Führungskräfte sehen in Mitarbeitern das größte Risiko für die Sicherheit kritischer Infrastrukturen

Eine Studie von Newsweek Vantage belegt, dass bei Unternehmen, die zu den kritischen Infrastrukturen zählen, IT, OT, IoT und physische Systeme zunehmend verschmelzen, um die Leistungsfähigkeit zu verbessern. Gleichzeitig sehen die Befragten in den eigenen Mitarbeiter das größte Risiko. [...]

Im Rahmen der unabhängigen Erhebung unter dem Titel „Weathering the Perfect Storm: Securing the Cyber-Physical Systems of Critical Infrastructure“ wurden 400 Führungskräfte aus kritischen Infrastrukturen in Nordamerika, Europa und der Asien-Pazifik-Region mit folgendem Ergebnis befragt:

• 52 Prozent der Befragten sehen in den Beschäftigten das größte Risiko für die betriebliche Sicherheit
• Das Eindringen in IT-Datensysteme ist für 53 Prozent der Attacken innerhalb der letzten zwölf Monate verantwortlich
• 85 Prozent dieser Sicherheitsbedrohungen gelang es bis in die OT-Netzwerke vorzudringen, 36 Prozent davon nahmen ihren Ausgang in IT/Datensystemen, 32 Prozent gingen mit einer Beeinträchtigung physischer OT-Systeme einher
• Deutlich über die Hälfte aller Befragten (64 Prozent) räumte ein, dass erst eine Verletzung der Cybersicherheit oder eine Beeinträchtigung der physischen Sicherheit dazu geführt habe, einen eher holitischen Sicherheitsansatz zu implementieren
• Ein Viertel der Befragten geht davon aus, dass die bestehenden Sicherheitsmaßnahmen angemssen sind

Kim Legelis, CMO von Nozomi Networks: „Drei Dinge kommen hier zusammen: eine stetig wachsende Bedrohungslandschaft, die digitale Transformation und das Verschmelzen von IT und OT. Das bedeutet, Unternehmen brauchen zwingend mehr Transparenz und einen umfassenden Sicherheitsansatz für ihre OT- und IoT-Netzwerke. Diese Entwicklung betrifft die Führungsetagen der Unternehmen und sie betrifft die Mitarbeiter. Unternehmen erkennen aber sowohl die Risken als auch die Potenziale, die in der Modernisierung von kritischen Infrastrukturen liegen. Das ist ermutigend zu sehen. Wir wissen aus der Erfahrung mit tausenden von Industrieanlagen, dass es möglich ist, diese zu überwachen und die Risiken zu senken, unabhängig davon, ob Bedrohungen auf Cyberkriminelle, staatliche Akteure oder die eigenen Mitarbeiter zurückgehen.“

Weitere Ergebnisse der Umfrage

Die Integration von IT, OT und physischen Systemen hat sich etabliert:

• 88 Prozent der befragten Führungskräfte in kritischen Infrastrukturen bestätigen, dass sie ihre Systeme bereits integriert oder diesen Prozess auf den Weg gebracht haben
• 68 Prozent geben an, einige ihrer OT- und/oder ihrer physischen Systeme von der IT isoliert zu betreiben, aber dass der Integrationsprozess mehr und mehr voranschreitet
• Einer von fünf Befragten (20 Prozent) gibt an, dass sämtliche Systeme komplett mit solchen integriert sind, auf die man von außen zugreifen kann, und deutlich weniger Befragte sagen, dass dies für keines ihrer Systeme gilt (11 Prozent)

Die Bedrohungslandschaft wandelt sich – das gilt auch für die Sicherheitslage:

• Annähernd neun von zehn Führungskräften bestätigen einen Sicherheitsvorfall innerhalb der vergangenen 12 Monate, mehr als die Hälfte der Befragten räumte ein, dass sich in diesem Zeitraum ein oder zwei Vorfälle ereignet haben
• 85 Prozent der Sicherheitsvorfälle betrafen auch OT-Systeme, von diesen nahmen 36 Prozent ihren Ausgang bei IT/Datensystemen und bei 32 Prozent wurden physische Systeme beeinträchtigen
• Beinahe die Hälfte aller Befragten (47 Prozent) sehen in Cyberkriminellen das größte Risiko
• Eine noch größere Prozentzahl von Befragten (52 Prozent) nimmt an, dass ehemalige und aktuelle Mitarbeiter die größte Bedrohung darstellen
• 70 Prozent der befragten Organisationen haben Schritte eingeleitet, um die neuen Schwachstellen zu adressieren, die durch die Integration von Cyber-/digitalen Systemen mit OT-/physischen Systemen entstanden sind; die Art der Maßnahmen unterscheidet sich allerdings von Unternehmen zu Unternehmen

Herausforderungen und Hürden für einen holistischen Ansatz (Cybersicherheit und physische Sicherheit):

• Fast die Hälfte der Befragten (49 Prozent) kämpfen mit der abweichenden Risikotoleranz in IT und OT in einer gemeinsamen Umgebung, in der beide Bereiche traditionell getrennt voneinander und mit unterschiedlichen Ziele operiert haben
• Die beiden wichtigsten Hürden in technischer Hinsicht sind die Unterschiede zwischen IT- und OT-Umgebungen (für 43 Prozent der Befragten) und die (fehlende) Expertise im Bereich Cybersicherheit/IT (40 Prozent)
• 30 Prozent der Befragten kämpfen zusätzlich mit Widerständen seitens der Belegschaft

Motivation zur Veränderung:

• 32 Prozent gaben an, dass klare Direktiven von IT/OT-Führungskräften und/oder der Geschäftsführungs- und Vorstandsebene hinsichtlich der Risikotelranz einerseits und den Leistungsanforderungen andererseits die Veränderungen voranbringen und zusätzlich motivieren.

Die Studie wurde von Newsweek Vantage in Zusammenarbeit mit Nozomi Networks, Siemens und Yubico durchgeführt und seitens der International Society of Automation (ISA) beraterisch unterstützt. Die kompletten Studienergebnisse stehen hier zum Herunterladen zur Verfügung.