Digitale OT-Security und Cybersicherheit benötigen ein Update

Vorteile der risikobasierten Entschärfung der Sicherheitslage

Risikobasierte Ansätze skalieren operative digitale Sicherheitsinitiativen und reduzieren gleichzeitig den Zeit- und Kostenaufwand für kurz- und langfristige TCO. Bei der Risikobewertung wird die Sicherheitslage eines Unternehmens berücksichtigt und in einen Zusammenhang mit den Bedrohungen für die digitale OT-Sicherheit gebracht. Eine Bedrohung der Cybersicherheit oder eine digitale Fehlkonfiguration ist ein Ereignis oder eine Folge von Ereignissen, die wahrscheinlich Schwachstellen in der Sicherheitslage eines Unternehmens ausnutzen oder einen potenziellen Absturz verursachen. Das Risiko ist also eine Funktion sowohl der Bedrohung als auch der Sicherheitslage.

Ein wichtiger Faktor im Bewertungsprozess ist die angemessene Kategorisierung des Risikos für verschiedene Branchen. Die Modellierung von Bedrohungen kann beispielsweise in der Energiewirtschaft anders aussehen als in einer automatisierten Fertigungsstraße. Sie kann auch je nach Region und Produktionsverfahren variieren. Eine solche Kategorisierung kann die Wahrscheinlichkeit bestimmter Cyberangriffsszenarien (z. B. auf der Grundlage historischer Daten über die Häufigkeit von Angriffen) und die Wahrscheinlichkeit von Auswirkungen auf der Grundlage von Exposition und Schwachstellen berücksichtigen. Auf diese Weise können Unternehmen besser auf branchenspezifische Risiken vorbereitet sein.

In der IT-Cybersicherheitsbranche wird seit langem die Auffassung vertreten, dass eine wirksame Priorisierung von Maßnahmen, die sich aus einer Lagebeurteilung ergeben, von der Berechnung eines Risikoindikators abhängt. Ein risikobasierter Ansatz für die Priorisierung ist ein iterativer Prozess, bei dem sich die Fachleute fragen müssen: Welches sind die minimalen Abhilfemaßnahmen, die eine maximale Risikominderung für eine bestimmte Anlage oder das gesamte Unternehmen bewirken?

Sobald diese minimalen Abhilfemaßnahmen implementiert sind, wird die Frage wiederholt, um weitere Maßnahmen zu identifizieren, die durchgeführt werden müssen. Dieser Prozess ermöglicht es den Betriebs- und Sicherheitsteams, sich auf die Schwachstellen, Lücken und Gefährdungen zu konzentrieren, die am ehesten ausgenutzt werden und dem Unternehmen den größten Schaden zufügen können. Nur durch die wiederholte Durchführung dieser Schleife lässt sich Resilienz, also die Widerstandsfähigkeit des Unternehmens erreichen – und das mit einer begrenzten Menge an Ressourcen.

Da die Prozesse zur Bewertung der Sicherheitslage keine kontinuierliche Überwachung der Bedrohungen beinhalten, insbesondere, wenn diese nur sporadisch auftreten, benötigen die Anwender Tools, mit denen sie OT-Sicherheitsrisikoszenarien auf der Grundlage eines „Was-wäre-wenn“-Ansatzes erstellen können. Diese Art der Bedrohungssimulation ermöglicht es dem System, Risiken zu modellieren, auch wenn keine laufende Überwachung stattfindet. Fachexperten erstellen Risikoszenarien, die auf die Prozesse und die Anlageninfrastruktur des Unternehmens angewendet und in den Unternehmenskontext eingeordnet werden können. Solche Risikoszenarien ermöglichen nicht nur die Festlegung von Prioritäten bei der Risikominderung, sondern können auch dazu verwendet werden, Probleme mit der Netzwerktopologie und -segmentierung zu identifizieren, einschließlich Angriffsvektoren und OT-Exposition nach außen.

Risikoreduzierung zur Routine machen

Ein risikogestützter Ansatz für die digitale OT- und Cybersicherheit trägt erheblich zur geschäftlichen und betrieblichen Resilienz bei. Der Prozess wird durchgeführt, ohne dass eine ständige Überwachung der Bedrohungen erforderlich ist. Das Endergebnis ist eine nach Prioritäten geordnete Liste von SPAs (Security Posture Assessments), die durchgeführt werden müssen, um das Risiko von Schäden durch Cybersicherheitsvorfälle für das Unternehmen zu verringern.

Dieser Prozess umfasst:

• Identifizierung der Anlagegüter des Unternehmens.
• Identifizierung der Schwachstellen der Anlagegüter.
• Anwendung einer Richtlinie zur Ermittlung der geschäftlichen Auswirkungen von Anlagegütern und Sicherheitsschwachstellen auf das Unternehmen.
• Erfassung der Netzwerktopologie und -konnektivität der Anlagegüter.
• Anwendung von Bedrohungsmodellierungsszenarien zur Bewertung des Risikos im gesamten Unternehmen.
• Ableitung von Abhilfemaßnahmen zur effizienten Risikominderung.

Ein Großteil dieser SPAs kann rationalisiert und automatisiert werden, was für Unternehmen von großem Vorteil ist. Dies trägt dazu bei, die Inkonsistenzen bei der manuellen Evaluierung und Erstellung von Bewertungen in großem Umfang mit minimalen Kosten zu verringern – und so die OT-Sicherheitslage maßgeblich zu verbessern.

www.otorio.com