ISM Cyber Security Mitherausgeber: deutsche-flagge.de
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
ISM
Cyber Security
Berufsgenossenschaft Verkehrswirtschaft Post-Logistik Telekommunikation
Dienststelle Schiffssicherheit
BSH - Bundesamt für Seeschifffahrt und Hydrographie
Mitherausgeber:Hamburg, August 2020 Impressum Herausgeber: Deutsche Flagge Berufsgenossenschaft Verkehrswirtschaft Post-Logistik Telekommunikation Dienststelle Schiffssicherheit Brandstwiete 1 20457 Hamburg Internet: https://www.deutsche-flagge.de Bundesamt für Seeschifffahrt und Hydrographie Postfach 30 12 20 20359 Hamburg Internet: https://www.deutsche-flagge.de Mitherausgeber: Bundesamt für Sicherheit in der Informationstechnik Postfach 20 03 63 53133 Bonn Internet: https://www.bsi.bund.de
ISM Cyber Security August 2020 Seite 1
Inhaltsangabe
Cyberrisikomanagement
Einleitung
Nach der IMO Resolution MSC.428(98) sind Cyber-Risiken spä-
Module testens ab der ersten jährlichen Überprüfung des ISM DOC
nach dem 1. Januar 2021 im Sicherheitsmanagementsystem
Anhang (SMS) angemessen zu adressieren. Dabei sind die IMO
GUIDELINES ON MARITIME CYBER RISK MANAGEMENT
I BSI IT-Grundschutz-Profil (MSC-FAL.1/Circ.3) zu berücksichtigen.
II Glossar
III Regeln & Guidelines
IV Kapitänsreeder ISM-Code
Das oberste Ziel aller zu treffenden Maßnahmen ist die Gewähr-
Hamburg, August 2020 leistung eines sicheren Schiffsbetriebs und des Meeresum-
weltschutzes in allen situationsbedingten Lagen.
Einleitung Der ISM-Code regelt erforderliche Maßnahmen für die Organisation
eines sicheren Schiffsbetriebs. Durch den modulartigen Aufbau des
Zunehmende Digitalisierung, ver-
Codes können die durch Cyber-Bedrohungen notwendig geworde-
stärkte Interaktivität, steigender Ver-
nen Sicherheitsmaßnahmen in das bestehende ISM Sicherheitsma-
netzungsgrad und zunehmendes Ver-
nagementsystem (SMS) der Reederei integriert oder in einem
schwinden von Netzgrenzen an Bord
eigenen Informations-Sicherheitsmanagementsystem (ISMS) mit
von Schiffen bieten vermehrt Möglich-
Überleitung zum ISM SMS beschrieben werden. In allen Fällen sind
keiten für Bedrohungen durch interne
die Anforderung der IMO zu berücksichtigen.
und externe Cyber-Risiken.
In ein vernetztes und ungeschütztes
IT/OT-System können Dritte, aber auch Prozess
Besatzungsmitglieder, bewusst oder In Anlehnung an die Elemente des ISM-Codes sind die Inhalte der
unbewusst Schadsoftware einbringen. nachfolgenden Bausteine bei der Erstellung eines Management-
Technische Ausfälle und eine damit systems angemessen zu berücksichtigen.
einhergehende Gefährdung des
Schiffsbetriebs wären eine mögliche
Folge. 1. 8. 9.
Policy Qualifizierung Notfall
In Krisengebieten können GNSS Sig-
nale (z.B. GPS) in einer Weise gestört
werden, dass sie unbrauchbar werden. 7.
2. 10. 15.
Bleibt das Schiff ungeschützt, kann die Land
Verantwortung Meldungen KVP
Unterstützung
Gefahr exponentiell zunehmen.
Es ist notwendig, den Schiffsbetrieb mit
individuellen Maßnahmen und einem 3. 6. 11. 14.
Cyberrisikomanagement (CRM) zu un- Compliance Kapitän PMS Bewertung
terstützen.
Die im vorliegenden Dokument aufge- 4. 5.
12. 13.
führten Informationen bauen auf dem Risk Assessment SMS
Dokumentation Überprüfung
Rundschreiben 04/2018 (ISM) auf, ha- (RA) (Ergebnis RA)
ben einen empfehlenden Charakter
und beschreiben Ansätze zur Erstel-
lung eines Cyberrisikomanagements Anwendungshinweise
zur Integration in das bestehende SMS
der Reederei. Auf den folgenden Seiten werden die ISM Bausteine tabellarisch
beschrieben (die Informationen sind unverbindlich):
Das Dokument zeigt weiterhin die
Schnittstellen auf zum Mögliche
Beschreibung Referenzierung
• IT-Grundschutz des BSI Maßnahmen
• ISPS-Code Die Anforderung
[Maßnahme 1]
ISM ISPS BSI
und soll so eine Hilfestellung für ein [Maßnahme 2]
ganzheitliches maritimes Cyberrisiko-
management geben. ISM Verweis auf die Elemente des ISM-Codes
Dieses Rundschreiben erhebt keinen
Anspruch auf Vollständigkeit und ist ISPS Verweis auf die Kapitel des ISPS-Codes
keine Interpretation von internationalen oder ISPS relevante Hinweise
oder nationalen Regeln.
BSI Verweis auf IT-Grundschutz des BSI bzw.
die IT-Grundschutz-Profile für ReedereienISM Cyber Security August 2020 Seite 2
BSI IT-Grundschutz ISPS-Code
Der IT-Grundschutz des Bundesamts für Sicherheit in Dieses Dokument nimmt Bezug auf Vorschriften des
der Informationstechnik (BSI) ist eine seit mehr als 25 ISPS-Codes. Der Grund dafür ist, dass das Kapitel XI-
Jahren bewährte Methodik, um das Niveau der 2 SOLAS und der ISPS-Code Anforderungen zum
Informationssicherheit in Institutionen jeder Größen- Umgang mit „sicherheitsrelevanten Ereignissen“
ordnung zu erhöhen. Durch seine Kompatibilität in der (SOLAS XI-2/1.1.13) enthalten. Nach den einschlägi-
Standard-Absicherung zur ISO 27001 ist er internatio- gen IMO-Vorgaben zum Cyberrisikomanagement
nal angesehen. Die modulare und strukturierte (MSC-FAL.1/Circ.3, Resolution MSC.428(98)) sind
Herangehensweise ermöglicht einen passgenauen darunter auch solche Ereignisse zu verstehen, die
Einstieg in den Sicherheitsprozess: einen digitalen Ursprung haben.
