OT-beveiliging: focus op mensen, processen en technologie

Denk niet langer na over OT-beveiliging: mensen, processen en technologie

Stel je dit voor:

Een beveiligingsmanager gaat aan de slag met een whiteboard en een mandaat van het leiderschap om eindelijk serieus werk te maken van OT-beveiliging in de hele organisatie. Het plan begint vorm te krijgen: tientallen beveiligingsapparaten verspreid over meerdere fabriekslocaties, SPAN-poorten geconfigureerd op elk kritiek segment van het netwerk en een monitoringarchitectuur die diepgaande zichtbaarheid biedt die het team nog niet eerder heeft gehad. De managers zijn enthousiast: de afstudeercijfers verbeteren overal!

Het ziet er perfect uit, het is ambitieus, het is grondig en het voelt als echte vooruitgang. Maar dan begint het budget- en activiteitenspreadsheet een ander verhaal te vertellen:

Nieuwe switches en kabelroutes ter ondersteuning van de SPAN-inzameling, rackruimte voor speciale apparaten, stroom- en HVAC-upgrades, installatiearbeid en doorlopende onderhoudskosten van de nieuwe infrastructuur – het totaalbedrag onderaan de pagina vernietigt die visie. Zijn de verborgen kosten drie keer de prijs van het OT-beveiligingsproduct zelf en de KPI’s van de locatiemanager? Nou ja, het draait allemaal om omzet, productie en uptime.

En plotseling is de vraag niet langer of de organisatie Zou moeten investeren in OT-beveiliging: De vraag is of er een slimmere manier is om daar te komen zonder de infrastructuur te laten kreunen.

Op basis van de vele discussies die we hadden tijdens de ICS S4x26-beveiligingsconferentie en de feedback van klanten, wilden we een praktisch en kosteneffectief plan schetsen voor het bereiken van effectieve OT-beveiliging.

Deze tweedelige blogserie biedt praktisch advies over hoe u uw OT-beveiligingsprogramma kunt starten. Deze eerste in de serie schetst wat wij een starterspakket noemen, georganiseerd rond mensen, processen en technologie (PPT) – om middelgrote industriële activiteiten te helpen een geloofwaardige cyberbeveiligingsfundament op te bouwen zonder de bank kapot te maken. De tweede blog gaat over de Total Cost of Ownership (TCO) en het strategische gebruik van vernieuwingscycli van technologie.

Het Starter Pack Framework: mensen, processen en technologie met een beperkt budget

Dit raamwerk gaat niet over de aanschaf van het duurste gereedschap. Het gaat om het doen van slimme, geordende investeringen die de hoogste veiligheidsdekking per euro bieden, terwijl de menselijke en operationele beperkingen waarmee u daadwerkelijk wordt geconfronteerd, worden gerespecteerd.

Mensen: Werk samen met het team dat je hebt

De meeste middelgrote bedrijven huren geen speciale OT-beveiligingspersoon in. Die verantwoordelijkheid zal komen te liggen bij iemand die al vijf rollen vervult: een fabrieksingenieur, een IT-generalist, een OT-manager. De manier waarop dit zich afspeelt is maar al te gebruikelijk voor degenen die in het veld werken: mensen worden “op de schouder getikt” en te horen gekregen dat zij nu verantwoordelijk zijn voor de OT-beveiliging. De meeste van deze mensen zijn geen cyber- en netwerkwizards.

Accepteer het als een ontwerpbeperking, niet als een personeelsprobleem dat moet worden opgelost. Oplossingen waarvoor speciaal personeel nodig is om te kunnen werken, zijn niet geschikt. Zoek in plaats daarvan naar tools met geautomatiseerde asset-detectie, vooraf gebouwde dashboards en beheerde servicelagen die uw analyselast verlichten.

Crosstraining is beter dan aannemen. Maak gebruik van trainingsprogramma’s voor leveranciers, lokale afdelingen van cyberbeveiligingsverenigingen die een groeiende betrokkenheid bij OT-beveiliging zien, en gemeenschapsevenementen om stapsgewijs de vaardigheden van uw bestaande team op te bouwen.

Proces: begin met wat uw bedrijf mogelijk maakt, niet met een compliancechecklist

Vergeet volwassenheidsmodellen die ervan uitgaan dat u niet over de middelen beschikt. Begin met een goed overzicht van de oude site, pak het whiteboard, sluit het aan op een console en download het netwerk en de routeringstabellen. Het zou logisch zijn om te beginnen met zichtbaarheid, maar de inventarisatie van activa is stap nul. Het is echter niet nodig om de oceaan te koken. De meeste fabrieksmanagers hebben niet stilgezeten: de meesten weten wat een slechte dag zal veroorzaken, en de locatiemanager (of senior procesingenieur) weet welke machines inkomsten genereren of welk systeem inkomsten zal verbranden en de prognoses zal schaden. Begin ergens en met iets – wacht niet tot het perfect is.

