"İşletmeler sadece OT'ye güvenmekle kalmıyor, genel olarak halk da enerji ve su gibi hayati hizmetler için bu teknolojiye güveniyor. Ne yazık ki siber suçlular, kritik altyapı güvenliğinin genellikle zayıf olduğunun farkındadır. Sonuç olarak, tehdit aktörleri, OT'ye yönelik fidye yazılımı saldırılarının sonuç verme olasılığının yüksek olduğuna inanıyor” dedi Skybox Security CEO'su ve Kurucusu Gidi Cohen. "Kötülüğün kayıtsızlıktan beslendiği gibi, fidye yazılımı saldırıları da eylemsizlik devam ettiği sürece OT güvenlik açıklarından yararlanmaya devam edecek."
Operasyonel teknoloji siber güvenlik riskinin önemli ölçüde hafife alındığı yeni araştırma, ağ karmaşıklığı, işlevsel silolar, tedarik zinciri riski ve sınırlı güvenlik açığı iyileştirme seçeneklerinden oluşan OT güvenliğinin karşı karşıya olduğu zorlu savaşı ortaya çıkarıyor. Tehdit aktörleri, bu OT zayıflıklarından yalnızca tek tek şirketleri tehlikeye atmakla kalmayıp aynı zamanda halk sağlığını, güvenliğini ve ekonomiyi tehdit edecek şekilde kullanır.
2021 araştırmasının temel çıkarımları şunları içerir:
• Kuruluşlar bir siber saldırı riskini hafife alıyor Tüm katılımcıların yüzde elli altısı, kuruluşlarının gelecek yıl bir OT ihlali yaşamayacağına "yüksek oranda emindi". Yine de %83'ü önceki 36 ayda en az bir OT güvenlik ihlali yaşadıklarını söyledi. Bu tesislerin kritikliğine rağmen, mevcut güvenlik uygulamaları genellikle zayıftır veya mevcut değildir.
• CISO'nun algı ve gerçeklik arasındaki kopukluğu CIO'ların ve CISO'ların yüzde yetmiş üçü, gelecek yıl OT güvenlik sistemlerinin ihlal edilmeyeceğinden oldukça emin. Saldırıların etkileriyle ilgili daha fazla ilk elden deneyime sahip olan tesis yöneticilerinin yalnızca %37'si ile karşılaştırıldığında. Bazıları OT sistemlerinin savunmasız olduğuna inanmayı reddederken, diğerleri bir sonraki ihlalin köşede olduğunu söylüyor.
• Uyumluluk güvenlikle eş anlamlı değildir Bugüne kadar, uyumluluk standartlarının güvenlik olaylarını önlemede yetersiz olduğu kanıtlanmıştır. Düzenlemelere ve gereksinimlere uyumun sürdürülmesi, tüm katılımcıların en yaygın endişesiydi. Kritik altyapıya yönelik son saldırıların ışığında yasal uyumluluk gereksinimleri artmaya devam edecek.
• Karmaşıklık güvenlik riskini artırır Çok satıcılı teknolojilerden kaynaklanan karmaşıklığın yüzde yetmiş sekizi, OT ortamlarının güvenliğini sağlamada bir zorluktur. Ayrıca, tüm katılımcıların %39'u, güvenlik programlarını iyileştirmenin önündeki en büyük engelin, kararların merkezi bir gözetim olmaksızın bireysel iş birimlerinde alınması olduğunu söyledi.
• Siber sorumluluk sigortası bazıları tarafından yeterli olarak görülüyor Ankete katılanların yüzde otuz dördü siber sorumluluk sigortasının yeterli bir çözüm olarak görüldüğünü söyledi. Bununla birlikte, siber sorumluluk sigortası, ankete katılanların en önemli üç endişesinden biri olan bir fidye yazılımı saldırısından kaynaklanan maliyetli “kayıp işleri” kapsamıyor.
• Maruziyet ve yol analizi en önemli siber güvenlik öncelikleridirCISO'ların ve CIO'ların yüzde kırk beşi, gerçek maruziyeti anlamak için ortam genelinde yol analizi yapamamanın en önemli üç güvenlik endişesinden biri olduğunu söylüyor. Ayrıca, CISO'lar ve CIO'lar, OT ve BT ortamlarında ayrık mimarinin (%48) ve BT teknolojilerinin yakınsamasının (%40) en büyük üç güvenlik riskinden ikisi olduğunu söyledi.
• İşlevsel silolar, süreç boşluklarına ve teknoloji karmaşıklığına yol açar CIO'lar, CISO'lar, Mimarlar, Mühendisler ve Fabrika Yöneticilerinin tümü, OT altyapısını güvence altına alma konusundaki en büyük zorlukları arasında işlevsel siloları listeler. OT güvenliğini yönetmek bir takım sporudur. Takım üyeleri farklı oyun kitapları kullanıyorsa, birlikte kazanmaları pek olası değildir.
• Tedarik zinciri ve üçüncü taraf riski büyük bir tehdit Katılımcıların yüzde kırkı, tedarik zincirinin/üçüncü tarafların ağa erişiminin en yüksek üç güvenlik riskinden biri olduğunu söyledi. Yine de, yalnızca %46'sı kuruluşlarının OT'ye uygulanan bir üçüncü taraf erişim politikası olduğunu söyledi.
Destekleyici alıntılar
• Navistar, Inc., Bilgi Güvenliği Müdürü Robert Lynch: “Bazı CISO'lar yanlış güvene sahip olabilir çünkü zaten ihlal edilmiş olmalarına rağmen bunu henüz tanımlamamışlardır; bazen bilgisayar korsanları, dayanaklarını kurmak için uzun süre oradadır. Kötü adamlar çok iyi olduğu için kendinden emin olmak tehlikelidir.”
• Skybox Güvenlik Araştırma Laboratuvarı Tehdit İstihbaratı Lideri Sivan Nir: “Tehdit istihbaratımız, OT'deki yeni güvenlik açıklarının 46'nin ilk yarısına göre %2020 arttığını gösteriyor. Güvenlik açıklarında ve son saldırılardaki artışa rağmen, birçok güvenlik ekibi OT güvenliğini bir kurumsal öncelik Niye ya? Şaşırtıcı bulgulardan biri, bazı güvenlik ekibi personelinin savunmasız olduklarını inkar etmeleri, ancak ihlal edildiğini kabul etmeleridir. Aksine kanıtlara rağmen, altyapılarının güvenli olduğu inancı, yetersiz OT güvenlik önlemlerinin alınmasına neden oldu.”
Daha fazla bilgi edinmek için tam araştırma çalışmasını indirin.
metodoloji
Araştırma çalışması ABD, İngiltere, Almanya ve Avustralya'daki 179 OT güvenlik karar vericisinden alınan yanıtları içeriyordu. Ankete katılanların çoğunluğu (152) imalat, enerji ve kamu hizmetleri sektörlerinde geliri 1 milyar ABD Doları veya daha fazla olan şirketlerdendi.