Oh wow, meine OT ist ein Alptraum!

Das Jahr 2020 und alle seine Auswirkungen hatten erheblichen Einfluss auf die Art und Weise, wie Unternehmen mit der Security ihrer betrieblichen Technologie (OT) umgehen. Ähnlich wie bei IT-Infrastrukturen hat sich der Fernzugriff als große Herausforderung erwiesen, aber die Anbieter im Bereich der OT-Security haben schnell darauf reagiert. Wenn es schwierig wird, mit Unterbrechungen umzugehen, ist Resilienz wichtiger denn je. Viele OT-Organisationen haben sich damit allerdings noch nicht abgefunden.

Laut dem Gartner-Bericht „Market Guide for Operational Technology Security" vom Januar 2021 deuten Gartner-Umfragen bei Endanwendern darauf hin, dass sich über alle Branchen hinweg, mit Ausnahme der am stärksten regulierten, etwa 60 % der Unternehmen noch in der Awareness-Phase befinden, etwa 30 % in der Entdeckungs- bis Brandbekämpfungsphase und nur etwa 10 % in der Integrations- und Optimierungsphase.¹

Die OT ist das Herzstück einer Organisation. Hier findet die Wertschöpfung statt. Hier verursacht ein Ausfall nicht nur Umsatzeinbußen, sondern kann erhebliche Schäden an Maschinen, Menschen und der Umwelt verursachen. Im Vergleich zu durchschnittlichen Ausfällen in IT-Umgebungen verursachen Vorfälle in der OT einen relativ großen Schaden.

Daher überrascht es mich wirklich nicht, dass die operative Resilienz während der Pandemie an Bedeutung gewonnen hat, insbesondere weil die Fehlersuche vor Ort schwierig geworden ist. Glücklicherweise haben die OT-Organisationen die neuen Anforderungen schnell realisiert, während OT-Sicherheitsanbieter die sich daraus ergebene Chance erkannt und mit Fernzugriffslösungen reagiert haben.

In Anbetracht dieser massiven Innovationstreiber im vergangenen Jahr überrascht es mich ein wenig, dass sich nur ein so geringer Prozentsatz von Unternehmen in der Integrations- und Optimierungsphase ihrer OT-Sicherheitsreise befindet. Während in stark regulierten Branchen externe Vorschriften und Compliance-Standards die treibende Kraft sind, wird das Bewusstsein in Unternehmen mit weniger externem Druck durch Innovationen und Zwischenfälle gefördert. Anders ausgedrückt: In vielen Fällen muss erst etwas passieren, bevor die Unternehmen erkennen, dass es ein Problem gibt.

Sicherlich war die Pandemie eine Triebfeder für die Digitalisierung, um die mangelnde Mobilität auszugleichen. Gleichzeitig wird Ransomware gezielt gegen industrielle Steuerungssysteme eingesetzt. Auch gab es noch nie so viele OT-bezogene CVEs – und das nicht nur, weil mehr Forschung betrieben wird und mehr Sicherheitsanbieter aktiv werden. Sicherheitsanbieter, die den Markt erschließen, sind ein Beweis dafür, dass Cyberkriminelle das Gleiche tun.

Diese Trends und Statistiken belegen klar, dass wir noch ganz am Anfang stehen, wenn es darum geht, Cybersecurity-Lösungen in OT und CPS zu integrieren. Vor diesem Hintergrund gehe ich stark davon aus, dass eine ganze Reihe von Unternehmen im Jahr 2021 ihren „Wow“-Moment erleben werden.

Worum geht es bei diesem „Wow“-Moment? Wenn etwas passiert, stellen Unternehmen plötzlich fest, dass es überall nicht verwaltete Geräte gibt, das Netzwerk offen ist, anfällige Geräte und veraltete Software überall zu finden sind und es letztendlich keinerlei Sicherheit gibt. Das ist einfach die Art und Weise, wie OT-Netzwerke in den letzten Jahrzehnten aufgebaut wurden, und es ist weder etwas Besonderes noch leicht zu beheben. Aber ist es besorgniserregend? Ja.

Vorwärts nach Ihrem „Wow“-Moment

Auf diesen Moment der Erleuchtung folgt normalerweise schnell die Überforderung mit all dem, was zu tun ist. Wenn Sie mit dieser Situation konfrontiert sind, versuchen Sie, einen Stufenplan zu erstellen und die Maßnahmen nach Prioritäten zu ordnen. Es ist nicht möglich, sofort oder mit nur einem Produkt eine 100-prozentige Security zu erreichen, aber es ist wichtig, mit der Arbeit daran zu beginnen. Im ersten Schritt gilt es, die Ausgangssituation zu definieren, insbesondere wenn das Projekt nicht angemessen geplant wurde.  Sollte ein Vorfall der Auslöser für die neue Initiative sein, müssten sich die Verantwortlichen zunächst einen Überblick verschaffen.

