Umgang mit Cyberrisiken und -bedrohungen: zurück zu den grundlegenden Prinzipien

Täglich wird von neuen Cyberangriffen berichtet. Anfang des Jahres war es der SolarWinds-Hack, der große Firmen wie Microsoft, Intel und Cisco betraf, dann kam der Angriff auf Colonial Pipeline, der die Öl- und Gasversorgung aufgrund einer vorsorglichen Betriebsunterbrechung beeinträchtigte, und kürzlich haben die LockBit-Ransomware-Angriffe die globale Beratungsfirma Accenture lahmgelegt − und das ist noch lange nicht alles. Enthüllungen über das Hacken von unabhängigen kriminellen Organisationen und staatlich finanzierten Gruppen geben bei Unternehmensleitungen, Regierungsbehörden und Gesetzgebungsorgangen zunehmend Anlass zur Sorge.

Diese Cyberangriffe nutzen nicht zwangsläufig neue Angriffstechniken, werden aber leider immer schwerwiegender und treten weitaus häufiger auf. Auch wenn kein Produktionsunternehmen garantieren kann, dass es niemals von einem Angriff beeinträchtigt wird, gibt es grundlegende Maßnahmen, die Geschäfts- und Cybersicherheitsverantwortliche ergreifen können, um Datensilos zu beseitigen, ganzheitlich zu agieren und bewährte Praktiken zur Risikominderung bezüglich dieser Art von Bedrohungen zu implementieren.

Wir wissen, dass diese Bedenken in der Branche hohe Priorität haben, und arbeiten jeden Tag mit unseren Kunden zusammen daran, eine solide Grundlage zu schaffen und Risiken zu minimieren. Wir möchten die häufigsten, grundlegenden Tipps für unsere Fertigungskunden hier mit Ihnen teilen.

Beteiligung an der Zuordnung von Betriebsabläufen
Hersteller müssen ihre Geschäfts- und Fertigungssysteme den einzelnen Funktionen, Umsatzströmen und Aufgaben zuordnen. Dies fördert das Verständnis des jeweiligen Prozesses und die Prozessverantwortung und unterstützt das Erreichen von Geschäftskontinuitäts- und Belastbarkeitszielen in Bezug auf Cyberangriffe, ähnlich wie bei Szenarien zur Bewältigung von Unternehmenskrisen. Normalerweise erfordert die Zuordnung von Geschäftsabläufen das Sponsoring durch Führungskräfte, damit funktionsübergreifende Interessenvertreter, einschließlich in den Bereichen Produktionsabläufe, Anlagen-Cybersicherheit, IT-Sicherheit, Fertigungs- und Unternehmenssysteme, teilnehmen können. Dies ist keine leichte Aufgabe. Seien Sie also bereit, viel zu lernen, und lassen Sie sich bei der Umsetzung eines Rahmenansatzes beraten.

Sorgfältige Analyse von Bedrohungen
Hersteller sollten eine gründliche Bedrohungsanalyse durchführen. Als Teil dieses Prozesses wird empfohlen, die MITRE ATT&CK-Matrizen zu prüfen. Dies gilt insbesondere für die vor kurzem entwickelte MITRE ICS ATT&CK-Matrix, die auf einer globalen Wissensdatenbank mit feindlichen Taktiken und Techniken basiert, die bei Angriffen in der realen Welt verwendet werden.

Bewertung des Cybersicherheitsschutzes
Es ist wichtig, die derzeitigen Cybersicherheitskontrollen und -abläufe durch eine Cybersicherheitsbeurteilung oder -prüfung zu bestimmen und zu bewerten. Dazu sollte die Evaluierung der drei wichtigsten Säulen − Menschen, Prozesse und Technologie − gehören, mit einem Schwerpunkt auf Menschen und deren Weiterbildung bezüglich neuer Technologien und Prozesse. Technologie leistet einen wichtigen Beitrag, aber Menschen treiben den Erfolg voran. Bei einer Beurteilung ist es am besten, mit einem Automatisierungsanbieter wie Emerson zusammenzuarbeiten, der über Expertise in diesem Bereich verfügt und mit industriellen Steuerungssystemen und -vorgängen vertraut ist.

