Digitalisierung und Informationssicherheit: Herausforderungen oder gelebter Alltag? September 2016

Transkript

1 Digitalisierung und Informationssicherheit: Herausforderungen oder gelebter Alltag?

2 Agenda 1. Einführung: Digitalisierung der Energiewirtschaft 2. Datenkommunikation und die energiewirtschaftliche Systemlandschaft 3. Mindestanforderungen an die Informationssicherheit im Kontext Smart Metering 4. Überblick Technologieanbieter 5. Ausgewählte Risiken und Auswirkungen auf das Interne Kontrollsystem 6. Zusammenfassung und Fazit 2

3 Die Herausforderungen der Digitalisierung betreffen die aktuellen und neuen Geschäftsfelder Aktuelle Geschäftsfelder Netzbetrieb Enabler der Digitalisierung Big Data Smart Meter Mobile Infrastruktur Blockchain Technologiewandel Cloud Computing Neue Geschäftsfelder Mehrwertdienste Vertrieb (Strom, Gas, Wärme) Messstellenbetrieb Erzeugung Energiehandel Herkömmliche Dienstleistungen Herausforderungen Kosteneffizienz / Preisdruck Datenqualität Kundenorientierung Regulatorische Compliance Effiziente digitale Prozessabwicklung Informationssicherheit Neue Marktteilnehmer Cross-Selling Datenschutz Treiber der Digitalisierung Prosumer Energiewende Vergleichsportale Elektromobilität Energieeffizienzziele Smart Home Smart Grid Data Analytics Smart Mobility (Smart Cities) 3

4 Die Herausforderungen der Digitalisierung betreffen die aktuellen und neuen Geschäftsfelder Aktuelle Geschäftsfelder Netzbetrieb Enabler der Digitalisierung Big Data Smart Meter Blockchain Mobile Infrastruktur Cyber Security Technologiewandel Cloud Computing Neue Geschäftsfelder Mehrwertdienste Vertrieb (Strom, Gas, Wärme) Messstellenbetrieb Erzeugung Energiehandel Herkömmliche Dienstleistungen Herausforderungen Kosteneffizienz / Preisdruck Datenqualität Kundenorientierung Regulatorische Compliance Effiziente digitale Prozessabwicklung Informationssicherheit Neue Marktteilnehmer Cross-Selling Datenschutz Treiber der Digitalisierung Prosumer Energiewende Vergleichsportale Elektromobilität Energieeffizienzziele Smart Home Smart Grid Data Analytics Smart Mobility (Smart Cities) 4

5 Cyberbedrohungen für EVUs sind real Der Quellcode von Stuxnet und seinen deutlich mehr als zehn Derivaten ist im Internet verfügbar und kann mit geringem Aufwand an andere Ziele wie Kraftwerke und Stromverteilung angepasst werden [..]. Er kann damit auch eine Gefahr für Leib und Leben von Bundesbürgern darstellen. - Gesellschaft für Informatik,

6 Agenda 1. Einführung: Digitalisierung der Energiewirtschaft 2. Datenkommunikation und die energiewirtschaftliche Systemlandschaft 3. Mindestanforderungen an die Informationssicherheit im Kontext Smart Metering 4. Überblick Technologieanbieter 5. Ausgewählte Risiken und Auswirkungen auf das Interne Kontrollsystem 6. Zusammenfassung und Fazit 6

7 Der Messstellenbetreiber ist die neue Datendrehscheibe für die Datenkommunikation VNB Monatlich die bezogene Monatsarbeit und aufgetretene Maximalleistung Anlagenbetreiber Innerhalb von 24 Stunden: Einspeisung und Verbrauch Abrechnungsrelevante Informationen und Messwerte Historische Einspeisewerte der letzten 24 Monate Informationen über etwaige Einstellungen eines Schaltprofils MSB ÜNB / BIKO Täglich für den Vortag Lastoder Zählerstandsgänge bzw. Einspeisegänge (viertelstundenscharf) Anschlussnutzer Innerhalb von 24 Stunden: Tatsächl. Energieverbrauch und tatsächl. Nutzungszeit Abrechnungsrelevante Tarifinformationen und Messwerte Historische Energieverbrauchswerte der letzten 24 Monate Lieferant Täglich für den Vortag Last- oder Zählerstandsgänge bzw. Einspeisegänge (viertelstundenscharf) Sternförmige Kommunikation: Bundesnetzagentur ist zur Festsetzung einer Übergangsfrist bis berechtigt 7

