Risicofactoren in OT-cyberbeveiliging beoordelen: Een handleiding voor automatiseringstechnici

Men zegt vaak: "Het internet is een slechte buurt". En hoewel dat waar lijkt te zijn, zijn er veel andere risico's en dreigingen waar automatiseringstechnici zich van bewust moeten zijn die computersystemen in automatisering en controle kunnen beïnvloeden.

Operationele technologie, of OT, verwijst naar de fysieke hardware en software die gebruikt wordt om industriële apparaten, processen en infrastructuur te monitoren en te besturen. Dit zijn de items waar wij als automatiseringstechnici elke dag mee werken.

Dit artikel kijkt kritisch naar de risicofactoren in OT-cyberbeveiliging en hoe je deze risico's kunt verminderen.

Kritieke infrastructuur, zoals energiecentrales, dammen en windparken, evenals kritieke productiefaciliteiten, moet zich bewust zijn van de vele dreigingen waar hun systemen mee geconfronteerd zijn. Bijvoorbeeld, dreigingen kunnen afkomstig zijn van een ontevreden medewerker die het netwerk bewust infecteert met een virus.

Dreigingen kunnen ook van buitenaf komen, zoals via internet. Elk van deze dreigingstypen kan aanzienlijke schade toebrengen aan de OT-infrastructuur van de faciliteit.

Welke risico's moeten je systemen bewaakt worden? Gewoon doen wat anderen doen of willekeurig cyberbeveiligingshardware en -software inzetten is niet genoeg om veiligheid te garanderen.

Een systematische aanpak van cyberbeveiliging is een cruciale stap om risico's te elimineren en je systemen een vriendelijkere buurt te maken.

Fundamenten van OT-cyberbeveiligingsrisicobeoordeling

OT-risicobeoordeling wordt gedefinieerd als het systematische proces voor het identificeren, evalueren en prioriteren van dreigingen en kwetsbaarheden. Er zijn verschillende kenmerken uniek voor OT-omgevingen die verschillen van IT-omgevingen.

Daarbij horen de prevalentie van legacy-systemen, 24/7-beschikbaarheidseisen, en fysieke integraties met machines, actuatoren en sensoren die het productieproces vormen.

Risicobeoordelingen moeten alle betrokken stakeholders betrekken, waaronder operaties, engineering, IT- en managementpersoneel. Zoals ik eerder zei, moet deze risicobeoordeling een systematische aanpak volgen om succesvol te zijn.

Laten we eens kijken naar de vijf stappen die betrokken zijn bij deze beoordeling.

Asset-identificatie en inventarisatie

Wanneer een verzekeringsmaatschappij wordt gevraagd je huis te verzekeren, willen ze weten wat er in het huis zit, zodat ze weten wat verloren kan gaan, of met andere woorden, wat risico loopt op verlies of schade. Hetzelfde geldt voor risicobeoordelingen in cyberbeveiliging.

Het inventariseren en in kaart brengen van al je OT-assets is de eerste cruciale stap. Alles moet in de inventaris staan, inclusief hardware zoals PLC's, SCADA-systemen en HMI-stations. Deze inventaris moet alle software en firmware bevatten die op je OT-systemen geïnstalleerd is.

Deze assets lijken misschien niet fysiek van aard, maar ze lopen risico en zijn de makkelijkste assets voor hackers om te infecteren.

We moeten ook netwerkapparatuur zoals switches en kabels meenemen. En vergeet niet de externe verbindingen zoals datapoorten voor leverancierstoegang of verbindingen voor remote onderhoud.

Een complete inventaris is cruciaal om het risicobeoordelingsteam in staat te stellen de "dreigingslandschap" volledig te begrijpen.

Gemiste items, zoals datapoorten voor leverancierstoegang, kunnen makkelijke routes zijn voor systeeminfectie, zelfs als niet opzettelijk gedaan.

Dreigings- en kwetsbaarheidsidentificatie

Eenmaal al onze assets gelist, weten we alle items die aangevallen kunnen worden. Vervolgens moeten we de typen dreigingen identificeren die onze systemen kunnen uitnodigen.

Deze dreigingen kunnen interne dreigingen zijn van insiders, zoals het afzwakken van gelden van rekeningen of onopzettelijke misconfiguraties van netwerkswitches die omzeiling van gebruikersauthenticatievereisten toestaan.

De dreigingen kunnen ook extern zijn van internetbronnen, malware, hackers of staatssponserde actoren die na waardevolle assets zijn, zoals formuleringen en recepten.

