Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Tenable Blog

Abonnieren

IT/OT-Konvergenz: Die Zeit zum Handeln ist jetzt

IT/OT-Konvergenz: Die Zeit zum Handeln ist jetzt

Der Ausschuss zur Beratung des US-Präsidenten legt Empfehlungen zur Verbesserung der Sicherheit kritischer Infrastruktur vor.

Die Bedrohungslage für die kritische Infrastruktur in den USA hat sich deutlich verschärft. Für die nationale Sicherheit der Vereinigten Staaten ist es zwingend notwendig geworden, Systeme der Informationstechnologie (IT) und der operativen Technologie (OT) sowie die Konvergenz dieser Systeme entsprechend abzusichern. Erfolgreiche Angriffe auf OT-Systeme können die Sicherheit von Menschen gefährden und physische Anlagen beschädigen, wenn OT-basierte kritische Prozesse längerfristig vom Netz gehen.

Aktuell häuft sich weltweit die Zahl der Fälle, in denen IT-, ICS- und OT-Komponenten kritischer Infrastrukturen kompromittiert werden. In letzter Zeit haben u. a. folgende Beispiele Schlagzeilen gemacht:

  • Stromnetz in der Ukraine (2015, 2016)
  • Colonial Pipeline (2021)
  • Wasseraufbereitungsanlage von Oldsmar in Florida (2021)

Laut dem Gartner®-Bericht „Predicts 2022: Cyber Physical Systems Security - Critical Infrastructure in Focus“ vom 17.11.2021 „haben Angriffe auf Organisationen in Sektoren der kritischen Infrastruktur drastisch zugenommen: Der Anstieg von unter 10 Fällen im Jahr 2013 auf fast 400 im Jahr 2020 entspricht einer Steigerung um 3.900 %“.

Angesichts dieser Sachlage wurde das National Security Telecommunications Advisory Committee (NSTAC) des US-Präsidenten damit beauftragt, einen Bericht zur Untersuchung der wichtigsten Herausforderungen zu erstellen, die damit verbunden sind, konvergente OT-Systeme gegen Bedrohungen abzusichern, die an IT-Netzwerkverbindungen ansetzen. Ferner sollten neue Methoden zur Stärkung der OT-Resilienz gegenüber diesen Bedrohungen ermittelt werden. Ich hatte das Privileg, den NSTAC-Unterausschuss zu leiten, der den Bericht verfasste.

Das NSTAC ließ sich in über 30 Briefings von Fachexperten unterrichten, unter anderem von Regierungsstellen und politischen Entscheidungsträgern, Eigentümern kritischer Infrastrukturen und Betreibern von konvergenten IT/OT-Umgebungen, Originalgeräteherstellern und Cloud Service Providern sowie Systemintegratoren und Anbietern von Cybersecurity-Lösungen.

IT/OT-Cybersecurity bisher keine Priorität

Der aus der Untersuchung hervorgegangene Bericht kam zu dem Urteil, dass die Vereinigten Staaten die Absicherung dieser vernetzten Systeme bislang nicht als Priorität begreifen. Dies gilt ungeachtet der Tatsache, dass es sich bei IT/OT-Konvergenz nicht um ein neues Phänomen handelt und dass die Technologie und das Know-how für die Absicherung dieser Systeme bereits heute vorhanden sind.

Die Experten, die den Ausschuss unterrichteten, wiesen darauf hin, dass viele Organisationen ihre OT-Umgebungen, einschließlich der IT/OT-Verbindungen und der Abhängigkeiten in Supply Chains, nicht komplett transparent nachvollziehen können. Ferner arbeitet das für OT- und für IT-Systeme zuständige Personal häufig voneinander abgeschottet. Dies wirkt sich negativ auf die Koordinierung der Sicherheitsmaßnahmen aus. Die Herausforderung wird dadurch weiter verschärft, dass Ausschreibungen und Beschaffungsinstrumente für den Erwerb von OT-Systemen sowohl im öffentlichen Sektor als auch in der Privatwirtschaft nur selten Auflagen für die Cybersicherheit beinhalten.

