Das britische Telekommunikations- und Sicherheitsgesetz verstehen

Das Telekommunikations- und Sicherheitsgesetz ist ein wichtiges Gesetz, das von der britischen Regierung im Oktober 2022 als Ergänzung zum bestehenden Kommunikationsgesetz von 2003 verabschiedet wurde und einige Maßnahmen vorschreibt, die von britischen Telekommunikationsunternehmen ab^{dem 31.}März 2023 zu ergreifen sind.

Was steckt hinter dem Telekommunikations- und Sicherheitsgesetz?

Die TSA wurde entwickelt, um den Bedenken von Regierung und Industrie hinsichtlich der Notwendigkeit Rechnung zu tragen, dass Telekommunikationsunternehmen/Netzwerkbetreiber über robuste und sichere Netzwerke in ihrer gesamten Technologieinfrastruktur verfügen müssen, um sicherzustellen, dass die Internetinfrastruktur oder CNI (Critical National Infrastructure), auf die wir uns alle mittlerweile so stark verlassen, weiterhin funktioniert und nicht durch böswillige Akteure gefährdet wird.

Es ist bekannt, dass elektronische Spionage, Störmanöver und Hacking weltweit von Regierungen häufig eingesetzte Mittel sind. Es handelt sich dabei fast um eine offene Strategie, die von weniger demokratischen Nationen der Welt angewendet wird, um ihre Weltanschauung zu verbreiten, aber auch um die Dienste und das Leben ihrer Gegner zu stören.

Einige aktuelle Beispiele für Angriffe, die durchgeführt wurden, um die Politik zu beeinflussen und Störungen zu verursachen, sind:

• US-Wahl 2020– Mit dem Ziel, Misstrauen gegenüber der Politik zu schüren und möglicherweise Donald Trump bei seinem Ziel, US-Präsident zu werden, zu unterstützen.
• Brexit-Abstimmung– Die Fragmentierung der EU ist ein Anliegen, das Russland am Herzen liegt, daher könnten Fehlinformationen oder die Verstärkung einer anti-europäischen Botschaft für Russland von Vorteil sein.
• Internetausfall in Estland– Ein groß angelegter Denial-of-Service-Angriff auf den estnischen Internetzugang und estnische Internetdienste, durchgeführt von Russland als Strafe für die westlich orientierte Haltung der baltischen Staaten.
• Ransomware-Angriffe auf wichtige Institutionen in Großbritannien und den USA– britischer Gesundheitsdienst NHS, US-Gesundheitseinrichtungen, US-Gaspipelines und viele mehr.

Daten aus dem Bericht des US-amerikanischen FBI über Internetkriminalität für das Jahr 2023 zeigen, in welchem Umfang kritische Infrastruktureinrichtungen zum Ziel von Ransomware wurden, die nur einer der Angriffsvektoren ist, die von Kriminellen genutzt werden. Den Bericht finden Sie hier:2023_IC3Report.pdf

Das Gleiche gilt für Großbritannien mit dem NCSC-Jahresbericht 2023. Hier einsehen:NCSC – Jahresbericht 2023

Wie steht Icotera zur TSA?

Ein Großteil der TSA konzentriert sich auf die Einhaltung der Vorschriften durch die öffentlichen Telekommunikationsanbieter/Netzbetreiber und deren Pflichten innerhalb ihrer Netzwerke. Eine der wichtigsten Komponenten des abgestimmten Verhaltenskodex ist jedoch, dass die Anbieter die sogenannte „Exposed Edge“ schützen müssen, zu der auch Breitband-CPEs gehören.

Netzbetreiber sollten die Haltung ihrer Technologieanbieter bewerten. Dazu sollten sie eine Vendor Security Assessment (VSA) durchführen, bei der eine Reihe wichtiger Fragen gestellt werden, um sich ein Bild von der aktuellen Sicherheitslage der Anbieter in Bezug auf Hardware und Software zu machen.

