De wereld van Industriële Automatisering (IA) heeft steeds meer te maken met cybersecuritydreigingen. Afgelopen maand is gebleken hoe kwetsbaar onze economie is. De transportsector, de Rotterdamse haven (Maersk/APM) was prominent in het nieuws als gevolg van de cyberaanval PETYA. Tot nu toe zijn veelal technische maatregelen genomen om cybersecuritydreigingen het hoofd te bieden. De recente aanvallen bewijzen dat de getroffen maatregelen veelal niet voldoende zijn en zeker niet als deze ad-hoc worden genomen. Ik pleit voor een integrale oplossing waarbij organisaties werken aan de juiste technische maatregelen, cultuur & awareness-aanpakken en de juiste beheersmaatregelen nemen. Hoe dat werkt, leg ik uit in deze blog!
Wat zijn eigenlijk de redenen van het ‘kwetsbaar’ zijn?
1. Wat zich afgelopen periode heeft geopenbaard, zijn de gevaren van ketenafhankelijkheden en risico’s in connectiviteit. Veel systemen in de industriële automatisering zijn steeds meer onderdeel van verbonden netwerken. ICT en ICS/SCADA worden steeds meer aan elkaar gekoppeld en daarmee (indirect) aan internet. Dit heeft een “lager” beveiligingsniveau tot gevolg.
2. Daarnaast wordt bediening en besturing op afstand (denk aan bruggen, maar ook (karton)fabrieken en logistieke bedrijven) steeds meer ondersteund door een complexe koppeling van systemen binnen bedrijfseenheden (ERP/ICS besturing). Juist deze complexiteit brengt kwetsbaarheden met zich mee en maakt (technische) oplossingen lastiger te implementeren.
3. Veel mensen (denk aan beheerders of operators) zijn vaak niet bezig met cybersecurity. Immers, hun aandacht gaat uit naar het te bedienen object. Logisch ook, want tot nu toe was er voor hen ook geen reden om hierover te hoeven nadenken. Een lage ‘awareness’ en een organisatiecultuur waarin weinig aandacht is voor cybersecurity draagt bij aan kwetsbaar zijn.
4. De beheersmaatregelen op ICS-omgevingen lopen achter op de maatregelen die in de ICT-wereld van de kantoorautomatisering worden getroffen. Dit heeft tot gevolg dat beheersmaatregelen op IA-systemen onvoldoende zijn wanneer deze ICS-systemen worden gekoppeld met andere systemen in de organisatie of zelfs met het internet. Juist een ‘strak beheer’ draagt bij aan het voorkomen van kwetsbaarheden.
Hoe voorkomen we het platleggen van vitale ICS systemen?
De oplossing in het voorkomen zit ‘em dus in een integrale oplossing. Een oplossing die tegelijkertijd inwerkt op de organisatie aan de hand van technische maatregelen, beheersmaatregelen, en het werken aan awareness en een cultuur waarbij mensen beter handelen naar dreigingen. Zo’n oplossing koop je niet in een product; dit vraagt een verandertraject die over deze drie thema’s veranderingen realiseert. VKA heeft ruime ervaring in het beter beveiligen van ICS omgevingen, waaronder in een groot programma met honderden IA-systemen en civiele constructies. Grofstoffelijk komen we de volgende stappen tegen, om een klein tipje van de sluier op te lichten:
· Een scan waarbij ICT architectuur, beheer en cybersecurity in hun samenhang worden getoond. Op basis van een vaststaand normenkader bekijk je waar de gap zit met de gewenste situatie, om zo de juiste maatregelen te kunnen treffen.
· De maatregelen worden geprioriteerd: uiteraard staan de quick wins bovenaan het lijstje. De rest wordt uitgewerkt via een programma/roadmap. Het opstellen van een dreigingsbeeld en het Werken onder Architectuur zijn hierbij belangrijke hulpmiddelen.
· Tegelijkertijd werk je aan verbetering in de awareness van betrokkenen op de werkvloer. Door middel van trainingen en workshops zijn mensen te trainen om hun werk ‘veiliger’ uit te voeren.
Natuurlijk is geen oplossing 100% waterdicht. Mocht het toch gebeuren dat een dreiging realiteit wordt dan komen we terecht in de wereld van Business Continuity Management en Business Resilience. Maar hierover in een volgende blog meer….