Ảnh hưởng đến chiến lược và thực thi bảo mật OT khi bạn không phải là CISO

Đối với nhiều tổ chức, an ninh mạng được xếp hạng trong số năm rủi ro kinh doanh hàng đầu đối với một tổ chức. Điều này không có gì ngạc nhiên, do các sự cố mạng được báo cáo trong các tiêu đề đang đặt tất cả các tổ chức vào tình trạng báo động. Một báo cáo gần đây cho thấy 75% tổ chức OT đã trải qua ít nhất một vụ xâm nhập trong năm qua.

Mặc dù mọi nhân viên đều có thể đóng vai trò là tuyến phòng thủ đầu tiên chống lại cuộc tấn công mạng, nhưng nhân viên đó thường là thành viên của bộ CNTT C, người sở hữu chiến lược, chính sách và triển khai bảo mật trong toàn tổ chức. Trên thực tế, trách nhiệm đối với an ninh mạng OT ngày càng chuyển từ các giám đốc và người quản lý sang CISO – với 95% số người được hỏi trong cuộc khảo sát nói trên dự đoán điều này sẽ xảy ra trong tổ chức của họ trong 12 tháng tới.

Chắc chắn có một số biện pháp bảo mật áp dụng cho cả môi trường CNTT hoặc doanh nghiệp và môi trường ICS/OT, nhưng điều đó không có nghĩa là mọi thứ đều có thể, nên hoặc cần được áp dụng cho cả hai môi trường theo cùng một cách. Điều quan trọng là ngay cả khi nhiều trách nhiệm chuyển sang CNTT thì các nhà lãnh đạo OT vẫn có tiếng nói để đảm bảo việc áp dụng các biện pháp an ninh mạng phù hợp với các ưu tiên của họ. Là một nhà lãnh đạo OT trong một tổ chức công nghiệp, làm thế nào để bạn tác động đến chính sách bảo mật khi bạn không sở hữu chiến lược?

Điều hướng tổ chức và chức năng

Trong nhiều tổ chức ngày nay, hiện có các nhóm chuyên dụng, riêng biệt chịu trách nhiệm về OT và CNTT. Ngắt kết nối đôi khi có thể xảy ra nếu nhóm OT không nghĩ rằng nhóm CNTT hiểu những gì họ làm hoặc chức năng của họ hoạt động như thế nào.

Đối với cả hai phía của phương trình, điều quan trọng là phải thừa nhận những lỗ hổng kiến ​​thức. Giống như các nhà lãnh đạo CNTT cần nhận ra rằng họ không biết mọi thứ về cách thức hoạt động của OT, thì lãnh đạo OT cũng cần thừa nhận điều tương tự.

Tuy nhiên, giữa hai chức năng có những điểm tương đồng và hiệp lực và hai bên có thể học hỏi lẫn nhau. Nếu nhóm OT không hiểu về mạng, thì IT có thể giúp họ hiểu nó theo những cách nào? Sự hợp tác này sẽ là chìa khóa để tìm ra một số điểm chung.

Hiểu các bên liên quan chính cũng rất cần thiết và điều đó sẽ thay đổi tùy theo quy mô của công ty. Tùy thuộc vào tổ chức, đó có thể là người quản lý nhà máy của một khu phức hợp chịu trách nhiệm về một tập hợp các cơ sở. Có thể có người quản lý bảo trì hoặc kỹ thuật viên chịu trách nhiệm khắc phục các môi trường tự động hơn trong một công ty cụ thể. Nhiều bên liên quan thuộc các nhóm kỹ thuật truyền thống và họ đang xem xét các quy trình và chức năng nào cần để hoạt động trong cơ sở đó.

Ngoài ra còn có một nhóm các kỹ sư kiểm soát quy trình hoặc tự động hóa, những người đảm nhận các thiết kế đó và xác định cách mọi thứ cần giao tiếp với nhau, bộ điều khiển logic khả trình (PLC) cần giao tiếp với nhau như thế nào, v.v. Sau đó, có nhóm mạng xử lý CNTT truyền thống. Họ không nhất thiết phải hiểu tất cả các lớp khác nhau và thông tin liên lạc cần thiết ở lớp OT. An ninh và các đội khác cũng có thể giúp đỡ.

Mặc dù có một số bên liên quan tiềm năng có thể tham gia, nhưng điều quan trọng là các quyết định và rủi ro được chấp nhận bởi doanh nghiệp chứ không phải bởi một bộ phận hoặc nhóm. Các bên liên quan trong kinh doanh cần được giáo dục về cách họ có thể thực hiện cuộc gọi rủi ro tốt đó.

