Im Expertengespräch: Transparenz als Schlüsselelement für OT-Sicherheit
Die zunehmende Vernetzung von Operational Technology (OT) mit dem Internet erhöht das Risiko von Cyberangriffen signifikant. Vor allem KRITIS-Betreiber stehen vor der Herausforderung, effektive und nichtinvasive Lösungen für die kontinuierliche Integrität und Verfügbarkeit ihrer Betriebstechnologie zu finden. Dabei spielt Transparenz eine zentrale Rolle. Im Interview verrät Maik Oettler, Technical Sales Manager for Network and Security der WBS IT-Service, praxiserprobte Ansätze und seine persönliche Checkliste, wie Sie maximale Transparenz in der OT-Umgebung erreichen.
Das CSIRT-Team der WBS IT-Service ist täglich mit verschiedenen Sicherheitsvorfällen in OT-Umgebungen konfrontiert. Maik Oettler berichtet von seinen Erfahrungen aus der OT-Praxis. Mehr Details erfahren Sie im protekt-Workshop „NIS2-ready mit OT- und IT-Sicherheit – So bleibt Ihr Unternehmen stets handlungsfähig“ am 6.11.2024 ab 11:30 Uhr .
Herr Oettler, was ist Ihrer Meinung nach die größte Herausforderung bei der Absicherung von OT-Systemen?
In den letzten Jahren hatte ich Einblick in zahlreiche, ganz unterschiedliche Netzwerke. Dabei ist mir aufgefallen, dass die fehlende Transparenz wahrscheinlich die größte Schwachstelle in den Unternehmen ist. Diese Intransparenz spiegelt sich auf verschiedene Weisen wider: unter anderem in unzureichender Dokumentation von Systemkonfigurationen, fehlender Netzwerküberwachung und unklaren Zuständigkeiten. So wissen viele Firmen häufig gar nicht, welche Mitarbeitenden die tatsächlichen Wissensträger zu den OT-Geräten sind. Diese Unklarheiten verursachen dann mehr Probleme, als man vielleicht vermutet.
Was sind die Folgen von fehlender Transparenz?
Das ist eine sehr komplexe Frage. Kurz zusammengefasst lässt sich sagen, dass Intransparenz die Integrität der gesamten IT und OT gefährdet. Sie erhöht das Risiko von Sicherheitsvorfällen und Betriebsunterbrechungen, da sie die Identifikation von Sicherheitsrisiken sowie präzise Sicherheitsmaßnahmen wie das Patch-Management erschwert. Außerdem beeinträchtigt sie natürlich auch die Einhaltung regulatorischer Vorschriften.
Wie können Unternehmen die Transparenz erhöhen, um eine Ausfallsicherheit zu erreichen?
Mein erster Tipp: IT-Abteilungen sollten für die spezifischen Anforderungen der OT-Systeme sensibilisiert werden. Insgesamt muss im Unternehmen eine Kultur der engen Zusammenarbeit von IT- und OT-Fachleuten gefördert werden. Wie schon erwähnt, müssen dafür zuerst die Wissensträger identifiziert werden.
Mein zweiter Tipp: Unbedingt Tools für das Asset-Management sowie das Schwachstellen-Management einsetzen!
Mein dritter Tipp: Für eine starke OT-Sicherheit sollten Sie für technische, prozessuale, integrative, physische und regulatorische Transparenz sorgen.
Können Sie die genannten fünf Punkte bitte noch etwas näher beschreiben?
Gern. Lassen Sie es mich als kleine Checkliste zusammenfassen:
- Technische Transparenz: Sorgen Sie für eine vollständige Dokumentation der Systemarchitektur und Netzwerktopologie.
- Prozessuale Transparenz: Verschaffen Sie sich detaillierte Kenntnisse zu den Wartungsroutinen und Patch-Management-Verfahren.
- Integrations-Transparenz: Erlangen Sie umfassendes Verständnis des Datenverkehrs und der Schnittstellenkommunikation zwischen IT- und OT-Komponenten.
- Physische Transparenz: Verschaffen Sie sich Informationen zur exakten Lokalisierung von Netzwerkelementen und Verständnis über die physische Infrastruktur.
- Regulatorische Transparenz: Sorgen Sie für eine lückenlose Aufzeichnung und Nachweisführung für die Compliance mit relevanten Normen und Gesetzen.
Sie halten auf der protekt auch einen Workshop. Was erwartet die Teilnehmenden?
Ebenfalls viel Praxisnähe! Unser Workshop „NIS2-ready mit OT- und IT-Sicherheit – So bleibt Ihr Unternehmen stets handlungsfähig“ ist inhaltlich etwas weiter gefasst als das Interview. Neben Best Practises können sich die Teilnehmer u.a. auf eine Live-Demo freuen, welche den tatsächlichen Ablauf einer Angriffskette zeigt. Immer wieder spannend, so etwas zu sehen. Wir freuen uns auf jeden Fall schon jetzt auf den persönlichen Austausch mit den unterschiedlichen Unternehmen!
