Bewertung von Risikofaktoren in der OT-Cybersicherheit: Ein Leitfaden für Automatisierungsingenieure

Man sagt oft: „Das Internet ist eine schlechte Nachbarschaft“. So wahr das auch scheinen mag, gibt es viele weitere Risiken und Bedrohungen, die Automatisierungsingenieure kennen müssen und die Computersysteme in der Automatisierung und Steuerung betreffen können.

Operational Technology (OT) bezeichnet die physische Hardware und Software, die zur Überwachung und Steuerung von Industrieanlagen, Prozessen und Infrastruktur verwendet wird. Das sind die Elemente, mit denen wir als Automatisierungsingenieure täglich arbeiten.

Dieser Artikel wirft einen genauen Blick auf die Risikofaktoren in der OT-Cybersicherheit und wie Sie diese Risiken reduzieren können.

Kritische Infrastrukturen wie Kraftwerke, Staudämme und Windparks sowie kritische Produktionsstätten müssen sich der vielen Bedrohungen bewusst sein, denen ihre Systeme ausgesetzt sind. Zum Beispiel können Bedrohungen von einem verärgerten Mitarbeiter ausgehen, der das Netzwerk wissentlich mit einem Virus infiziert.

Bedrohungen können auch von externen Quellen wie dem Internet kommen. Jeder dieser Bedrohungstypen könnte der OT-Infrastruktur der Anlage erheblichen Schaden zufügen.

Welchen Risiken müssen Ihre Systeme standhalten? Einfach das zu tun, was andere tun, oder wahllos Cybersicherheits-Hardware und -Software einzusetzen, reicht nicht aus, um Sicherheit zu gewährleisten.

Ein systematischer Ansatz für Cybersicherheit ist ein unverzichtbarer, wichtiger Schritt, um Risiken zu eliminieren und Ihre Systeme zu einer freundlicheren Nachbarschaft zu machen.

Grundlagen der OT-Cybersicherheits-Risikobewertung

OT-Risikobewertung ist definiert als der systematische Prozess zur Identifizierung, Bewertung und Priorisierung von Bedrohungen und Schwachstellen. Es gibt mehrere Merkmale, die OT-Umgebungen einzigartig machen und von IT-Umgebungen unterscheiden.

Dazu gehören die Verbreitung von Altsystemen, 24/7-Verfügbarkeitsanforderungen und physische Integrationen zu Maschinen, Aktuatoren und Sensoren, die den Fertigungsprozess ausmachen.

Risikobewertungen müssen alle betroffenen Stakeholder einbeziehen, einschließlich Betriebs-, Engineering-, IT- und Managementpersonal. Wie bereits erwähnt, muss diese Risikobewertung einem systematischen Ansatz folgen, um erfolgreich zu sein.

Sehen wir uns also die fünf Schritte an, die in dieser Bewertung involviert sind.

Asset-Identifikation und Inventarisierung

Wenn eine Versicherungsgesellschaft gebeten wird, Ihr Haus zu versichern, möchte sie wissen, was im Haus ist, damit sie weiß, was verloren gehen könnte – mit anderen Worten, was dem Risiko von Verlust oder Beschädigung ausgesetzt ist. Dasselbe gilt für Risikobewertungen in der Cybersicherheit.

Die Inventarisierung und Abbildung all Ihrer OT-Assets ist der erste kritische Schritt. Alles sollte im Inventar aufgeführt sein, einschließlich Hardware wie SPS, SCADA-Systeme und HMI-Stationen. Dieses Inventar muss alle Software und Firmware umfassen, die auf Ihren OT-Systemen installiert sind.

Diese Assets mögen nicht physischer Natur erscheinen, aber sie sind gefährdet und die einfachsten Assets für Hacker, um sie zu infizieren.

Wir müssen auch Netzwerkausrüstung wie Switches und Verkabelung einbeziehen. Und vergessen Sie nicht externe Verbindungen wie Datenports für Herstellerzugriff oder Verbindungen für Fernwartung.

Ein vollständiges Inventar ist entscheidend, um dem Risikobewertungsteam zu ermöglichen, die sogenannte „Bedrohungslandschaft“ vollständig zu verstehen.

Übersehene Elemente, wie Datenports für Herstellerzugriff, können einfache Wege für Systeminfektionen sein, selbst wenn dies nicht böswillig geschieht.

Bedrohungs- und Schwachstellenidentifikation

Sobald wir all unsere Assets aufgelistet haben, kennen wir alle Elemente, die angegriffen werden könnten. Als Nächstes müssen wir die Arten von Bedrohungen identifizieren, denen unsere Systeme ausgesetzt sein könnten.

Diese Bedrohungen können interne Bedrohungen von Insidern sein, wie das Abzweigen von Geldern von Konten oder unbeabsichtigte Fehlkonfigurationen von Netzwerkswitches, die die Umgehung von Benutzerauthentifizierungsanforderungen ermöglichen.

Die Bedrohungen können auch extern aus dem Internet, durch Malware, Hacker oder Staatsakteure kommen, die nach wertvollen Assets wie Formulierungen und Rezepten suchen.