• BSI-Standards: Der BSI-Standard 200-1 definiert Eine nach Abschnitt 8 ISPS/A erforderliche Risikobe-
allgemeine Anforderungen an ein Management- wertung für das Schiff sollte auch Funk- und Telekom-
system für die Informationssicherheit (ISMS). Mit munikationssysteme einschließlich Computersysteme
Hilfe des BSI-Standards 200-2 zur IT-Grund- und Netzwerke erfassen (Abschnitt 8.3.5 ISPS/B).
schutz-Methodik kann dieses solide aufgebaut Diese Anforderung ist gemäß Abschnitt 8.3.5 ISPS/B
werden. Der BSI-Standard 200-3 zum Risikoma- i.V.m. Art. 3 Abs. 5 Verordnung (EG) Nr. 725/2004
nagement beinhaltet alle risikobezogenen Arbeits- verbindlich für die Mitgliedstaaten der EU. Die Flag-
schritte für die Umsetzung des IT-Grundschutzes. genstaatsverwaltungen der EU Mitgliedstaaten haben
für die Umsetzung dieser Vorgabe Sorge zu tragen.
• IT-Grundschutz-Kompendium: Die IT-Grund- Das bedeutet, dass eine Risikobewertung, die die
schutz-Bausteine bieten konkrete Anforderungen Grundlage für den Gefahrenabwehrplan an Bord des
für ca. 100 Top-Themen der Informationssicher- Schiffes (Ship Security Plan, SSP) bildet, auch Cyber-
heit. Sie beinhalten bereits Risikoanalysen zu fast Risiken erfassen muss.
50 potenziellen Gefährdungen. Die Basis-Anforde-
rungen bilden gemeinsam mit den Standard-Anfor- Um diese Vorgabe sinnvoll umzusetzen bestehen
derungen den Stand der Technik ab und werden folgende Möglichkeiten:
vom BSI kontinuierlich weiterentwickelt.
1. Cyber-Risiken sind in der Risikobewertung für
den SSP nach Abschnitt 8 ISPS/A zu betrach-
Die Bausteine im IT-Grundschutz-Kompendium sind in
ten
Prozess- und System-Bausteine aufgeteilt und diese
jeweils in insgesamt zehn Schichten untergliedert. In
oder
dem vorliegenden Dokument erfolgt eine Referenzie-
rung insbesondere auf Bausteine aus den folgenden
2. die im Rahmen des Safety Management
Schichten:
Systems (SMS) zu erstellende Risikobewer-
tung bzw. die darin relevanten Aspekte zu
• ISMS (Grundlage für alle weiteren Aktivitäten im den Cyber-Risiken sind dem BSH als zustän-
Sicherheitsprozess) diger „ISPS-Behörde“ zusammen mit dem zu
• ORP (Organisatorische und personelle Sicher- genehmigenden SSP vorzulegen. Dies setzt
heitsaspekte) voraus, dass die Inhalte des Abschnitts 8
• CON (Konzepte und Vorgehensweisen) ISPS/A bei der Risikobewertung abgedeckt
• DER (Detektion von Sicherheitsvorfällen und Re- werden.
aktion bei Vorfällen)
Grundlage für den SSP ist die Bewertung der Cyber-
Zudem wird die Nutzung der zwei „IT-Grundschutz- Risiken nach dem ISPS-Code. In dem SSP sind die
Profile für Reedereien“, Landbetrieb (2018) sowie aus der Risikobewertung folgenden Maßnahmen zu
Schiffsbetrieb (Anfang 2020) empfohlen. Sie entstan- adressieren. Je nach Maßnahme kann dies durch
den im Rahmen der Kooperation des Vereins Hanse- direkte Verankerung im SSP oder auch durch Verweis
atischer Transportversicherer (VHT) mit dem BSI. auf das SMS erfolgen. Das Symbol (ISPS) im
Experten aus der Schifffahrtsbranche identifizierten im Abschnitt „Module“ hilft zu identifizieren, an welchen
Rahmen einer Strukturanalyse, welche Prozesse aus Stellen die Vorschriften des ISPS-Codes im Hinblick
ihrer Sicht besonders schutzbedürftig sind. Anhand auf Cyber-Risiken zu beachten sind.
dieser Prozesse wurden die relevanten Bausteine aus
dem IT-Grundschutz-Kompendium ermittelt. Daraus
ergibt sich ein Muster-Sicherheitskonzept für Reede-
reien, welches helfen kann, die Anforderungen der
IMO zu erfüllen.ISM Cyber Security August 2020 Seite 3
Module
1. Policy
Das Cyberrisikomanagement (CRM) ist ein unmittel- Policy um Cyber-Risiko Aspekte erweitern 2.1
bares Anliegen der Unternehmensleitung. Sie erkennt
die grundsätzlichen Risiken für den Schiffsbetrieb ISMS.1
durch Cyber-Bedrohungen an und erweitert die Ma-
nagementziele um das Thema Informationssicherheit
(IT & OT).
