IT Management Mai/Juni 2020

IT SECURITY | 23
Auch durch die damit mögliche Priorisierung
können Patch-Prozesse entscheidend
optimiert werden.
Ein umfassendes intelligentes Smart-
Vulnerability-Managementsystem bein-
haltet:
Visibility: Erfassung aller Kompo-
nenten des OT-Netzwerkes inklusive
detaillierter liert
Informationen über Auf
-
bau, eingesetzte Softwareversionen,
Module, genutzte Protokolle
Identifizierung: Echtzeit-Vulnerability-Informationen
in einer zentralen
Datenbank
Priorisierung: eine anforderungsspezifische
Schwachstellen-Klassifizierung
Management: Maßnahmen-Tracking,
Echtzeitreports, Dash-boards
und Charts
Audit: Auditierbare Prozesse von der
Schwachstellen-Identifizierung bis zur
-Beseitigung
Vulnerability-Threat-Korrelation
In der Office-IT-Welt gilt als Gebot,
Schwachstellen mit Patches zeitnah zu
schließen. In den OT-Netzen ist die pauschale
Empfehlung, alle Komponenten immer
zu aktualisieren praktisch nicht umsetz-
bar. Die Transparenz und die Kenntnis
der bestehenden Risiken und Vulnerabilities
ist hier der ausschlaggebende Faktor,
um mittels risikobasierter Netzwerksegmentierung,
OT-Angriffserkennung, der
Erkennung von Veränderungen in der Infrastruktur
und kontrolliertem Zugriff auf
das Netzwerk auch von extern Maßnahmen
umzusetzen, die den Betrieb der Anlage
nicht stören, aber das Sicherheitsniveau
verbessern. Hier sind nicht nur Fertigungsunternehmen
gefordert, sondern
auch die Hersteller von PLCs, RTUs, Sensoren
und Aktoren. Sie müssen bei der Produktentwicklung
von Anfang an nach dem
Security-by-Design vorgehen: Bereits die
fachliche Anforderungsanalyse sollte die
aktuell mit Geräten verbundenen Sicher-
heitsrisiken berücksichtigen, aber auch
solche, die im weiteren Lebenszyklus auf-
treten könnten. Die IEC 62443, eine inter-
nationale Normenreihe zu industriellen
Kommunikationsnetzen, bietet hier eine
gute Basis. Eine Zertifizierung der Produkte
nach diesem Standard ist möglich und ein
Wettbewerbsvorteil für jeden Hersteller.
Christian Koch
PHISHING
WER IST DE
M GR
ÖS
STEN
RI
SIKO
AUS
GESE
TZ
T?
SCHULUNGEN UND TRAINING FÜR
MEHR AWARENESS
KnowBe4 veröffentlicht die Ergebnisse
seines Benchmarking Reports 2020 zum
Thema „Phishing by Industry“. Gemes
-
sen wird der
sogenannte n Phish-Prone-Per
h-Pron r-
centage e (PPP), der angibt, wie viele Mit
-
arbeiter er eines Unternehmens wahrschein-
lich auf einen Phishing- hing-
oder Social-Engi-
neering-Betrug hereinfallen einfa würden.
Der anfängliche nglich Basis-Phishing-Test wur-
de in Unternehmen durchgeführt, die bisher
kein Security Awareness Training
absolviert hatten. Die
Ergebnisse zeigtene
ein hohes Risiko, mit einem durchschnitt-t
lichen anfänglichen Basis-PPP-Wert von
38 Prozent, was einem em Anstieg
von 8
Prozent gegenüber 2019 entspricht
–
und zwar über alle Branchen und Unter
-
nehmensgrößen hinweg. Jedes Unter
-
nehmen, unabhängig von seiner Grö-
ße und seiner Hierarchieebenen, ist
ohne computergestütztes Training anfäl-
lig für Phishing und Social Engineering.
Nach 90 Tagen computergestütztem
Training und simulierten Phishing-Tests
konnte der durchschnittliche PPP um über
60 Prozent reduziert rt werden und fiel von
38 auf 14 Prozent. Nach einem Jahr mo-
natlicher simulierter Phishing-Tests und
regelmäßiger Schulungen n sank der
PPP sogar auf nur 5 Prozent. Über
alle Branchen hinweg konnte eine
durchschnittliche Verbesserungsrat
srate
von 87 Prozent vom ersten Test bis
zum Ende eines 12-monatigen Trai-
nings erzielt werden.
www.knowbe4.de
46,8 %
%
Gesundheitsbranche
&
Pharmazie
Technologiebranche
Fertigende
Industrie
%
www.it-daily.net