Wie TS 50701 die gesamte Bahn-Infrastruktur sichert

Als Teil des Cybersecurity Awareness Month vertiefen wir uns in die OT-Sicherheitsstrategie und -maßnahmen für verschiedene kritische Infrastruktursektoren. Heute werden wir die Cyber-Sicherheitsmaßnahmen untersuchen, die wir für Bahnunternehmen empfehlen. Jede Diskussion über Bahnsicherheit ist unvollständig ohne Verweis auf den CENELEC TS 50701-Standard, daher werden wir auch darauf näher eingehen.

Moderne Bahnsysteme müssen sich mit vielfältigen Sicherheitsherausforderungen auseinandersetzen. Die Angriffsfläche hat sich von der Fahrkartenausgabe bis zur Lokomotive selbst und den Sensorclustern erweitert. Ein Cyberangriff ist längst nicht mehr nur ein IT-Problem; es ist ein kritisches Sicherheitsrisiko. Selbst an guten Tagen ist es für Bahnunternehmen eine gewaltige Aufgabe, diese komplexe, vernetzte Umgebung zu sichern.

An dieser Stelle tritt normalerweise der CENELEC TS 50701-Standard auf den Plan.

Es ist nicht nur ein weiterer Standard. In der Tat ist es das erste umfassende Rahmenwerk, das von Bahnexperten für den Bahnsektor entwickelt wurde und einen vollständigen End-to-End (E2E) Lebenszyklusansatz für Cybersecurity bietet.

Für Bahnbetreiber und Anlagenbesitzer ist das Verständnis von TS 50701 nicht optional. Es ist vielmehr die Grundlage für einen widerstandsfähigen und sicheren Dienst. Dieser Standard geht über fragmentierte Lösungen hinaus und bietet eine einheitliche Strategie zur Sicherung Ihres gesamten Betriebs, von physischen Depots bis zur digitalen Lieferkette.

Vergessen Sie nicht, unseren vorherigen Blog über „Sicherung des Netzes: Ein tiefer Einblick in die OT-Sicherheit für elektrische Unterstationen“ hier zu lesen.

Jenseits der Firewall: Physische und virtuelle Assets sichern

Ein häufiger Irrtum ist, dass Cybersicherheit nur Firewalls, Diode und Software betrifft. TS 50701, basierend auf dem robusten IEC 62443-Standard, bietet eine ganzheitlichere Sicht durch das Konzept der „Zonen und Kanäle“. Wer mit IEC 62443 vertraut ist, wird hier einen Zusammenhang erkennen. 

Stellen Sie sich Ihre gesamte Bahn wie eine Stadt vor. Sie können und würden Ihre Stadt nicht nur mit einer langen Mauer rundherum schützen. Sie hätten gesicherte Bereiche (Zonen) wie einen Banktresor, eine Polizeiwache oder ein Krankenhaus und kontrollierte Wege (Kanäle), um sich dazwischen zu bewegen. Tatsächlich, wie die Terrorangriffe am 11. September gezeigt haben, suchen Terroristen ständig nach Wegen, um von innen anzugreifen. Die Situation ist nicht anders, was Hacker und Bedrohungsakteure betrifft.

• Zonen: Diese sind Gruppen von Assets (sowohl physisch als auch logisch), die ein gemeinsames Sicherheitsbedürfnis teilen. Eine Zone kann sein:

  • Physisch: Ein Signalkontrollzentrum, ein Wartungsdepot oder ein spezifischer Serverraum.

  • Logisch: Ihr Passagier-WLAN-Netzwerk, das Train Control and Management System (TCMS) oder das Passagierinformationssystem der Station.

• Kanäle: Dies sind die Kommunikationskanäle, die Zonen verbinden. Dies könnte die Gleis-Seiten-Zug-Radiolink oder das Netzwerkkabel sein, das das Kontrollzentrum mit dem Gleis verbindet.

TS 50701 verlangt, dass Sie für jede Zone eine Risikobewertung durchführen, nicht nur für das Netzwerk als Ganzes. Diese Bewertung muss alle Bedrohungen berücksichtigen, einschließlich unbefugten physischen Zugriffs. Die Risikobewertung muss jeden Aspekt des Betriebs abdecken, einschließlich Geräte, Systeme, Prozesse, Netzwerke, Menschen und Lieferketten. Sie können mit einer auf TS 50701 basierten Bewertung eine Risiko-/Sicherheitsbewertung für Ihre Bahnoperationen erstellen.

In der Praxis: Das bedeutet, dass die physische Sicherheit eines Laptops in einem Signalisierungsbungalow genauso ein Teil Ihrer TS 50701-Strategie ist wie die Firewall, die ihn schützt. Der Standard stellt sicher, dass Sie keine starke Cybersicherheit ohne starke physische Sicherheit haben können.