Beschouw vervolgens netwerksegmentatie als een procesbeslissing en als een manier om zowel de prestaties als uw defensieve houding te optimaliseren. Identificeer de meest kritische apparatuur en systemen en start vanaf daar uw segmentatieproject. En begin natuurlijk met het definiëren van wat de Minimal Viable Security Stack is voor uw organisatie, uw bedrijfseenheden en uw locaties.

Technologie: de minimaal haalbare beveiligingsstack

Niveau 1: Begin. De eerste stap is een firewall/router om een industriële DMZ te creëren, waardoor het IT-netwerk wordt geïsoleerd van het OT-netwerk. Vervolgens vormt een beheerde Layer 3-switch in Purdue Layer 3 de basis. Implementeer een lichtgewicht OT-zichtbaarheidsoplossing zoals Cisco CyberVision die op de switch draait, waardoor u noord-zuidzichtbaarheid krijgt en de mogelijkheid krijgt om belangrijke assets te identificeren. Of, als u nog aan het begin van dit traject staat, kunt u met de juiste apparaten op belangrijke locaties NetFlow-gegevens verzamelen voor foutopsporing en prestatieanalyse. Je kunt altijd beginnen met een gratis versie en upgraden naarmate je van deze tool naar Splunk overstapt.

Niveau 2: Dieper zicht. Het volgende doel zou moeten zijn om de inzet van de zichtbaarheidsoplossing uit te breiden naar de lagere niveaus van het OT-netwerk (Purdue Levels 0-2), door de sensor in schakelaars in te bedden of als container in de industriële computer als bestaande schakelaars dit niet ondersteunen. Met Tier 1-investeringen, extra zichtbaarheid bij aansluiting op de volledige netwerkstack van de faciliteit en een initiële monitoringinfrastructuur zullen de voordelen zich beginnen te vermenigvuldigen; het zal niet langer alleen om veiligheid gaan.

Niveau 3 – Begin met het bouwen van een op bewijs gebaseerd programma voor beveiligingsbeheer. Maak gebruik van gratis of goedkope oplossingen waar die bestaan: Tools zoals de gratis gegevensopnamelaag van Splunk kunnen u voorzien van kant-en-klare dashboards over kwetsbaarheden en beveiligingssituatie. Door OT-beveiligingstelemetrie vast te leggen in Splunk kunt u beginnen met het bouwen van een beveiligingsbeheerprogramma.

Pas op voor verborgen kosten: SPAN-architecturen. Als u passieve monitoring via SPAN- of spiegelpoorten overweegt, houd dan rekening met de realiteit van de infrastructuur. Veel faciliteiten draaien nog steeds 50 Mbps uplinks. Het aanleggen van nieuwe bekabeling voor faciliteiten is kostbaar. Voor grote operaties met meerdere locaties kunnen de SPAN-kosten, vermenigvuldigd met tientallen faciliteiten, de softwarelicenties in de schaduw stellen. Voor kleine operaties is SPAN over het algemeen beheersbaar, maar ken de kosten voordat u zich vastlegt.

Zet de eerste stap

Elke organisatie zal een unieke mix van mensen, processen en technologieën hebben. Bedenk wat de jouwe zou kunnen zijn. Identificeer mogelijke hiaten en stel een plan op om deze aan te pakken met een opeenvolgende investering, in plaats van te proberen elk aspect in één keer aan te pakken. Vergeet niet dat het starten van uw OT-beveiligingsprogramma de basis vereist, die verrassend betaalbaar is.

Begin bijvoorbeeld met het identificeren van uw kroonjuwelen en concentreer u op het ontwikkelen van beveiligingsmaatregelen om deze kritieke activa en systemen te beschermen. Na verloop van tijd zal duidelijk worden wat de minimaal haalbare security stack is voor uw omgeving en welke aanvullende investeringen nodig zijn om deze adequaat te beveiligen.

In de tweede blog gaan we dieper in op het Total Cost of Ownership (TCO)-aspect van het voldoen aan uw OT-beveiligingsbehoeften. We richten ons ook op strategisch handelen en het benutten van de kansen die worden geboden door technologie-upgradecycli.