Angriffe auf OT-Infrastrukturen OT-Sicherheit durch integriertes Governance-Model

Anbieter zum Thema

TÜV Rheinland Consulting GmbH

FTAPI Software GmbH

Die Häufigkeit und der Schweregrad von Angriffen auf Industrielle-Infrastrukturen nimmt seit Jahren zu und die Digitalisierung der Operational Technology (OT) vergrößert die Angriffsfläche ständig. Das vergangene Jahrzehnt offenbarte zahlreiche Beispiele, welche Schäden Cyberangriffe auf industrielle Systeme verursachen können. Zunehmend betroffen sind Safety Instrumented Systems (SIS) - gedacht zur Risikoreduzierung von Schäden an Mensch um Umwelt.

Im Dezember 2017 wäre es durch den Trojaner „Triton“ in einem Kraftwerk in Saudi-Arabien beinahe zu einer Katastrophe gekommen. Explosionen und die Freisetzung von Schwefelwasserstoffgas konnten nur aufgrund eines Fehlers im Vorgehen der Angreifer abgewendet werden. Ziel des Angriffs waren die Sicherheits-Systeme der Anlage. Diese Entwicklung ist besorgniserregend. Zumal Triton ohne physische Präsenz vor Ort aus der Ferne durch die Angreifer eingeschleust wurde.

Schwachstellen in der Industrie

Cyberbedrohungen in der Fertigungsindustrie

Schwachstellen und Ursache

Eine der größten Herausforderungen ist nicht vordergründig die technologische Konvergenz von OT und IT. Es ist die notwendige Veränderung von Organisationsstrukturen und Verantwortlichkeiten, um nachhaltiges und sicheres Wachstum in Unternehmen zu ermöglichen. Fachbereiche in der Produktion verfolgen primär Ziele hinsichtlich Kostenoptimierung und optimaler Fertigungsprozesse – unter Berücksichtigung von Betriebssicherheit, Qualität und Produktivität. Cybersecurity kommt als komplexes Thema mit hoher Bedeutung hinzu. Produktionsabteilungen werden zunehmend fachliche Verantwortung für die Absicherungen von Anlagen gegen Cyberangriffe übernehmen. Die Verschmelzung von OT und IT muss auf Governance- und Management-Ebene eingeleitet, unterstützt und gesteuert werden. Nur so können Schwachstellen nachhaltig vermieden und behoben werden.

Cybersicherheitsexperten etwa betrachten Schwachstellen aus rein technischer Sicht: Eine Schwachstelle ist ein Programmierfehler in einer Software oder eine fehlerhaft konfigurierte Firewall. Der eigentliche Ursprung vieler Schwachstellen ist weniger technisch. Es geht vielmehr um eine verantwortungsbewusste Allokation von Ressourcen und Qualitätssicherheitskontrollen. Verfügbare Zeit und vorhandenes Material muss auch im Cybersecurity-Umfeld zielgerichtet zur Reduzierung des Unternehmensrisikos eingesetzt werden. Dies erfordert eine übergreifende Governance und integriertes Risikomanagement.

Governance und Risikomanagement

Ein Hindernis auf dem Weg zu mehr Cybersicherheit ist die vor allem in komplexen Organisationen häufig anzutreffende Abgrenzungstendenz unterschiedlicher Unternehmensbereiche. Dieses Silo-Denken steht einer unternehmensweiten und übergreifenden Entwicklung von Cybersicherheit oft im Weg und ist meist Ausdruck einer schwachen, unklaren oder widersprüchlichen Safety- und Security-Governancestruktur.

