Auteur: Karl D’haveloose

Hoe het verlies van institutionele kennis kritieke risico’s creëert in OT-cybersecurity, hoe je dit voorkomt en strategisch mee omgaat, is een vraagstuk dat je moet bekijken vanuit de bedrijfsgrootte, het type product, de budgetten en nog zo veel meer. Ik doorgrondde even een lijvig rapport van Claroty, zodat het voor jou wat sneller duidelijk wordt.

De leegloop van niemand en iedereen

In maakomgevingen over de hele wereld speelt zich een kritieke cyberbeveiligingscrisis af. De meest ervaren OT-professionals — degenen die de netwerken bouwden en onderhielden, die oude industriële systemen verbonden met de moderne bedrijfsinfrastructuur — gaan in ongekend tempo met pensioen. Met hun vertrek verdwijnen decennia aan niet-gedocumenteerde, complexe netwerkarchitectuurkennis, die essentieel zijn voor industriële productie.

De vraag wie nu precies verantwoordelijk is voor cybersecurity in productieomgevingen, werd historisch duaal beantwoord met 'niemand' en 'iedereen'. Maar de toenemende verbondenheid van OT-systemen en het groeiend dreigingslandschap vereisen een duidelijke organisatorische aanpak. CISO’s nemen steeds vaker de verantwoordelijkheid voor cybersecurity op siteniveau, maar het optimale organisatiemodel is vaak nog onduidelijk.

Er ontstaan drie nieuwe organisatorische modellen voor OT-cybersecurity:

• Sitegedreven beveiligingsoperaties (goedkoop maar inconsistent)
  
  
  
• IT-gecentraliseerd beheer (professioneel, maar niet echt OT-vriendelijk)
  
• Embedded cybersecuritypersoneel (duur en moeilijk schaalbaar)
  

De gevaarlijkste persoon in de fabriek is… je meest ervaren werknemer

In productiefaciliteiten komt de grootste cybersecuritydreiging meestal niet van aanvallers, maar van een betrouwbare werknemer met 30 jaar kennis. Deze persoon vormt een ‘single point of failure’ en bezit unieke kennis van niet-gedocumenteerde systemen, verborgen afhankelijkheden en verouderde architecturen. Het probleem wordt acuut wanneer deze werknemer met pensioen gaat, vaak zonder dat zijn kennis ooit werd overgedragen.

Dat eindigt meestal in volgende 3 risico’s. Dat gaat van catastrofale systeemstoringen tijdens een modernisering  door verborgen afhankelijkheden en verouderde systemen over een vertraagde uitrol van nieuwe machines en periferie tot onbedoelde cyberlekken door verkeerde IT-praktijken in OT-omgevingen.

Product- en productiecriteria.

Succesvolle organisaties koppelen cybersecurity aan bedrijfswaarde. Concreet bedoelen we daar mee, rekening houdende met productkwaliteit, operationele uptime, gezondheid en of veiligheid.

1. Productkwaliteit: bescherming van gegevensintegriteit en naleving van regelgeving

De moderne productie is sterk afhankelijk van geïntegreerde softwareplatforms voor het volgen, analyseren en certificeren van productkwaliteit op grote schaal. Cyberbeveiligingsincidenten, die deze systemen in gevaar brengen, kunnen leiden tot catastrofale financiële verliezen die veel verder reiken dan alleen een onmiddellijke verstoring van de bedrijfsvoering. Hieronder vind je wat high-risk productiesectoren.

• Farma: Bij batchgebaseerde farmaceutische productie kan het verlies van toegang tot kwaliteitsbeheersystemen hele productieruns ter waarde van miljoenen dollars ongeldig maken. Een enkele ransomware-aanval die batchrecords versleutelt, kan bedrijven dwingen om voltooide producten te vernietigen, omdat ze niet kunnen controleren of ze voldoen aan de FDA-voorschriften.
• Chemische verwerking: Producenten van basischemicaliën die met kleine marges werken, kunnen zich geen kwaliteitsverlies of gegevenscorruptie veroorloven. Het uitvallen van een SAP-integratie kan leiden tot een stopzetting van verzendingen ter waarde van miljoenen dollars per dag, totdat de gegevensintegriteit weer is hersteld.
• Voeding en dranken: Naleving van de FDA-voorschriften vereist voortdurende monitoring en documentatie. Cybersecurityincidenten die traceerbaarheidssystemen verstoren, kunnen leiden tot kostbare productterugroepingen, met gemiddelde kosten van meer dan 10 miljoen dollar per incident.

2. Het beschermen van operationele uptime

Veel productiefaciliteiten werken 24 uur per dag, 7 dagen per week en 365 dagen per jaar, waarbij elke minuut ongeplande stilstand onvervangbaar productieverlies betekent. De financiële impact van cyberbeveiliging gerelateerde storingen is vaak  groter dan die van traditionele apparatuur storingen vanwege de complexiteit van het herstel van het systeem. Je kritieke infrastructuur komt dus op alle manier onder druk.

• Afhankelijkheid van verouderde netwerken: Productienetwerken die in de loop van tientallen jaren zijn opgebouwd, bevatten single points of failure die bij cyberbeveiligingsincidenten kunnen worden misbruikt. Een gerichte aanval op de kerninfrastructuur van het netwerk kan een cascade-effect veroorzaken op meerdere productielijnen tegelijk.
• Complexiteit van geïntegreerde systemen: Moderne fabrieken zijn afhankelijk van een naadloze integratie tussen ERP-, productie-uitvoerings- (MES) en industriële controlesystemen. Cybersecurityincidenten die deze integraties verstoren, kunnen de productie stilleggen, zelfs als de fysieke apparatuur operationeel blijft.
• Verlenging van de hersteltijd: Cybersecurityincidenten vereisen aanvullende forensische analyse en beveiligingsvalidatie voordat systemen kunnen worden hersteld, waardoor de gebruikelijke hersteltijden worden verlengd.

