Waarom uw bedrijf zijn ware potentieel kan ontketenen en groei kan realiseren

Wanneer een waarschuwing over een kritiek beveiligingslek een traditionele IT- omgeving bereikt , leidt dit zelden tot paniek over de bedrijfscontinuïteit. Betrokken laptops, servers en applicaties kunnen snel worden geïdentificeerd en een deskundig team kan ze binnen enkele uren indexeren en patchen als de situatie urgent is. De prioriteiten zijn duidelijk en er is weinig ruimte voor giswerk.

Stel je nu voor dat dezelfde waarschuwing de beeldvormingsapparatuur in een ziekenhuis, de besturingssystemen in een fabriek of het verwarmings-, ventilatie- en airconditioningsnetwerk (HVAC) in een gebouw bereikt. Deze cyberfysische systemen (CPS), de verbonden apparaten die fysieke processen beheren in plaats van alleen data te verwerken, vormen de kern van de convergentie van informatietechnologie (IT) en operationele technologieën (OT).

Maar in tegenstelling tot traditionele IT-principes kan het dagen duren om te bevestigen of deze waarschuwing van toepassing is op een bepaald apparaat, en leidt het vaak tot giswerk in plaats van een definitief antwoord.

Hoewel dit soort onzekerheid een tekortkoming is op het gebied van elementaire hygiëne, is het helaas vaak de norm voor cyberfysische systemen.

Waarom is dit een wijdverbreid probleem voor cyberfysische systemen (CPS), en hoe kunnen beveiligingsteams deze cruciale systemen weer compatibel maken met hun IT-netwerk?

Slechte zichtbaarheid in cyberfysische systemen is alarmerend wijdverbreid.

Het onvermogen om binnenkomende beveiligingslekken in cyberfysische systemen (CPS) te beheersen is geen uitzondering of een worstcasescenario, en is met name zorgwekkend wanneer deze systemen de kern vormen van kritieke infrastructuur zoals energie en gezondheidszorg.

Het probleem zit hem in de productcodes die netwerken helpen te identificeren welke fysieke cybersystemen (CPS) aanwezig zijn in de omgeving. Dit is een cruciaal onderdeel van het identificeren en toepassen van beveiligingspatches.

Uit ons onderzoek onder een dataset van 17 miljoen fysieke digitale activa bleek dat 88% een onjuiste productcode verstuurde en dat 76% een code verstuurde die niet overeenkwam met de gegevens van de verkoper.

Dit is een neveneffect van de manier waarop deze systemen aanvankelijk zijn ontworpen en later zijn geïntegreerd in moderne IT-omgevingen. Programmeerbare logische controllers (PLC's), medische scanners en industriële sensoren zijn ontworpen voor fysieke betrouwbaarheid gedurende tientallen jaren, niet voor gestructureerde digitale classificatie. Netwerkidentificatie maakte zelden deel uit van het ontwerp, waardoor hetzelfde apparaat zichzelf anders kon rapporteren, afhankelijk van het protocol of de integratie die de informatie opvroeg.

We troffen een vergelijkbare situatie aan met betrekking tot besturingssystemen die fysieke apparaten ondersteunen. In ons onderzoek bleek dat 41% van de apparaten geen informatie had over de versie van het besturingssysteem (OS) en dat 24% helemaal geen naam van het besturingssysteem had.

Zonder deze details is het onmogelijk om het apparaat via een snelle zoekopdracht in databases of geautomatiseerde processen te koppelen aan een bekende beveiligingskwetsbaarheid. Het komt dan neer op giswerk of een moeizaam handmatig onderzoek.

Bovendien worden CVE-adviezen, het industriestandaardmechanisme voor het bijhouden van kwetsbaarheden, verzameld uit dezelfde onvolledige gegevens van leveranciers. Daarom kan het officiële advies net zo gebrekkig zijn als het netwerk dat het zou moeten beschermen.