Um diese Lücke zu schließen, müssen IT-Sicherheitslösungen mit OT-Sicherheitsanforderungen kombiniert werden. Das ist ein recht neues Feld, und die Unternehmen haben Mühe, Mitarbeiter zu finden, die beide Seiten verstehen. Technologieanbieter haben das gleiche Problem. Während sich die traditionellen Hersteller von Automatisierungstechnik noch mit dem Thema Sicherheit auseinandersetzen und verzweifelt versuchen, einen Weg zu finden, ihre Lösungen zu positionieren, versuchen die meisten Anbieter von IT-Sicherheitslösungen lediglich, diesen vielversprechenden Markt zu bedienen, ohne sich auf die speziellen Anforderungen einzustellen.

Und genau darin besteht die Herausforderung. Beide Aspekte können unglaublich komplex sein, und der eine kann nicht ohne den anderen angegangen werden. OT-Sicherheitslösungen müssen das Beste aus beiden Welten vereinen. Während Sicherheits- und Fernzugriffstechnologien der nächsten Generation der Schlüssel zur Bekämpfung moderner Bedrohungen und zur Abwehr ausgeklügelter gezielter Angriffe und Ransomware sind, kann eine Sicherheitslösung, welche die OT-spezifischen Anforderungen nicht berücksichtigt, sogar mehr Schaden anrichten als ein Angriff.

Security hat im IT-Sektor an Bedeutung gewonnen, aber es gibt viel Erfahrung in diesem Bereich und die Lösungen sind ausgereift. Deshalb glaube ich, dass traditionelle IT-Anbieter gegenüber der Automatisierungstechnik im Vorteil sind. Nichtsdestoweniger sind in OT viele Dinge anders. Die Verfügbarkeit ist nur eine Sorge. Eine Lösung muss auf die am wenigsten invasive Weise umgesetzt werden, da Änderungen an bestehenden Systemen nicht möglich sind oder das Ergebnis nicht vorhersehbar ist. Das IT-Team muss verstehen, dass jede kleine Änderung einem sehr strukturierten und dokumentierten Ansatz folgen muss. Es gibt kein einfaches Ausprobieren von Dingen in OT. Was IT-Administratoren normalerweise an einem Freitagnachmittag tun, ist in OT nicht möglich. Die Kombination von IT und OT ist der Schlüssel zum Erfolg. Die IT-Anbieter, die nur versuchen, ihre Lösungen in einem neuen Markt weiterzuverkaufen, ohne sich den Anforderungen anzupassen, werden sich dort keine Freunde machen.

Wir bei Barracuda glauben, dass unsere IT-Sicherheitshistorie ein großer Vorteil ist, da unsere Lösungen über modernste Sicherheitstechnologie verfügen. Seit wir vor einigen Jahren speziell entwickelte Produktlinien für OT- und industrielle IoT-Anwendungsfälle auf den Markt gebracht haben, haben wir einige Lektionen gelernt. Unsere Bereitschaft, Kunden und Interessenten zuzuhören und die Lösungen an die sehr spezifischen Anforderungen in diesem Bereich anzupassen, hat uns zum Erfolg verholfen.

Wir sind davon überzeugt, dass unsere Bemühungen hinsichtlich der Entwicklung einer hochkarätigen Lösung dazu geführt haben, dass wir im Gartner „Market Guide for Operational Technology Security“ 2021 als „Representative Vendor“ eines spezialisierten Anbieters von OT-Sicherheitslösungen genannt wurden.¹ Wir meinen, dass dies ein guter Grund ist, stolz zu sein, aber kein Grund, sich auszuruhen.

Schützen Sie mit dem Internet verbundenen IoT-Geräte und Ihre Betriebstechnik.

 

¹ Gartner, „Market Guide for Operational Technology Security“, Katell Thielemann, Wam Voster, Barika Pace, Ruggero Contu, veröffentlicht am 13. Januar 2021.

Gartner befürwortet keine in seinen Forschungsergebnissen aufgeführten Anbieter, Produkte oder Dienstleistungen. Ebenso rät Gartner Nutzern von Technologie nicht, sich nur für Anbieter mit den höchsten Bewertungen oder anderen Auszeichnungen zu entscheiden. Forschungsergebnisse von Gartner spiegeln die Meinungen der Forschungsorganisation von Gartner wider und sollten nicht als Fakten ausgelegt werden. Gartner lehnt alle ausdrücklichen oder stillschweigenden Garantien in Bezug auf diese Forschungsergebnisse ab, einschließlich aller Garantien für die Marktgängigkeit oder Eignung für einen bestimmten Zweck.