Im Mittelpunkt des Leitfadens steht zunächst die Bestandsaufnahme. Organisationen der kritischen Infrastruktur sollen alle Systeme und Netze identifizieren, die kritische Dienste unterstützen, ebenso wie die Kunden, die von dieser Infrastruktur abhängen. Danach sollen sie gemeinsame Stufen für Kritikalität und Vertrauenswürdigkeit von Systemen und Netzwerken festlegen und entscheiden, wie sich diese in Segmente und Zonen einteilen lassen, um Risiken besser zu steuern und Schutzmaßnahmen gezielter umzusetzen.
Sind lebenswichtige Systeme und Netze identifiziert und klassifiziert, sollen laut CISA und ACSC sämtliche Verbindungen zu anderen Umgebungen erfasst werden. Dazu zählen nichtkritische Unternehmenssysteme, Fernzugänge von Anbietern, nicht vertrauenswürdige Netze, Cloud-Umgebungen und verbundene kritische Netze. Für jede dieser Verbindungen soll wichtige technische Information dokumentiert und regelmäßig aktualisiert werden.
Der Leitfaden weist zugleich auf die Folgen einer Isolation hin. Das Trennen von Systemen löse manuelle Prozesse aus und unterbreche die Kommunikation zwischen Systemen, heißt es. Das könne sich auch auf vorgelagerte Abhängigkeiten und auf Partner auswirken, etwa andere Versorger oder Betreiber von Planungs- und Leitstellenfunktionen. Deshalb sollen Organisationen kritische Abhängigkeiten gemeinsam mit betroffenen Partnern und Dritten im Rahmen ihrer Isolationsplanung durchgehen.
Ein weiterer Schwerpunkt ist der Aufbau wirksamer Trenn- und Isolationspunkte zwischen kritischen und nichtkritischen Diensten sowie Netzen. Solche Punkte sollen die Möglichkeiten von Bedrohungsakteuren einschränken, lebenswichtige Systeme zu erreichen. Zugleich sollen sie bei Eindämmung und Behebung helfen und die betrieblichen Auswirkungen eines Eindringens begrenzen.
Für eine physische Isolation nennen die Behörden eine klare Voraussetzung: Lebenswichtige Systeme müssen geplant physisch von allen anderen Netzen und Systemen getrennt werden. Organisationen müssten entsprechende physische Isolationspunkte in ihre vitalen Systeme integrieren, damit ein Betrieb im isolierten Zustand gegenüber allen anderen Netzen und Systemen überhaupt möglich ist, heißt es in dem Dokument.
Abschließend empfehlen CISA und ACSC einen abgestuften Isolationsplan, der erstellt, getestet und überprüft werden soll. Dieser Plan soll es ermöglichen, Verbindungswege zu lebenswichtigen Systemen schrittweise zu isolieren und dabei die betriebliche Kontinuität aufrechtzuerhalten. Während einer Isolationsphase sollten Betreiber zudem die Wirksamkeit ihrer Isolationsmechanismen überwachen, damit keine Verbindung zwischen kritischen und nichtkritischen Netzen entsteht.
Die Behörden benennen auch die betrieblichen und sicherheitsrelevanten Risiken eines solchen Vorgehens. Dazu zählen fehlende Patches, verringerte externe Sichtbarkeit und ein erhöhtes Infektionsrisiko durch Wechselmedien. Organisationen sollen diese Risiken beim Betrieb in Isolation ausdrücklich berücksichtigen. Weitere Materialien für Betreiber kritischer Infrastruktur stellt CISA auf der Seite „CI Fortify: Strengthening Resilience Across Critical Infrastructure“ bereit.