbeiten, um sich und das gesamte Geschäftsökosystem vor wachsenden Cyberrisiken zu schützen.

Nach der Identifizierung von Cyberrisiken, Bedrohungen und Schwachstellen müssen kritische Infrastrukturen einen kontinuierlichen Prozess der Bedrohungsminderung und Schwachstellenbehebung durchlaufen.

Jährliche Berichterstattung

Verantwortlichkeit ist ein wichtiger Aspekt jedes Risikomanagementprogramms. Eigentümer oder Betreiber kritischer Infrastrukturen, die von der australischen Regierung identifiziert wurden, müssen sich innerhalb von 90 Tagen des Geschäftsjahres beim Innenministerium oder der ihnen zugewiesenen Regulierungsbehörde melden.

Für Organisationen kritischer Infrastrukturen muss der Jahresbericht die folgenden Informationen enthalten:

Identifizierte Gefahren, die erhebliche Auswirkungen hatten
Ob das Risikomanagementprogramm des Unternehmens bis zum Ende des Geschäftsjahres aktualisiert wurde oder nicht
Ob das Risikomanagementprogramm aufgrund einer festgestellten Gefahr aktualisiert wurde oder nicht
Eine Evaluierung des Risikomanagementprogramms im Hinblick auf den Umgang mit identifizierten wesentlichen Risiken und Bedrohungen

Wenn Vermögenswerte nicht durch ein Risikomanagementprogramm für kritische Infrastrukturen geschützt sind, muss die verantwortliche Stelle die Gründe für die Ausnahmeregelung, die Risiken und Bedrohungen, die sie betroffen haben, und die daraufhin ergriffenen Sicherheitsmaßnahmen darlegen.

Systeminformationen

Der australische Innenminister kann drei Arten von Mitteilungen für Berichte über die Cybersicherheit und die Informationssysteme der verantwortlichen Stellen herausgeben. Sie kann:

Regelmäßige Berichte über die Nutzung eines Computers anfordern
Anfordern, dass jedes Mal, wenn ein bestimmtes Ereignis eintritt, ein Bericht gesendet wird
die Installation eines Computerprogramms erforderlich machen, das Informationen mit dem Australian Signals Directorate austauscht, falls die Stelle aus technischen Gründen nicht in der Lage ist, die erforderlichen Berichte zu erstellen

Strafen bei Nichteinhaltung von SOKI und SLACIP

Zivilrechtliche Strafen für die Nichteinhaltung können bis zu 55.000 US-Dollar pro Vorfall betragen.

Die Probleme, die mit Datenschutzverletzungen und Cyberangriffen verbunden sind, können jedoch noch bedeutender sein. Es ist nicht ungewöhnlich, dass andere Faktoren die Kosten in die Höhe treiben, wie z. B. Lösegeldzahlungen, die Kosten für die Identifizierung des Angriffs selbst, die Isolierung von bösartigem Code und die Reparatur von Schäden am System. Auch die Zahlung höherer Geldstrafen bei Nichteinhaltung von Vorschriften wie DSGVO und HIPAA ist üblich.

Zusätzlich zu diesen Kosten müssen Unternehmen, die Opfer von Cyberangriffen werden, auch den Preis für Betriebsunterbrechungen berücksichtigen. Darüber hinaus ist Reputationsschäden ein wesentlicher Faktor für Datenschutzverletzungen und Cyberangriffe, insbesondere wenn das Unternehmen nicht über einen ausreichenden Plan zur Reaktion auf Vorfälle verfügt.

Ein unzureichender oder fehlender Incident-Response-Plan kann zu einer langsamen Reaktion, unzureichenden Abhilfemaßnahmen, unzureichender Offenlegung und einem potenziell schädlichen Mangel an Transparenz über die Auswirkungen des Angriffs und die Maßnahmen des Unternehmens zur Behebung des Angriffs führen.

Um die nationale Sicherheit, den Umsatz und den Ruf zu schützen, müssen kritische Infrastrukturen strenge Cybersicherheitsverfahren einführen, die durch dokumentierte, überprüfte Informationssicherheitsrichtlinien und Incident-Response-Pläne unterstützt werden.