Vaak vergeten zijn algemene kwetsbaarheden die kunnen optreden met legacy OT-hardware en -software, zoals het ontbreken van patching, zwakke authenticatie en onveilige protocollen.

Impactanalyse

Nu we ons dreigingslandschap kennen, moeten we de gevolgen beoordelen van een daadwerkelijk gecompromitteerd systeem door een aanval.

Deze gevolgen kunnen veel vormen aannemen, zoals veiligheidsrisico's voor personeel of het milieu, verstoring van de productie, operationele storingen, financiële verliezen, reputatieschade en regelgevings- en nalevingsschendingen.

De gevolgen die jouw faciliteit kan tegenkomen, hangen af van jouw unieke situatie en kunnen veel andere risico's omvatten.

Kansbeoordeling

De volgende stap is de moeilijkste – het bepalen van de kans dat deze gevolgen daadwerkelijk zullen worden gerealiseerd.

Het bepalen van de kans op uitbuiting van de kwetsbaarheden van je systeem omvat het voorspellen van je blootstelling aan internetdreigingen, het identificeren van bekende exploits en vijandige mogelijkheden, en belangrijk, de geschiedenis van incidenten die systemen als die van jou hebben getroffen.

Bijvoorbeeld, Stuxnet was een alomtegenwoordige en verlammende virus die de hardware van een specifieke leverancier aanving. De Colonial Pipeline-aanval was een ransomware-cyberaanval die leidde tot een shutdown van operaties en significante brandstoftekorten over de Oostkust. Wat kan er met jouw operatie gebeuren, en hoe waarschijnlijk is dat?

De Risicomatrix

De laatste stap is het opstellen van een Risicomatrix voor elke risicofactor. De Risicomatrix lijst typisch de impact van een cyberbeveiligingsschending tegen de kans dat de schending zal optreden. Hier is een voorbeeldmatrix met drempels voor impact en kans als laag, gemiddeld en hoog.

Het risicobeoordelingsteam is verantwoordelijk voor het bepalen van de beste toewijzing van risico aan elk vakje op de matrix. Jouw team kan bepalen dat een hoge kans op optreden met een gemiddelde impact ook kwalificeert als een hoog risico. De rangschikkingen hangen puur af van jouw unieke situatie.

Waarom deze matrix opstellen? Het stelt je in staat om risico's die onmiddellijke mitigatie vereisen gemakkelijk te identificeren, zoals alle hoog-risico-items, evenals diegene die uitgesteld kunnen worden, zoals die met een laag risico.

Bedrijven hebben beperkte budgetten voor cyberbeveiliging, dus de hoogste risico's moeten het eerst worden aangepakt.

Uitdagingen en overwegingen in OT-risicobeoordeling

Dit proces is meestal niet een makkelijke. Items zoals het begrijpen van alle beperkingen voor het patchen van legacy-systemen kunnen lastig zijn. Er kan beperkte zichtbaarheid zijn op de aard van sommige dreigingen.

Er kunnen organisatorische barrières zijn om alle benodigde data te verkrijgen om de omvang van sommige dreigingen te beoordelen. Er kunnen supply chain- en derde-partijrisico's zijn die onbekend zijn.

Best practices voor effectieve OT-risicobeoordeling

Er zijn best practices om enkele van deze beperkingen te overwinnen en een effectief risicoprofiel te ontwikkelen. De belangrijkste is dat alle stakeholders betrokken zijn en samenwerken in de beoordeling.

Om dit proces te ondersteunen, zijn er veel standaarden en frameworks beschikbaar die teams begeleiden in het risicobeoordelingsproces, zoals NIST CSF en IEC 62443.

Een sleutel tot effectieve cyberbeveiligingsrisicobeoordelingsprogramma's is om de beoordeling periodiek bij te werken met actuele data.

Conclusie

OT-cyberbeveiligingsrisicobeoordelingen zijn de basis voor het creëren van een effectieve verdediging tegen interne en externe dreigingen. Door alle stakeholders in het proces te betrekken, kan het meest complete beeld van de dreigingen en de kans op optreden worden bepaald en in een risicomatrix worden uitgezet.

Uit de risicomatrix kunnen de juiste beslissingen worden genomen voor het inzetten van cyberbeveiligingsverdediging. Naarmate OT-risico's evolueren, is het belangrijk voor faciliteiten proactief te zijn en lopende risicobeoordelingen te voeren als basis van hun OT-cyberbeveiligingsprogramma.