„Ettevõtted ei toetu mitte ainult OT-le, vaid ka üldsus tugineb sellele tehnoloogiale elutähtsate teenuste, sealhulgas energia ja vee jaoks. Kahjuks on küberkurjategijad liigagi teadlikud, et kriitilise infrastruktuuri turvalisus on üldiselt nõrk. Selle tulemusena usuvad ohus osalejad, et lunavararünnakud OT vastu tasuvad end suure tõenäosusega ära,” ütles Skybox Security tegevjuht ja asutaja Gidi Cohen. "Nii nagu kurjus vohab apaatia korral, jätkavad lunavararünnakud OT haavatavuste ärakasutamist seni, kuni tegevusetus püsib."
Uus uurimus, operatiivse tehnoloogia küberturvalisuse risk on oluliselt alahinnatud, avab ülesmäge võitluse, millega OT turvalisus silmitsi seisab – mis koosneb võrgu keerukusest, funktsionaalsetest silodest, tarneahela riskist ja haavatavuse parandamise võimalustest. Ohutegurid kasutavad neid OT nõrkusi ära viisil, mis ei ohusta ainult üksikuid ettevõtteid, vaid ohustab rahva tervist, ohutust ja majandust.
2021. aasta uuringu peamised väljavõtted on järgmised:
• Organisatsioonid alahindavad küberrünnaku riski Viiskümmend kuus protsenti kõigist vastajatest olid väga kindlad, et nende organisatsioon ei koge järgmisel aastal OT rikkumist. Siiski ütles 83% ka, et neil oli viimase 36 kuu jooksul vähemalt üks OT-turvarikkumine. Hoolimata nende rajatiste kriitilisusest, on turvatavad sageli nõrgad või puuduvad üldse.
• CISO katkestus taju ja tegelikkuse vahel. Seitsekümmend kolm protsenti CIO-dest ja CISO-dest on väga kindlad, et nende OT-turvasüsteemi järgmisel aastal ei rikuta. Võrreldes ainult 37% tehasejuhtidega, kellel on rünnakute tagajärgedega rohkem vahetuid kogemusi. Kuigi mõned keelduvad uskumast, et nende OT-süsteemid on haavatavad, väidavad teised, et järgmine rikkumine on nurga taga.
• Vastavus ei võrdu turvalisusegaSeni on vastavusstandardid osutunud ebapiisavaks turvaintsidentide ärahoidmiseks. Eeskirjade ja nõuete järgimine oli kõigi vastajate kõige levinum peamine mure. Õigusnormide järgimise nõuded suurenevad jätkuvalt, pidades silmas hiljutisi rünnakuid kriitilise infrastruktuuri vastu.
• Keerukus suurendab turvariski Seitsekümmend kaheksa protsenti mainitud mitme tootja tehnoloogiatest tingitud keerukus on väljakutse nende OT-keskkonna turvamisel. Lisaks ütles 39% kõigist vastajatest, et turvaprogrammide täiustamise peamiseks takistuseks on otsuste tegemine üksikutes äriüksustes ilma keskse järelevalveta.
• Kübervastutuskindlustust peab piisavaks umbes XNUMX protsenti vastanutest leidis, et kübervastutuskindlustust peetakse piisavaks lahenduseks. Kübervastutuskindlustus ei kata aga kulukat „kadunud äri”, mis tuleneb lunavararünnakust, mis on küsitlusele vastanute üks kolmest suurimast murest.
• Kokkupuude ja teeanalüüs on küberturvalisuse peamised prioriteedid. Nelikümmend viis protsenti CISO-dest ja CIO-dest ütlevad, et suutmatus läbi viia kogu keskkonna teeanalüüsi, et mõista tegelikku kokkupuudet, on üks nende kolmest peamisest turvaprobleemist. Lisaks ütlesid CISOd ja IT-juhid, et OT- ja IT-keskkondade lahutatud arhitektuur (48%) ja IT-tehnoloogiate lähenemine (40%) on kaks nende kolmest suurimast turvariskist.
• Funktsionaalsed silohoidlad toovad kaasa protsessilünki ja tehnoloogilise keerukuse. CIO-d, CISO-d, arhitektid, insenerid ja tehasejuhid loetlevad funktsionaalsed silohoidlad oma peamiste väljakutsete hulka OT infrastruktuuri turvamisel. OT-turvalisuse juhtimine on meeskonnasport. Kui meeskonnaliikmed kasutavad erinevaid mänguraamatuid, ei võida nad tõenäoliselt koos.
• Tarneahela ja kolmandate osapoolte risk on suur ohtNelikümmend protsenti vastanutest ütles, et tarneahela/kolmanda osapoole juurdepääs võrgule on üks kolmest suurimast turvariskist. Kuid ainult 46% ütles, et nende organisatsioon on OT-le kehtiv kolmanda osapoole juurdepääsupoliitika.
Toetavad tsitaadid
• Navistar, Inc., infoturbejuht Robert Lynch: „Mõnel CISO-l võib olla vale usaldus, sest kuigi neid on juba rikutud, ei ole nad seda veel tuvastanud; mõnikord on häkkerid seal pikka aega, et luua oma tugipunkti. Ohtlik on olla enesekindel, sest pahad on nii head."
• Skyboxi turvauuringute labori ohuluure juht Sivan Nir: „Meie ohuluure näitab, et OT-i uued haavatavused suurenesid 46. aasta esimese poolega võrreldes 2020%. Hoolimata haavatavuste suurenemisest ja hiljutistest rünnakutest ei muuda paljud turvameeskonnad OT-turvalisust ettevõtte prioriteet. Miks? Üks üllatavaid leide on see, et mõned turvameeskonna töötajad eitavad, et nad on haavatavad, kuid tunnistavad, et neid on rikutud. Usk, et nende infrastruktuur on ohutu – hoolimata vastupidisetest tõenditest – on viinud ebapiisavate OT-turvameetmeteni.
Lisateabe saamiseks laadige alla kogu uurimus.
Metoodika
Uuring hõlmas vastuseid 179 OT turvalisuse otsustajalt USA-s, Ühendkuningriigis, Saksamaal ja Austraalias. Suurem osa vastajatest (152) olid ettevõtetest, mille käive oli 1 miljardi dollari võrra või rohkem tootmis-, energia- ja kommunaaltööstuses.
