Startseite > Smarter World > Der Faktor Mensch bleibt das größte Risiko

Sicherheit Industrieller Kontrollsysteme

Der Faktor Mensch bleibt das größte Risiko

23. Oktober 2019, 14:10 Uhr | Hagen Lang

Zweijährlich veröffentlicht das US-amerikanische SANS Institute seinen »State of the OT/ICS Cybersecurity Report«. Mitautor und SANS Industrials & Infrastructure Portfolio Director Doug Wylie erklärt, was 2019 die wichtigsten Erkenntnisse sind und wie er die Entwicklung der ICS-Security einschätzt.

SmarterWorld: Herr Wylie, gegenüber dem Report von 2017 hat sich 2019 die Anzahl der Befragten, die das allgemeine Risiko-Niveau als kritisch oder hoch bewerten, von 69 Prozent auf knapp über 50 Prozent verringert. Zeigt das, dass sich die Lage hinsichtlich Security Threats bei Industrial Control Systems (ICS) entspannt?

Doug Wylie: Ja und nein. Einerseits könnte dieser Rückgang ein Indikator für ein größeres Vertrauen der Unternehmen darin sein, Bedrohungen und Risiken besser zu identifizieren, zu abzuwehren und darauf zu reagieren. Sie beginnen von früheren Investitionen zu profitieren, die sie unternommen haben, um die allgemeine ICS-Sicherheit zu härten. Einige Unternehmen haben den Schutz von Systemen erfolgreich verbessert und gewinnen nun aktiv Erkenntnisse über Bedingungen, die sonst den Betrieb beeinträchtigen könnten.

Dies wiederum dürfte Unternehmen helfen auch besser auf Sicherheitsvorfälle zu reagieren. Zu diesem Zeitpunkt können einige Ansichten darüber, was von einigen Befragten in der Vergangenheit als kritische Bedrohung angesehen wurde, heute als geringere Bedrohung mit geringeren potenziellen Auswirkungen auf ihre Geschäftstätigkeit angesehen werden, da Unternehmen möglicherweise besser auf Prävention, Reaktion und Wiederherstellung vorbereitet sind.

Andererseits ist die Anzahl der öffentlich gemeldeten Sicherheitsvorfälle, die die Betriebstechnik und das ICS von Unternehmen betreffen, seit 2017 angestiegen. Dazu gehört eine breitere Palette von Vorfällen, die nicht als hohe oder kritische Risikostufen für das ICS bewertet werden können. Diese höhere Anzahl von gemeldeten Ereignissen mit geringerem Risiko kann sich auch auf die Gesamtwahrnehmung des Gesamtrisikos für das ICS auswirken.

Große Sorgen bereitet den Befragten derzeit das Konvolut an Devices, die sich im Firmen-Netzwerk tummeln, einschließlich ICS, wobei das Schlüsselwort BYOD, also Bring Your Own Device, lautet. Diese Devices können innerhalb schützenswerter Perimeter zu unkalkulierbaren Risiken führen. Eine weitere wichtige Herausforderung sind die „zufälligen“ Bedrohungen durch Unternehmen und Institutionen selbst. Es gibt auch eine Vielzahl von Bedrohungen von Lieferkettenpartnern, die zum Gesamtrisiko beitragen können.

Der zweite Punkt, die „zufällige“ Gefahrenquelle in Unternehmen und Institutionen, ist interessant: 62 Prozent der Befragten sehen in dem „Menschen“ die größte Quelle für Gefahren. Wenn Menschen, Geschäftsprozesse und Technologie als Säulen der IT-Sicherheit sowie der Konvergenz von IT mit der Betriebstechnik betrachtet werden, ist es ein bemerkenswertes Anliegen, dass der Faktor Mensch selbst als größte Gefahrenquelle angesehen wird und somit Aufmerksamkeit und Handeln verdient.