Het omzetten van chaos in productcode in risico's op bestuursniveau

Dit soort blinde vlekken zorgt voor extra stress bij leidinggevenden die al te maken hebben met de onzekerheid over de zichtbaarheid van bedreigingen. Van de 1100 wereldwijd ondervraagde beveiligingsmanagers gaf 44% aan dat inzicht in de kwetsbaarheden van hun organisatie een van hun grootste operationele zorgen is, belangrijker nog dan nalevingsdruk of budgettaire beperkingen.

Bovendien gaf 45% aan moeite te hebben met het beperken van cyberrisico's voor hun meest kritieke activa en activiteiten; het verband tussen deze moeite en een volstrekt onbetrouwbare inventarisatie van hun activa wordt echter vaak over het hoofd gezien. Leidinggevenden zien het symptoom – een groeiend gevoel dat risico's onbeheersbaar zijn – zonder ooit de onderliggende oorzaak te zien.

Dit is waar de beveiligings- en business-teams verschillende talen kunnen spreken en elkaar niet begrijpen. Beveiligingsteams die het probleem in eerste instantie beschrijven in termen van ontbrekende productcodes en inconsistente naamgevingsconventies, zullen weinig vooruitgang boeken.

Bedrijfsleiders horen hier niets van; het enige wat ze horen is dat risico's niet betrouwbaar meetbaar zijn. Zolang deze twee gesprekken niet met elkaar verbonden zijn, is elk risicorapport dat de CISO aan het senior management presenteert voorzien van een asterisk die niemand anders in de zaal kan zien.

Context is essentieel om de kloof te overbruggen.

Het oplossen van dit probleem begint met een verschuiving in het concept van alomvattende zichtbaarheid. Weten dat een apparaat op het netwerk aanwezig is, is slechts de helft van de strijd. Inzicht in de functie ervan, de processen die het ondersteunt en wat er zou gebeuren als het gecompromitteerd zou raken, maakt een risicoanalyse pas echt waardevol.

Om deze transformatie op grote schaal te realiseren, zijn gespecialiseerde tools nodig voor het beheer van de diverse en specifieke aard van industriële besturingssystemen (CPS), en een geautomatiseerde aanpak voor het omgaan met dit brede scala.

Het toepassen van AI-gestuurde karteringstechnieken op de productcatalogus van een OEM-fabrikant verhoogde bijvoorbeeld het percentage correct geïdentificeerde productcodes van 4% naar 83%, waardoor een bijna blinde vlek een bijna volledig beeld werd. Even belangrijk was de vervolgactie: als gevolg hiervan ontving 56% van de apparaten een aanbeveling om hun firmware bij te werken of te wijzigen, en verbeterde de nauwkeurigheid van de identificatie van kwetsbaarheden met 25%.

Deze cijfers zijn belangrijk omdat ze de aard van de vragen die beveiligingsteams kunnen beantwoorden veranderen. In plaats van te vragen naar de apparaten die op het netwerk zijn aangesloten, kunnen teams zich afvragen welke systemen de meeste verstoring zouden veroorzaken als ze gehackt worden, en op basis van dat antwoord met vertrouwen handelen in plaats van louter te gokken. Dit is het verschil tussen een inventaris op papier en een robuuste inventaris die bestand is tegen druk.

Pak de fundering aan, schakel niet alleen het alarm uit.

Geen van deze problemen kan simpelweg worden opgelost door nog een tool aan de bestaande toolkit toe te voegen. In plaats daarvan vereist het dat de kwaliteit van activagegevens wordt beschouwd als een risico op bestuursniveau, en niet slechts als een routinematige IT-taak, en dat dezelfde mate van controle wordt toegepast als op budgetten, compliance en toegang door derden.

Dit betekent dat een nieuwe CVE-waarschuwing niet langer verwarring schept over welke kritieke apparaten mogelijk getroffen zijn, maar juist zorgt voor een gegarandeerde en geprioriteerde reactie, zoals je mag verwachten van een goed programma voor kwetsbaarheidsbeheer.

Het afhandelen van een melding op beeldvormingsapparatuur in een ziekenhuis of op besturingssystemen in een fabriek zou niet moeilijker moeten zijn dan het afhandelen van een melding op een laptop. Om dat te bereiken, moet je het onzichtbare zichtbaar maken.