Die gesamte Ökosystem sichern

TS 50701 wurde ausdrücklich entwickelt, um das gesamte Bahn-Ökosystem abzudecken. So gilt es für Ihre zentrale Bahn-Infrastruktur:

Bahnhöfe und Depots (feste Installationen)

Ihre Bahnhöfe und Depots sind komplexe Zonen mit mehreren Subsystemen. Mithilfe des Modells „Zonen und Kanäle“ würden Sie sie partitionieren:

• Hochsicherheitszone: Das lokale Signal- und Kontrollzentrum des Bahnhofs oder Depots. Der Zugang ist stark eingeschränkt, und der gesamte Datenfluss (Kanal) wird überwacht und gefiltert.

• Operative Zone: Systeme wie CCTV, öffentliche Ansagesysteme und Mitarbeiterkommunikation.

• Öffentliche Zone: Das passagierorientierte WLAN und die digitalen Informationsbildschirme. Diese Zone muss vollständig von der operativen und der Signalzone isoliert sein, um einen „Übersprung“ von Angriffen zu verhindern.

Rollendes Material

Ein Zug ist ein mobiles, miteinander verbundenes Netzwerk – eine „Zone auf Rädern“. TS 50701 bietet ein Rahmenwerk zu dessen Sicherung:

• TCMS & Kritische Kontrollen: Das „Gehirn“ des Zuges (z.B. Bremsen, Türen, Antrieb) ist seine eigene Hochsicherheitszone.

• Onboard-Systeme: Passagier-WLAN, Infotainment und diagnostische Datenrekorder befinden sich in separaten, weniger vertrauenswürdigen Zonen.

• Kanäle: Der Standard erfordert die Sicherung der Kommunikationsverbindungen, insbesondere die Zug-Boden-Radiokommunikation, die ein primärer Angriffsvektor ist.

Die Kette sichern: Ihr größtes Risiko könnte Ihr Lieferant sein

Ein Zug ist ein System von Systemen, das viele bewegliche Teile umfasst, die von Dutzenden verschiedener Anbieter gebaut werden, die auf unterschiedlichen Sicherheitsstufen operieren. Wie stellen Sie sicher, dass eine von Ihnen gekaufte Komponente sicher ist?

Dies ist einer der kritischsten Bereiche, die TS 50701 adressiert. Der Standard ist nicht nur für Bahnbetreiber gedacht; er wurde geschrieben, um eine gemeinsame Sicherheitsprache für die gesamte Lieferkette bereitzustellen, einschließlich Integratoren und Herstellern.

So sichert es Ihre Lieferkette:

• Setzt den Maßstab: Sie müssen nicht Ihre eigenen Cyber-Sicherheitsanforderungen für Lieferanten erfinden. Sie können verlangen, dass Komponenten (wie ein neues Signalsystem oder ein bordeigener Router) „TS 50701-konform“ sind.

• Fördert das Management von Drittparteien-Risiken (TPRM): Der Lebenszyklusansatz des Standards erfordert, dass Sie die Sicherheit vom Beschaffungs- und Entwurfsphasen an verwalten und nicht erst nach der Installation. Das bedeutet:

  • Lieferantenauswahl: Fragen Sie Lieferanten, wie sie sichere Software und Hardware entwickeln.

  • Sicherheitsleistungen: Fordern Sie Nachweise von Ihren Anbietern an, wie Risikobewertungen, Sicherheitstestergebnisse und Pläne zum Management von Schwachstellen. Sind sie konform mit IEC 62443-4-2?

  • Lebenszyklusmanagement: Sicherstellen, dass der Lieferant einen Plan zum Bereitstellen von Sicherheitspatches und Support für die gesamte 20-30-jährige Lebensdauer der Komponente hat.

Indem Sie TS 50701 in Ihre Beschaffungsverträge einbetten, erweitern Sie effektiv Ihr Sicherheitsprofil auf Ihre gesamte Lieferkette und schützen Ihre Bahn davor, Schwachstellen zu erben.

TS 50701 ist das Sicherheitsregelwerk

TS 50701 ist mehr als ein technisches Dokument; es ist ein umfassendes Sicherheitsmanagement-Rahmenwerk. Es bietet Bahnunternehmen ein klares, auditierbares und international anerkanntes „Regelwerk“, um:

• Physische und Cybersecurity unter einer Strategie zu integrieren.

• Jedes Asset, vom zentralen Kontrollraum bis zum letzten Waggon des Zuges zu sichern.

• Die erheblichen Risiken einer komplexen globalen Lieferkette zu managen.

Die Übernahme dieses Standards ist der bedeutendste Schritt, den ein Bahnunternehmen unternehmen kann, um seine Assets zu schützen, die Sicherheit der Passagiere zu gewährleisten und eine wirklich widerstandsfähige Bahn der Zukunft aufzubauen.

Sprechen Sie mit unserem TS 50701-Experten und diskutieren Sie Ihre Bahn-Sicherheitsherausforderungen hier.