Eine Benchmark-Umfrage von Honeywell hat eine Diskrepanz zwischen dem Vertrauen von Industrieunternehmen in ihre Cybersicherheitsprogramme für Betriebstechnologie und den von ihnen gemeldeten Anlagenverzeichnissen und Überwachungskontrollen festgestellt. Security Today veröffentlichte die Ergebnisse am 28. September.
Vollständige Bestandsverzeichnisse sind weiterhin selten
Für den Bericht wurden mehr als 600 Führungskräfte befragt, die in den Bereichen Energie, Öl und Gas, Gesundheitswesen, Schifffahrt und Fertigung für Cybersicherheitsrisiken, Compliance oder den Betrieb verantwortlich sind. Security Today berichtete, dass 88% ihre Programme als ausgereift bezeichneten, während 21% angaben, vollständige OT-Anlagenverzeichnisse zu führen.
Nur ein Drittel der befragten Unternehmen meldete eine vollständige Integration der OT in zentralisierte Security Operations Center. Eine kontinuierliche Überwachung vernetzter Kameras, Sensoren und anderer IoT-Geräte war weniger verbreitet. Dies verdeutlicht, wie physische Systeme und Betriebstechnologie außerhalb der unternehmensweiten Überwachung verbleiben können.
Vertrauen sollte anhand von Belegen überprüft werden
Eine Selbsteinschätzung des Reifegrads ist nur dann sinnvoll, wenn sie durch aktuelle Bestandsverzeichnisse, dokumentierte Zuständigkeiten, Netzwerktransparenz und erprobte Verfahren für Sicherheitsvorfälle gestützt wird. Unbekannte Engineering-Workstations, nicht verwaltete Fernzugriffsverbindungen und nicht mehr unterstützte Steuerungen können die Segmentierung und Reaktionsfähigkeit beeinträchtigen, selbst wenn die Governance-Rahmenwerke vollständig erscheinen.
Betreiber können zunächst Erkennungsdaten mit genehmigten Anlagenregistern abgleichen, jedem Gerät einen geschäftlich Verantwortlichen zuweisen und Abhängigkeiten hinsichtlich Software, Support und Wiederherstellung dokumentieren. Der Benchmark bekräftigt ein wiederkehrendes Thema der cyber-physischen Sicherheit: Resilienz setzt voraus, zu wissen, welche Systeme vorhanden sind, wie sie kommunizieren und welche betrieblichen Folgen eintreten, wenn sie ausfallen.
Schreibe einen Kommentar