Die US-Offshore-Öl- und Gasinfrastruktur ist „erheblichen und zunehmenden“ Cybersicherheitsrisiken ausgesetzt, die „dringend“ Aufmerksamkeit erfordern, warnte ein Wachhund der US-Regierung.
Das teilte das Government Accountability Office mit ein neuer Bericht dass das Netzwerk von über 1.600 Offshore-Anlagen, die einen erheblichen Teil des inländischen Öls und Gases der USA produzieren, einem wachsenden Risiko von Cyberangriffen ausgesetzt sind. Die Warnung kommt mehr als ein Jahr, nachdem Ransomware-Akteure die Colonial Pipeline ins Visier genommen und das US-Ölpipelinesystem, auf das sich Millionen von Amerikanern verlassen, zum Erliegen gebracht haben.
Der Wachhund warnte, dass die Regierung nicht nur den Offshore-Öl- und Gassektor als Ziel böswilliger staatlicher Akteure identifiziert habe, insbesondere derer, die von China, Iran, Nordkorea und Russland unterstützt werden, sondern auch die von diesen häufig eingesetzte Betriebstechnologie (OT). Einrichtungen zur Überwachung und Steuerung physischer Geräte – enthält mehrere Sicherheitslücken, die es Angreifern ermöglichen könnten, aus der Ferne die Kontrolle über verschiedene Funktionen zu übernehmen, einschließlich sicherheitskritischer Funktionen.
Das hat die US-Cybersicherheitsbehörde CISA veröffentlicht mehrere Hinweise zu OT-Schwachstellen allein in diesem Jahr detailliert auf Probleme wie schwache Verschlüsselung und unsichere Firmware-Updates eingegangen und betroffene Benutzer aufgefordert, grundlegende Maßnahmen zur Minderung potenzieller Risiken zu identifizieren.
Das GAO stellte in seinem neuen Bericht fest, dass die in vielen Einrichtungen noch verwendete Legacy-OT-Infrastruktur ebenfalls anfällig ist, da sowohl integrierte Cybersicherheitsmaßnahmen als auch Software-Sicherheitspatches fehlen. Der Bericht stellt fest, dass ältere Geräte „nicht in der Lage sind, an die Geräte gesendete Befehle zu protokollieren, was es schwieriger macht, böswillige Aktivitäten zu erkennen“.
Die US-Aufsichtsbehörde fordert das Bureau of Safety and Environmental Enforcement (BSEE) des Innenministeriums auf, diese wachsenden Sicherheitsrisiken anzugehen. Es heißt, dass die Agentur bereits 2015 Anstrengungen unternommen habe, um diese Cybersicherheitsrisiken anzugehen, aber fast ein Jahrzehnt später noch „substanzielle“ Maßnahmen ergriffen habe.
Das GAO stellt fest, dass die BSEE Anfang dieses Jahres eine weitere derartige Initiative gestartet und einen Cybersicherheitsspezialisten eingestellt hat, um sie zu leiten, aber die Behörde sagte später, die Bemühungen seien auf Eis gelegt worden, bis der Spezialist „mit den relevanten Themen ausreichend vertraut“ sei.
„Ohne die sofortige Entwicklung und Umsetzung einer geeigneten Strategie wird die Offshore-Öl- und Gasinfrastruktur weiterhin einem erheblichen Risiko ausgesetzt bleiben“, sagte das GAO und stellte fest, dass ein erfolgreicher Cyberangriff auf die Offshore-Öl- und Gasinfrastruktur katastrophale Folgen haben könnte, darunter „Todesfälle und Verletzungen, beschädigte oder zerstörte Ausrüstung und Verschmutzung der Meeresumwelt.“
Die US-Aufsichtsbehörde fordert die BSEE auf, dringend eine Cybersicherheitsstrategie zu entwickeln und umzusetzen, die Risikobewertungen, Ziele, Aktivitäten und Leistungsmessungen umfasst; Rollen, Verantwortlichkeiten und Koordination; und die Identifizierung erforderlicher Ressourcen und Investitionen.
BSEE stimmte dem Bericht und seinen Empfehlungen „allgemein zu“. Tech hat BSEE um einen Kommentar gebeten, aber keine Antwort erhalten.