2. Verantwortung
Die Unternehmensleitung trägt die grundlegende Ver- Pflichtenübertragung vom Unternehmer an die 3.2
antwortung für das CRM an Bord ihrer Schiffe. Sie verantwortliche Person
kann - je nach Organisation und Größe der Reederei Verantwortliche(n) benennen ISMS.1
- Verantwortung und Aufgaben übertragen. Aufgabenbeschreibungen und Kommunikations-
Im SMS werden alle Personen mit zugewiesenen wege im SMS erweitern (z.B. Job Description
CRM Aufgaben erfasst. und Organigramm)
3. Compliance
Rechtskataster listen anzuwendende Regeln und Vorhandene Rechtskataster um Dokumente der 1.2
Empfehlungen auf, z. B. von der IMO, Flaggenstaats- Informationssicherheit erweitern:
verwaltung, BSI, Klassifikationsgesellschaften, Indust- - Vorschriften, die zu beachten sind ORP.5
rieverbänden. Aus diesen werden die relevanten - Guidelines, die zu berücksichtigen sind
Anforderungen abgeleitet, sie bilden eine Basis für die CON.2
Erstellung und Fortschreibung des Managementsys- CON.7
tems / SMS und des Risk Assessment (RA).
4. Risk Assessment
Über das Risk Assessment werden Gefährdungen Risiken beurteilen. 1.2
ermittelt, deren Risiken beurteilt und erforderliche Hinweis ISM:
Schutzmaßnahmen festgestellt. Dazu kann das be- Hinweis
Die Risiken für den Schiffsbetrieb sind zu berück-
stehende ISM RA genutzt werden. Der Umfang richtet sichtigen, d.h. über ein RA sind die Auswirkun- Hinweis
sich nach Faktoren wie Unternehmensstruktur, gen und Folgen eines Cybervorfalls ebenso zu
Schiffstyp, Automatisierungsgrad an Bord und Zu- berücksichtigen wie das Risiko eines Cybervor- IT-Grundschutz-
Profil
gang zu IT/OT. Zur Ermittlung von Gefährdungen falls selbst.
(HAZID) und Beurteilung von Risiken (RA) eignen Hinweis
Hinweis IT-Grundschutz-Profil:
sich auch umfängliche Schwachstellenanalysen (z.B. Die Basis- und Standard-Anforderungen der IT-
Penetration-Tests). Grundschutz-Bausteine basieren auf einer Be-
trachtung der potenziellen Gefährdungen und
den daraus resultierenden Risiken, so dass dazu
passende Maßnahmen für den normalen Schutz-
bedarf und für typische Anwendungsszenarien
einen ausreichenden Schutz bieten. Für abwei-
chende Szenarien finden sich in den Profilen
Hinweise zur „Durchführung einer Risikoanalyse
auf Basis von IT-Grundschutz“.
Hinweis ISPS-Risikobewertung
Zur ISPS-Risikobewertung wird auf den Ab-
schnitt „ISPS-Code“ auf Seite 2 verwiesen.
Maßnahmen zur Risikominimierung festlegen
regelmäßige Wirksamkeitskontrolle durchführenISM Cyber Security August 2020 Seite 4
5. SMS (Ergebnis RA)
Ein Ergebnis des RA sind technische, organisatori- Verfahren und Anweisungen im SMS erstellen, 1.4
sche und personenbezogene Schutzmaßnahmen. Sie ggf. ändern oder anpassen
werden als Prozess oder Verfahrensanweisung im Anregungen aus dem IT Grundschutz-Profil nut- 9.4
SMS beschrieben und stehen damit der Besatzung zen, z.B. durch Referenzierung auf einzelne Bau-
IT-Grundschutz-
zur Verfügung. steine Profil
Ggf. Referenz zum SSP, z.B. für vertrauliche In-
formationen und Maßnahmen, die nicht frei zu-
gänglich gemacht werden sollen
6. Kapitän
Das SMS beschreibt die CRM Verantwortung und Auf- Aufgabenbeschreibung des Kapitäns erweitern 5
gaben des Kapitäns sowie dessen Entscheidungs- (z.B. Job Description)
und Weisungsbefugnis. Dazu zählen neben der Qualifizierungsanforderung festlegen 6.1
Umsetzung und Überwachung der Maßnahmen auch Qualifizierungsmaßnahmen festlegen
Overriding authority sicherstellen 6.2
das Erkennen und Melden von Mängeln und
Schwachstellen an die Reederei sowie die Motivation Motivation: Unterstützung durch geeignete Tools
und konkrete Vorgaben 6.1
der Besatzung zur Mitwirkung. Qualifizierungsmaß-
nahmen für CRM können erforderlich sein und sind im ORP
SMS darzustellen.
7. Landunterstützung
Durch geeignete Organisation steht dem Kapitän qua- Verantwortliche(n) benennen 3.2
lifizierte landseitige Unterstützung durch die Reederei Aufgaben "Landorganisation" festlegen
zur Verfügung zum Aufgabenbeschreibung erweitern 3.3
- Reagieren auf einen Cyber-Vorfall, Notfallteam bilden (siehe auch Pkt.9)
Prävention 4
- Reagieren auf die Folgen eines solchen Vorfalls,
- Wiederherstellen von Systemen (Backup & Restore). IT Grundschutz-Profil für Reedereien - Landbe- 6.5
trieb berücksichtigen
6.2
9.4.12
IT-Grundschutz-
Profil
8. Qualifizierung
Das SMS beschreibt die CRM Verantwortung und Auf- Aufgabenbeschreibung im SMS erweitern 6.4
gaben der betroffenen Personen auf See und an Land. (z.B. Job Description)
Diese werden bei Dienstantritt, Veränderungen und Qualifikationsplan erweitern (Matrix) 6.5
regelmäßig wiederkehrend unterwiesen. Dazu enthält Trainingsplan erweitern (Matrix)
Vorgaben für Unterweisung für See- und Land- 8.2
das SMS einen Trainings- und Qualifizierungsplan
sowie Maßnahmen zum Feststellen von Trainingsbe- bereich 9.4.7
darf (Land / See). Sensibilisierungsmaßnahmen nach BSI ORP
Aufgaben des Schiffspersonals 9.4.9
ORP
9. Notfall
Die bestehenden ISM Notfallpläne werden um Notfallplan See 8.1
Aspekte des CRM ergänzt (See & Land) und regelmä- Notfallplan Land
ßig durch Übung, Simulation und Schulung eingeübt Notfallteam & Organisation Land 8.2
(Ziel: reflektierendes Handeln). ISM Drill Plan ergänzen
Notfallkontaktdaten 8.3
Die Pläne schließen ein:
- Reagieren auf Cyber-Vorfälle und deren Folgen Notfall-Meldekette 9.4.4
- Wiederherstellen (Backup & Restore)
- Notfallrufnummern und Meldeketten 9.4.6
- Notfallteam "Land" (inkl. Zusammensetzung) DERISM Cyber Security August 2020 Seite 5
10. Meldungen
Vorfälle, Unfälle, Beinahe-Unfälle und sonstige rele- Vorgabe für die Meldung 9.1
vante Vorkommnisse werden über das ISM Meldewe- Kontaktdaten
sen an die zuständigen internen Stellen gemeldet, Meldeketten 9.2
dort untersucht und analysiert. In deren Folge werden
9.4.12
korrigierende und präventive Maßnahmen eingeleitet.