Wie sich SOCI auf die australische Cybersicherheitspolitik ausgewirkt hat

Die Einführung von SOCI und seine Änderungen haben das Bewusstsein für Cybersicherheit im ganzen Land geschärft. Sie hat dazu beigetragen, Cybersicherheit und Risikomanagement zu zentralen Bestandteilen der Geschäftstätigkeit zu machen.

Auf internationaler Ebene wird es immer wahrscheinlicher, dass sich Vorstände und Führungskräfte mit Fragen der Cybersicherheit befassen werden. Während Cybersicherheitsprobleme einst als Aufgabe einer IT-Abteilung oder des Chief Information Security Officer (CISO) angesehen wurden, ist es wahrscheinlicher, dass Unternehmen auf der ganzen Welt erkennen, dass Cybersicherheit ein operatives Problem und eine Chance ist.

Es wird auch immer deutlicher, dass jeder ein Stakeholder für Datenschutz und Informationssicherheit ist. Auch bei Cyberangriffen durch organisierte, professionelle Hackergruppen spielt oft das Personal eine Rolle.

Ein erfolgreicher Phishing-Versuch ist beispielsweise ein Vektor für Ransomware. Ein Phishing-Angriff, bei dem ein Mitarbeiter dazu verleitet wird, Zugangsdaten oder persönlich identifizierbare Informationen preiszugeben, kann zur Einschleusung von Malware in das System führen.

Ebenso kann eine Fehlkonfiguration des Servers durch das IT-Personal oder ein Insider-Angriff durch einen verärgerten Mitarbeiter dazu führen, dass Daten offengelegt werden, die vertrauliche Informationen gefährden.

In Meetings auf allen Ebenen wird es immer wahrscheinlicher, dass Cyberrisiken und Cybersicherheitsmaßnahmen diskutiert und angesprochen werden, um australische Unternehmen zur Cybersicherheitsreife und zur Entwicklung von Cybersicherheitskulturen zu bewegen.

Australiens solide, veröffentlichte Cybersicherheitspolitik hat mehr Unternehmen - in kritischen Infrastruktursektoren und darüber hinaus - dazu inspiriert, Risikomanagement, Informationssicherheit und Best Practices für Cybersicherheit zu priorisieren.

Die Politik wurde durch die Androhung zivilrechtlicher Strafen unterstützt, während die Nachrichten über die jüngsten erheblichen Datenschutzverletzungen in Australien dazu beigetragen haben, den Ton anzugeben. Mit SOCI und dem Umfeld der Cyber-Bedrohungen, in dem es eingeführt wurde, halten immer mehr Unternehmen Best Practices für die Cybersicherheit aufrecht und verfolgen einen Ansatz für das Cyber-Bedrohungsmanagement, um sich gegen bekannte und aufkommende Bedrohungen zu verteidigen.

Gängige Best Practices für Cybersicherheit, unterstützt durch den SOCI Act 2018

Management der Angriffsfläche

Attack Surface Management (ASM) hilft Unternehmen, das Ausmaß ihrer potenziellen Gefährdung durch Cyberrisiken einzuschätzen und Maßnahmen zu ergreifen, um ihre Angriffsflächen und das Risiko des Angriffsvektors zu reduzieren. Da jedes neue Gerät, jeder neue Benutzer oder Zugriffspunkt in einem Netzwerk die Angriffsfläche eines Unternehmens vergrößert, ist es wichtig, dass Unternehmen eine Art von ASM implementieren, um das Risiko einer Datenschutzverletzung zu verhindern. Die Sichtbarkeit der Angriffsfläche zu erlangen und dann Maßnahmen zu ihrer Reduzierung zu ergreifen, ist eine effektive Cybersicherheitspraxis zur Reduzierung von Cyberrisiken.

Behebung von Schwachstellen

Die proaktive Suche nach Schwachstellen und deren Behebung kann die Sicherheitslage eines Unternehmens erheblich verbessern.

Die Behebung von Schwachstellen umfasst die Verwendung von Bedrohungsinformationen und Ressourcen für den Informationsaustausch, wie z. B. die CVE-Liste (Common Vulnerabilities and Exposures), um sicherzustellen, dass bekannte Probleme mit Sicherheitspatches behoben werden. Dazu gehören auch aktive Penetrationstests oder das Ausführen von Simulationen, um Schwachstellen zu finden, bevor Hacker dies tun.