Die Regierung kann jetzt Führung zeigen

Der Bericht umfasst 15 Empfehlungen, die dazu beitragen können, die Sicherheit konvergenter IT/OT-Systeme im öffentlichen und im privaten Sektor zu verbessern. Drei der im Bericht ausgewiesenen Empfehlungen können von Präsident Biden umgesetzt werden, um den Cybersecurity-Status von OT-Systemen, die von der US-Regierung als Eigentümer betrieben werden, sofort zu verbessern. Zudem können diese Empfehlungen als Modell für den Schutz von kritischer Infrastruktur dienen, die sich in Privatbesitz befindet:

  • Erstens soll die Cybersecurity and Infrastructure Security Agency (CISA) einen verpflichtenden Verwaltungserlass (Binding Operational Directive, BOD) herausgeben, der die zivilen Ämter und Behörden der Exekutive anweist, eine kontinuierliche, in Echtzeit durchgeführte Bestandserfassung sämtlicher OT-Geräte, -Software, -Systeme und -Assets in ihren jeweiligen Verantwortungsbereichen zu pflegen. Dabei sind auch Vernetzungen mit anderen Systemen zu erfassen. Sobald Bundesbehörden genau verstehen, wie stark ihre OT-Geräte und die entsprechende Infrastruktur mit anderen Systemen vernetzt sind, können sie risikoorientierte Entscheidungen über die jeweilige Priorisierung ihrer IT-, OT- und Cybersecurity-Ressourcen treffen.
  • Zweitens soll die CISA Formulierungsrichtlinien für die Beschaffung von OT-Produkten und -Services konzipieren und die Einbeziehung von risikoorientierten Cybersecurity-Funktionen für Produkte und Services vorschreiben, die konvergente IT/OT-Umgebungen unterstützen, auch im Bereich Risikomanagement für Supply Chains. Anschließend soll die CISA gemeinsam mit der General Services Administration der US-Regierung die Berücksichtigung von risikoorientierten Cybersecurity-Funktionen in Beschaffungsinstrumenten für die US-Bundesregierung vorschreiben.
  • Drittens sollen der Nationale Sicherheitsrat, die CISA und das Office of the National Cybersecurity Director die Entwicklung und Implementierung von interoperablen, technologieneutralen und anbieterunabhängigen Mechanismen für den Informationsaustausch priorisieren. Dadurch soll es möglich werden, vertrauliche Informationen bezüglich der kollektiven Verteidigung in Echtzeit zwischen befugten Akteuren auszutauschen, die daran beteiligt sind, die kritische Infrastruktur der USA abzusichern.

Die Bedrohungen für die Cybersicherheit kritischer Infrastrukturen sind real. Aber wir sind keineswegs hilflos. Wir haben die nötigen Kenntnisse und Fähigkeiten, um unsere Sicherheitslage wesentlich zu verbessern. Was uns bislang gefehlt hat, ist die Entschlossenheit, dieses Wissen und die entsprechende Technologie auch anzuwenden. Es ist an der Zeit, das Thema IT/OT-Konvergenz mit der gebotenen Dringlichkeit anzupacken. Die Umsetzung der Empfehlungen aus dem NSTAC-Bericht werden dazu beitragen, die IT/OT-Sicherheit von Behördensystemen und kritischer Infrastruktur zu verbessern, und auch die Privatwirtschaft wird in weiterer Folge ganz wesentlich von positiven Effekten profitieren.

Verwandte Artikel

Sind Sie durch die neuesten Exploits gefährdet?

Geben Sie Ihre E-Mail-Adresse ein, um die neuesten Warnmeldungen zu Cyberrisiken in Ihrem Posteingang zu erhalten.

tenable.io

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können.

Ihre Testversion von Tenable.io Vulnerability Management umfasst außerdem Tenable Lumin, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

tenable.io KAUFEN

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

65 Assets

Wählen Sie Ihre Subscription-Option:

Jetzt kaufen

Testen Sie Nessus Professional kostenlos

7 TAGE KOSTENLOS

Nessus® ist der umfassendste Schwachstellen-Scanner auf dem Markt. Nessus Professional unterstützt Sie bei der Automatisierung des Scan-Prozesses, spart Zeit in Ihren Compliance-Zyklen und ermöglicht Ihnen die Einbindung Ihres IT-Teams.

Nessus Professional kaufen

Nessus® ist der umfassendste Schwachstellen-Scanner auf dem Markt. Nessus Professional unterstützt Sie bei der Automatisierung des Scan-Prozesses, spart Zeit in Ihren Compliance-Zyklen und ermöglicht Ihnen die Einbindung Ihres IT-Teams.

Mehrjahreslizenz kaufen und sparen! Mit Advanced Support erhalten Sie rund um die Uhr, 365 Tage im Jahr Zugang zum Support – per Telefon, Chat und über die Community.