Ziel: kontinuierliche Verbesserung. Meldeketten und DER.2.1
externe Meldepflichten werden beschrieben.
11. PMS
Die Sicherstellung der Instandhaltung von Schiff und Überprüfungs- und Wartungsaufgaben definieren 10.1
Ausrüstung ist bereits durch ein Verfahren im SMS Aufgaben im PMS verwalten
beschrieben und wird um CRM Maßnahmen erweitert. Liste "Critical Equipment" überprüfen und ggf. er- 10.2
Aus dem Risk Assessment abgeleitete Schutzmaß- weitern
10.3
nahmen, die regelmäßig wiederkehrend zu überprü-
fen oder durchzuführen sind, werden im PMS verwal- 10.4
tet (Planned Maintenance System / Planung, Durch-
9.4.16
führung, Dokumentation). Dazu können Software-
Updates zählen. Der Bereich Critical Equipment wird ISMS.1
fortgeschrieben.
12. Dokumentation
Anforderungen an die Dokumentation und der Zugriff Bestehendes Verfahren erweitern ISM 11
auf diese sind bereits Bestandteil des SMS; sie ISM-Dokumentation erweitern
werden um CRM Belange erweitert. 10.4
ISMS.1
13. Überprüfung
Durch interne und externe Audits wird das Manage- Interne Auditverfahren erweitern ISM 12.1
mentsystem, der Grad der Umsetzung und die Interne Prüflisten & Prüfkriterien erweitern
Wirksamkeit nach festgelegten Kriterien fortlaufend Auditoren qualifizieren 9.4.8
überprüft. Interne Audits an Bord und an Land werden
DER.3.1
um das Thema CRM erweitert und in Intervallen von
nicht mehr als 12 Monaten durchgeführt.
14. Bewertung
Regelmäßig jährlich wird das Sicherheitsmanage- Topic einbinden im Management Review 12
ment bewertet zur Prüfung, ob die Organisation auf Ergebnisse zusammenfassen aus Audits, Vorfäl-
See und an Land entsprechend den SMS Vorgaben len und Beinahe-Vorfällen, Beratung, Analysen, 8.5
arbeitet, die Maßnahmen effektiv sind, das Personal Korrektur-/Präventivmaßnahmen, Folgemaßnah-
men vorheriger oder anderer Bewertungen, Ein- 9.4.11
und interne Auditoren ausreichend qualifiziert sind
und Auditergebnisse - soweit vertretbar - bekannt haltung der Politik, vorhandene Ressourcen
DER.3.1
gemacht sind und notwendige korrigierende und prä-
ventive Maßnahmen zeitnah eingeleitet wurden.
15. KVP
Kontinuierlicher Verbesserungsprozess – die Reede- Maßnahmen für KVP und Fortschreibung im SMS
rei muss den ständigen Veränderungen und den im SMS festlegen
eigenen System erkannten Schwachstellen Rech- 14
nung tragen und eine Fortschreibung des SMS und
DER.3.1
RA Systems sicherstellen und damit den kontinuierli-
chen Verbesserungsprozess einleiten. ISMS.1ISM Cyber Security August 2020 Seite 6
Anhang I - Bedienungshinweise zu den IT-Grundschutz-Profi-
len für Reedereien
Ein IT-Grundschutz-Profil ist ein Muster-Sicherheitskonzept, das als Schablone für Institutionen mit ähnlichen
Rahmenbedingungen dient, beispielsweise in einer bestimmten Branche. In einem IT-Grundschutz-Profil wer-
den die einzelnen Schritte eines Sicherheitsprozesses für einen definierten Anwendungsbereich gebündelt und
dokumentiert. Dazu gehören: Festlegung des Anwendungsbereichs, Durchführung einer verallgemeinerten
Strukturanalyse, Schutzbedarfsfeststellung und Modellierung für diesen Bereich, Auswahl und Anpassung von
umzusetzenden IT-Grundschutz-Bausteinen sowie Beschreibung spezifischer Sicherheitsanforderungen und -
maßnahmen.
Anwenderinnen und Anwender können die Sicherheitsbetrachtungen auf die individuellen Rahmenbedingungen
ihres Unternehmens übertragen und das Sicherheitsniveau im Betrieb modular erhöhen. Das spart ihnen viel
Zeit und Arbeit. Ein IT-Grundschutz-Profil ist somit eine praktikable Lösung, um mit überschaubarem personel-
len und finanziellen Aufwand die ersten Schritte in Richtung Informationssicherheit zu gehen.