Risikomanagement von Drittanbietern (TPRM)

Der Wortlaut der SOCI und ihre Änderungen fördern eine stärkere Wertschätzung der Interdependenzen zwischen Organisationen, was für die Umsetzung eines erfolgreichen Risikomanagementprogramms für Dritte unerlässlich ist.

Das Risiko von Drittanbietern oder Anbietern kann besonders schädlich sein, da Cyberkriminelle und Hacker Anbieter ins Visier nehmen, die ihnen Zugang zu wertvollen, sensiblen Daten verschaffen und/oder aufgrund der Anzahl der Unternehmen, die ihre Waren oder Dienstleistungen nutzen, weitreichende Störungen verursachen können.

Der SolarWinds-Angriff auf die Lieferkette im Jahr 2019 ist ein hervorragendes Beispiel für die Störungen, die Hacker verursachen können, indem sie einen Softwareanbieter ins Visier nehmen, der von kritischen Infrastrukturen und hochkarätigen Unternehmen verwendet wird. Zu den Betroffenen gehörten Bundesbehörden, Microsoft, Intel und Cisco.

Planung der Reaktion auf Vorfälle

Während die Reduzierung von Risiken und die Vermeidung von Angriffen eine tragende Säule der Cybersicherheit ist, sollte die Cybersicherheitsrichtlinie eines Unternehmens auch einige klare Richtlinien für die Planung von Incident Response enthalten. Ein Unternehmen benötigt einen Incident-Response-Plan, damit jeder Einzelne weiß, welche Maßnahmen während eines Cyberangriffs zu ergreifen sind.

Da Cyberangriffe häufiger auftreten und Unternehmen stärker vernetzt sind, sind die Risiken eines Cyberangriffs dramatisch gestiegen, und Unternehmen benötigen einen Plan für den Fall, dass sie stattfinden.

Ein Incident-Response-Plan sollte die Reaktionen auf verschiedene Cybervorfälle entsprechend ihrer Wahrscheinlichkeit und ihren potenziellen Auswirkungen enthalten, die im Rahmen eines Risikomanagementprozesses ermittelt wurden.

Ein Incident-Response-Plan sollte wie folgt aussehen:

Dokumentiert
Leicht zugänglich
Für jeden Mitarbeiter verständlich

Der Incident-Response-Plan sollte auch Folgendes erreichen:

Identifizieren des Incident-Response-Teams
Erläutern Sie die Rollen und Verantwortlichkeiten der einzelnen Teammitglieder
Genaue Kontaktinformationen enthalten
Geben Sie an, was eine Datenschutzverletzung oder ein Cybervorfall darstellt
Geben Sie an, an wen Sie sich wenden können, wenn es um die Offenlegung von Informationen gegenüber Strafverfolgungsbehörden, Aufsichtsbehörden und den Medien aufgrund einer Datenschutzverletzung geht

Der Incident-Response-Plan sollte regelmäßig überprüft, getestet und aktualisiert werden, um sicherzustellen, dass er funktioniert und angesichts sich ändernder Mitarbeiter, Arbeitsabläufe, Systeme und Technologien, Geschäftsziele und der Cyber-Bedrohungslandschaft relevant bleibt.

Richtlinien zur Informationssicherheit

Cybersicherheitsverfahren und -praktiken sind oft anfällig für Fehlinterpretationen, Versäumnisse und Lücken, wenn sie nicht durch dokumentierte Richtlinien abgesichert sind.

Versäumnisse bei Sicherheitsmaßnahmen können ein besonderes Problem in großen Organisationen sein, wie z. B. Hochschulen, wo Abteilungsleiter oft die Verantwortung für ihre eigenen IT-Bedürfnisse und -Verfahren übernehmen.

Standardisierte, homogene Praktiken und Verfahren unter Verwendung vereinbarter Technologien sind einfacher zu verwalten und zu warten und daher sicherer, als wenn man den Abteilungsleitern erlaubt, ihre eigenen Dinge zu tun.

Wenn alle die gleichen Informationssicherheitsrichtlinien befolgen, wird es für ein Unternehmen einfacher sein, seine Praktiken im gesamten Unternehmen zu aktualisieren und zu stärken.