Cyber Security Self Assessment für (OT)-Komponenten im Bereich Zentralbank

Als Systemlieferant für Zentralbanken erhielt Giesecke+Devrient den Auftrag, ein Cyber Security Self-Assessment für die von G+D gelieferten OT-Komponenten für ein bestehendes Cashcenter („brownfield“) einer Zentralbank in der Region Südostasien durchzuführen. Im Rahmen des Projektes unterstützte secunet G+D dabei, den Reifegrad der implementierten Sicherheitsmechanismen für die von G+D an die Zentralbank gelieferten  OT-Komponenten zu ermitteln und Verbesserungsvorschläge zu entwickeln.

Das Self-Assessment erfolgte auf der Basis eines Fragenkatalogs, der von der Zentralbank bereitgestellt wurde. In der ersten Projektphase erarbeitete secunet die relevanten Security Anforderungen durch die Sichtung und Bewertung von Standards und Richtlinien wie bspw. ISO/IEC 62443 (Rolle Hersteller) und NIST SP 800-82 Version 2, Guide to ICS (Guidelines for Secure Industrial Control System). Als Ergebnis wurde eine Requirement Analyse als Matrix erstellt und der Fragenkatalog in Bezug auf konkrete Security Anforderungen hin für die G+D Fachabteilungen überarbeitet. Während der Bearbeitungsphase durch G+D unterstützte secunet die Fachabteilung bei aufkommenden Fragen. Methodisch wurden neben der Prüfung der Unterlagen auch zahlreiche Einzelinterviews mit G+D Mitarbeitern bzw. Mitarbeitern der Zentralbank geführt. In der Umsetzungsphase begleitete secunet das Projekt organisatorisch, agierte beratend in Fragen zur IT/OT Security und unterstützte die G+D Mitarbeiter bei der Erarbeitung von Maßnahmen zur Verbesserung des Sicherheitsniveaus für die Zentralbank.

Abschließend unterstützte secunet bei der Erstellung einer Management Summary, in der die Kernaussagen des Assessments sowie Handlungsfelder und geeignete Maßnahmen zur Verbesserung des Sicherheitsniveaus aufgezeigt wurden. Als Teil des G+D Projektteams begleitete secunet auch die Präsentation dieser Ergebnisse gegenüber dem Management der Zentral-bank (Assistant Gouvernor und Vice Gouvernor).

Durch die gemeinsame Beratungsleistung von secunet und G+D konnte die Zentralbank wichtige Erkenntnisse hinsichtlich des Reifegrades des Sicherheitsniveaus und der Sicherheitsprozesse in ihrem OT Bereich (Cashcenter) gewinnen.