Mit den hier empfohlenen IT-Grundschutz-Profilen für Reedereien stehen praktische Muster-Sicherheitskon-
zepte zur Verfügung. In dem IT-Grundschutz-Profil für Reedereien - Seebetrieb sind bereits die Prozesse „Tech-
nischer Betrieb“, „Nautischer Betrieb“, „Landungsbetrieb“ und „Kommunikation“ identifiziert und bieten soge-
nannte Landkarten zur Umsetzung der notwendigen Anforderungen für die Gewährleistung der Informationssi-
cherheit an Bord. Das IT-Grundschutz-Profil für Reedereien - Landbetrieb fokussiert die Prozesse „Accounting“
und „Technisches Management“ und dient als Umsetzungshilfe für die unter Punkt 7 aufgeführten Themen rund
um die Landunterstützung.
Hinweise zur Nutzung der IT-Grundschutz-Profile
Die beiden IT-Grundschutz-Profile beschreiben jeweils, wie das Muster-Sicherheitskonzept als Grundlage für
den Informationssicherheitsprozess in der Reederei dient und ist an die realen Gegebenheiten im Betrieb an-
zupassen. An dieser Stelle sind zusätzlich hilfreiche Tipps für den Umgang mit den einzelnen IT-Grundschutz-
Bausteinen zusammengefasst.
Wie arbeite ich zeitsparend und zielgerichtet mit dem Original IT-Grundschutz-Baustein?
Der eigentliche IT-Grundschutz-Baustein ist auf der Website des BSI verortet und dort erreichbar. Die Struktur
ist immer gleich, die einzelnen Kapitel sind per „Sprungmarken“ gezielt anzusteuern. Das spart viel Zeit, denn
so gelangen Sie auf direktem Wege zu den für Sie relevanten Textpassagen.
Kapitel (Inhalt) Lese-Empfehlung
1. Beschreibung (Einleitung, Zielsetzung, KANN – Bietet allgemeine Hintergrundinformationen und dient der
Abgrenzung zu anderen Bausteinen) Einordnung
KANN – Überblick zu Risiken, die auftreten können, wenn die An-
2. Gefährdungslage
forderungen nicht umgesetzt werden
3. Anforderungen
MUSS – die Basis-Anforderungen sind die notwendigen Anforde-
3.1 Basis-Anforderungen rungen für die Steigerung der Informationssicherheit in Ihrem Be-
trieb.
3.2 Standard-Anforderungen MUSS – wenn Standard-Absicherung angestrebt wird.
3.3 Anforderungen bei erhöhtem Schutz- KANN – z. B. relevant, wenn dieser Baustein sich auf ein für Sie
bedarf besonders schützenswertes Zielobjekt ihres Betriebs bezieht.
4. Weiterführende Informationen (Litera-
KANN – zur Vertiefung des Themas
tur)
5. Anlage: Kreuzreferenztabelle zu ele- KANN – hier ist zu sehen, welche Risiken Sie mit der Umsetzung
mentaren Gefährdungen des Bausteins minimieren konnten.ISM Cyber Security August 2020 Seite 7 [!] WICHTIG: Basis-Anforderungen sind ein MUSS, Standard-Anforderungen ein SOLLTE Jede Anforderung mit der Nummerierung A.1 bis A.n beinhaltet MUSS- bzw. SOLLTE-Sätze. Betrachten Sie den Textabschnitt wie eine Checkliste: Jeder Satz ist eine eigenständige Anforderung, die zu betrachten ist. Ist sie bereits in Ihrem Betrieb erfüllt – Haken dran. Ist sie NICHT erfüllt, dann gibt es noch etwas zu tun. Wie kann ich die Umsetzungshinweise zum IT-Grundschutz-Baustein nutzen? Für viele IT-Grundschutz-Bausteine hat das BSI praktische Umsetzungshinweise herausgegeben. Die gute Nachricht: Sie müssen die umfassenden Ausführungen nicht in Gänze lesen, sondern nur das, was Sie in dem Moment wirklich interessiert. Der Trick: Aus A wird einfach M. Denn zu jeder Anforderung mit dem Kürzel A.[Nummer] im Baustein gibt es eine passende Maßnahme mit dem entsprechenden Kürzel M.[Nummer] in den Umsetzungshinweisen (sofern diese vorhanden). In der Online-Version erleichtern auch hier Sprungmarken den direkten Einstieg zu den „Basis-Maßnahmen“. Beispiel: Die Basis-Anforderung „OPS.1.1.4.A1 Erstellung eines Konzepts für den Schutz vor Schadprogram- men“ im Baustein „OPS.1.1.4 – Schutz vor Schadprogrammen“ korrespondiert mit der Maßnahme „OPS.1.1.4.M1 Erstellung eines Konzepts für den Schutz vor Schadprogrammen“ in den dazu passenden Um- setzungshinweisen.
ISM Cyber Security August 2020 Seite 8
Anhang II - Glossar
ACP-Liste: Acess point list - Auflistung aller elektronischer IPDRR: Das Managementsystem soll die von der IMO
Zugänge zur Schiffs-IT und Schiffs-OT als empfohlenen IPDRR Grundsätze und Maßnah-
Grundlage für das Risk Assessment und Ermitt- men berücksichtigen:
lung potentieller Schwachstellen.
IDENTIFY Identifizieren von Gefahren
APP: Applikation – Anwendungssoftware im Allgemei- PROTECT Schutz vor "Gefahren"
nen und nicht reduziert auf Smartphone oder
Tablet Anwendungen. DETECT Identifizieren eines "Vorfalls"
RESPOND Reagieren auf einen "Vorfall"
Audit: Systematischer, unabhängiger interner oder
externer Prozess für die Überprüfung eines RESTORE Wiederherstellen
Managementsystems und zur Erlangung von
Nachweisen sowie deren Auswertung zur ISM-Code: Internationaler Code für Maßnahmen zur Organi-
Ermittlung, ob definierte Auditkriterien erfüllt und sation eines sicheren Schiffsbetriebes und
die Anforderungen des Managementsystems Verhütung der Meeresverschmutzung. Dies ist
umgesetzt werden. eine international gültige Norm für Maßnahmen
zur sicheren Betriebsführung von Schiffen und
Awareness: Bewusstsein und Aufmerksamkeit - fehlende zur Verhütung der Meeresverschmutzung. Der
oder nicht fortlaufende Unterweisung / Fortbil- Code regelt erforderliche Maßnahmen für die
dung für See- und Landpersonal erhöhen die Organisation eines sicheren Schiffsbetriebs.
