Studie zu Reaktionsmaßnahmen auf Attacken gegen industrielle Kontrollsysteme

Die größten Cybersicherheitsbedenken für industrielle Netzwerke: Personalmangel, geringe Investitionen und menschliches Fehlverhalten

[datensicherheit.de, 16.08.2018] In Zeiten der Digitalisierung stehen Betreiber industrieller Kontrollsysteme (ICS, Industrial Control System) zunehmend vor der Herausforderung, ihre Systeme und Anlagen vor Cyberangriffen zu schützen. Laut der Kaspersky-Studie „State of Industrial Cybersecurity 2018“ [1] sehen die befragten Industrieorganisationen branchenübergreifend Personalmangel, fehlende Investitionen durch das Management sowie der Faktor Mensch als die drei größten Hindernisse für eine ultimative Netzwerksicherheit. Da laut Kaspersky-Daten nahezu 40 Prozent der industriellen Kontrollsysteme im Halbjahresturnus angegriffen werden [2], können Cybersicherheitslücken in kritischen Infrastruktursystemen die Risiken für Unternehmen erheblich erhöhen.

Unterschiedliche Geschäftsmodelle

Industrie- und Energieunternehmen sowie Transport- und Logistikfirmen verfolgen naturgemäß sehr unterschiedliche Geschäftsmodelle. Entsprechend unterschiedlich sind folglich die Auffassungen darüber, was für negative Auswirkungen Cyberangriffe auf ihre industriellen Netzwerke haben könnten. Transport- und Logistikunternehmen – deren Geschäftskonzept primär auf einem Servicemodell basiert – bewerten beispielsweise einen Verlust des Kundenvertrauens (75 Prozent) als existenzielle Bedrohung. Für die Mehrheit der Fertigungs- (66 Prozent) und Energieunternehmen (73 Prozent) besteht laut Kaspersky-Umfrage hingegen die größte Gefahr darin, die Produktionsqualität durch einen gezielten Cyberangriff nicht mehr gewährleisten zu können.

Stiefkind IT-Sicherheit für industrielle Kontrollsysteme

Die Studie ergab außerdem, dass trotz der Häufigkeit und des hohen Schädigungspotenzials von Angriffen auf das ICS-Netzwerk – auf industrielle Kontrollsysteme –lediglich 52 Prozent der Unternehmen, branchenübergreifend, adäquate Reaktionsmaßnamen auf solche Vorfälle getroffen haben. Verglichen mit den Vorkehrungen gegenüber Angriffen auf das herkömmliche Unternehmensnetzwerk ein eher geringer Wert: so verfügen 77 Prozent der befragten Firmen über Security-Implementierungen, die im Falle einer Attacke auf die eigene IT-Büro-Infrastruktur zum Einsatz kommen.

Unterfinanziert und unterqualifiziert

Die Aufgabe, industrielle Netzwerke zu schützen, fällt häufig denjenigen zu, die für die Informationssicherheit im Unternehmen verantwortlich sind. In 40 Prozent der Fertigungsunternehmen liegt der Schutz industrieller Kontrollsysteme (ICS) in der Verantwortung der IT-Sicherheitsbeauftragten des Unternehmens. Innerhalb der Transport- und Logistikunternehmen hingegen bestätigt mehr als die Hälfte der Befragten (58 Prozent), dass die ICS-Sicherheit von einem spezialisierten Team bereitgestellt wird, das sich in Vollzeit der Bekämpfung von Bedrohungen widmet.

Industrieunternehmen – insbesondere solche mit komplexen technologischen Prozessabläufen – benötigen hoch spezialisierte, qualifizierte Mitarbeiter, um Sicherheitslücken professionell zu schließen. Im Energiesektor etwa, wo kritische nationale Infrastrukturen mithilfe von ICS verwaltet werden, liegt die größte Herausforderung im Bereich Sicherheitsmanagement darin, Mitarbeiter mit den entsprechenden Qualifikationen zu identifizieren und einzustellen (61 Prozent).

Grund für Unterfinanzierung: Fehlende Engagement des Top-Managements

In vielen Unternehmen hat das Thema IT-Sicherheit für die Unternehmensleitung eine hohe Priorität. Doch in 54 Prozent der Fälle ist das Top-Management von Fertigungsunternehmen beim Thema ICS-Schutz gar nicht oder nur oberflächlich involviert. Dies führt in der Konsequenz zu einer Unterfinanzierung dieses sensiblen und wichtigen Bereiches. Tatsächlich haben zwei Drittel (66 Prozent) kein eigenes Budget, um die Sicherheit kritischer Infrastrukturen zu gewährleisten. Sogar wenn ein reales Gefährdungspotenzial oder gar ein Vorfall vorliegen, sehen 17 Prozent der Hersteller darin noch immer keine ausreichenden Beweggründe, in ICS-Sicherheit zu investieren.