Das Resultat: Unvollständiges Reporting, isolierte oder redundante Prozesse und ein Fokus auf Compliance ohne Berücksichtigung der tatsächlichen Risiken. Risikomanagement und Datensicherheitsarchitekturen entsprechen vielfach nicht den Anforderungen einer dynamischen Realität. Daten aus den Bereichen OT-IT-Risikomanagement, Business Continuity sowie Log-Daten und Statusinformationen aus den Produktionsprozessen, stammen aus unterschiedlichsten Quellen und Verantwortungsbereichen. Eine zentral verantwortliche Funktion, die diese Daten zusammenführt und regelmäßig nachverfolgt, um eine solide Basis für Entscheidungen und Aktivitäten im Bereich der Cybersicherheit zu erstellen, ist jedoch längst nicht in allen Unternehmen etabliert und scheitert im hektischen Tagesgeschäft oft am erwähnten Silo-Denken. Damit erhöht sich Verwundbarkeit gegenüber Cyber-Angriffen. Werden Sicherheitsvorfälle überhaupt erkannt, wird sich nicht selten nur ad-hoc darum gekümmert, ohne die Erkenntnisse in Anpassungen von Sicherheitsrichtlinien und dem Risikomanagement einfließen zu lassen.

Handlungsfelder einer ausgewogenen Cybersecurity

Oft entstehen unnötige Mehraufwände durch redundante Tätigkeiten und sich teils widersprechenden Informationen im Reporting. Die fehlende Übersicht und der mangelnde Bezug zum Unternehmenskontext, erschweren fundierte Managemententscheidungen und führen zu Intransparenz bei der Steuerung von Risiken. Die Folge: eine erhöhte Verwundbarkeit gegenüber Cyber-Angriffen und eine permanente Unsicherheit. Haben wir alle erforderlichen technischen Maßnahmen ergriffen? Machen wir die richtigen Dinge und machen wir sie richtig? Welches sind nun die wesentlichen Handlungsfelder einer ausgewogenen Cybersecurity?

1. Governance & Strategie

• Cybersecurity als Business Enabler positionieren und damit auch Kostendiskussionen relativieren.

• Umgang mit Komplexität und vernetztes Denken in den Mittelpunkt stellen.

• Unternehmensziele aufgreifen und auf den Bereich der Cybersecurity herunterbrechen.

• Best Practices in Form international anerkannter Regelwerke für Informationssicherheit und Cybersecurity anwenden.

2. Strukturen & Organisation

• Silostrukturen, -denken und -handeln abbauen.

• Klassische Handlungsfelder der Sicherheit (IT, OT, physikalische Sicherheit, IS, Compliance-Funktionen) ganzheitlich betrachten und intelligent miteinander kombinieren.

• In Wirkungsketten denken und den Aufbau der Cybersecurity im Unternehmen daran ausrichten.

3. Risiko-, Compliance- & Cybersecurity-Management

• Auf- und Ausbau eines durchgängigen Risikomanagements, das operationale Risiken der Digitalisierung vom ersten Anwendungsfall bis hin zum Regelbetrieb umfassend und dauerhaft betrachtet (Cyberrisiko-Management).

• Ausbau eines Informationssicherheits-Managementsystems (ISMS) zu einem Cybersecurity-Managementsystem (CSMS).

• Vorgaben von Behörden und regulierenden Stellen für Kritische Infrastrukturen als Hilfestellung nutzen.

4. Technologien & Werkzeuge

• Plattform-Lösungen müssen den Vorrang vor Einzellösungen und Excel-Listen erhalten; letztere führen in der Regel zu einer höheren Komplexität.

• Das Potenzial von cloudbasierten Security-Lösungen ausnutzen: Echtzeit-Sicherheits-analysen, Erkennung von Anomalien mit Hilfe von künstlicher Intelligenz (KI).

• Managed Security Services nutzen, wie etwa Continous Monitoring, Incident Response Advisory Services, Threat Intelligence oder Security Data Analytics

5. Mitarbeiter & ihre Fähigkeiten

• Mitarbeiter sind die „very first line of defence“ – Schulung und Sensibilisierung im Hinblick auf alle Gefahren des Einsatzes von alten und neuen Technologien ist eine Daueraufgabe.

