Virksomhedsledere ignorerer risikoen ved operationel teknologi (OT) på egen risiko. Det er disse systemer, der driver noget af Storbritanniens mest kritiske nationale infrastruktur (CNI) – fra atomkraftværker til vandbehandlingsanlæg. I modsætning til IT-trusler kan angreb rettet mod OT have en direkte fysisk indvirkning på befolkningen. Alligevel er CNI-bestyrelser ofte skyldige i at prioritere andre forretningsmål frem for cybersikkerhed.

Det kan være ved at ændre sig med offentliggørelse af en ny rapport fra OT-sikkerhedsspecialisten Dragos. Underbygget af en uafhængig analyse fra forsikringsselskabet Marsh McLennan afslører den, at den årlige økonomiske risiko forbundet med OT-hændelser kan være så meget som 329.5 milliarder dollars. Spørgsmålet er: Hvis bestyrelser endelig begynder at lytte til deres CISO'er, hvad sker der så nu?

Hvorfor er OT i fare?

OT-sikkerheden er ikke forfærdelig på alle områder. Men almindelige mangler inkluderer:

  • Ældre udstyr, der har en lang levetid og ofte kører forældet software, enten på grund af problemer med hardwarekompatibilitet og/eller fordi det er vanskeligt at tage offline for at opdatere.
  • Historiske tilgange til risikostyring, der involverede at isolere OT-systemer fra det offentlige internet. Disse fejler nu, da systemer i stigende grad konvergerer med IT og er udstyret med konnektivitet.
  • Skæve prioriteter, der prioriterer tilgængelighed og sikkerhed frem for tryghed

Som følge heraf står mange OT-miljøer uden kritiske opdateringer, kører forældede, usikre kommunikationsprotokoller og har flade, usegmenterede netværk. Der kan også være mangel på indsigt i OT-aktiver og svag godkendelse, såsom statiske adgangskoder på endpoints.

Sikkerhedsproblemer som disse blev berømt udnyttet af Kinesiske trusselsaktører at "forudpositionere" sig på amerikanske CNI-netværk med det formål at iværksætte destruktive angreb i tilfælde af en konflikt. Ifølge March McLennan var de sektorer, der oftest blev ramt af OT-brud i løbet af det seneste årti,

  • Sundhedspleje (27 %)
  • Byggeri (27 %)
  • Fremstilling (16 %)
  • Bygningsautomation: (3%)
  • Forsyningsvirksomheder: (2%)

Hvad rapporten siger

For at nå frem til sit tal for OT-risiko, som menes at være første gang, finansiel risiko er blevet målt på denne måde, indsamlede Marsh McLennan data fra en af ​​verdens største forsikringskravsdatabaser. De analyserede også uafhængige tredjepartsdata, forsikringsrapporter og rapporter om erstatning efter brud – der dækker perioden 2014-2024.

Udover det værst tænkelige scenarie med OT-cyberhændelser, der resulterer i en økonomisk risiko på næsten 330 milliarder dollars årligt, bemærker rapporten, at hændelser, der resulterer i et krav om driftsafbrydelse, kan medføre tab på 172 milliarder dollars. Interessant nok stammer en stor del af disse tab fra indirekte omkostninger – som ofte ikke medregnes som en del af risikomodelleringen. Omkring 70 % af OT-brud pådrager sig disse omkostninger – som stammer fra relaterede driftsforstyrrelser og "forsigtighedsmæssige" nedlukninger.

"Kompleksiteten i sammenkoblede OT-systemer kan ofte introducere en forværret samlet risiko i disse miljøer," bemærker rapporten.

 En bekymring for C-suiten

Ifølge Dragos har organisationer historisk set haft svært ved at håndtere OT-risici fordi:

  • De kunne ikke kvantificere den økonomiske eksponering forbundet med specifikke hændelser
  • De kunne ikke måle effektiviteten af ​​OT-sikkerhedskontroller
  • De manglede uafhængige benchmarks til at informere dem om, hvilke kontroller der er mest vigtige, og hvorfor

Nu har de bedre indsigt takket være rapporten. Den fremhæver følgende fem kontroller som de mest effektive til at reducere "sandsynligheden og alvoren af ​​økonomisk tab" fra et OT-brud:

  • Hændelsesplaner
  • Forsvarbar arkitektur
  • Netværkssynlighed og -overvågning
  • Sikker fjernadgang
  • Risikobaseret sårbarhedsstyring

Phil Tonkin, teknologidirektør hos Dragos, forklarer, at opbygningen af ​​en forsvarlig arkitektur skal starte med en forståelse af de fysiske processer og sikkerhedskritiske systemer, som industrielle operationer er bygget på.

"En forsvarlig arkitektur i OT skal være designet til at modstå målrettede angreb, utilsigtede afbrydelser og andre fejl. Det betyder at isolere kontrolnetværk fra virksomhedssystemer, håndhæve strenge adgangskontroller for fjernforbindelse og sikre indsigt i alle aktiver og kommunikationsveje," fortæller han ISMS.online.

"Det kræver også, at systemer designes med robusthed i tankerne. Det betyder, at selv hvis et brud opstår, er virkningen inddæmmet, og genoprettelsen kan ske hurtigt. Arkitekturen skal afspejle de operationelle realiteter i ethvert industrielt kontrolsystem – ikke kun de teoretiske modeller for IT-sikkerhed. Det handler om at integrere tillid i selve infrastrukturen."

Det næste trin

Bevæbnet med overbevisende data som dem i Dragos-rapporten har ledere inden for OT-sikkerhed en god mulighed for at starte strategiske diskussioner med den øverste ledelse om, hvordan man bedst forbedrer den operationelle sikkerhed.

"Det næste skridt er at oversætte operationelle sårbarheder til forretningssprog – at vise, hvordan et kompromitteret kontrolsystem kan føre til produktionsnedbrud, sikkerhedshændelser eller regulatorisk eksponering. Det er nu muligt for ledere at kvantificere denne risiko og demonstrere, hvordan specifikke kontroller reducerer den," siger Tonkin.

"Dette giver dem mulighed for at argumentere for målrettede investeringer, ikke kun brede sikkerhedsudgifter. Det åbner også døren for et mere meningsfuldt samarbejde mellem drifts-, finans- og risikoteams. Målet er at gå fra reaktive forsvarssystemer til proaktiv modstandsdygtighed – at integrere OT-sikkerhed i en organisations overordnede risikoprofil og beslutningsramme."

Best practice-standarder kan hjælpe med disse bestræbelser, især ISO 62443 – som er designet med industriel automatisering og kontrolsystemer i tankerne. Nøglen er at sikre, at de anvendes "gennem et OT-perspektiv", siger Tonkin.

"Når disse standarder tilpasses omhyggeligt, kan de hjælpe OT-teams med at etablere en struktureret tilgang til risikostyring," konkluderer han.

"Det har ofte været vanskeligt for sikkerhedsteams og ledelse at forbinde disse rammer med målbare resultater. Men vi kan nu se, hvordan specifikke OT-kontroller, såsom planlægning af hændelsesrespons og netværkssynlighed, korrelerer direkte med reduktion af økonomisk risiko."