Der Faktor Mensch – ein Klassiker der Sicherheitsproblematik

Die Konsequenzen des Fehlverhaltens eigener Mitarbeitern stellt für die Hälfte (49 Prozent) der Unternehmen aus allen Wirtschaftsbereichen eine kritische Bedrohung dar. Das ist nicht überraschend, da Mitarbeiterfehler mit 27 Prozent nach Malware und Ransomware der häufigste Grund für Sicherheitsvorfälle innerhalb industrieller Kontrollsysteme darstellt. Glücklicherweise sind sich Unternehmen dieses Problems bewusst und versuchen es zu lösen, indem sie ihr Personal schulen und Verhaltensregeln für kritische Infrastrukturobjekte aufstellen. Ganze 82 Prozent der Unternehmen haben bereits Schulungen für Mitarbeiter, Auftragnehmer und Lieferanten durchgeführt.

Kaspersky Lab: ICS-Sicherheit proaktiv angehen

„Cyberbedrohungen entwickeln sich ständig weiter und zielgerichtete Angriffe, wie jüngst Triton und Industroyer, nutzen die Schwächen von Mitarbeitern aus“, sagt Georgy Shebuldaev, Head of Kaspersky Industrial Cybersecurity Business Development. „Vorfälle, die durch zufällige Handlungen von Mitarbeitern verursacht werden, können zu Datenlecks bis hin zum Ausfall oder zur vollständigen Abschaltung kompletter Produktionsprozesse führen. Für Unternehmen würde dies ein immenser finanzieller Verlust und ein gefährlicher Reputationsverlust bedeuten. Um dies zu verhindern, ist eine Kombination technischer und administrativer Maßnahmen erforderlich, die sowohl die Ausbildung von Personal als auch die Implementierung von spezialisierten Cyber-Defense-Systemen für alle Ebenen der industriellen Infrastruktur umfassen.“

Kaspersky Lab empfiehlt die folgenden Sicherheitsmaßnahmen für ICS-Systeme:

• die Einführung robuster Sicherheitsmaßnahmen und –verfahren
• die Überwachung und zeitnahe Reaktion auf Vorfälle in industriellen Netzwerken
• sowie regelmäßige Trainings und Schulungen für Mitarbeiter.

[1] https://ics.kaspersky.com/the-state-of-industrial-cybersecurity-2018
Die Umfrage wurde von CXP Group im Auftrag von Kaspersky Lab im April und Mai 2018 durchgeführt. Hierfür wurden weltweit 320 Verantwortliche im Bereich OT/ICS Cybersecurity aus den Branchen Herstellung, Versorgung und Transport in computergestützten Telefoninterviews befragt sowie Interviews mit 12 Experten geführt. Siehe auch: https://ics.kaspersky.com/the-state-of-industrial-cybersecurity-2018/ sowie https://www.kaspersky.de/about/press-releases/2018_ics-cybersecurity
[2] In der zweiten Jahreshälfte 2017 hat Kaspersky Lab auf 37,5 Prozent der ICS-Computer (Industrial Control System) Infizierungsversuche blockiert: https://ics-cert.kaspersky.com/reports/2018/03/26/threat-landscape-for-industrial-automation-systems-in-h2-2017/

Weitere Informationen zum Thema:

datensicherheit.de, 03.08.2018
IT trifft OT – Cyberangriffe auf industrielle Umgebungen

datensicherheit.de, 30.07.2018
Studie: Unternehmen vernachlässigen IoT-Sicherheit

datensicherheit.de, 25.07.2018
SANS-Studie: Cybersicherheit im IIoT bedroht

datensicherheit.de, 05.07.2018
Rückblick: SANS European ICS Summit 2018 in München

datensicherheit.de, 04.07.2018
Cybersicherheit: Führungskräften in Europa müssen sensibilisiert werden

datensicherheit.de, 25.06.2018
Angriffe auf Cyber-Sicherheit bei einem Drittel der Industriebetriebe

datensicherheit.de, 17.08.2018
Bisher noch kein verheerender Angriff auf Stromnetze

datensicherheit.de, 21.02.2018
Die fünf schlimmsten Cyberangriffe auf ICS-Systeme