Was die Isolationsschritte von CI Fortify tatsächlich von Ihren Daten benötigen

Die neue CI Fortify-Initiative der CISA, die gemeinsam mit dem Australian Signals Directorate, dem britischen NCSC und dem kanadischen Cyber Centre entwickelt wurde, stellt Betreibern kritischer Infrastrukturen eine Frage, die die meisten noch nie unter echtem Druck beantworten mussten: Könnten Sie, wenn Sie morgen die Verbindung zu Ihren Cloud-Anbietern, Telekommunikationsanbietern und Drittanbieternetzwerken kappen und die wesentlichen Dienste auf diese Weise wochen- oder monatelang aufrechterhalten müssten?

Die Richtlinien betrachten dies als Planungsgrundlage, nicht als Grenzfall. Betreiber werden angewiesen, in einem Konfliktszenario davon auszugehen, dass Verbindungen zu Drittanbietern unzuverlässig werden und dass sich Angreifer möglicherweise bereits in OT-Netzwerken befinden. Zwei Fähigkeiten sind für die Reaktion entscheidend: Isolation und Wiederherstellung.

Der Isolationsprozess selbst umfasst sechs Schritte: Identifizieren Sie die minimal erforderlichen Systeme zur Bereitstellung eines kritischen Dienstes. Erfassen Sie alle Verbindungen dieser Systeme zur Außenwelt. Klassifizieren Sie die Systeme nach Kritikalität und Vertrauenswürdigkeit. Richten Sie Trennungs- und Isolationspunkte ein. Erstellen und testen Sie einen abgestuften Isolationsplan. Sichern Sie alle Daten, die ein Angreifer kompromittiert hat, bevor der Plan im Ernstfall zum Einsatz kommt.

Das ist ein solides Rahmenwerk für OT-Ingenieure, die über Netzwerktopologie nachdenken. Es sagt jedoch fast nichts über die Daten aus, die in den unterstützenden Systemen rund um OT, den Unternehmensanwendungen, Cloud-Plattformen und herstellerseitigen Tools gespeichert sind und die sensiblen und betrieblichen Daten enthalten, die ein Unternehmen während und nach der Isolation tatsächlich benötigt. Genau diese Lücke schließt BigID.

Die von CI Fortify vorausgesetzte Datenzuordnung existiert bereits

Jeder Schritt auf dem Weg zur Datenisolierung setzt voraus, dass ein Unternehmen bereits weiß, wo seine kritischen Daten gespeichert sind, wer und was darauf zugreifen kann und über welche Systeme sie fließen. Die CISA-Richtlinien fordern die Dokumentation jeder Verbindung zwischen wichtigen Systemen und Unternehmensnetzwerken, Fernzugriffstools, Cloud-Umgebungen, Anbietern und Auftragnehmern. Genau genommen handelt es sich dabei um eine Datenkartierung im Gewand der Netzwerktechnik. Viele Unternehmen können ein Netzwerkdiagramm erstellen. Weitaus weniger sind jedoch in der Lage, eine präzise und aktuelle Übersicht darüber zu erstellen, wo sich sensible und operative Daten tatsächlich befinden – insbesondere nach Jahren der unkontrollierten Ausbreitung von SaaS-Lösungen, Schatten-Cloud-Speicher und Anbieterintegrationen, die niemand vollständig erfasst hat.

Wo BigID in jeden der sechs Schritte passt

Ermitteln Sie die Mindestanzahl an Systemen für einen kritischen Dienst. BigID erkennt und klassifiziert Daten aus strukturierten und unstrukturierten Quellen, Cloud- und On-Premise-Systemen, sodass ein Unternehmen erkennen kann, welche Systeme tatsächlich die Daten hinter einem kritischen Dienst enthalten, anstatt sich auf ein Architekturdiagramm zu verlassen, das drei Umstrukturierungen hinter sich hat.

Erfassen Sie jede Verbindung zur Außenwelt. Die Datenzuordnung zeigt, wohin Daten tatsächlich fließen, einschließlich der Datenflüsse zu Drittanbietern, SaaS-Tools und Cloud-Plattformen. Die Verbindungszuordnung von CI Fortify muss nicht mehr manuell geprüft werden, sondern kann von Unternehmen bedarfsgerecht abgefragt und stets aktuell gehalten werden.

Systeme nach Kritikalität und Vertrauenswürdigkeit klassifizieren. Die Sensitivitätsklassifizierung bildet die Grundlage für die Kritikalitätsstufen von CI Fortify. Ein System mit regulierten Kundendaten erhält eine andere Isolationspriorität als ein System mit Marketingmaterialien. Diese Unterscheidung ist jedoch nur dann relevant, wenn die zugrunde liegenden Daten zuvor klassifiziert wurden.

Trenn- und Isolationspunkte schaffen. Die Zugriffsanalyse zeigt, wer und was dauerhaften Zugriff auf sensible Daten hat, darunter Lieferanten, Fernzugriffstools und Servicekonten. Genau diese Zugriffsfläche möchte CI Fortify präventiv absichern und segmentieren, anstatt sie erst mitten im Geschehen zu erfassen.

