Wichtige Empfehlungen aus dem „GAO Critical Infrastructure Report on IoT“

Das U.S. Government Accountability Office (GAO) dient als „Wachhund“ des US-Kongresses und bietet Prüfungs-, Bewertungs- und Untersuchungsdienste für den Kongress. Im Dezember 2022 veröffentlichte das GAO seinen Bericht Critical Infrastructure: Actions Needed to Better Secure Internet-Connected Devices. Der GAO-Bericht beschreibt die Defizite der Regierungsbehörden bei der Durchführung von Bewertungen zur Minderung von Cybersicherheitsrisiken, die für Geräte und Systeme der Betriebstechnologie (OT) und des Internets der Dinge (IoT) bestehen.

Dave Cullen, Field CTO beim OT-Sicherheitsexperten OTORIO, geht dem Report auf den Grund und spricht Empfehlungen für deutlich verbesserte OT-Security aus:

Der Bericht des GAO über kritische Infrastrukturen macht insbesondere auf kritische Versäumnisse bei vier Bundesbehörden aufmerksam: Department of Energy (DOE), Department of Health and Human Services (HHS), Department of Homeland Security (DHS) und Department of Transportation (DOT).

Diese Abteilungen konzentrieren sich auf die Bereiche Energie, Gesundheitswesen und Verkehrssysteme. Das GAO kam jedoch zu dem Schluss, dass sie es versäumt haben, Metriken zu entwickeln, um die Effektivität ihrer Bemühungen zu bewerten, und dass sie es versäumt haben, IoT- und OT-Cybersicherheitsrisikobewertungen durchzuführen, was beides bewährte Verfahren sind. „Ohne Versuche, die Effektivität zu messen und die Risiken von IoT und OT zu bewerten, ist der Erfolg von Initiativen zur Risikominderung unbekannt“, heißt es in dem GAO-Bericht.

Im Jahr 2010 veröffentlichte das GAO über 90 Empfehlungen zum Schutz kritischer Infrastrukturen. Im Juni 2022 waren mehr als 50 dieser Empfehlungen noch immer nicht umgesetzt. Von den 14 Empfehlungen, die als vorrangig eingestuft wurden, waren zehn noch nicht umgesetzt worden. Infolgedessen warnt der Überwachungsausschuss des Kongresses davor, dass „Bundesbehörden in ihrer Fähigkeit eingeschränkt sein könnten, den Schutz kritischer Infrastrukturen vor schädlichen Bedrohungen der Cybersicherheit zu gewährleisten.“

Hauptempfehlungen von OTORIO

Kritische Infrastruktursektoren in den USA sind in hohem Maße von elektronischen Systemen abhängig, darunter das industrielle Internet der Dinge (IIoT) und OT-Geräte und -Systeme. In Anbetracht des GAO-Berichts hat OTORIO mehrere wichtige Empfehlungen, um Bundesbehörden und privaten Einrichtungen zu helfen, ihre IoT- und OT-Cybersicherheitsrisiken besser zu verwalten:

1. Laufende Risikobewertungen durchführen

OT/IoT-Betreiber sollten die Gesundheit und Sicherheit ihrer OT-Umgebungen sicherstellen, indem sie Gefahren durch kontinuierliche Risikobewertungen identifizieren. Sie sollten sich ein klares Bild von den Stärken und Schwächen Ihrer OT-Umgebung im Bereich der Cybersicherheit verschaffen, damit sie einen vorausschauenden Plan entwickeln können, indem sie den folgenden Ansatz verfolgen:

• Legen Sie eine Grundlinie für Ihr OT-Netzwerkdesign, Ihre Anlagen und Ihre Kommunikation fest.

• Testen Sie Ihre OT-Sicherheit auf Cybersecurity-Penetrationsfähigkeit und nutzen Sie spezifische Playbooks und Empfehlungen, um Ihre OT-Sicherheitslage zu verbessern.

• Nutzen Sie die Risikobewertungsplattform von OTORIO, um Ihre Anlagen, einen einzelnen Standort oder die Sicherheitslage Ihres gesamten Unternehmens an mehreren Standorten zu prüfen.

2. Schaffung eines Programms für Cybersicherheit oder Risikomanagement

Da die Risiken für kritische Infrastrukturen weiter zunehmen, können die Behörden mit einer integrierten Sicherheitsstrategie, die über die traditionellen OT-Ansätze hinausgeht, ihre Sicherheitsbemühungen mit der betrieblichen Widerstandsfähigkeit verknüpfen. Alle cyber-physischen Systeme – OT, IoT, IIoT – und die IT sollten in ein gemeinsames Governance-Modell einbezogen werden.

