Waarom TÜV SÜD zegt dat het een leider op het gebied van industriële cyberbeveiliging is

MNCHEN — Ongeveer 67 procent van alle bedrijven wordt getroffen door beveiligingsincidenten per jaar, zegt Andy Schweiger, de directeur van cyberbeveiligingsdiensten bij TÜV SÜD, de internationale test-, certificerings- en trainingsorganisatie. En het "tijdperk van scriptkiddies is voorbij", zei Schweiger, verwijzend naar de aspirant-hacker-wannabes die afhankelijk zijn van online bronnen om cyberaanvallen uit te voeren. "[De scriptkiddies die] 10 tot 15 jaar geleden de krantenkoppen haalden, zijn nu volwassen", voegde hij eraan toe. Als gevolg hiervan zijn de huidige cyberaanvallen vaak schadelijker. Overheidsactoren hebben een grotere rol op zich genomen bij het lanceren van aanvallen en het ontwikkelen van malware, die af en toe lekt, zoals in het geval van de EternalBlue-exploit, waardoor hackers in de onderwereld de mogelijkheid hebben om uitzonderlijk schadelijke aanvallen uit te voeren. En sommige aanvallers maken gebruik van machine learning voor uitvluchten en het identificeren van kwetsbare doelen.

Om de uitdaging aan te gaan, positioneert TÜV SÜD zich, net als UL in de Verenigde Staten, steeds meer als een autoriteit op het gebied van industriële cyberbeveiliging. Er zijn vijf redenen waarom TÜV SÜD die taak op zich neemt, zei Schweiger in een presentatie als onderdeel van een Siemens cybersecurity persbijeenkomst hier. Ten eerste is het goed geïnformeerd over de veranderende wettelijke vereisten, zoals de AVG, die betrekking hebben op cyber. (Op een gerelateerd punt zijn fabrikanten die met het internet verbonden gadgets in massa produceren, mogelijk aansprakelijk voor de schade die wordt veroorzaakt door grootschalige cyberexploitaties aan hun producten). Ten tweede houdt de organisatie het huidige dreigingslandschap nauwlettend in de gaten. Ten derde heeft het een solide team van cyberexperts opgebouwd. Ten vierde is het neutraal en objectief. En tot slot beweert het een spreekwoordelijke "one-stop-shop" voor cyberbeveiliging te zijn.

[ IoT World is het evenement dat IIoT van inspiratie naar implementatie brengt, waardoor het bedrijfsleven en de bedrijfsvoering een boost krijgen. Koop nu je ticket. ]

De Engelse slogan van de organisatie is:“Add value. Inspireer vertrouwen.”

TÜV SÜD heeft gewerkt aan het snel opbouwen van een team van meer dan 30 cyberexperts in een tijdsbestek van zes maanden. Als er een centraal doel is in zijn cyberbenadering, dan is het om cyberstrategie boven tactiek te verankeren. "Er zijn duizenden merken", zegt Schweiger, sprekend over het landschap van cyberleveranciers. "De belofte is:u koopt het volgende apparaat en u bent zekerder", zei hij. “Maar dat hoeft niet per se waar te zijn.”

Een organisatie die tientallen beveiligingsapparatuur koopt en een cyberbeveiligingsteam van ongeveer een dozijn heeft, zou zelfs minder veilig kunnen zijn. In plaats van een alomvattende cyberbeveiligingsstrategie te hebben, zou het waarschijnlijk een patchwork-verdediging hebben die hen kwetsbaar maakt.

Schweiger zei dat de status van TÜV SÜD als aanbieder van cyberbeveiligingsdiensten in plaats van producten het wendbaarder maakt dan productaanbieders. Als zich een nieuwe kwetsbaarheid voordoet, kan het bedrijf zich snel aanpassen om strategieën te ontwikkelen om deze aan te pakken.

De kerndiensten voor cyberbeveiliging vallen onder vier domeinen, gegevensbescherming (zoals advies over gegevensbescherming en gegevensvernietiging), beveiliging van commerciële transacties, industriële cyberbeveiliging (zoals op AI gebaseerde beveiligingstests en detectie van netwerkafwijkingen) en deskundige diensten (zoals detectie van aanvalsdiensten , beoordeling van risicoblootstelling en penetratietesten).

In de industriële sector helpt het bedrijf de OT- en IT-afdelingen van organisaties te convergeren in plaats van botweg te verklaren dat de een gewoon anders is dan de ander. "Als je een OT aan het IT-systeem koppelt, komen alle uitdagingen van het IT-systeem over naar het OT-systeem", zei Schweiger. De organisatie zegt ook dat het helpt om de OT- en IT-efficiëntie te optimaliseren en de interne processen van klanten te hergebruiken met gedeelde best practices.

Verwante inhoud

Risico is een vergelijking die bestaat uit een asset, een kwetsbaarheid en een bedreiging, zegt Stefan Laudat, informatiebeveiligingsmanager bij TÜV SÜD Sec-IT GmbH. Maar in tegenstelling tot traditionele IT-beveiliging, kan industriële cyberbeveiliging niet alleen de gegevens, productiviteit en systeembeschikbaarheid in gevaar brengen, maar ook mensenlevens in gevaar brengen of verwondingen veroorzaken. Een industriële omgeving met potentieel kwetsbare kritieke infrastructuur kan gevolgen hebben voor omliggende gemeenschappen. En vooraanstaande lucht- en ruimtevaartbedrijven testen bijvoorbeeld exoskeletten om hun werknemers in staat te stellen zware voorwerpen op te tillen. Als een van deze apparaten wordt geschonden of kwaadwillig wordt geconfigureerd, kan dit een ernstige bedreiging vormen voor de drager ervan.

Het huidige cyberdreigingsniveau in de industriële ruimte is matig tot hoog, zei Laudat. Terwijl de huidige actoren min of meer slapend zijn, investeren ze veel geld in het onderzoeken van industrieel gerichte aanvallen, terwijl de kosten van het lanceren van dergelijke exploits gestaag dalen. Sites zoals Shodan maken het voor aanvallers eenvoudig om verkenningen uit te voeren op potentiële industriële doelen.

De omvang van kwetsbaarheden in industriële omgevingen kan ook aanzienlijk zijn in industriële omgevingen, gezien de doorgaans zwakke toegangscontrolesystemen, het overwicht van propriëtaire protocollen, een beperkt regelgevingskader, complexe leveranciersnetwerken en over het algemeen een laag IT-beveiligingsbewustzijn. Bovendien is het veelgebruikte IoT-protocol MQTT lichtgewicht, veerkrachtig en onveilig, zei Laudat. En de lange levensduur van veel aangesloten industriële apparaten kan ze in de loop van de tijd blootstellen aan aanzienlijke kwetsbaarheden.

In sommige gevallen adviseert de organisatie haar industriële klanten om digitalisering te vermijden en bij analoge technologieën te blijven wanneer de potentiële cyberdreiging onaanvaardbaar is.

De cyberaanpak van TÜV SÜD steunt niet op conventionele audits, waarbij een of twee experts naar een bedrijf reizen en interviews afnemen. “De antwoorden komen uit de interviews. In het beste geval zijn ze bevooroordeeld. In het ergste geval vertellen ze je gewoon wat ze willen', zei Schweiger. Maar de cyberaanpak van de organisatie is gebaseerd op automatisering om het cyberrisico van haar klanten te meten. "Het systeem liegt niet tegen ons", voegde hij eraan toe.