Umgang mit Cyberrisiken und -bedrohungen: zurück zu den grundlegenden Prinzipien
Täglich wird von neuen Cyberangriffen berichtet.
Enthüllungen über das Hacken von unabhängigen kriminellen Organisationen und staatlich finanzierten Gruppen geben bei Unternehmensleitungen, Regierungsbehörden und Gesetzgebungsorgangen zunehmend Anlass zur Sorge. Da gab es den SolarWinds Hack, der große Unternehmen betraf, die Colonial Pipeline Attacke, die aufgrund einer vorsorglichen Betriebsabschaltung die Öl- und Gasversorgung unterbrach, und die LockBit Ransomware-Attacken, um nur einige zu nennen.
Diese Cyberangriffe verwenden nicht unbedingt neue Angriffstechniken, werden jedoch leider immer schwerwiegender und häufiger. Obwohl kein Fertigungsunternehmen garantieren kann, dass es niemals von einem solchen Angriff betroffen sein wird, gibt es fünf grundlegende Maßnahmen, die Führungskräfte ergreifen können, um das Risiko zu reduzieren und einen effizienten Betrieb aufrechtzuerhalten.
Erstellen eines Geschäftsablaufdiagramms
Hersteller müssen ihre Geschäfts- und Fertigungssysteme für jede Funktion, jede Einnahmequelle und jede Aufgabe abbilden. Dies fördert das Verständnis des jeweiligen Prozesses und die Prozessverantwortung und unterstützt das Erreichen von Geschäftskontinuitäts- und Belastbarkeitszielen in Bezug auf Cyberangriffe, ähnlich wie bei Szenarien zur Bewältigung von Unternehmenskrisen. Normalerweise erfordert die Zuordnung von Geschäftsabläufen das Sponsoring durch Führungskräfte, damit funktionsübergreifende Interessenvertreter, einschließlich in den Bereichen Produktionsabläufe, Anlagen-Cybersicherheit, IT-Sicherheit, Fertigungs- und Unternehmenssysteme, teilnehmen können. Dies kann eine große Herausforderung darstellen. Seien Sie also darauf vorbereitet, viel Neues zu lernen und sich bei der Umsetzung eines Rahmenkonzepts Unterstützung zu sichern.
Gründliche Analyse von Bedrohungen
Hersteller sollten auch eine gründliche Bedrohungsanalyse durchführen. Im Rahmen dieses Prozesses empfiehlt es sich, die MITRE ATT&CK-Matrizen zu überprüfen, insbesondere die kürzlich entwickelte MITRE ICS ATT&CK-Matrix. Diese basiert auf einer globalen Wissensdatenbank mit Taktiken und Techniken, die von Angreifern in realen Angriffen eingesetzt werden.
Bewertung der Cybersicherheit
Es ist wichtig, die derzeit vorhandenen Cybersicherheitskontrollen und -maßnahmen durch eine Cybersicherheitsbewertung oder -überprüfung zu ermitteln und zu bewerten. Dabei sollten drei Hauptbereiche bewertet werden:
- Menschen: mit Fokus auf die Weiterbildung für neue Technologien und Prozesse
- Prozesse: die betrieblichen Arbeitsabläufe und Verfahren
- Technologie: die vorhandenen Systeme und Steuerungen
Technologie leistet einen wichtigen Beitrag, aber Menschen treiben den Erfolg voran. Die Zusammenarbeit mit einem führenden Unternehmen im Bereich Automatisierungstechnologie wie Emerson, das über Fachwissen in industriellen Steuerungssystemen und Betriebsabläufen verfügt, optimiert diese Bewertung.
Entwickeln einer Verteidigungsstrategie
Auf der Grundlage der Erkenntnisse aus der Bedrohungsanalyse und der Cybersicherheitsbewertung sollten Unternehmen eine umfassende Verteidigungsstrategie entwickeln, um Schwachstellen zu beheben und Risiken in allen Betriebsbereichen zu mindern, die von direkten Cyberangriffen, indirekten Cyberangriffen oder dem Verlust von Betriebsfähigkeiten betroffen sein könnten. Diese Strategie sollte eine risikobasierte Priorisierung aller Lücken oder Bedrohungen umfassen, um sicherzustellen, dass die größten Risiken zuerst angegangen werden und die Widerstandsfähigkeit der Kontrollen gewährleistet ist.
Bei der Bewertung dieser drei Säulen, d. h. Arbeitskräfte, Prozesse und Technologie, stellen wir häufig fest, dass Kunden einen Mehrwert darin sehen, externe Ressourcen zu nutzen, ihre Mitarbeitenden zu schulen oder weiterzubilden oder bestimmte Prozesse, technologische Kontrollen, Systeme oder Architekturen zu ändern, um eine robuste Verteidigung zu gewährleisten. Der Aktionsplan sollte auch auf die Pläne des Unternehmens für Geschäftskontinuität und Notfallwiederherstellung abgestimmt sein. Genau wie bei einem Betriebsausfall aufgrund fehlerhafter Systeme oder ausgefallener Hardware müssen auch für Cyberangriffe Pläne mit definierten, aktiven Prozessen und Zielen zur Eindämmung und Wiederherstellung erstellt werden.
Diese Verteidigungsstrategie sollte auch die Planung für Worst-Case-Szenarien umfassen. Für eine Fertigungseinrichtung können beispielsweise ein klarer Backup-Plan für den Ausfall von Computersystemen sowie Ausdrucke von Aufträgen, Etiketten und Kontaktdaten von entscheidender Bedeutung sein, um den manuellen Betrieb am Laufen zu halten, wenn Computer ausfallen. Dies ist vielleicht nicht in jedem Fall möglich, aber durch die regelmäßige Überprüfung von Backup- und Kontinuitätsplänen sind Unternehmen in der Lage, auch im Falle eines Cyberangriffs betriebsbereit zu bleiben.
Regelmäßige Überprüfung und Aktualisierung zur Sicherstellung der Wirksamkeit
Sobald die Strategie der tief gestaffelten Verteidigung eingeführt ist, sollte sie methodisch, zielgerichtet und regelmäßig getestet und überprüft werden, um sicherzustellen, dass sie wirksam ist und weder den laufenden Betrieb gefährdet noch andere Risiken mit sich bringt. Rollen, Verantwortlichkeiten und Mitarbeitendenschulungen sollten aktualisiert werden, wenn neue Verfahren und Technologien eingeführt werden.
Da das Risiko weiter wächst, sollte die Cybersicherheit für alle Unternehmen höchste Priorität genießen. Es müssen angemessene proaktive und defensive Cybersicherheitsabläufe und -kontrollen vorhanden sein, um wichtige Daten, Prozesse und Geschäftsvorgänge zu schützen. Führungskräfte spielen bei diesem Wandel eine entscheidende Rolle. Durch die Partnerschaft mit Fachkräften für Cybersicherheit können sie entscheidende Schritte zur Risikominderung unternehmen.
