Industrielle Cybersicherheit für KMU: Praktisches Whitepaper

Whitepaper und Executive Summary bereitgestellt von der ISA, Technologie- und Workforce-Training-Partner von IMEC.

Effektives Cybersicherheitsmanagement ist für alle Organisationen essenziell, unabhängig von der Größe. Es gibt viele Standards und Leitfäden, die Organisationen bei der Wegfindung unterstützen.

Das ISA-Whitepaper "Industrial Cybersecurity for Small- and Medium-Sized Businesses" soll KMU einen Einstieg bieten, insbesondere solche, die industrielle Prozesse managen und einen gewissen Automatisierungsgrad einsetzen. Konkrete Beispiele sind KMU in der Chemie-, Wasser- oder Abwasserbehandlungsbranche.

Während allgemein anerkannt ist, dass Operational Technology (OT) Systemsicherheit andere oder zusätzliche Maßnahmen erfordert als allgemeine Information Technology (IT) Systemsicherheit, ist es auch wahr, dass kleinere Unternehmen Schwierigkeiten haben, viele der verfügbaren Leitfäden umzusetzen.

Standards und Praktiken basieren oft auf der Annahme, dass Engineering- und Operations-Ressourcen verfügbar sind, um Technologie, Geschäftsprozesse und zugehörige Kontrollen zu definieren, implementieren und zu überwachen. Leider ist dies oft nicht der Fall. Kleinere Betriebe sind typischerweise nicht mit solchen Rollen besetzt. Häufiger gibt es breit definierte Mitarbeiterrollen, wobei Unterstützung und Betrieb von IT-Systemen nur Teil der Verantwortlichkeiten eines Einzelnen sind. Kleinere Unternehmen sind sich möglicherweise nicht einmal der Risiken bewusst, denen sie ausgesetzt sind, oder dass sie Cybersicherheitsdienstleistungen beauftragen können. Dieser Leitfaden soll die wesentlichen Kontrollen identifizieren, die etabliert werden müssen.

KMU müssen ihr Cybersicherheitsrisiko verstehen und Maßnahmen ergreifen, um es zu reduzieren – genauso wie bei anderen Geschäftsrisiken. Das Fehlen früherer Vorfälle oder der Glaube, die Organisation sei kein wahrscheinliches Ziel, rechtfertigt nicht, dieses Thema zu ignorieren.

KMU können durch eine Vielzahl von Bedrohungen gefährdet sein, darunter Amateur- und Profi-Hacker, Umweltaktivisten, missgünstige Mitarbeiter oder Auftragnehmer und sogar Nationalstaaten oder Terroristen. Zudem resultieren viele Cybersicherheitsvorfälle aus Unfällen oder unabsichtlichen Handlungen. Ein Unternehmen muss kein spezifisches Ziel sein, um betroffen zu sein.

Die Konsequenzen für ein KMU können je nach Art der Betriebsabläufe und Schwachstellen enorm variieren. Es ist essenziell, die zugrundeliegenden Schwachstellen zu erkennen und zu mindern, um die Wahrscheinlichkeit potenziell schwerwiegender Ereignisse zu minimieren.

Das Whitepaper bietet Leitlinien basierend auf etablierten Frameworks und Standards. Weiterführende Referenzen sollten auf diese Frameworks und Standards gemacht werden, mit Fokus auf die Empfehlungen im Dokument.

Cybersicherheitsmanagement ist keine einmalige Aktivität. Wie Qualitäts- und Sicherheitsmanagement ist Cybersicherheitsmanagement eine fortlaufende Aktivität, bei der kontinuierliche Verbesserung notwendig ist, um Risiken zu managen.

WHITEPAPER HERUNTERLADEN

Erfahren Sie mehr über zusätzliche Cybersicherheitsressourcen in den folgenden Artikeln:

Cybersicherheit – nur ein Teil eines umfassenden Informationssicherheitssystems

Fähigkeiten zur Bekämpfung industrieller Cyberangriffe

Dieses Whitepaper und die Executive Summary wurden ursprünglich von der International Society of Automation (ISA), einem strategischen IMEC-Partner, veröffentlicht. Mehr unter www.isa.org.