Vom Cyberangriff zum Feuerschaden

Cyberrisiken nehmen generell immer mehr zu und die Gefahr eines Cybervorfalls, der industrielle Kontrollsysteme (Industrial Control Systems, ICS) beeinträchtigt, ist für Unternehmen zu einem echten Problem geworden. Denn Angriffe auf ICS sind kostspielig und können die Geschäftstätigkeit lähmen. Sie verursachen sowohl Schäden an den Systemen selbst als auch an den nachgeschalteten Geräten. Branchenexperten zufolge wären 85 Prozent der potenziellen Verluste jedoch zu verhindern, wenn die Verantwortlichen sich auf grundlegende Best Practices zur Absicherung konzentrieren würden.

Im Rahmen der ICS-Evaluierung wenden Sachversicherer bewährte Konzepte zur Schadenverhütung an. Sie dient dazu, Managementprogramme zur Schadenskontrolle zu überprüfen und Schwachstellen im Zusammenhang mit dem Betrieb, der Wartung und dem Schutz von ICS zu identifizieren. So soll sichergestellt werden, dass ein Computerausfall, ein Bedienfehler oder ein böswilliges Cyberereignis nicht zum Defekt oder kompletten Ausfall von Geräten führt und den Betrieb unterbricht. Jede Anlage wiederum ist einzigartig und die Anforderungen an das ICS sind von Standort zu Standort verschieden. Um das Management des industriellen Kontrollsystems und seine Exponiertheit gegenüber Risiken zu bewerten, ist eine enge Zusammenarbeit mit dem Anlagenbetreiber notwendig.

Die Sicherheit des ICS richtig bewerten
Im Allgemeinen erstreckt sich die Evaluierung eines ICS auf drei Kernbereiche:

1. Management: Ohne ein starkes Commitment des Managements zur Absicherung der ICS können gut gemeinte Ansätze durch externe Entwicklungen, zum Beispiel Produktionsdruck, untergraben werden. Ein starkes Bekenntnis zur Sicherheit garantiert, dass alle Bereiche des ICS die notwendige Betreuung, Finanzierung und Personalausstattung erhalten.
2. Sicherheit: Je nach Grad der Komplexität, Verwundbarkeit und Gesamtgefährdung durch eine Systemunterbrechung kommen bestimmte Best Practices zur Anwendung und werden entsprechend bewertet. Dazu gehören Themen wie Patch Management, Lieferkettenmanagement, Risk-Management, Zugriffsmanagement und Netzwerksicherheit.
3. Betrieb: Ein unsachgemäßer Betrieb des industriellen Kontrollsystems kann zu erheblichen Schäden an Ausrüstung und Eigentum führen, die mit langfristigen Ausfällen einhergehen können. Die Wahrscheinlichkeit eines ICS-bedingten Ausfalls kann durch sachkundiges Personal und angemessene Planung minimiert werden. Diese Evaluierung umfasst Fragestellungen wie die Reaktion auf Vorfälle und deren Behebung, Notfallbetriebsverfahren, Schulung des ICS-Bedienpersonals und Back-up Utilities.

Die richtigen Leute ins Team holen
Bei der Vorbereitung eines ICS Assessments ist es wichtig, die richtigen Leute an Bord zu holen. Während des Besuchs müssen die beratenden Ingenieure mit dem Personal sprechen, das für die Kontrollsysteme und die damit verbundenen ICS-Managementrichtlinien verantwortlich ist. Manchmal bedeutet dies, jemanden mit technologischer Standorterfahrung vor Ort zu haben. Häufig nimmt jemand aus dem IT-Team die Aufgabe wahr, der Zuständigkeiten im Bereich Operation Technology (OT) für diesen Standort hat. Teilweise sind zur Evaluation auch Dienstleister notwendig, die für Wartungsarbeiten wie das Patch Management verantwortlich sind. Diese Einbeziehung kann persönlich vor Ort, telefonisch oder durch nachfolgende E-Mail-Korrespondenz geschehen. Auch lokale IT- oder OT-Teams sowie spezialisierte Systemingenieure können die Datenerhebung unterstützen. Wenn es kein Personal gibt, das sich mit diesen Themen befassen kann, dann sollte dies durchaus als potenzielle Schwachstelle bewertet werden.