IT-Rebellen Das Blog für IT- und Businessentscheider, die neue Wege gehen wollen.
Ob Produktionsstraße oder Roboter: In Zeiten der Industrie 4.0 müssen industrielle Kontrollsysteme (ICS, Industrial Control System) und die Betriebstechnologie (OT, Operational Technology) vor Cybergefahren geschützt werden. Laut einer Studie von PAC (CXP Group), die im Auftrag von Kaspersky Lab durchgeführt wurde, waren 31 Prozent der Industrieunternehmen in den vergangenen 12 Monaten mindestens von einem ICS/OT-bezogenen Cybersicherheitsvorfall betroffen. 8 Prozent können dazu keine Angaben machen und 10 Prozent messen derartige Vorfälle nicht. Zudem haben mehr als drei Viertel die Befürchtung, dass ihre Organisation zum Ziel eines Cybersicherheitsvorfalls werden könnte, der ihre industriellen Kontrollnetzwerke einbezieht.
Quelle: Kaspersky
Laut der Studie hatten Industrieunternehmen auf Shop-Floor- beziehungsweise ICS/OT-Ebene in den vergangenen 12 Monaten vor allem mit folgenden Cybergefahren zu kämpfen:
- 64 Prozent erlebten mindestens einen konventionellen Malware- oder Virusangriff;
- 30 Prozent erlitten eine Ransomware-Attacke;
- 27 Prozent hatten einen Vorfall aufgrund von Fehlern und Handlungen der Mitarbeiter zu erleiden;
- 20 Prozent hatte mit Gefahren zu kämpfen, die im Zusammenhang mit Drittanbietern wie Partner oder Lieferanten standen;
- zielgerichtete Angriffe gingen um mehr als die Hälfte gegenüber dem Vorjahr zurück (von 36 auf 16 %);
Finanzieller Schaden ist schwer zu messen
Die Bestimmung des genauen Ausmaßes finanzieller Schäden sei eine schwierige Frage, da diese nicht ganz einfach zu messen sind. Insgesamt gaben 20 Prozent der Befragten an, ihre finanziellen Kosten und Schäden aufgrund von Sicherheitsvorfällen seien gestiegen. Verglichen mit den Vorjahren sind die finanziellen Aufwände für 48 Prozent gleich geblieben, für 27 Prozent sogar gesunken. Angesichts der kontinuierlich wachsenden Zahl von Cyber-Angriffen, auch im OT-/ICS-Bereich, zeigen die Maßnahmen hinsichtlich Cyber-Sicherheit zumindest in einigen Unternehmen positive Wirkung.
Sind die Gesamtkosten/-schäden durch einen bzw. mehrere erlittene Sicherheitsvorfälle im Vergleich zu den Vorjahren gestiegen,gleichgeblieben oder gesunken? Quelle: CXP
Betrachte man die einzelnen Regionen etwas genauer, stelle man starke Unterschiede hinsichtlich der Anzahl der Unternehmen fest, die mit steigenden finanziellen Kosten und Schäden zu kämpfen haben. Während in China und Indien 31 Prozent der befragten Firmen einen Anstieg beklagen, sind es in Lateinamerika nur 13 Prozent. Dies sei ein Indiz dafür, dass – wenn Firmen dem Thema Cyber-Sicherheit im OT-/ICS-Umfeld hohe Priorität einräumen – Sicherheitsvorfälle ggf. vermieden und damit verbundene finanzielle Kosten bzw. Schäden begrenzt werden können.
Unternehmen, die kritische Infrastrukturen betreiben, sowie viele Unternehmen des verarbeitenden Gewerbes seien sich der hohen Signifikanz von Cyber-Sicherheit im IIoT-Umfeld bereits bewusst. Sie seien sozusagen Vorreiter, doch selbst falls der Reifegrad hinsichtlich OT-/ ICS-Cyber-Sicherheit weiterhin niedrig bleibt, kennen doch viele Unternehmen die Risiken und tätigen entsprechende Investitionen. Vor allem, da die Mehrheit der befragten Firmen aufgrund der digitalen Transformation mit einer höheren Wahrscheinlichkeit von Cyber-Sicherheitsrisiken rechnet. Die Hauptschwierigkeiten der Organisationen betreffen u.a. die Handhabung wenigstens eines wichtigen Sicherheitsfaktors und/oder die Zusammenarbeit zwischen dem IT- und OT-Team.
Der Einfluss von IoT auf OT-/ICS-Cyber-Sicherheitsrisiken. Quelle: CXP
Vorteile übertreffen Risiken
Wolfgang Schwab, Principal Consultant bei PAC und Hauptautor der Studie, gibt die folgende Einschätzung ab: „Die Vorteile von Industrial IoT überwiegen die potenziellen Risiken. Genau aus diesem Grund investieren Unternehmen in diesen Bereich und werden OT-/ICS-Cyber-Sicherheit erst einmal weiterhin hoch priorisieren.“
Mathieu Poujol, Head of Cybersecurity bei PAC und Koautor der Studie, ergänzt: „Ein wichtiger Aspekt beim Vergleich von IT-Sicherheit mit OT-/ICS-Cyber-Sicherheit ist, dass sich im ersteren Fall der Schaden größtenteils auf den IT-Bereich beschränkt, also eher virtueller Natur ist, wohingegen es bei OT/ICS Fall auch zu physischen Schäden kommen kann. Diese Tatsache wirkt sich also völlig anders auf das Thema der Risikobegrenzung und die potenzielle Haftung der betroffenen Unternehmen aus.“
„Da die Branche auf digitale Trends wie Cloud und IoT setzt, um die Effizienz weiter zu steigern, wird die Herausforderung und Bedeutung der Cybersicherheit noch wichtiger. Es gilt, kritische Systeme am Laufen zu halten und Unternehmen betriebsbereit zu halten“, so Georgy Shebuldaev, Brand Manager von Kaspersky Industrial Cybersecurity.
„Die gute Nachricht ist, dass immer mehr Unternehmen ihre Cybersicherheitspolitik verbessern und gezielte Maßnahmen zum Schutz ihrer industriellen Kontrollnetzwerke ergreifen. Obwohl dies ein Schritt in die richtige Richtung ist, müssen noch weitere Maßnahmen ergriffen werden, um mit der Digitalisierung Schritt zu halten. Dazu gehört die Aktualisierung von Programmen zur Incident Response, um spezifische ICS-Maßnahmen abzudecken, sowie der Einsatz von Cybersicherheitslösungen, um diese Herausforderung zu meistern.“
Neue Herausforderung: SCADA in der Cloud
Bereits 15 Prozent der Industrieunternehmen setzen Cloud-Lösungen für ihre SCADA-Steuerungssysteme ein, weitere 25 Prozent planen einen Einsatz in den nächsten 12 Monaten. Die Einführung des Industrial Internet of Things (iIoT) und Cloud-basierten Systemen bringe jedoch auch neue Herausforderungen in Sachen IT-Sicherheit für die Industrieunternehmen mit sich. Für mehr als die Hälfte der Unternehmen (54 %) sind die erhöhten Risiken sowie die Umsetzung von Maßnahmen für das kommende Jahr eine große Herausforderung der Cybersicherheit.
Methodik: Die Umfrage wurde von CXP Group im Auftrag von Kaspersky Lab im April und Mai 2018 durchgeführt. Hierfür wurden weltweit 320 Verantwortliche im Bereich OT/ICS Cybersecurity aus den Branchen Herstellung, Versorgung und Transport in computergestützten Telefoninterviews befragt sowie Interviews mit 12 Experten geführt.
