OT Risk Assessment

Risico Analyse voor een Operationele Technologie (OT) Omgeving

Nu de frequentie van cyber aanvallen op Operationele Technologie (OT) aan het stijgen is, is het belangrijker dan ooit om de OT-omgeving van uw organisatie te beveiligen. Aanvallers gebruiken verschillende methodes om netwerken te infiltreren en zo financiële schade aan te richten: direct, door het vertragen of stoppen van productie, of indirect door het stelen en verkopen van bedrijfsgeheimen. Om de kans op cyber aanvallen te verkleinen is het belangrijk om de mogelijke maatregelen te identificeren en te implementeren. Als dit niet, of incorrect, gebeurt dan zorgt dit voor risico’s binnen uw organisatie.

Ontdek meer over de OT risico analyse

1. Waarom een risico analyse?
2. Waarom is er een specifieke OT risico analyse nodig?
3. Wat houdt een OT risico analyse in?
4. De QAROT-methodologie
5. Wat is het eindresultaat?

Waarom een risico analyse?

Een cyber risico analyse assisteert in het structureel bepalen welke cyber risico’s aanwezig zijn in uw omgeving. Alleen nadat deze risico’s zijn geïdentificeerd en gedocumenteerd is het mogelijk om de effectiviteit van (bestaande) maatregelen te begrijpen. Dit maakt het ook mogelijk om over nieuwe maatregelen te redeneren; of ze nodig zijn, en hun mogelijke effectiviteit. Verder helpt het analyseren van de ernst van de geïdentificeerde risico’s om beter beslissingen te maken over maatregelen, de juiste prioriteiten te kunnen stellen, en geïnformeerd de afweging tussen de kosten van de maatregel en het risico te kunnen maken.

Verder zorgt een risico analyse voor een compleet overzicht van de sterke en zwakke punten binnen een organisatie. Deze kan gebruikt worden door de organisatie om zich beter tegen cyber aanvallen te kunnen verweren.

Waarom is een specifieke OT-risico analyse nodig?

In tegenstelling tot IT hebben risico’s binnen OT-omgevingen niet alleen effect op de geheimhouding, integriteit, en beschikbaarheid van data en processen, maar kunnen ook invloed hebben op de betrouwbaarheid, prestatie, en veiligheid van een productiefaciliteit. Verder zorgen de verschillende en specifieke types van Industrial Control Systems (ICS), zoals PLC-, DCS-, en SCADA-systemen ervoor dat er anders naar systemen gekeken moet worden, omdat deze de ruggengraat van elke OT-omgeving zijn. Om correct alle risico’s te kunnen analyseren en maatregelen voor te kunnen stellen moet er voor OT een op maat gemaakte risico analyse gebruikt worden.

Wat houdt een OT-risico analyse in?

Secura gebruikt zijn eigen systeem-gedreven risico analyse methodologie genaamd “Quantitatively Assessing Risk in Operational Technology” (QAROT). Deze methodologie voldoet aan de IEC 62443-3-2 standaard en gebruikt verder de sterke punten uit “MITRE’s ATT&CK for ICS” en ISO 31010. Het combineren van deze standaarden zorgt ervoor dat wij onze risico analyses kunnen uitvoeren op een manier die verder gaat dan simpelweg het naleven van IEC 62443-3-2. Samen met onze cliënten definiëren we de IEC 62443-3-2 target security levels, die we vervolgens gebruiken om onze risico analyse op te baseren. QAROT gebruikt ook andere standaarden uit de IEC 62443 familie, zoals -3-3 en -4-2, om samenhangend en uitvoerbaar advies te kunnen geven gebaseerd op de “fundamental requirements” die deze standaarden beschrijven. Tenslotte gebruikt QAROT Secura’s publiekelijk beschikbare Operational Technology Cyber Attack Database (OTCAD) om de ernst van geïdentificeerde risico’s te bepalen.

De QAROT-methodologie

QAROT maakt gebruik van een top-downbenadering voor het identificeren en beoordelen van risico's: het ontleent toepasbare tegenmaatregelen door alle bedrijfsmiddelen binnen een OT-omgeving in aanmerking te nemen. Deze tegenmaatregelen zijn gebaseerd op ATT&CK voor ICS en worden gecombineerd met IEC 62443-3-3 en -4-2 om de implementatie en effectiviteit binnen het beschouwde systeem objectief te beoordelen. Deze combinatie stelt Secura in staat om structureel potentiële tekortkomingen en de risico's die deze met zich meebrengen te identificeren.

De beoordeling begint met het maken van een zone & conduit diagram op basis van de netwerk schetsen en bedrijfsmiddelen van de organisatie. De inhoud van het diagram wordt samen met de klant tijdens een workshop besproken om er zeker van te zijn dat het diagram een correcte weergave is van de beoordeelde omgeving. In opeenvolgende workshops bepalen we samen met de klant de impact van mogelijke vijandelijke doelen, en stellen we de bereikte beveiligingsniveaus van bestaande asset- en zone/conduit-gebaseerde maatregelen vast.