Een robuuste cybersecurity-strategie bouwen voor cruciale infrastructuur

Belangrijkste takeaways:

• Bescherming van cruciale infrastructuur blijft topprioriteit, maar veel organisaties lopen nog achter in cyber-verdedigingsgereedheid.
• COVID-19 heeft de definitie van "cruciaal" uitgebreid tot sectoren als PPE-productie, logistiek en voedselverwerking, wat een herbeoordeling van essentiële systemen dwingt.
• Organisaties moeten verschuiven van reactieve maatregelen naar een proactieve cybersecurity-houding, met name midden in stijgende cyberdreigingen en toegenomen remote operaties.

Publieke zorgen over cyber-aanvallen op het elektriciteitsnet, dammen, stemsystemen en andere federaal aangewezen infrastructuur groeien. Toch, zoals Deloitte's Sean Peasley merkt, behouden de meeste operationele-technologie (OT) bedrijven nog steeds alleen nascente cybersecurity-programma's.

Historisch verwijst "cruciale infrastructuur" naar publieke werken zoals transport en utiliteiten. Over de afgelopen decennia heeft het bereik zich verbreed tot gezondheidszorg, energie, productie en meer. Kieran Norton van Deloitte benadrukt dat de pandemie nog meer breedte onthuld heeft, met PPE-fabrikanten, logistieke bedrijven, papier & pulp en vleesverwerking nu als essentieel erkend.

Terwijl veel OT-organisaties decennialange ervaring in traditioneel risicomanagement hebben, is cybersecurity een relatief nieuw focusgebied. Andrew Howard, CEO van Kudelski Security, observeert dat OT-beveiliging typisch 10-15 jaar achter IT achterloopt.

Volgens IBM's X-Force Threat Intelligence Index 2020, stegen aanvallen op industriële controlesystemen in 2019, de gecombineerde volume van de vorige drie jaar overtrefend. Hoog-profiel incidenten omvatten ransomware op Honda, Taiwan's energie-utiliteit, een Amerikaanse aardgasfaciliteit, Israels watervoorziening, en NTT's interne netwerkschending.

Risicobeoordeling: Een lopende imperatief

Zonder meetbaar risico, stagneert verbetering. Veel cruciale infrastructuur-entiteiten worstelen om een accurate asset-inventaris te behouden vanwege diverse, complexe omgevingen en een tekort aan OT-cybersecurity-specialisten.

Initiële risicobeoordelingen moeten dreigingen, kwetsbaarheden en potentiële gevolgen kwantificeren, gefocust op gedeelde wachtwoorden, ongepatchte systemen, derde-partij hardware/software en permissieve firewalls. Zulke beoordelingen kunnen uitgebreide herstellijsten onthullen, wat prioritering op basis van ernst en gemak van fix vereist.

Actief netwerk-scannen kan controlesystemen destabiliseren, dus een voorzichtige, collaboratieve aanpak met operaties is essentieel. Passieve monitoring biedt minder inbraak maar kan cruciale inzichten missen. De discussie reflecteert een clash tussen IT's voorkeur voor actief scannen en OT's risico-vermijdende houding.

Herstel-prioritering zou zowel risico-ernst als herstel-inspanning moeten wegen. Zoals Miklovic merkt, vertegenwoordigen grensinterfaces – protocol of fysiek – vaak het zwakste schakel, met USB-sticks als veelvoorkomend inbraakpunt. Terwijl snelle fixes (bijv. USB-poorten afdichten) belangrijk zijn, is een gebalanceerde risico-gebaseerde aanpak effectiever.

Joe Saunders van RunSafe adviseert een 2x2 matrix om kwetsbaarheidswaarschijnlijkheid versus impact-ernst te evalueren, wat een genuanceerd risicoprofiel voor elk systeem mogelijk maakt.

Nieuwe risico's in de nieuwe normaliteit

De pandemie heeft remote werk versneld, wat beveiliging voor productiesystemen compliceert. Werknemers gebruiken nu VPN's om productiecontroles van huis aan te passen, een praktijk die vroeger ongebruikelijk was. Derde-partij leveranciers kunnen ook remote toegang krijgen, wat additionele blootstelling creëert.

Bandbreedte, schaalbaarheid en implementatie-uitdagingen gaan vaak gepaard met toegenomen remote connectiviteit. Tegelijkertijd zijn traditionele contingency-plannen die vertrouwen op fysieke aanwezigheid en handmatige processen nu minder betrouwbaar.

Om aan te passen, zouden cruciale infrastructuur-organisaties een holistische herontwerp van technologie-architectuur moeten overwegen, met beveiligingscontrols dichter bij assets ingebouwd.

Naar proactieve cybersecurity

Het doel is incrementele, handmatige processen te vervangen door een proactieve houding die dreigingen anticipeert en continu aanpast.

Kerncomponenten van een robuust beveiligingsbeleid omvatten:

• Apparatuur & Apparaten – beveilig legacy industriële controllers, IoT-sensoren, gateways en corporate laptops. Begrip van device-context is essentieel.
• Netwerken & Gebruikers – strikte toegangskontroles afdwingen, dynamische policy engines deployen, en investeren in breach-detectie.
• Data – classificeren en ontdekken om passende beschermingsniveaus te bepalen.
• Workflows & Supply Chain – processen beveiligen, contractor-compliance afdwingen, en beschermen tegen supply-chain aanvallen.
• Software-ontwikkeling – beveiliging door de hele SDLC inbedden om veerkrachtige deployments te garanderen.

Balans tussen preventie, detectie en respons is cruciaal. Matt Selheimer van PAS Global adviseert 50% van de inspanning te alloceren aan preventie en 50% aan detectie en herstel. Norton benadrukt dat respons-capaciteiten even vitaal zijn als preventieve controles.

Frameworks en volwassenheidsmodellen

Organisaties kunnen zich afstemmen op gevestigde frameworks zoals ISO 27002, ISA/IEC 62443, en het Department of Defense's Cybersecurity Maturity Model Certification (CMMC). CMMC biedt een vijf-trap volwassenheidsmodel, van basis-hygiëne (Niveau 1) tot geavanceerde optimalisatie (Niveau 5). De vereiste voor derde-partij audits bevordert objectiviteit en accountability.

Automatisering en ingebouwde beveiliging

Machine-learning-gedreven monitoring kan routine-taken zoals breach-detectie automatiseren. Ingebouwde beveiliging op resource-beperkte apparaten biedt intrinsieke bescherming en asset-zichtbaarheid.

Echter, te vroege automatisering zonder solid beleid kan false positives genereren. Zoals Selheimer merkt, is fine-tuning van firewall-regels en SIEM-correlatie essentieel om ruis te reduceren.

Vanwege het unieke landschap van cruciale infrastructuur, kan off-the-shelf automatisering aanpassing vereisen. Norton suggereert gevoelige systemen te isoleren en orchestratie toe te passen om automatiseringsgaten te overbruggen.

Uiteindelijk zullen dreigingen snel evolueren. Proactief blijven betekent continu de cyber-houding aanpassen om opkomende risico's en industrietrends te reflecteren.

Voor meer industrie-inzichten, registreren voor IoT World's virtuele evenement op 11-13 augustus, met IoT, AI, 5G en edge oplossingen over verticales. Registreer vandaag.