Icotera hat das VSA-Rahmenwerk übernommen und sich selbst anhand aller Kriterien analysiert, sodass wir wissen, wo wir in Bezug auf alle Komponenten stehen, die uns einen Rahmen für kontinuierliche Verbesserungen bieten. Für weitere Informationen zum Icotera VSA wenden Sie sich bitte an Jim Lucking, Technical Program Manager UK und Irland, unter:jlucking@icotera.com

Die VSA-Struktur (Vendor Security Assessment)

Die VSA umfasst neun wichtige Schlüsselkomponenten, die Netzwerkhersteller im gesamten Technologiebereich berücksichtigen und selbst bewerten müssen. 

Unterhalb der neun übergeordneten Komponenten gibt es viele detaillierte Unterpunkte, die Anleitungen dazu enthalten, was der Anbieter untersuchen und angehen sollte.

VSA-Elemente auf hoher Ebene

• Produktlebenszyklusmanagement
• Produkt-Sicherheitsmanagement
• Geschützte Entwicklungs- und Build-Umgebungen
• Exploit-Abwehr
• Sichere Updates und Software-Signierung
• Hardware-Vertrauensbasis und sicherer Startvorgang
• Sicherheitstests
• Sichere Verwaltung und Konfiguration
• Schwachstellen- und Problemmanagement

Zusammenfassung

Für alle öffentlichen Telekommunikationsbetreiber im Vereinigten Königreich ist es von entscheidender Bedeutung, auf die TSA vorbereitet zu sein, da sie gesetzliche Verpflichtungen hat, die erfüllt werden müssen (je nach Einstufung und Zeitrahmen können diese Fristen sehr streng sein). Wie bereits erläutert, müssen Sie jedoch auch dann, wenn Sie einer niedrigeren Stufe angehören, aber einen Vertrag mit einem Unternehmen einer höheren Stufe (z. B. Openreach, CityFibre usw.) abgeschlossen haben, die Anforderungen und Fristen der höheren Stufe einhalten.

Abgesehen von den gesetzlichen Verpflichtungen führt es jedoch einige bewährte Verfahren zur Sicherung der Netzwerk-Technologie ein, um die Angriffsfläche und potenzielle böswillige Exploits zu minimieren.

Die Umsetzung dieser Empfehlungen ist für alle Beteiligten sowohl aus wirtschaftlicher Sicht als auch im Hinblick auf den Ruf sinnvoll.

Es wird davon ausgegangen, dass die meisten, wenn nicht sogar alle Telekommunikationsbetreiber diesen Weg bereits eingeschlagen haben. Falls nicht, sollten Sie nicht länger zögern.

^ErsteSchritte:

• Holen Sie sich die Zustimmung der Geschäftsleitung/des Vorstands Ihres Unternehmens ein. Dies ist von entscheidender Bedeutung, da diese möglicherweise die Investition genehmigen müssen und wahrscheinlich auch diejenigen sind, die bei Nichteinhaltung haftbar gemacht und bestraft werden.
• Lesen Sie die verfügbaren Unterlagen zur TSA. Informationen finden Sie auf den Websites der britischen Regierung unter„Telecoms Security Code of Practice – GOV.UK“ und bei der Regulierungsbehörde Ofcom unter„New powers for Ofcom to oversee security of telecoms networks – Ofcom“sowie bei vielen^externentechnischen Beratern.
• Sprechen Sie mit Ihren Kollegen. Dies kann über eine Dachorganisation wie INCA oder ISPA in Großbritannien geschehen, die Ihnen Hinweise zur Einhaltung der Vorschriften geben kann.
• Wenden Sie sich bei Bedarf an einen externen Spezialisten, um Hilfe und Rat einzuholen. Im Internet finden Sie zahlreiche Anbieter, die Ihnen weiterhelfen können.
• Führen Sie eine Lückenanalyse durch, um festzustellen, wo Sie derzeit in den wichtigsten Punkten stehen.
• Weisen Sie spezielle Ressourcen (Finanzen und Personal) für die Lösung dieser Probleme zu. Dies ist keine Aufgabe, die auf der Aufgabenliste ganz unten auf der Prioritätenliste stehen kann.
• Arbeiten Sie mit Ihren Partnern und Ihrer Lieferkette zusammen, die Dienstleistungen und Hardware für Ihr Netzwerk bereitstellen. Es ist wichtig, dass Sie alle Komponenten des End-to-End-Netzwerks verstehen und bewerten.