Wahrscheinlichkeit von Fehlverhalten beim Durch den modulartigen Aufbau des Codes
Verhindern, Erkennen und Reagieren auf Ge- können die durch Cyber Bedrohungen notwendig
fahren und Bedrohungen. gewordenen Sicherheitsmaßnahmen in das be-
stehende Sicherheitsmanagementsystem (SMS)
BDSG: Das BDSG ergänzt die unmittelbar geltende Ver- der Reederei integriert werden.
ordnung (EU) 2016/679 (Datenschutz Grundver-
ordnung) um die Bereiche, in denen die EU-Ver- ISMS: Informationssicherheitsmanagement (ISMS) -
ordnung den Mitgliedstaaten Gestaltungsspiel- ein Managementsystem auf dem IT Sektor, es
räume belässt. Durch den erforderlichen Schutz steht in keiner Verbindung zur IMO und dem ISM-
von Daten ist das BDSG ein im Management- Code. Dadurch besteht Verwechslungsgefahr.
system zu berücksichtigendes Element.
ISPS-Code: Internationaler Code für die Gefahrenabwehr auf
Cyber Risk Dies sind Unternehmensgrundsätze, Verfahrens- Schiffen und in Hafenanlagen, gültig für Schiffe
Management weisen und Ressourcen, die ein Unternehmen unter deutscher Flagge seit 2004.
(CRM): umgesetzt hat und weiterentwickelt, um potenti-
elle Risiken, resultierend aus der Benutzung von IT / OT: IT: Informationstechnologie und Netzwerke, z.B.
IT und OT, zu erkennen, zu reduzieren und ab- Kommunikationseinrichtungen Email / Telefon
zuwehren. sowie Internet, Office-PC, PMS Server, W/LAN.
Gefährdung: Quelle, Situation oder Handlung, die zu einem OT: Systemanlagen / Operational-PC´s (z.B.
Schaden führen kann. GNSS, Radar, ECDIS, Maschinensteuerung,
Sensoren, Alarm, Überwachung).
IT-Grundschutz: Das IT-Grundschutz-Profil sind Empfehlungen RA und SMS dürfen sich nicht auf IT reduzieren,
zur Umsetzung der Informationssicherheit und Maßnahmen müssen OT und Schnittstellen
bestehen aus System- und Prozessbausteinen zwischen IT und OT berücksichtigen.
mit konkreten Handlungsempfehlungen.
Korrektur: Korrekturmaßnahmen zur Beseitigung einer
HAZID: Hazard Identification - Auflistung potentieller erkannten Abweichung oder Schwachstelle
Gefahren und gefährdeter Anlagen und Einrich- (englisch: CA corrective action).
tungen als eine nicht abschließende und weiter
fortzuschreibende Liste. Diese Gefahrenidentifi- KVP: Kontinuierlicher Verbesserungsprozess - ein
zierung dient als Grundlage für das Risk Asses- Grundprinzip zur Fortschreibung und Weiterent-
sment. wicklung des Managementsystems durch stetige
Anpassung und Verbesserung, insbesondere in
Industrial: "Guidelines on Cyber Security Onboard Ships" - der Folge von Bewertungen.
Guideline: dies sind anerkannte Informationen der Fach-
verbände und können bei der Erstellung und Ladung: Die Richtigkeit von Ladungsangaben (Gewicht,
Fortschreibung des Management Systems un- Gefahrgut, Stauposition z.B. bei Containerla-
terstützen. Details können bei der BIMCO oder dung) ist primär die Aufgabe vom Terminal und
den weiteren Verfassern eingeholt werden. Charterer. Der sichere Datenaustausch Land-
Schiff und damit die sichere Stauung müssen ge-
Integriert: Cyber Risk Management kann durch Einzel- währt bleiben.
maßnahmen und -verfahren in das bestehende
SMS der Reederei integriert werden oder aber
als eigenständiges Managementsystem mit ei-
ner Schnittstelle zum ISM SMS geführt werden.ISM Cyber Security August 2020 Seite 9
Anhang II - Glossar Fortsetzung
Navigation: Mögliche Gefährdungen können sein: RESID: Ressource Identification - Auflistung der Ressour-
• Ausfall oder Manipulation GPS / DGPS. cen und Kompetenzen als Grundlage zur Bewer-
GPS-Spoofing: falsche Positionsdaten. tung, ob eigene Möglichkeiten ausreichend sind
GPS Jamming: Störsender, Signalstörung oder Hersteller, externe Dienstleister oder Experten
oder Signalverhinderung. hinzugezogen werden müssen. Sie ist eine Grund-
• Ausfall oder Manipulation der AIS Daten. lage für das Risk Assessement (s.h. auch HAZID)
und listet potentielle Hersteller und Servicepartner
• Fehlerhafte Geschwindigkeitseingabe führt auf.
zur fehlerhaften ARPA Auswertung.
• Fehlerhafte ECDIS Angaben. TOP: Maßnahmenhierarchie - ein bestehendes Risiko mit
• Ausfall (Absturz) und Reboot-Fehler der Ra- Schutzmaßnahmen nach der TOP Hierarchie redu-
daranlagen / integrierter Anlagen. zieren:
• Manipulation oder Ausfall von DP-Systemen. (T) Technisch
• Ausfall Echolot und anderer softwarebasierter (O) Organisatorisch
und/oder integrierter Navigationssysteme.
