OT Risk Assessment

Sichern Sie Ihre OT-Umgebung

Da die Häufigkeit von Cyberangriffen auf Operational Technology (OT) zunimmt, ist die Sicherung der OT-Umgebung Ihrer Organisation heute wichtiger denn je. Angreifer verwenden verschiedene Methoden, um in Netzwerke einzudringen und alle Arten von finanziellem Schaden anzurichten: entweder direkt, indem sie die Produktion anhalten oder verlangsamen, oder indirekt, indem sie die Geschäftsgeheimnisse Ihrer Organisation stehlen und verkaufen.

Um die Chancen eines Cyberangriffs zu verringern, müssen mögliche Gegenmaßnahmen identifiziert und implementiert werden. Werden diese Gegenmaßnahmen nicht oder nicht richtig umgesetzt, stellt dies ein Risiko für Ihre Organisation dar.

Erfahren Sie mehr über OT Risk Assessment

1. Warum sollten Sie ein Risk Assessment durchführen?
2. Warum ist ein auf die OT zugeschnittenes Risk Assessment notwendig?
3. Was beinhaltet ein OT Risk Assessment?
4. Die QAROT-Methode
5. Die Ergebnisse eines Assessments

Warum ein Risk Assessment durchführen?

Ein Risk Assessment hilft dabei, strukturell zu bestimmen, welche Cyber-Risiken in Ihrer Umgebung vorhanden sind. Nur wenn Sie diese Risiken explizit identifizieren, können Sie die Wirksamkeit der (bestehenden) Gegenmaßnahmen verstehen. Dies wiederum ermöglicht es, über neue Gegenmaßnahmen nachzudenken, wenn diese erforderlich sind, und über deren potenzielle Wirksamkeit.

Darüber hinaus ermöglicht die Bewertung des Schweregrads der identifizierten Risiken die Entscheidung und Priorisierung von Gegenmaßnahmen und eine fundierte Entscheidung darüber, ob die Kosten für deren Umsetzung die möglichen Folgen aufwiegen. Darüber hinaus verschafft die Durchführung eines Risk Assessments einen vollständigen Überblick über die Stärken und Schwächen Ihrer Organisation. Dieser Überblick kann wiederum genutzt werden, um die Vorbereitung auf einen Cyberangriff zu verbessern oder einen solchen zu verhindern, indem die identifizierten Schwachstellen beseitigt werden.

Warum ist ein auf die OT zugeschnittenes Risk Assessment notwendig?

Im Gegensatz zur IT betreffen Risiken in OT-Umgebungen nicht nur die Vertraulichkeit, Integrität und Verfügbarkeit von Daten oder Prozessen, sondern können auch die Zuverlässigkeit, Leistung und Sicherheit der Anlagen beeinträchtigen. Darüber hinaus erfordern die verschiedenen Arten von Industrial Control Systems (ICS), wie SPS, DCS und SCADA-Systeme, besondere Aufmerksamkeit, da sie das Rückgrat jeder OT-Umgebung sind. Um Risiken richtig zu bewerten und Gegenmaßnahmen in solchen Umgebungen vorzuschlagen, sollten diese Unterschiede berücksichtigt werden.

Was beinhaltet ein OT Risk Assessment?

Bureau Veritas Cybersecurity verwendet seine eigene, auf Assets basierende Risk Assessment-Methode namens "Quantitatively Assessing Risk in Operational Technology" (QAROT). Diese Methode entspricht der IEC 62443-3-2 und vereint die Stärken von MITREs ATTandCK für ICS und ISO 31010. Durch die Kombination dieser Standards sind wir in der Lage, Risk Assessments durchzuführen, die über die reine Compliance hinausgehen. Gemeinsam mit unseren Kunden definieren wir die in IEC 62443-3-2 geforderten Zielsicherheitsstufen, auf denen wir die Ziele des Assessments systematisch aufbauen.

QAROT berücksichtigt auch andere Standards aus der IEC 62443-Familie, wie -3-3 und -4-2, um kohärente und umsetzbare Ratschläge auf der Grundlage der grundlegenden Sicherheitsanforderungen zu geben, die diese Standards beschreiben. Darüber hinaus verwendet QAROT die öffentlich zugängliche Operational Technologie Cyber Attack Database (OTCAD) von Bureau Veritas Cybersecurity, um den Schweregrad der identifizierten Risiken zu ermitteln.

Die QAROT-Methode

QAROT verwendet einen Top-Down-Ansatz zur Identifizierung und Bewertung von Risiken: Es leitet anwendbare Gegenmaßnahmen ab, indem es alle Assets innerhalb einer OT-Umgebung berücksichtigt. Diese Gegenmaßnahmen basieren auf ATTandCK für ICS und werden mit IEC 62443-3-3 und -4-2 kombiniert, um ihre Umsetzung und Wirksamkeit innerhalb des betrachteten Systems objektiv zu bewerten. Diese Kombination ermöglicht es Bureau Veritas Cybersecurity, potenzielle Schwachstellen und die von ihnen ausgehenden Risiken strukturell zu identifizieren.

Das Assessment beginnt mit der Erstellung eines Zonen- und Conduit-Diagramms auf der Grundlage der Netzwerkzeichnungen und des Asset-Inventars der Organisation. Die Inhalte des Diagramms werden gemeinsam mit dem Kunden in einem Workshop besprochen, um sicherzustellen, dass sie die bewertete Umgebung korrekt darstellen. In anschließenden Workshops ermitteln wir gemeinsam mit dem Kunden die Auswirkungen möglicher gegnerischer Ziele und legen die erreichten Sicherheitsniveaus bestehender Asset- und Zonen-/Leitungs-basierter Gegenmaßnahmen fest.