Cybersecurity ist Chefsache

Cybersecurity ist eine überlebensnotwendige Querschnittsdisziplin und damit Chefsache. Als essenzielle Voraussetzung für Vertraulichkeit, Integrität von Daten, Prozessen sowie Verfügbarkeit und Ausfallsicherheit von Systemen, ist sie längst nicht mehr nur Kostenfaktor, sondern ein integraler Bestandteil des Geschäftsmodells. Umso wichtiger ist eine ganzheitliche Sicht auf die Sicherheitsaspekte, die alle relevanten Managementsysteme und Maßnahmen im Fokus hat. Das bedeutet: Cybersecurity muss Chefsache sein. Nur dann ist die Etablierung einer Kultur der Sicherheit möglich, die fundamentale IT- und OT-Maßnahmen – anhand der tatsächlichen Risikoexposition – wirksam durchsetzt und diese Ausrichtung regelmäßig überprüft. Eine übergreifende Governance, ein integriertes Risikomanagement und geschulte Mitarbeiter stellen die Eckpfeiler einer nachhaltige Cybersecurity und deren Auswirkungen auf Safety dar. Unternehmen müssen die organisatorischen Voraussetzungen für eine ganzheitliche Risikobetrachtung und Steuerung schaffen (OT, IT, Cybersecurity, Safety). Eine solche technologische Konvergenz erfordert organisatorische Anpassung für nachhaltiges Wachstum und Innovation. Die Organisation wird von Mitarbeitern gebildet und müssen entsprechend geschult werden.

Cybersecurity fängt beim Menschen an

Cybersecurity fängt beim Menschen an. Risikomanagement mit einem ausdrücklichen Fokus auf den Schutz der Organisation, muss diesen Schwerpunkt – im Zuge der Konvergenz von IT und OT – verändern. Safety & Security stellt auch die Sicherheit von Leib und Leben der Menschen in den Mittelpunkt. Menschen – sowohl als Mitarbeitende in Unternehmen wie auch beispielsweise als Akteure in sozialen Medien – sind meist das schwächste Glied in einer Abwehrkette – und damit das initiale Einfallstor. Die Durchführung von nachhaltigen Awareness-Trainings ist ein wichtiger Punkt. Mitarbeitenden müssen die Gefahren durch Cyberangriffe und die Bedeutung ihres persönlichen Verhaltens in praktischer Art und Weise sowie eingängig durch moderne Methoden – wie zum Beispiel durch Gamification – vermittelt werden.

Die Verbindung von Mensch, Maschine und Technologie ermöglicht neue Perspektiven durch schnellere und bessere Zusammenarbeit. Diese führt aber auch eine Vielfalt von neuen Bedrohungen aus der digitalen Welt ein. Die Bedrohungen beschränken sich nicht mehr nur auf finanzielle Schäden. Die Konvergenz von Technologie, Vernetzung und Digitalisierung erfordert eine Verbindung von funktionaler Sicherheit (Functional Safety) und Cybersicherheit zum Schutz von Mensch, Gesellschaft und Umwelt.

Über die Autoren

Wolfgang Kiener (M.Sc.) leitet das Thema Advanced Threats im Cybersecurity-Umfeld bei TÜV Rheinland. Er verantwortet die strategische Entwicklung von Dienstleistungen im Bereich Threat Management und industrieller Sicherheit. Mit mehr als 15 Jahren Berufserfahrung in internationalen Großkonzernen wie Siemens, REWE, T-Systems, Verizon und CSC, steuert Kiener die Entwicklung von innovativen Dienstleistungen unter Berücksichtigung von technologischen und kommerziellen Gesichtspunkten. Kiener hält zahlreiche Zertifizierungen im Bereich IT und Cybersecurity wie CISSP, CISM, CRISC, CCSK, ITIL, ISO 27001 Lead Implementer und GIAC.

Jörg Zimmermann ist Principal Consultant für Cybersecurity bei TÜV Rheinland. Mit dem Erfahrungshintergrund einer langjährigen Tätigkeit als IT-Leiter für ein großes, international agierendes Unternehmens hat Jörg Zimmermann sich umfassende und internationale Expertise angeignet. Sein Beratungsschwerpunkt liegt auf der Managementberatung für CXOs. Sein Portfolio wird abgerundet durch Kenntnisse in strategischer Informationssicherheit, Governance, Risk & Compliance sowie Business Continuity Management.

(ID:47133318)