Industrial Control Systems und IIoT sichern in wachsender Bedrohungslage

Es ist nicht mehr Frage, ob ein Device oder Sensor connected ist – es geht darum, wer auf die operativen Daten zugreifen kann, die es generiert, und wie man dieses Device oder Sensor sicher hält. Dieser Imperativ untermauert die konvergierten Systeme, die das Rückgrat unserer kritischen Infrastruktur bilden.

Diese Woche hatte ich das Privileg, auf SecurityWeeks Industrial Control Systems (ICS) Cyber Security Conference in Atlanta, GA zu sprechen. Das Event brachte Frontline-Verteidiger des IIoT zusammen – Operatoren und IT Partner, die mit SCADA, Plant Control Systems, SPS und anderen Industrial Control Environments arbeiten. Fallend mit National Cyber Security Awareness Month, spotlightete die Conference den kritischen Need, die Industries zu schützen, die unsere Gesellschaft sustinieren: Defense, Power Generation, Transmission, Water Utilities, Chemicals, Oil & Gas, Pipelines, Data Centers, Medical Devices und mehr.

Jeder neue Sensor oder Device, der dem Netzwerk beitritt, expandiert die Angriffsfläche auf unprecedented Tiefe und Breite. IIoT ist nicht nur eine Handvoll verbundener Gadgets; es ist ein komplexes Ökosystem digitaler Sensoren, Controller, Maschinen, Software und Mobile Devices, die das Gewebe moderner Gesellschaft antreiben. Diese Verbindungen zu sichern, ist daher eine ever-growing Challenge.

Gleich wichtig ist das Third-Party Ecosystem, das das digitale industrielle Environment antreibt. Hersteller, Distributoren und Service Provider der Komponenten, die ICC und IIoT ausmachen – inklusive konvergierender ICT – sind integral für den System Lifecycle. Dieses Ecosystem zu sichern, ist essenziell für Assurance an kritischer Infrastruktur.

Third-Party Ecosystem sichern

Control Systems, Devices und Sensors sind hochvariabel und oft customized für spezialisierte Data Feeds und operative Requirements. Beispielsweise haben Energy Sector Control Systems einzigartige Operating Toleranzen und Peak-Demand Metriken, die weit anders sind als in Connected Healthcare Environments. Konsequenterweise variieren Management und Controls dieser diversen Systeme widely.

Laut aktuellem EE Times Artikel „Why is the IIoT so vulnerable to cyberattacks?“ ist ein Key Driver dieses „Perfect Storms“ der Flickenteppich aus OT und Control Systems mehrerer Vendors, viele running Proprietary und Non-Updatable Software. Human-Machine Interfaces, Remote Terminal Units, SCADA Masters und SPS koexistieren in einem Maze von Konfigurationen – die Frage: Wie managt man Security in so einem Environment?

Beim Adressieren des Third-Party Ecosystems empfehle ich fünf essenzielle Schritte:

• Schritt 1: Ecosystem Members identifizieren, verstehen was sie liefern, und ihren potenziellen Impact auf Ihre ICs oder IIoT Security assessen.
• Schritt 2: Evaluieren, wie diese Partner Security in Solutions embedden, die Teil Ihrer Operating Systems werden.
• Schritt 3: Architektur implementieren, die Device Communication governs – Segmentation und Least-Privilege Access Principles anwenden.
• Schritt 4: Verifizieren, dass Third-Party Components innerhalb Ihrer definierten Security Toleranz Levels operieren.
• Schritt 5: Engagieren mit, und Einfluss nehmen auf, Policies, Standards und Guidance, die ICs, IIoT und ihre Ecosystems shapen – wie ANSI/ISA-62443-4-1-2018, NISTIR Draft 8228, NERC CIP 013-1.

Public und Private Sectors launchen Initiativen, um diese Risiken zu adressieren. Das U.S. Department of Homeland Security steht kurz vor Launch seines ICT Supply Chain Task Force, underscoring die kritische Wichtigkeit, den gesamten Lifecycle digitaler Devices in unserer Infrastruktur zu sichern. Dieser kollaborative Effort bietet einen hoffnungsvollen Pfad vorwärts, diverse Industries zusammenbringend, um die expandierende Threat Landscape und das wachsende Third-Party Ecosystem zu konfrontieren.

Für ICs Operatoren, IIoT User und Hersteller ist Verständnis, wer und was Ihr Third-Party Ecosystem komponiert, entscheidender denn je. Comprehensive Security across diesem Ecosystem ist paramount. Engagieren Sie mit Industry Peers, bleiben Sie informiert, und kollaborieren Sie cross-sector für kollektiven Erfolg.

Zusätzliche Lektüre zu Securing Critical Infrastructure, ICs und IIoT:

• Securing Critical Infrastructure in the Digital Age
• Laying the Foundation to Secure Critical Infrastructure – Don't Let the Lights Go Out on Critical Infrastructure Security