Lizenz auswählen

Mehrjahreslizenz kaufen und sparen!

Support und Training hinzufügen

Tenable.io

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können.

Ihre Testversion von Tenable.io Vulnerability Management umfasst außerdem Tenable Lumin, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

Tenable.io KAUFEN

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

65 Assets

Wählen Sie Ihre Subscription-Option:

Jetzt kaufen

Tenable.io Web Application Scanning testen

Profitieren Sie vom vollen Zugriff auf unser neuestes Angebot zum Scannen von Web-Applikationen, das als Teil der Tenable.io-Plattform für moderne Applikationen entwickelt wurde. Scannen Sie auf sichere Weise Ihr gesamtes Online-Portfolio auf Schwachstellen – mit hoher Genauigkeit und ohne großen manuellen Aufwand oder Unterbrechung kritischer Web-Applikationen. Melden Sie sich jetzt an.

Ihre Testversion von Tenable Web Application Scanning umfasst außerdem Tenable.io Vulnerability Management, Tenable Lumin und Tenable.cs Cloud Security.

Tenable.io Web Application Scanning kaufen

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

5 FQDN

3.578,00 USD

Jetzt kaufen

Tenable.io Container Security testen

Profitieren Sie von vollem Zugriff auf die einzige Lösung für Containersicherheit, die in eine Schwachstellen-Management-Plattform integriert ist. Überwachen Sie Container-Images auf Schwachstellen, Malware und Richtlinienverstöße. Kann in Systeme für kontinuierliche Integration und Bereitstellung (CI/CD) eingebunden werden, um DevOps-Praktiken zu unterstützen, die Sicherheit zu stärken und die Einhaltung von Unternehmensrichtlinien zu fördern.

Tenable.io Container Security kaufen

Tenable.io Container Security ermöglicht eine nahtlose und sichere Umsetzung von DevOps-Prozessen, indem es die Sicherheit von Container-Images – einschließlich Schwachstellen, Malware und Richtlinienverletzungen – durch Integration in den Build-Prozess transparent macht.

Tenable Lumin testen

Mit Tenable Lumin können Sie Ihre Cyber Exposure visualisieren und genauer untersuchen, die allmähliche Reduzierung von Risiken nachverfolgen und Benchmark-Vergleiche mit ähnlichen Unternehmen anstellen.

Ihre Tenable Lumin-Testversion umfasst außerdem Tenable.io Vulnerability Management, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

Tenable Lumin kaufen

Kontaktieren Sie einen Vertriebsmitarbeiter, um zu erfahren, wie Lumin Sie dabei unterstützen kann, Einblick in Ihr gesamtes Unternehmen zu erhalten und Cyberrisiken zu managen.

Tenable.cs testen

Profitieren Sie von vollem Zugriff, um Fehlkonfigurationen in Cloud-Infrastruktur zu erkennen und zu beheben und Schwachstellen in der Laufzeitumgebung anzuzeigen. Melden Sie sich jetzt für Ihre kostenlose Testversion an.

Ihre Testversion von Tenable.cs Cloud Security umfasst außerdem Tenable.io Vulnerability Management, Tenable Lumin und Tenable.io Web Application Scanning.

Kontaktieren Sie einen Vertriebsmitarbeiter, um Tenable.cs zu kaufen

Kontaktieren Sie einen unserer Vertriebsmitarbeiter, um mehr über Tenable.cs Cloud Security zu erfahren und herauszufinden, wie einfach es ist, Ihre Cloud-Konten einzurichten und innerhalb von Minuten Einblick in Cloud-Fehlkonfigurationen und Schwachstellen zu erhalten.

Nessus Expert kostenlos testen

7 TAGE KOSTENLOS

Mit Nessus Expert, das für die moderne Angriffsoberfläche entwickelt wurde, erhalten Sie mehr Einblick und können Ihr Unternehmen vor Schwachstellen schützen – von der IT bis zur Cloud.

Sie nutzen bereits Nessus Professional?
Upgraden Sie auf Nessus Expert – 7 Tage kostenlos.

Nessus Expert kaufen

Mit Nessus Expert, das für die moderne Angriffsoberfläche entwickelt wurde, erhalten Sie mehr Einblick und können Ihr Unternehmen vor Schwachstellen schützen – von der IT bis zur Cloud.

Lizenz auswählen

Sonderpreise bis 31. Dezember verlängert.
Mehrjahreslizenz kaufen und noch mehr sparen!

Support und Training hinzufügen