Einen abgestuften Isolationsplan erstellen und testen. Ein dynamisches Dateninventar bedeutet, dass der Isolationsplan anhand der realen Umgebung getestet wird, nicht anhand einer Momentaufnahme aus dem letztjährigen Audit. Datenumgebungen verändern sich ständig. Ein Plan, der mit veralteten Daten getestet wurde, versagt beim ersten Einsatz.

Kompromittierte Systeme wiederherstellen. Die Wiederherstellung beginnt mit einer zentralen Frage: Was wird zuerst wiederhergestellt? Ein klassifiziertes, priorisiertes Dateninventar beantwortet diese Frage direkt: Die Systeme mit den sensibelsten und wichtigsten Daten werden zuerst wiederhergestellt, anstatt eine Warteschlange in beliebiger Reihenfolge abzuarbeiten, sobald die Systeme wieder online sind.

Die Souveränitätsgefährdung, die CI Fortify nicht benennt

CI Fortify geht von einem Konfliktszenario aus, in dem Cloud-Plattformen und Telekommunikationsanbieter unzuverlässig werden. Es gibt jedoch eine weniger offensichtliche Variante desselben Problems, die keine geopolitische Krise benötigt: Wenn die KI, die Ihre Datenklassifizierung und -verwaltung übernimmt, auf ein externes Modell zugreifen muss, das außerhalb Ihrer Kontrolle gehostet wird, verlassen Ihre sensiblen Daten oder deren Metadaten bei jedem Scan Ihre Umgebung – selbst an einem ganz normalen Dienstag, unabhängig von einer Krise. Das Isolationsszenario von CI Fortify verwandelt diese bestehende Gefährdung in einen schwerwiegenden Betriebsausfall.

BigIDs Ansatz ermöglicht Datenanalyse, Klassifizierung und KI-gestützte Auswertung ohne Abhängigkeit von einem externen LLM-Anbieter. Die Verarbeitung erfolgt direkt in der Kundenumgebung. Dies ist aus zwei Gründen wichtig, die CI Fortify vereint: Sensible Daten werden nicht routinemäßig an Dritte übertragen, und die Plattform, die diese Aufgaben übernimmt, bleibt auch dann verfügbar, wenn die Verbindung zu diesem Dritten unterbrochen wird.

Air-Gap-Lösung, vom Grenzfall auf Bundesebene bis zur Grundvoraussetzung

Die meisten Anbieter betrachten die vollständige Offline-Bereitstellung ohne Internetverbindung als seltene Anforderung einiger weniger Kunden aus dem öffentlichen Sektor oder dem Verteidigungsbereich. CI Fortify macht dies zur Grundvoraussetzung für jeden, der kritische Infrastrukturen betreibt. Ein Isolationsereignis pausiert nicht selektiv, sondern legt alle Cloud-Abhängigkeiten gleichzeitig lahm, einschließlich aller Tools, die ein Unternehmen zur Auswertung seiner eigenen Daten verwendet.

BigID kann vollständig lokal und isoliert betrieben werden, wobei Erkennung, Klassifizierung und Governance ohne jegliche ausgehende Verbindung funktionieren. Es werden keine Telemetriedaten an den Server gesendet, keine Abhängigkeit von einer gehosteten API besteht und es gibt keinen stillen Ausfallmodus, bei dem die Sicherheitstools zusammen mit den zu isolierenden Systemen ausfallen. Eine Organisation kann ihr gesamtes Daten-Governance-Programm während eines Isolationsereignisses in einer abgeschotteten Umgebung ausführen und nach dessen Beendigung die Verbindung wiederherstellen und die Daten abgleichen.

Was Organisationen tun müssen

• Inventar, wo sensible und operative Daten tatsächlich gespeichert sind, nicht dort, wo sie laut Dokumentation gespeichert sein sollen.
• Kartendaten fließen an jeden Drittanbieter, jede Cloud-Plattform und jedes Fernzugriffstool, das auf diese Daten zugreift.
• Daten und Systeme sollten nach ihrer Kritikalität klassifiziert werden, damit die Prioritäten für Isolierung und Wiederherstellung auf dem tatsächlichen Risiko und nicht auf Vermutungen basieren.
• Prüfen Sie, ob KI-gestützte Tools in diesem Stack von einem externen Modellanbieter abhängig sind, und betrachten Sie dies auch außerhalb einer Krise als Souveränitätslücke.
• Bestätigen Sie, dass die Plattform, die dieses Mapping durchführt, vollständig netzunabhängig (Air-Gap) betrieben werden kann und nicht nur “Cloud-optional” ist.”
• Erstellen Sie eine Wiederherstellungssequenz basierend auf Datensensibilität und geschäftlichen Auswirkungen, die vor dem Einsatz getestet wird.

CI Fortify fordert Betreiber kritischer Infrastrukturen auf, nachzuweisen, dass sie monatelang ohne Verbindung zur Außenwelt auskommen können. Nur Organisationen, die dies leisten können, wissen genau und aktuell, welche Daten sie schützen, wo diese gespeichert sind und ob das Überwachungssystem für seinen Betrieb auf die Verbindung zur Außenwelt angewiesen ist.