Oft vergessen werden häufige Schwachstellen, die bei legacy OT-Hardware und -Software auftreten können, wie fehlende Patches, schwache Authentifizierung und unsichere Protokolle.

Auswirkungsanalyse

Da wir nun unsere Bedrohungslandschaft kennen, müssen wir die Folgen eines tatsächlich kompromittierten Systems durch einen Angriff bewerten.

Diese Folgen können viele Formen annehmen, wie Sicherheitsrisiken für Personal oder Umwelt, Produktionsunterbrechungen, operative Störungen, finanzielle Verluste, Reputationsschäden und regulatorische und Compliance-Verstöße.

Die Folgen, denen Ihre Anlage ausgesetzt sein kann, hängen von Ihrer einzigartigen Situation ab und können viele weitere Risiken umfassen.

Eintrittswahrscheinlichkeitsbewertung

Der nächste Schritt ist der schwierigste – die Bestimmung der Wahrscheinlichkeit, dass diese Folgen tatsächlich eintreten.

Die Bestimmung der Ausnutzungswahrscheinlichkeit Ihrer Systemschwachstellen beinhaltet die Vorhersage Ihrer Exposition gegenüber Internetbedrohungen, die Identifizierung bekannter Exploits und Angreiferfähigkeiten und, wichtig, die Historie von Vorfällen, die Systeme wie Ihre betroffen haben.

Zum Beispiel war Stuxnet ein allgegenwärtiger und verheerender Virus, der die Hardware eines bestimmten Lieferanten angriff. Der Colonial Pipeline-Angriff war ein Ransomware-Cyberangriff, der zu einem Betriebsstillstand und erheblichen Kraftstoffengpässen an der Ostküste führte. Was kann Ihrem Betrieb passieren und wie wahrscheinlich ist das?

Die Risikomatrix

Der letzte Schritt besteht darin, für jeden Risikofaktor eine Risikomatrix zu erstellen. Die Risikomatrix stellt typischerweise die Auswirkung eines Cybersicherheitsverstoßes der Eintrittswahrscheinlichkeit gegenüber. Hier ist ein Beispiel einer Matrix mit Schwellenwerten für Auswirkung und Wahrscheinlichkeit als niedrig, mittel und hoch.

Das Risikobewertungsteam ist verantwortlich für die beste Zuordnung des Risikos zu jedem Feld der Matrix. Ihr Team könnte feststellen, dass eine hohe Eintrittswahrscheinlichkeit mit mittlerer Auswirkung auch als hohes Risiko gelten würde. Die Bewertungen hängen ausschließlich von Ihrer einzigartigen Situation ab.

Warum diese Matrix erstellen? Sie ermöglicht es Ihnen, Risiken, die sofortige Minderung erfordern, wie alle Hochrisiko-Elemente, sowie solche, die verschoben werden können, wie solche mit geringem Risiko, leicht zu identifizieren.

Unternehmen haben begrenzte Budgets für Cybersicherheit, daher sollten die risikoreichsten Probleme zuerst angegangen werden.

Herausforderungen und Überlegungen bei der OT-Risikobewertung

Dieser Prozess ist in der Regel nicht einfach. Das Verständnis aller Einschränkungen beim Patchen von Altsystemen kann schwierig sein. Es kann begrenzte Transparenz hinsichtlich der Natur einiger Bedrohungen geben.

Es können organisatorische Hürden bestehen, um alle Daten zu erhalten, die erforderlich sind, um das Ausmaß einiger Bedrohungen zu bewerten. Es können Lieferketten- und Drittparteirisiken bestehen, die unbekannt sind.

Best Practices für effektive OT-Risikobewertung

Es gibt Best Practices, um einige dieser Einschränkungen zu überwinden und ein effektives Risikoprofil zu entwickeln. Das Wichtigste ist, dass alle Stakeholder an der Bewertung beteiligt sind und zusammenarbeiten.

Zur Unterstützung dieses Prozesses gibt es viele Standards und Frameworks, die Teams im Risikobewertungsprozess leiten, wie NIST CSF und IEC 62443.

Ein Schlüssel zu effektiven Cybersicherheits-Risikobewertungsprogrammen ist die regelmäßige Aktualisierung der Bewertung mit aktuellen Daten.

Fazit

OT-Cybersicherheits-Risikobewertungen sind die Grundlage für die Schaffung einer effektiven Verteidigung gegen interne und externe Bedrohungen. Indem alle Stakeholder in den Prozess einbezogen werden, kann das vollständigste Bild der Bedrohungen und ihrer Eintrittswahrscheinlichkeit bestimmt und in einer Risikomatrix dargestellt werden.

Aus der Risikomatrix können die richtigen Entscheidungen für den Einsatz von Cybersicherheitsmaßnahmen getroffen werden. Da sich OT-Risiken weiterentwickeln, ist es wichtig, dass Anlagen proaktiv sind und laufende Risikobewertungen als Grundlage ihres OT-Cybersicherheitsprogramms durchführen.