Почему TÜV SÜD считает себя лидером в области промышленной кибербезопасности

МЮНХЕН. Около 67 процентов всех компаний подвержены влиянию инциденты безопасности каждый год, сказал Энди Швайгер, управляющий директор по услугам кибербезопасности в TÜV SÜD, международной организации по тестированию, сертификации и обучению. И «эра скриптовых детишек ушла», - сказал Швайгер, имея в виду подражателей хакеров, которые полагаются на онлайн-ресурсы для запуска кибератак. «[Детишки по сценариям], которые] попадали в заголовки газет 10-15 лет назад, теперь выросли», - добавил он. В результате текущие кибератаки имеют тенденцию быть более разрушительными. Государственные субъекты взяли на себя более активную роль в проведении атак и разработке вредоносных программ, которые иногда дают утечки, как в случае с эксплойтом EternalBlue, что дает хакерам преступного мира возможность запускать исключительно разрушительные атаки. А некоторые злоумышленники используют машинное обучение для уловок и выявления уязвимых целей.

Чтобы справиться с этой проблемой, TÜV SÜD, как и UL в Соединенных Штатах, все больше позиционирует себя как авторитет в области промышленной кибербезопасности. «TÜV SÜD готов выполнить эту задачу по пяти причинам», - сказал Швайгер в своей презентации в рамках пресс-конференции Siemens по вопросам кибербезопасности. Во-первых, он осведомлен о меняющихся нормативных требованиях, таких как GDPR, которые относятся к киберпространству. (В связи с этим производители, массово производящие гаджеты, подключенные к Интернету вещей, потенциально несут ответственность за ущерб, нанесенный их продуктам в результате широкомасштабных кибер-эксплойтов). Во-вторых, организация внимательно следит за текущим ландшафтом угроз. В-третьих, он создал сплоченную команду кибер-экспертов. В-четвертых, он нейтрален и объективен. И, наконец, он утверждает, что является пресловутым «универсальным магазином» для кибербезопасности.

[ Мир Интернета вещей - это событие, которое превращает IIoT от вдохновения к реализации, стимулируя бизнес и операции. Получите билет прямо сейчас. ]

Слоган организации на английском языке:«Add value. Вызывайте доверие ».

TÜV SÜD работал над быстрым формированием команды из более чем 30 кибер-экспертов за шесть месяцев. Если его киберподход и преследует главную цель, то он заключается в том, чтобы закрепить кибер-стратегию, а не тактику. «Существуют тысячи брендов», - сказал Швайгер, говоря о ландшафте киберпоставщиков. «Обещание таково:вы купите следующее устройство, и вы будете в большей безопасности», - сказал он. «Но это не обязательно так».

Фактически, организация, которая покупает десятки устройств безопасности и имеет команду по кибербезопасности, состоящую примерно из дюжины, может оказаться менее защищенной. Вместо комплексной стратегии кибербезопасности, скорее всего, у нее будет лоскутная защита, которая сделает их уязвимыми.

Швайгер сказал, что статус TÜV SÜD как поставщика услуг кибербезопасности, а не продуктов, делает его более гибким, чем поставщики продуктов. Если возникает новая уязвимость, компания может быстро адаптироваться к разработке стратегий по ее устранению.

Его основные услуги по кибербезопасности подразделяются на четыре области:защита данных (например, консультирование по вопросам защиты данных и уничтожение данных), безопасность коммерческих транзакций, промышленная кибербезопасность (например, тестирование безопасности на основе ИИ и обнаружение сетевых аномалий) и экспертные услуги (например, обнаружение услуг атаки. , оценка подверженности риску и тестирование на проникновение).

В промышленной сфере компания работает, чтобы помочь отделам ОТ и ИТ организаций сблизиться, а не открыто заявлять, что каждый из них просто отличается от другого. «Если вы присоедините ОТ к ИТ-системе, все проблемы ИТ-системы перейдут на ОТ-систему», - сказал Швайгер. Организация также заявляет, что это помогает оптимизировать эффективность ОТ и ИТ и повторно использовать внутренние процессы клиентов с использованием общих передовых практик.

Связанный контент

«Риск - это уравнение, состоящее из актива, уязвимости и угрозы», - сказал Стефан Лаудат, менеджер по информационной безопасности в TÜV SÜD Sec-IT GmbH. Но в отличие от традиционной ИТ-безопасности, промышленная кибербезопасность не может просто поставить под угрозу данные, производительность и доступность системы, но может потенциально угрожать жизни людей или причинять травмы. Промышленная среда, которая включает потенциально уязвимую критическую инфраструктуру, может повлиять на окружающие сообщества. А известные аэрокосмические компании, например, испытывают экзоскелеты, чтобы их сотрудники могли поднимать тяжелые предметы. Если одно из этих устройств будет взломано или настроено злонамеренно, оно может создать серьезную угрозу для его владельца.

«Текущий уровень киберугроз в промышленном пространстве - от умеренного до высокого», - сказал Лаудат. В то время как нынешние игроки более или менее бездействуют, они вкладывают значительные деньги в исследование атак, ориентированных на промышленность, в то время как стоимость запуска таких эксплойтов неуклонно снижается. Такие сайты, как Shodan, упрощают злоумышленникам разведку потенциальных промышленных целей.

Объем уязвимостей в промышленных средах также может быть значительным в промышленных средах, учитывая, как правило, слабые системы контроля доступа, преобладание проприетарных протоколов, ограниченную нормативно-правовую базу, сложные сети поставщиков и, как правило, низкий уровень осведомленности в области ИТ-безопасности. Кроме того, по словам Лаудата, широко используемый протокол Интернета вещей MQTT является легким, отказоустойчивым и небезопасным. А длительный срок службы многих подключенных к сети промышленных устройств может со временем подвергнуть их серьезной уязвимости.

В некоторых случаях организация советует своим промышленным клиентам избегать оцифровки и придерживаться аналоговых технологий, когда потенциальная киберугроза неприемлема.

Киберподход TÜV SÜD не основан на обычных аудитах, когда один или два эксперта приезжают в компанию и проводят собеседования. «Ответы приходят из интервью. В лучшем случае они необъективны. В худшем случае они просто скажут вам, чего хотят », - сказал Швайгер. Но киберподход организации основан на автоматизации для оценки киберрисков ее клиентов. «Система не лжет нам», - добавил он.