Wenn Sicherheitsdisziplinen (physische Sicherheit, Cybersicherheit und Sicherheit der Lieferkette) durch funktionale Silos getrennt sind, ist es wahrscheinlicher, dass die daraus resultierenden Schwachstellen von Angreifern ausgenutzt werden. Eine einheitliche, umfassende Sicherheitsstrategie für das gesamte Unternehmen ermöglicht es, digitale Sicherheitsbedrohungen zu bewerten, einzugrenzen und schnell und zuverlässig zu beseitigen. Dies ist ein entscheidender Bestandteil dessen, was OTORIO seinen Kunden in den Bereichen kritische Infrastrukturen, industrielle Fertigung und intelligenter Transport bietet. Ein integrierter Ansatz für die OT-Sicherheit ermöglicht es Sicherheitsfachleuten, Risiken kontinuierlich zu mindern und Betriebsumgebungen auf der Grundlage einer einzigen Quelle der Wahrheit zu schützen.

3. Tools und Automatisierung integrieren

OT-Systeme sind auf maximale Leistung und Zuverlässigkeit ausgelegt, doch sie sind ständigen Bedrohungen ausgesetzt und weisen einzigartige Sicherheitsschwachstellen auf. Um diese zu beseitigen, sind die richtigen Tools und Automatisierungen erforderlich. Da sie für industrielle Betriebsabläufe und Prozesse unerlässlich sind, hat der Schutz von OT-Systemen vor Cyberangriffen und unbeabsichtigten Störungen oberste Priorität.

Automatisierte Sicherheitstools können Bedrohungen effektiv erkennen und Teams dabei helfen, Risiken proaktiv zu mindern. Die Automatisierung vereinfacht und rationalisiert Sicherheitsprozesse und ermöglicht es Unternehmen, Schwachstellen effizienter zu erkennen und zu beheben. Eine automatisierte Plattform zur Bewertung von Sicherheits- und Compliance-Risiken trägt dazu bei, dass der laufende Betrieb so weit wie möglich aufrechterhalten wird.

4. Mehr als nur Anlagentransparenz

Eine erweiterte Anlagentransparenz ist ein wesentlicher Bestandteil einer effektiven OT-Sicherheit. Sie ermöglicht es Unternehmen, ihren Betrieb und ihre Infrastruktur vollständig zu verstehen, was entscheidend ist, um einen 360°-Blick auf ihre OT-Anlagen und deren Kommunikation zu erhalten. Eine zeitgemäße Lösung sammelt, orchestriert und analysiert Daten aus einem breiten Spektrum von Sicherheits- und Industriequellen in Ihrer Betriebsumgebung. Das Ergebnis ist ein viel umfassenderer Kontext über die Rollen der Anlagen innerhalb der Umgebung und die potenziellen Auswirkungen der vorhandenen Bedrohungen und Schwachstellen.

5. OT-spezifische Playbooks zur Risikominderung verwenden

Unkomplizierte, OT-spezifische Mitigation-Playbooks ermöglichen es OT-Sicherheitsteams, Sicherheitsvorfälle schnell und erfolgreich zu minimieren und anzugehen und so deren potenzielle Auswirkungen auf kritische industrielle Prozesse zu reduzieren.

Spezialisierte Sicherheitsanbieter entwickeln kontextbezogene, automatisierte Risikominderungs-Playbooks, die klar und praktisch sind, so dass Unternehmen ihre MTTR (Mean Time To Respond) verbessern können. Die Playbooks von sind auf die einzigartige OT-Umgebung eines jeden Unternehmens zugeschnitten. Sie leiten OT- und IT-Teams bei jedem empfohlenen Schritt an, um Schwachstellen, Sicherheitslücken, Gefährdungen und Konformitätsabweichungen zu entschärfen.

Zusammenfassung

Der jüngste Bericht des Obersten Rechnungshofs über kritische Infrastrukturen (GAO) wies auf Lücken in der OT- und IoT-Cybersicherheit bei denselben US-Bundesbehörden hin, deren Fachwissen der Kongress zur Behebung solcher Sicherheitslücken zu nutzen versuchte. Ziel muss es sein, kritische Infrastrukturen wie Öl- und Gas-, Elektrizitäts- und Wasseraufbereitungsunternehmen proaktiv vor OT- und IIoT-Sicherheitsrisiken und -schwachstellen zu schützen und Risiken zu reduzieren. Durch die Umsetzung der oben genannten Schlüsselempfehlungen kann die Integrität und betriebliche Widerstandsfähigkeit der industriellen IoT- und OT-Sicherheit für kritische Infrastrukturen aufrechterhalten werden.