ICJ: Das IT-Sicherheitsgesetz 2.0 verpflichtet alle Kritis-Betreiber, spätestens bis zum 01.05.2023 erweiterte Sicherheitsmaßnahmen für ihre IT umzusetzen, insbesondere was das Thema Angriffserkennung angeht. Welche Lösungen bieten Sie hier an?
Dr. Terence Liu: Obwohl die meisten Kritis-Operationen vom IT-Sicherheitsgesetz 2.0 reguliert werden, sind sie sehr vom OT (Operational Technology)-Bereich abhängig. TXOne hat sich auf OT-Lösungen spezialisiert und bietet ein komplettes OT-Sicherheitsportfolio an, das Sicherheitsinspektion, Endpunktschutz und Netzwerksicherheit umfasst. Wir sind davon überzeugt, dass jedes kritische Asset (Endgerät) im Laufe seines gesamten Produktlebenszyklus durch mindestens eine der genannten Sicherheitsmaßnahmen geschützt werden muss. In diesem Sinne sehen wir unsere Asset-orientierte eigene ‚OTZeroTrust‘-Methode nicht nur als empfohlene Richtlinie, sondern als eine unbedingte Verpflichtung, die wir mit unseren Produkten hochhalten. Wir lassen kein Asset ungeschützt, und das umfasst für uns eine Vielzahl von Sicherheitsmaßnahmen, die alle Betriebssysteme unterstützen, auch die älteren Bestandsysteme (Legacy-Systeme).
ICJ: Wie schätzen Sie die Bedrohung geopolitisch motivierter Cyberattacken im kommenden Jahr ein? Welche Vorkehrungen sollten Unternehmen treffen?
Dr. Liu: Der Schutz kritischer Infrastrukturen wird häufig vorangestellt, wenn es um geopolitische Fragen geht, und das zu Recht. Bei den meisten Kritis-Betreibern gibt es auch heute noch eine beträchtliche Anzahl von Produktions- oder Versorgungsanlagen, die nicht vollständig geschützt sind, insbesondere in OT-Umgebungen. Dies sind verwundbare Angriffspunkte, die auch für die nationale Sicherheit kritisch werden können, insbesondere, wenn sich die geopolitische Situation in den kommenden Jahren in ihrer Komplexität weiterentwickelt. Die Priorität sollte daher darin liegen, diese ungeschützten Bereiche abzusichern. Nehmen Sie z.B. Ransomware: Aufgrund unzureichender Implementierung geeigneter Sicherheitslösungen kam es in der OT-Umgebung immer wieder zu Zwischenfällen. Zunächst waren diese Vorfälle eine Art Kollateralschäden von Cyberangriffen auf die IT (dem eigentlichen Ziel), die auf die OT ausstrahlten. Letztendlich wird jedoch die OT selbst zum Ziel geopolitischer Manöver.
ICJ: 2023 soll ein richtungsweisendes Jahr für das Trendthema Metaversum werden. Wie beurteilen Sie dies aus der Sicht der IT-Sicherheit?
Dr. Liu: Das Metaversum ist ein enormes Unterfangen, an dem viele Technologien beteiligt sind – darunter Hardware-gesteuerte Bereiche wie Rechenleistung, 5G-Netze und viele IoT-Geräte wie Videosensoren bei Kameras. Zum aktuellen Zeitpunkt ist eine große Anzahl dieser IoT-Geräte nicht ausreichend geschützt. Dieser unzureichende Schutz besteht auch bei 5G-Netzen. Es liegt noch ein langer Weg vor uns, um wirklich sichere IT/OT-Umgebungen zu schaffen, auf denen das Metaverse aufgebaut werden kann.
ICJ: Die Konvergenz von IT und OT war eines der bestimmenden Security-Themen 2022. Welche Entwicklungen erwarten Sie auf diesem Gebiet im neuen Jahr?
Dr. Liu: Für Großunternehmen ist die IT/OT-Konvergenz bereits Teil ihres Alltags. Sie haben diesen neuen Ansatz bereits in der Praxis integriert. Da sich der Anwendungsbereich der OT-Sicherheit ausweitet, sieht der nächste Schritt für diese Unternehmen vor, jene Praktiken in Sicherheitszentren zu integrieren, die für OT optimiert sind. In der Zwischenzeit fungieren diese Unternehmen als Vorbilder für kleinere Organisationen, die eine sichere OT-Umgebung einrichten und erhalten wollen.
ICJ: Wie schätzen Sie die Bedrohung einer ‚Demokratisierung der Cyberkriminalität‘, z.B. durch Geschäftsmodelle wie Ransomware-as-a-Service etc. ein?
Dr. Liu: Der Jahresumsatz der Cybersicherheitsbranche beläuft sich heute auf etwa 160Mrd.USD und ist damit etwa 50-mal höher als vor 20 Jahren. Dies erklärt nicht nur das rasante Wachstum der Branche, sondern verdeutlicht auch, wie viel es für Angreifer zu holen gibt. Sicherheitslösungen werden aufgefächert und Verantwortlichkeiten in hohem Maße an Mitarbeiter delegiert, und die Angreifer folgen diesem Beispiel. Es ist davon auszugehen, dass sich der Zwist zwischen diesen beiden eng verknüpften Gegenspielern (Cyberangreifer vs. Cyberabwehr) durch noch anspruchsvollere Implementierungen vertiefen wird, wodurch die Erwartung geweckt wird, dass von beiden Seiten leistungsfähigere Plattformen eingesetzt werden. Mit der zunehmenden Konsolidierung von Angreifern werden sich auch die Erkenntnismöglichkeiten der Cyberabwehr weiterentwickeln. Aber je mächtiger die Cyberangreifer werden, desto mehr Menschen werden auf professionelle Hilfe zurückgreifen müssen.
ICJ: Wie bewerten Sie, angesichts steigender Energiepreise und Rohstoffknappheit, die Notwendigkeit einer Green Security, also der Entwicklung von Sicherheitslösungen unter einer energiebewussten Perspektive?
Dr. Liu: Jede Computerfunktion verbraucht zwangsläufig Systemressourcen, und Sicherheit ist da keine Ausnahme. Wir konzentrieren uns auf die OT-Sicherheit, allerdings mit dem Ziel, so viel OT-Sicherheit wie möglich anzubieten und dabei nur minimale Systemressourcen zu binden. Nehmen Sie z.B. unsere Lösung Stellar zum Schutz von Endgeräten: Die CPU-Nutzung und der Speicherverbrauch unterscheiden sich drastisch von den Werten unserer Mitbewerber. Da befinden wir uns schon auf dem Weg zur ‚grünen‘ Sicherheitstechnologie. Andererseits glauben wir, dass eine angemessene Cybersicherheit in jedem Fall ein Muss ist. Denn sobald eine Sicherheitslücke in einem Unternehmen auftritt, vor allem im OT-Bereich, sind die Wiederherstellungsprozesse einschließlich der Neuinstallationen und Tests alles andere als ‚grün‘.
