Teilnahmeberechtigt ist nach Angaben der Beteiligten jeder in den USA ansässige Wasser-, Abwasser-, Strom- und Erdgasversorger mit weniger als 100 Millionen Dollar Jahresumsatz. Das trifft den Unternehmen zufolge auf 97 Prozent der Versorger zu. Die Bekanntgabe erfolgte am Dienstag.
Die Aufgabenteilung ist festgelegt: Dragos stellt seine Sicherheitswerkzeuge bereit, die Organisationen über die Geräte in ihrem Netz informieren und Wege zur Behebung von Schwachstellen aufzeigen. Accenture unterstützt bei der Einführung und Konfiguration dieser Werkzeuge und begleitet die Versorger auch danach bei der Einbindung in den laufenden Betrieb. Das SANS Institute übernimmt Schulungen, um die Fähigkeiten der Beschäftigten aufzubauen. Zusätzlich leistet das Sicherheitsunternehmen Elastic technische Unterstützung, um das Programm zu skalieren.
Teilnehmer erhalten außerdem Zugang zueinander und können bewährte Verfahren und Betriebserfahrungen austauschen. Eine zeitliche Begrenzung für die Nutzung des Programms gibt es nicht. Die erste Phase umfasst 500 Versorger und kann je nach Erfolg ausgeweitet werden. Laut Dragos bekunden bereits weitere Unternehmen Interesse, sich zu beteiligen und das Vorhaben zu vergrößern. Staatliche Stellen auf Bundes- oder Einzelstaatsebene sind nicht beteiligt.
Dragos-Chef Robert Lee erklärte, Cyberkriminelle und Nationalstaaten gingen „aggressiv gegen Versorger vor und greifen die operativen Umgebungen an, die lebenswichtige Dienste für Millionen Amerikaner bereitstellen“. Die Stiftung „verschafft den Versorgern, die es am dringendsten brauchen, kostenlosen Zugang zu Cybersicherheitsressourcen und Schulungen“.
James Lyne, CEO des SANS Institute, sagte: „Die beste Sicherheitstechnik der Welt schützt einen Versorger nicht, wenn seine Mitarbeiter sie nicht bedienen können. Die Stiftung bringt Schulung und Fähigkeiten zu den Menschen, die die Wasser-, Strom-, Erdgas- und Abwasserbehandlungssysteme schützen, auf die Gemeinden angewiesen sind.“
Die Initiative folgt auf Einbrüche bei mehr als 100 Wasserversorgern in den USA. Behörden warnen weiterhin vor chinesischen und russischen Cyberangriffen auf Energieversorger, Telekommunikationsanbieter und weitere Ziele. Sicherheitsfachleute weisen seit Jahren darauf hin, dass sich die meisten US-Versorger die nötigen Sicherheitswerkzeuge nicht leisten können, um sich gegen ein sich wandelndes Bedrohungsspektrum aus Ransomware-Gruppen, staatlichen Akteuren und weiteren Kriminellen zu wehren. Vielen Betrieben fehlt es an Geld, Personal und technischer Kapazität, um Sicherheitswerkzeuge einzubinden – tausende Pumpen, Ventile, Umspannwerke und Verteilnetze bleiben dadurch angreifbar.
Nach den Angriffen auf Wasserversorger im Juli hatte die National Rural Water Association (NRWA) ein eigenes Programm gestartet, an dem sich fünf Anbieter von Managed Detection and Response beteiligen: Rapid7, Defendify, Legato Security, L1 Secure und Sentinel Technologies. Sie sagten zu, Bedrohungsinformationen und Daten zu Schwachstellen-Patches zu teilen. Bundesweite Bemühungen zur Verbesserung der Cybersicherheit von Versorgern stagnieren, sodass einzelne Bundesstaaten eigene Rahmenwerke zum Schutz von Wasser, Strom, Telekommunikation und weiteren Bereichen entwickeln.