(P) Personenbezogen
• Beeinflussung der Steuerung und Überwa-
chung von Maschinenanlagen / Aggregaten. (T) Maßnahmen haben Vorrang vor (O) und (P),
• Fehlerhafte Reiseplanung. eine technische Maßnahme ist sicherer als eine
Verhaltensanweisung (P).
RA: Risk Assessment / Risikobeurteilung – der Pro- Beispiel Email-Verkehr:
zess der von einer Gefährdung ausgehenden
(P): Anweisung an die Besatzung "keine Anhänge
Bewertung des Risikos. Über das RA werden die
mit .exe & .mpg öffnen".
Risiken und erforderlichen Gegen- bzw. Schutz-
maßnahmen festgestellt. (T): ein Filter ermöglicht nur .pdf & .jpg Anhänge.
Diese (T) Maßnahme ist sicherer als die Verhal-
RA Methode: Es gibt unterschiedliche Modelle und Ansätze. tensanweisung (P).
Die Auswahl und das konkrete Vorgehen oblie-
gen dem Unternehmen. Umfang: Abhängig von den erkannten Gefährdungen muss
der Umfang der Maßnahmen den festgestellten
Beispiel über die HAZID und RESID Modelle:
Gefährdungen und der Organisationsgröße gerecht
Zunächst werden die Gefahren identifiziert
werden. Der Anspruch der kontinuierlichen Verbes-
(HAZID Liste) und die zur Verfügung stehenden
serung sollte möglichst höher wiegen als der Ver-
Ressourcen (RESID Liste). Darüber hinaus alle
such der einmalig alles abdeckenden und abschlie-
Möglichkeiten, über die ein Zugang zur Schiffs-
ßenden Regelung.
IT oder Schiffs-OT möglich ist (ACP Liste). Wird
über die ACP Liste festgestellt, dass es keine Zu-
Verfahren: Festlegung der Art und Weise, wie eine Tätigkeit
gänge gibt, ist der Umfang der erforderlichen
oder ein Prozess auszuführen ist.
Maßnahmen gering. Auf Basis dieser Listen wer-
den die Risiken der identifizierten Gefährdungen
Vorgaben: Es gibt keine konkrete Vorgabe über Inhalte und
bewertet und bei Bedarf Schutzmaßnahmen
formales Vorgehen oder Aufbau eines Manage-
nach der TOP Maßnahmenhierarchie festgestellt
mentsystems. Gesetzliche Anforderung: die Pflicht
(technische Maßnahmen haben Vorrang vor per-
für ein Cyber Risk Management ergibt sich primär
sonen- u. verhaltensbezogenen Maßnahmen).
aus den IMO Anforderungen zum ISM-Code, der
EU DSGVO und dem BDSG.
Risiko: Verbindung aus Eintrittswahrscheinlichkeit und
der Schadensschwere einer Gefahr bzw. eines
Zertifizierung: Eine Zertifizierung zusätzlich zum ISM ist auf der
gefährlichen Ereignisses.
Basis der Anforderungen der IMO nicht erforderlich,
Risko = solche Anforderungen können privatwirtschaftlich
Eintrittswahrscheinlichkeit x Schadensschwere notwendig werden oder sich aus den ermittelten
Ein Risiko zu reduzieren bedeutet, mit einer Gefährdungen und Risiken, der Betriebsorganisa-
Schutzmaßnahme die Eintrittswahrscheinlichkeit tion oder der Betriebsgröße ergeben.
und/oder die Schadensschwere positiv zu beein-
flussen. Bei einem akzeptierbaren Risiko können Zertifiz. ISM: Das Sicherheitsmanagementsystem der Reederei
Maßnahmen entfallen. Akzeptierbar ist ein wird erstmalig und jährlich wiederkehrend durch in-
Risiko, wenn es soweit reduziert wurde, dass es terne und externe Audits überprüft. Die Überprü-
unter Berücksichtigung der rechtlichen und ver- fung der Umsetzung dieses Systems an Bord der
traglichen Verpflichtungen und der eigenen Schiffe erfolgt ebenfalls regelmäßig durch interne
Politik toleriert werden kann. und externe Audits. Im Anschluss erfolgt die Zertifi-
zierung.
Risikoanalyse: s.h. RA.
Risikomatrix: Darstellung der unterschiedlichen Risiken, von Verweis auf weitere Glossare des BSI:
geringem Risiko über mittlerem noch tolerierba-
ren Risiko (ALARP) bis hin zum sehr hohen https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrund-
Risiko zur Durchführung der Risikobeurteilung. schutzKompendium/vorkapitel/Glossar_.html
Beispiel: Risikomatrix nach Nohl.
https://www.allianz-fuer-cybersicherheit.de/ACS/DE/Informati-
onspool/Cyberglossar/cyberglossar_node.html
https://www.bsi-fuer-buerger.de/BSIFB/DE/Ser-
vice/Glossar/glossar_node.htmlISM Cyber Security August 2020 Seite 10
Anhang III - Regeln & Guidelines
Verweis auf weiterführende Informationen, Regeln und Guidelines.
IMO Resolution MSC.428(98) IMO
www.imo.org
IMO Guidelines MSC-FAL.1/Circ.3 IMO
www.imo.org
ISM Circular 04/2017 BG-Verkehr
www.deutsche-flagge.de
ISM Circular 04/2018 BG-Verkehr
www.deutsche-flagge.de
IT-Grundschutz-Profil für Reedereien – Landbetrieb BSI
https://www.bsi.bund.de/SharedDocs/Down-
loads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Reede-
reien_Land.html
IT-Grundschutz-Profil für Reedereien - Schiffbetrieb BSI
https://www.bsi.bund.de/SharedDocs/Down-
loads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Reede-
reien_Schiff.html
The Guidelines on Cyber Security on-board Ships BIMCO, CLIA, ICS, INTERCARGOL, INTERMANAGER,
(Industrial Guidelines) INTERTANKO, IUMI, OCIMF, WORLD SHIPPING COUN-
CIL
www.bimco.orgISM Cyber Security August 2020 Seite 11
Anhang IV - Kapitänsreeder
Die nachfolgende Auflistung sind mögliche
Beispiele technischer, organisatorischer Vier-Stufen-Modell
und persönlicher Maßnahmen und dienen
der Orientierung für sogenannte Einschiffs-
Kapitänsreeder oder Reedereien mit ver-
gleichbaren Schiffsbetrieb. 1. Prüfe!