8 Die energiewirtschaftliche Systemlandschaft weist eine Vielzahl an Schnittstellen auf Endverbraucher SMGWA MSB Lieferant HAN LMN Stromzähler (1 n) Gaszähler (1 n) Wasserzähler (1 n) Wärmezähler (1 n) CLS 1 CLS n Smart Meter Gateway ERP-Systeme Abrechnungssysteme Sicherheitsmodul GSM GPRS DSL PLC Meter Data Management- System ÜNB VNB Weitere Systeme WAN Informationssicherheitsanforderungen für Schnittstellen sind in verschiedenen rechtlichen & technischen Anforderungen verankert 8

9 Die energiewirtschaftliche Systemlandschaft weist eine Vielzahl an Schnittstellen auf MsbG Schutzprofile Technische Richtlinien ISO / BSI- Grundschutz Sonstige technische Anforderungen Sonstige rechtliche Anforderungen Datenschutz- und Informationssicherheitsanforderungen für Schnittstellen sind in verschiedenen rechtlichen & technischen Anforderungen verankert 9

10 Agenda 1. Einführung: Digitalisierung der Energiewirtschaft 2. Datenkommunikation und die energiewirtschaftliche Systemlandschaft 3. Mindestanforderungen an die Informationssicherheit im Kontext Smart Metering 4. Überblick Technologieanbieter 5. Ausgewählte Risiken und Auswirkungen auf das Interne Kontrollsystem 6. Zusammenfassung und Fazit 10

11 Maßnahmen zur Gewährleistung von Informationssicherheit basieren im Allg. auf vier Zielen Ziel Erläuterung Authentizität Integrität Zweifelsfreie Identifikation der Geschäftspartner Identität ist durch geeignete Signaturen sicherzustellen Unversehrtheit der übermittelten Informationen / Daten Vollständige, richtige und unveränderte Übermittlung der Daten Geheimhaltung der übermittelten Informationen Angemessene Verschlüsselung und Zugriffsschutz Vertraulichkeit Verfügbarkeit Dienstleistungen, Funktionen eines IT-Systems, IT-Anwendungen oder IT- Netze sind für Anwender stets verfügbar Die Ziele gelten sowohl für die Sicherheit des Messsystems (Zähler +Gateway) als auch für die Übertragung der Daten (Kommunikationssicherheit) 11

12 MsbG Informationssicherheitsaspekte bilden ein Kernziel des neuen MsbG Geltungsbereich MsbG Kerninhalte MsbG zu Informationssicherheit MSB Lieferant Zertifizierungspflicht für Smart-Meter-Gateways Insb. Kapitel 3 des MsbG: SMGWA Endverbraucher Technische Vorgaben zur Gewährleistung von Datenschutz und Informationssicherheit beim Einsatz von Smart-Meter-Gateways Aktuelle Entwicklungen ÜNB VNB Sowohl im internationalen Vergleich als auch im Branchenvergleich sind die Anforderungen an die Informationssicherheit hoch Erste Smart Meter Gateways befinden sich im Zertifizierungsprozess und erfüllen laut Herstellerangaben die Anforderungen SMGWA: Mindestanforderungen in Schutzprofilen und Technischen Richtlinien Regelmäßige Audits von ISMS, IT- Sicherheitskonzeption, Maßnahmen zur Informationssicherheit und weiteren technischen und organisatorischen Maßnahmen Keine technologische Festlegung des Fernkommunikationsverfahrens Das BSI ist Inhaber der Wurzelzertifikate für die Smart-Metering-Public-Key-Infrastruktur BSI und PTB entwickeln Schutzprofile und Technische Richtlinien kontinuierlich weiter 12

13 Schutzprofile In Schutzprofilen sind Anforderungen an SMGWs aus den Common Criteria durch das BSI abgeleitet Geltungsbereich der Schutzprofile Smart Meter Gateway Sicherheitsmodul Schutzprofil BSI-CC-PP-0073: Anforderungen an das Smart-Meter-Gateway Schutzprofil BSI-CC-PP-0077: Anforderungen an das Sicherheitsmodul Aktuelle Entwicklungen Zertifizierung der SMGWs durch das BSI im Gange. Erste zertifizierte Gateways werden im ersten Halbjahr 2017 erwartet. Aktuell ist ein Sicherheitsmodul zertifiziert Kerninhalte der Schutzprofile Definition von Risiken, Sicherheitszielen und daraus abgeleiteten Anforderungen an Datenschutz und Informationssicherheit für die Schnittstellen des Smart-Meter-Gateways Wesentliche Anforderungen: Sicherheitsmodul Getrennte physische Schnittstellen Kryptographischer Schutz der Schnittstellen u.a. durch Zertifikate Beidseitige Authentifizierung (Sender und Empfänger) Zeitstempel und gesicherte Zeitsynchronisation Logging und Zugriffsschutz Übergeordnete Ziele sind die Gewährleistung von Datenschutz, Informationssicherheit und Interoperabilität 13