3. Gezondheid en veiligheid

De meest overtuigende rechtvaardiging voor budgetten is vaak gericht op het voorkomen van scenario's waarin de controle verloren gaat en cyberbeveiligingsincidenten de veiligheid van werknemers of de bescherming van het milieu in gevaar kunnen brengen. Deze argumenten vinden veel weerklank bij het uitvoerend management vanwege de mogelijke wettelijke aansprakelijkheid en gevolgen op het gebied van regelgeving. Hier heb je er een paar.

• Compromittering van gedistribueerde controlesystemen (DCS): Mal- of ransomware die DCS-platforms aantasten, kunnen veiligheidsvergrendelingen, noodstopsystemen en procesbewakingsmogelijkheden uitschakelen.
• Manipulatie van SCADA-systemen: Ongeoorloofde toegang tot SCADA-systemen kan procesparameters wijzigen, alarmen uitschakelen of valse informatie verstrekken aan operators tijdens kritieke situaties.
• Interferentie met veiligheidsinstrumentatiesystemen (SIS): Hoewel SIS-systemen doorgaans geïsoleerd zijn, creëert toenemende connectiviteit potentiële aanvalsvectoren, die de laatste veiligheidsbarrières kunnen compromitteren.

Nu we het over productkwaliteit en robuuste productie gehad hebben, gaan we ook even in op de budgetten. Uit het bovenstaande blijkt duidelijk dat na het inventariseren van de risico’s het noodzakelijk is om het management inzicht te geven in de mogelijke financiële impact voor de organisatie. Op basis daarvan moet niet alleen een aanpak, maar ook voldoende budget toegekend worden. Wat de gekozen aanpak (site driven/IT-driven/embedded) nu ook mag zijn, het is en blijft in hoofdzaak een strategie van mensen en talenten. Dat wil ik finaal toch even benadrukken.

Drie talentpistes

Voor het uitrollen en verzekeren van je OT-cybersecuritymodel is er keuze tussen 3 verschillende talentpaden:

1. Nieuwsgierig talent met sterke leercapaciteit – anyone willing ?

De meest onconventionele, maar vaak meest succesvolle aanpak bestaat erin kandidaten te rekruteren op basis van intellectuele nieuwsgierigheid en leervermogen in plaats van specifieke technische kwalificaties. Een ideale kandidaat heeft onderstaand profiel.

• Sterke analytische en probleemoplossende vaardigheden
• Aantoonbaar vermogen om zelfstandig complexe technische concepten te leren
• Interesse in zowel technologie als industriële processen, maar niet noodzakelijkerwijs over de exacte vaardigheden beschikken
• Bereidheid om te werken in uitdagende omgevingen met hoge risico's

Voordelen:

• Kandidaten benaderen problemen zonder vooropgezette beperkingen
• Groot aanpassingsvermogen aan specifieke systemen en processen van de organisatie
• Sterke loyaliteit dankzij aanzienlijke investeringen in ontwikkeling
• Frisse kijk op traditionele beveiligingsuitdagingen

2. Je bestaande ICS-engineers omscholen.

Deze aanpak maakt gebruik van bestaande industriële besturingssysteemingenieurs en biedt hen cybersecuritytraining en -verantwoordelijkheden. Het ideale profiel van je interne kandidaat is :

• 5+ jaar ervaring met PLC's, DCS- of SCADA-systemen
• Praktische ervaring met probleemoplossing in productieomgevingen
• Interesse in het uitbreiden van verantwoordelijkheden buiten traditionele engineeringfuncties

Voordelen:

• Diepgaand inzicht in de operationele impact van beveiligingsbeslissingen
• Bestaande relaties met fabriekspersoneel en management
• Onmiddellijke geloofwaardigheid bij operationele teams
• Natuurlijk begrip van industriële procesvereisten

3. Cybersecurityprofessionals OT-kennis aanleren.

Hier ga je echt externe ervaren cybersecurityprofessionals aanwerven en een aangepaste OT-specifieke opleiding geven. Naar wie ga je op zoek?

• Minimaal 3 jaar ervaring met cyberbeveiliging in een bedrijfsomgeving
• Sterke achtergrond in netwerken en systeembeheer
• Ervaring met activiteiten van een Security Operations Center (SOC)
• Bereidheid om industriële systemen en processen te leren kennen

Voordelen:

• Directe expertise op het gebied van cyberbeveiliging en bewustzijn van bedreigingen
• Aantoonbare vaardigheid in het gebruik van beveiligingstools
• Inzicht in compliance- en auditvereisten
• Vermogen om bedrijfsbeveiligingsnormen te implementeren

Elk van de 3 pistes om talent te vinden en te ontwikkelen heeft zijn voor- en nadelen. Iemand aannemen met een compleet nieuwe kijk op dingen kost de meeste tijd, maar is waarschijnlijk goedkoper. Crosstraining van ICS- of cybersecurity-professionals zorgt voor unieke perspectieven en manieren om het werk aan te pakken. Welke manier het beste is voor jouw organisatie hangt af van de beschikbare tijd en middelen en de manier van beveiliging het beste bij jou past. Dus voor je lokale helden met een gouden horloge het pand verlaten en van hun pensioen gaan genieten, hou dit artikel toch even in het achterhoofd.