Entwicklung einer Verteidigungsstrategie
Unternehmen sollten die Erkenntnisse aus der Bedrohungsanalyse und der Cybersicherheitsbeurteilung nutzen, um eine detaillierte Verteidigungsstrategie zu entwickeln, Schwachstellen zu beheben und Risiken in allen Betriebsabläufen zu mindern, die von direkten Cyberangriffen, indirekten Cyberangriffen oder dem Verlust der Einsatzfähigkeit betroffen sein könnten. Diese Strategie sollte eine risikobasierte Priorisierung aller Sicherheitslücken oder Bedrohungen umfassen, um sicherzustellen, dass zuerst die größten Risiken angegangen werden und die Belastbarkeit von Kontrollen gewährleistet ist.

Bei der Beurteilung der gleichen drei Säulen (Menschen, Prozesse und Technologien) schöpfen die Kunden oft einen Wert daraus, externe Ressourcen, Schulungen oder Weiterbildung für ihre Arbeitskräfte zu nutzen oder bestimmte Prozesse, technologische Kontrollen, Systeme oder Architekturen zu ändern, um eine robuste Verteidigung zu gewährleisten. Der Maßnahmenplan sollte auch an die Unternehmenspläne für Geschäftskontinuität und Notfallwiederherstellung angepasst werden. Genau wie bei Betriebsausfällen aufgrund von fehlerhaften Systemen oder defekter Hardware müssen auch für Cyberangriffe aktive Prozesse definiert werden, deren Ziele sich auf Eindämmung und Wiederherstellung konzentrieren.

Diese Defensivstrategie sollte die Planung für Worst-Case-Szenarien umfassen. Für eine Fertigungseinrichtung können beispielsweise ein klarer Backup-Plan für den Ausfall von Computersystemen sowie Ausdrucke von Aufträgen, Etiketten und Kontaktdaten von entscheidender Bedeutung sein, um den manuellen Betrieb am Laufen zu halten, wenn Computer ausfallen. Dies ist möglicherweise nicht in jedem Szenario möglich, aber das Vorhandensein häufig geprüfter Notfall- und Kontinuitätspläne versetzt Unternehmen in die Lage, auch im Falle eines Cyberangriffs betriebsbereit zu bleiben.

Regelmäßige Überprüfung und Aktualisierung bezüglich Effizienz 
Sobald die Strategie zur tiefgehenden Verteidigung festgelegt ist, sollte sie methodisch, zielgerichtet und regelmäßig getestet und überprüft werden, um sicherzustellen, dass sie effektiv ist und den laufenden Betrieb nicht gefährdet oder andere Risiken mit sich bringt. Rollen, Verantwortlichkeiten und Schulungen für Arbeitskräfte sollten aktualisiert werden, wenn neue Praktiken oder Technologien eingeführt werden.

Die Hersteller müssen jetzt Maßnahmen ergreifen, um die Größe und die Arten der Cyberbedrohungen zu verstehen, denen ihre Unternehmen ausgesetzt sind. Bedrohungen und Cyberangriffe sind real und treten immer häufiger auf. Cybersicherheit sollte für die Hersteller und alle Unternehmen die höchste Bedeutung haben. Nur so kann sichergestellt werden, dass angemessene proaktive und defensive Cybersicherheitsverfahren und -kontrollen vorhanden sind, um wichtige Daten, Prozesse und Geschäftsabläufe zu schützen. Unternehmensleiter sollten sich an ihre Führungskräfte im Bereich Cybersicherheit wenden, um herauszufinden, was sie wirklich für den Erfolg benötigen, und anschließend die Dringlichkeit und Unterstützung durch die Vorstandsebene bei der Beurteilung, dem Verständnis und der Bewältigung dieser Risiken festlegen.