14 Technische Richtlinien Technische Richtlinien beinhalten Vorgaben zur geeigneten Umsetzung der Schutzprofile Geltungsbereich der Technischen Richtlinien Smart Meter Gateway Sicherheitsmodul BSI TR : Smart Meter Gateway BSI TR : Sicherheitsmodul für SMGW BSI TR : Kryptographische Vorgaben BSI TR : Public Key Infrastruktur BSI TR : Kommunikationsadapter BSI TR : Smart Meter Gateway Admin. Aktuelle Entwicklungen Zertifizierung der SMGWs durch BSI das im Gange. Erste zertifizierte Gateways werden im ersten Halbjahr 2017 erwartet. Aktuell ist ein Sicherheitsmodul zertifiziert Kerninhalte der Technischen Richtlinien Definition von Maßnahmen, Prozessen, Schutzanforderungen, Funktionen und Testspezifikationen Wesentliche Inhalte: Sicherstellung von Interoperabilität Betriebsprozesse und organisatorische Mindestanforderungen des SMGWA Zertifizierungsverfahren Beschreibung der Public Key Infrastruktur Beschreibung der Schnittstellen Vorgaben zur Verschlüsselung Einrichtung, Betrieb und Dokumentation eines ISMS nach ISO (siehe Folgefolie) Übergeordnetes Ziel ist die Vorgabe der Umsetzung der Schutzprofile auf technischer und organisatorischer Ebene 14

15 ISO / BSI- Grundschutz Zertifizierung des ISMS kann nach zwei Standards erfolgen Geltungsbereich ISO / BSI-Grundschutz Smart Meter Gateway Sicherheitsmodul BSI-Standard bis ISO/IEC nativ Aktuelle Entwicklungen Laufende und teilweise abgeschlossene ISMS- Projekte insb. bei vielen größeren EVUs Abwägung bei der Entscheidung über Zertifizierungsstandard erforderlich Kerninhalte der Technischen Richtlinien Zur Gewährleistung der IT-Sicherheit ist der SMGWA dazu verpflichtet ein ISMS einzurichten, zu betreiben und zu dokumentieren. Zwei Standards zur Zertifizierung des ISMS für SMGWA: a) ISO auf Basis von IT-Grundschutz (BSI) IT-Grundschutz-Vorgehensweise beschreibt Aufbau und Betrieb eines ISMS (siehe auch Folgefolie) Risikoorientierter Ansatz zur Ermittlung der zu implementierenden Maßnahmen (über Schutzbedarf) b) ISO/IEC nativ Weniger detaillierte Definition von Anforderungen an ein ISMS in Form von Maßnahmen Die Zertifizierung erfolgt durch das BSI oder einen akkreditierten Zertifizierer 15

16 Agenda 1. Einführung: Digitalisierung der Energiewirtschaft 2. Datenkommunikation und die energiewirtschaftliche Systemlandschaft 3. Mindestanforderungen an die Informationssicherheit im Kontext Smart Metering 4. Überblick Technologieanbieter 5. Ausgewählte Risiken und Auswirkungen auf das Interne Kontrollsystem 6. Zusammenfassung und Fazit 16

17 Der BSI-Zertifizierungsprozess für Smart-Meter- Gateways ist im Gange Auswahl Kein Anspruch auf Vollständigkeit Derzeit befinden sich Smart Meter Gateways im Zertifizierungsprozess beim BSI. Es wird erwartet, dass im Laufe des ersten Halbjahres 2017 die technische Machbarkeit (min. 3 unabhängige Gateway-Anbieter) mit vorliegender Zertifizierung durch das BSI erfüllt ist. 17

18 Der Markt an Technologieanbietern und Dienstleistungen wächst stetig Intelligente Messsysteme Telekommunikation IT-Systeme / Cloud-Dienste GWA-DL / MDM- DL Auswahl Kein Anspruch auf Vollständigkeit Ein aktueller Marktüberblick hilft, die richtigen Angebote zu erhalten. 18

19 Agenda 1. Einführung: Digitalisierung der Energiewirtschaft 2. Datenkommunikation und die energiewirtschaftliche Systemlandschaft 3. Mindestanforderungen an die Informationssicherheit im Kontext Smart Metering 4. Überblick Technologieanbieter 5. Ausgewählte Risiken und Auswirkungen auf das Interne Kontrollsystem 6. Zusammenfassung und Fazit 19