Hiểu các ưu tiên đấu tay đôi

Các ưu tiên cho phía hoạt động khá khác so với phía CNTT. CNTT thường tập trung vào tính bảo mật. Nhưng trong môi trường có hệ thống kiểm soát quy trình, tính khả dụng và an toàn của dịch vụ trở thành chìa khóa lớn nhất và rủi ro lớn nhất mà bạn cần giảm thiểu. Đối với cuộc thảo luận này, hãy tập trung vào tính khả dụng. Vì vậy, khi áp dụng cùng một mô hình về tính khả dụng cho cả nguồn IT và OT, điều quan trọng là phải thảo luận về tính phổ biến. Điều này tạo ra sự hiểu biết rằng mọi ủy quyền phải chạy qua một hệ thống trung tâm và nếu nó gặp sự cố, mọi thứ sẽ ngừng hoạt động.

Bạn có thể bắt đầu xây dựng điểm chung đó trong khi thừa nhận rằng OT và CNTT có hồ sơ rủi ro khác nhau và các cách giảm thiểu rủi ro khác nhau; bạn không thể luôn áp dụng mọi thứ bạn đã làm trong thế giới CNTT. Điều này sẽ giúp thiết lập uy tín, hãy nhớ rằng tính khả dụng là mối quan tâm lớn nhất của họ.

Các phương pháp điều hướng thay đổi trong khi xây dựng sự đồng thuận

Xây dựng sự đồng thuận liên quan đến việc đảm bảo rằng có một mục tiêu chung và một bộ chiến lược chung và mọi người tham gia đều hiểu những mục tiêu đó. Quá trình này bắt đầu với một người, bằng cách hiểu thành công trông như thế nào đối với họ và tìm cách giúp họ thành công.

Bằng cách xây dựng sự đồng thuận với một cá nhân và sau đó là người khác và người khác, các nhà lãnh đạo có thể bắt đầu xây dựng uy tín và lòng tin. Sẽ dễ dàng thực hiện thay đổi hơn khi mức độ tin cậy đó được thiết lập. Điều này sẽ đi một chặng đường dài hướng tới việc đạt được sự ủng hộ để thực hiện các quy trình cần thiết.

Thu hẹp khoảng cách giữa con người, quy trình và công nghệ

Việc tạo ra một chiến lược an ninh mạng tốt hơn đòi hỏi ba chân của phân – quy trình và công nghệ con người. Về mặt con người, đào tạo và nâng cao nhận thức là một trong những biện pháp phòng ngừa rẻ nhất, tuy nhiên một số tổ chức không tập trung đủ vào nó. Đó không chỉ là đào tạo và nâng cao nhận thức về các hoạt động mạng tốt hoặc vệ sinh CNTT. Nó thực sự giúp mọi người hiểu cách suy nghĩ của đối thủ, cách họ làm việc và các kỹ thuật mà họ sử dụng. Đó cũng là về việc đào tạo và nâng cao nhận thức cho các nhóm bảo mật và CNTT về cách thức hoạt động kinh doanh và các quy trình của nó. Vì vậy, đào tạo đi cả hai chiều và phải được liên tục.

Thử nghiệm thâm nhập và đánh giá rủi ro lỗ hổng mạng là chìa khóa khi nói đến đào tạo và nâng cao nhận thức. Một thử nghiệm thâm nhập tốt có thể kiểm tra cả khía cạnh vật lý và CNTT/OT, chẳng hạn như có thể cho biết thông tin tình báo mà kẻ đe dọa có thể nhận được thông qua mạng không dây hoặc nền tảng không bảo mật hoặc thứ gì đó không được vá đúng cách. Cho các nhóm thấy thực tế về những gì có thể xảy ra có thể tạo ra sự khác biệt lớn trong việc đạt được sự ủng hộ cần thiết.

Ảnh hưởng để bảo mật mạnh mẽ hơn

Khi tầm quan trọng của an ninh mạng tiếp tục tăng lên, các tổ chức phải thu hẹp khoảng cách giữa CNTT và OT để giải quyết hiệu quả bối cảnh mối đe dọa đang phát triển. Xây dựng sự đồng thuận và tin tưởng giữa các bên liên quan, hiểu các ưu tiên của họ và thúc đẩy văn hóa đào tạo và nâng cao nhận thức liên tục là những bước quan trọng. Bằng cách chấp nhận sự hợp tác và thừa nhận các hồ sơ rủi ro duy nhất của từng môi trường, các tổ chức có thể thiết lập các biện pháp bảo mật mạnh mẽ và giảm thiểu rủi ro mạng trên toàn diện.