Welche Cyber-Risiken
Im Vier-Stufen-Modell gilt: bringt mein Schiffsbe-
trieb mit sich?
PRÜFEN
BEWERTEN
2. Bewerte!
UMSETZEN Sind meine derzeitigen Maßnah-
ANALYSIEREN. men ausreichend oder sind wei-
tere Maßnahmen notwendig?
Die hier dargestellten Maßnahmen sind
stark vereinfacht und erreichen nicht das in 3. Setze um!
diesem Dokument vorgeschlagene Niveau
Geeignete weitere technische / organisa-
für Informationssicherheit.
torische / persönliche Maßnahmen sind
festzulegen und umzusetzen.
Die Dienststelle Schiffssicherheit schlägt
diese Maßnahmen zur Orientierung für den
Fall vor, dass andere in diesem Dokument
beschriebenen Maßnahmen aufgrund der 4. Analysiere!
Betriebsgröße von Kapitänsreedern nicht Maßnahmen zur Vermeidung bzw. Reduzierung
umgesetzt werden können. von Cyber-Risiken sind einer regelmäßigen Wirk-
samkeitskontrolle zu unterziehen.
T Technische Maßnahmen
Verschluss / Verplombung Backup Storage Cloud WLAN Schutz
von Zugängen (USB/LAN) Datensicherung auf externe Meidung einfacher Cloud- - nach neuestem Standard
keine Möglichkeit zum An- Medien Dienste gesichert
schluss von Massenspeicher- - unterschiedliche Netze für
medien durch Dritte Schutz & Filter Physische Trennung Crew und Schiffsbetrieb
- Firewall Trennung von internen und
Physische Entfernung - Virenschutzprogramm externen Systemen Email
von CD/DVD, Floppy- und - Spam-Filter Crew Internet Email: Stand-
anderen Laufwerken VPN – Verschlüsselung alone-Lösung statt Netz-
Software / APPS Virtual Private Network, Ver- werk (physische Trennung)
Stand-alone-Lösung - nur notwendige schlüsselung der Kommuni-
Sperrung bestimmter Email
Einzel-PC statt Netzwerk Anwendungen installieren kation
Anhänge wie ".exe, .cpl,
(z.B. Ladungs-PC) - unnötige Funktionen & .bat, .com, .scr, .vbs, .vba"
Plugins deaktivieren Remote access control:
(z.B. für Crew nur zulassen:
Quarantäne PC Authentisierung von Zugän- .jpg, .txt, .pdf)
Netzwerkunabhängiger PC Berechtigungskonzept gen (RAS, VPN)
für Virenüberprüfung Unterschiedliche Zugriff-Le- Limitierung von Email An-
vel, nur der bekommt Rechte, Netzwerke: hängen, Account abhängig
Zutrittsbeschränkung: der sie braucht mehrfache Segmentierung
physischer Schutz, Ab- (Operation/Master/Crew/…). Zugangskontrolle
schrankung. Serverstandort: Updates / Patches: IT Nutzung nur nach Login /
restricted area APPS, MS Office, IT, OT. An- Authentifizierung
wendungen aktuell halten, Si-
cherheitslücken schließenISM Cyber Security August 2020 Seite 12
O Organisatorische Maßnahmen
Rechte PMS System Bildschirmsperre Expertenrat
Administratorenrechte und Erweitern für Planung, Durch- automatisch nach x Minuten einholen, wenn die eigene
Zugriffsrechte einschränken führung & Dokumentation / manuell bei Verlassen des Organisation / IT überfordert
- regelm. IT Überprüfung Arbeitsplatzes ist (Notfallkontakt)
Verantwortlichkeiten und Zu- - Updates / Patches
ständigkeiten - Backup Unterstützung d. Reederei: Überwachungsmaßnahmen
regeln: See / Land / Dritte - Hotline / Kontakt / Beratung Monitoring / Erkennen
IT Überprüfungen - Notfallplan Office
Service / Dritte an Bord - durch interne oder externe - Wiederherstellungsplan Datenumgang
Autorisierung, Work Permit, Sicherheitsfirmen Regelungen zur Datenspar-
Zugangsbeschränkungen, - Beratung durch Fachfirma samkeit
Warnhinweise, OT Zugangs-
berechtigung
P Persönliche Maßnahmen
Unterweisung Mögliche Inhalte Informieren Verhaltensanweisung (b):
- erstmalige - Navigation: Manipulation des Poster, elektr. Medien & Infor- Unterlassungserklärung zur
mationsmaterial Manipulation / Einwahl in
- wiederkehrende GNSS, AIS, Bahnführung er- Netzwerke (Crew-hacking,
kennen Verhaltenshinweise Vertrag, Vertragsergänzung)
- anlassbezogene
- Monitoring & Erkennen Aushänge, Textanweisung
- Reagieren & Melden über den Bildschirmschoner Disziplinarische Maßnahmen
Qualifizierung bei bewusster Missachtung
- Wiederherstellen Verhaltensanweisung (a): der Vorgaben
Schulung, Training & Info-
Programme (Sensibilisieren) - Aufmerksamkeit / awareness Klare Anweisungen für sen-
- Gefahren sible Bereiche Qualifizierungs-Maßnahmen
- an Land
- Schutzmaßnahmen bei unbewusster Missachtung
- auf See der Vorgaben
- VerhaltensmaßnahmenSie können auch lesen