20 Die neuen Risiken lassen sich nach IT-, Compliance- und Prozess-Risiken unterscheiden IT-Risiken Compliance- Risiken Prozess-Risiken Ausgewählte Kontrollen MSB / SMGWA Betriebsstörungen Angriffe von außen Unvollständige oder falsche Messdatenübermittlung Anforderungen von Auditoren und Zertifizierern nicht erfüllt Keine fristgerechte Umsetzung der regulator. Anforderungen Unzureichende Plausibilisierung d. Messwerte und Ersatzwertbildung Fehler bei der Verarbeitung von Stammdaten u. Konfigurationsprofilen Wirksame Plausibilisierungsmechanismen Schnittstellenmonitoring Lieferant Fehleinschätzung der Datenverarbeitungskapazitäten Unzureichende Anpassung bestehender Systeme Abrechnungsprozesse nicht konform mit energiewirtschaftl. Regelungswerken Fehlerhafte Abbildung von komplexen Tarifen Abrechnungs- und Prognoseprozesse sind nicht an neue Anforderungen angepasst Effektive Aussteuerungsmechanismen und Toleranzgrenzen Datenanalysen und kont. Datenqualitätsmanagement VNB Unzureichende Ausgestaltung einer ggfs. nötigen Abbildung von zwei parallelen Systemlandschaften Prozesse nicht konform mit energiewirtschaftlichen Regelungswerken Unzureichende Berücksichtigung von Anforderungen an die Marktkommunikation Wirksame Plausibilisierungsmechanismen zur Abrechnung Datenanalysen und kont. Datenqualitätsmanagement ÜNB / BIKO Falsche oder unvollständige Weiterverarbeitung empfangener Messdaten Prozesse nicht konform mit energiewirtschaftlichen Regelungswerken Prozesse unzureichend an neue Aufgaben bei Bilanzkreisabrechnung angepasst Wirksame Plausibilisierungsmechanismen (u.a. Energiebilanz) Schnittstellenmonitoring 20

21 Die Risiken sollten mittels Risikoanalyse identifiziert und durch ein IKS adressiert werden Prozess- Risiken Internes Kontrollsystem (IKS) IT- Risiken Compli- ance- Risiken 1. Identifikation von Risiken mittels Risikoanalyse 2. Bewertung der identifizierten Risiken 3. Adressierung der Risiken Risiko-Reduktion durch Sicherheitsmaßnahmen und Kontrollen Dienstleisterüberwachung 4. Kontinuierliches Monitoring der Risiken und Optimierung des IKS Prozess- und Systemanpassungen machen am Anfang einen erheblichen Kostenblock aus 21

22 Agenda 1. Einführung: Digitalisierung der Energiewirtschaft 2. Datenkommunikation und die energiewirtschaftliche Systemlandschaft 3. Mindestanforderungen an die Informationssicherheit im Kontext Smart Metering 4. Überblick Technologieanbieter 5. Ausgewählte Risiken und Auswirkungen auf das Interne Kontrollsystem 6. Zusammenfassung und Fazit 22

23 Zusammenfassung und Fazit Die Digitalisierung ist ein wichtiger Baustein für die Umsetzung der Energiewende und eröffnet die Möglichkeit für innovative Tarife und Mehrwertdienste Risiken durch Cyberkriminalität und die Erhebung und Übertragung sensibler personenbezogener Daten steigern die Bedeutung von Informationssicherheit und Datenschutz Für informationssicherheitsrechtlich relevante Schnittstellen und Systeme müssen Maßnahmen zur Einhaltung der Vorgaben getroffen werden Einige SMGWs erfüllen laut Herstellerangaben die Anforderungen, befinden sich aber noch im Zertifizierungsprozess Der Aufwand für den Aufbau des Internen Kontrollsystems darf bei der Anpassung der Prozesse und Systeme nicht unterschätzt werden Informationssicherheit bei der Digitalisierung ist nur durch aufeinander abgestimmte technische und organisatorische Maßnahmen möglich 23

24 Vielen Dank für Ihre Aufmerksamkeit. PricewaterhouseCoopers AG Wirtschaftsprüfungsgesellschaft Bernhard-Wicki-Straße München Telefon: joerg.netzband@de.pwc.com PricewaterhouseCoopers AG Wirtschaftsprüfungsgesellschaft Bernhard-Wicki-Straße München Telefon: Constantin.Bruchmann@de.pwc.com Jörg Netzband Partner Risk Assurance / PS, Energy Constantin Bruchmann Senior Consultant Risk Assurance / PS, Energy 2016 PricewaterhouseCoopers Aktiengesellschaft Wirtschaftsprüfungsgesellschaft. Alle Rechte vorbehalten. bezeichnet in diesem Dokument die PricewaterhouseCoopers Aktiengesellschaft Wirtschaftsprüfungsgesellschaft, die eine Mitgliedsgesellschaft der PricewaterhouseCoopers International Limited (IL) ist. Jede der Mitgliedsgesellschaften der IL ist eine rechtlich selbstständige Gesellschaft.