Versorgungsunternehmen sind nicht auf IT-Angriffe vorbereitet
Eine neue Studie von Unisys (NYSE: UIS) hat weltweit bedenkliche Sicherheitslücken in kritischen Infrastrukturen aufgedeckt. Fast 70 Prozent der weltweit befragten Unternehmen, darunter Energie- und Wasserversorger sowie andere Dienstleister für kritische Infrastrukturen, hatten in den vergangenen zwölf Monaten mindestens einen sicherheitsrelevanten Vorfall, der zu einem Verlust an vertraulichen Informationen oder zu einer Betriebsstörung führte. Das ist das Ergebnis einer gemeinsamen Studie von Unisys und dem Ponemon Institut.
In der Studie wurden insgesamt 599 Führungskräfte von Versorgungsunternehmen und der verarbeitenden Industrie befragt. 64 Prozent davon erwarten im kommenden Jahr einen oder sogar mehrere ernste, sicherheitsrelevante Angriffe. Trotz dieses Risikos ordneten lediglich 28 Prozent der Befragten das Thema Sicherheit unter die fünf wichtigsten strategischen Ziele ihres Unternehmens ein. Allerdings sind sich insbesondere die deutschen Befragten über das Gefährdungspotenzial durch Cyberattacken im Klaren: So ist für 67 Prozent der Befragten hierzulande die frühzeitige Erkennung von APT-Angriffen - also zielgerichteten Angriffen auf kritische Infrastrukturen - eine der wichtigsten Aufgaben der IT-Sicherheit. Dennoch: in 55 Prozent dieser Unternehmen ist gerade einmal ein einziger Mitarbeiter mit dieser Aufgabe betreut.
„Die Ergebnisse der Studie sind bestürzend wenn man bedenkt, dass diese Branchen das Rückgrat der Weltwirtschaft bilden und sich keine Betriebsstörung leisten können", sagt Dr. Larry Ponemon, Vorsitzender und Gründer des Ponemon Instituts. „Und obgleich der Wunsch nach Sicherheit bei den Unternehmen offensichtlich ist, wird nicht genug getan, um kritische Infrastrukturen vor solchen Angriffen zu schützen."
Nur jeder sechste der weltweit Befragten beschreibt die IT-Sicherheitsvorkehrungen seines Unternehmens als ausgereift. Die Mehrzahl der Sicherheitsverletzungen des vergangenen Jahres führen diese Personen allerdings auf interne Missgeschicke oder Fehler zurück. So bezeichneten 48 Prozent der deutschen Unternehmen den fahrlässigen Umgang ihrer Mitarbeiter mit sicherheitsrelevanten Systemen als Bedrohung für die Unternehmenssicherheit. Die Notwendigkeit von Weiterbildungen für alle Mitarbeiter im Bereich Cybersecurity erkennen dagegen lediglich 7 Prozent der deutschen Firmen (6 Prozent weltweit).
„Egal ob böswillig oder aus Versehen - Bedrohungen, die im Unternehmen entstehen, können ebenso verheerend sein wie äußere Angriffe", betont Dave Frymier, Chief Information Security Officer von Unisys. „Wir hoffen, dass die Umfrageergebnisse für alle Organisationen, die kritische Infrastrukturen bereit stellen, eine Art Weckruf sind, sich proaktiver und umfassender um den Schutz ihrer IT-Systeme gegen Angriffe zu kümmern. Man sollte bereits im Vorfeld gegen mögliche Angriffe aktiv werden, nicht erst wenn es bereits zu einer Verletzung der Datensicherheit kam."
Die Studie behandelt auch die Sorgen der befragten Führungskräfte bezüglich der Sicherheit ihrer Industrial Control- (ICS) sowie Supervisory Control and Data Acquisition-Systeme (SCADA). Das sind Systeme, die technische sowie betriebliche Prozesse beispielsweise zur Stromerzeugung überwachen und steuern. So antworteten 78 Prozent der weltweit befragten Sicherheitschefs (in Deutschland 72 Prozent), dass in den nächsten 24 Monaten ein erfolgreicher Angriff auf ihr ICS- oder SCADA-System durchaus möglich sei. Lediglich 21 Prozent der weltweit Befragten (Deutschland: 15 Prozent) glaubt, dass das Gefährdungslevel für ICS und SCADA aufgrund von Vorschriften oder branchenweiten Sicherheitsstandards abgenommen hat. Dies bedeutet, dass in diesem Bereich strengere Kontrollen und Standards von Nöten sind.
Die vollständige Studie kann unter www.unisys.com/insights/critical-infrastructure-security eingesehen werden.
Methodik der Studie
Auf die Online-Umfrage haben 599 IT- und Sicherheitsverantwortliche von Versorgungsunternehmen und im produzierenden Gewerbe aus 13 Ländern zwischen April und Mai 2014 geantwortet.
In der Studie wurden insgesamt 599 Führungskräfte von Versorgungsunternehmen und der verarbeitenden Industrie befragt. 64 Prozent davon erwarten im kommenden Jahr einen oder sogar mehrere ernste, sicherheitsrelevante Angriffe. Trotz dieses Risikos ordneten lediglich 28 Prozent der Befragten das Thema Sicherheit unter die fünf wichtigsten strategischen Ziele ihres Unternehmens ein. Allerdings sind sich insbesondere die deutschen Befragten über das Gefährdungspotenzial durch Cyberattacken im Klaren: So ist für 67 Prozent der Befragten hierzulande die frühzeitige Erkennung von APT-Angriffen - also zielgerichteten Angriffen auf kritische Infrastrukturen - eine der wichtigsten Aufgaben der IT-Sicherheit. Dennoch: in 55 Prozent dieser Unternehmen ist gerade einmal ein einziger Mitarbeiter mit dieser Aufgabe betreut.
„Die Ergebnisse der Studie sind bestürzend wenn man bedenkt, dass diese Branchen das Rückgrat der Weltwirtschaft bilden und sich keine Betriebsstörung leisten können", sagt Dr. Larry Ponemon, Vorsitzender und Gründer des Ponemon Instituts. „Und obgleich der Wunsch nach Sicherheit bei den Unternehmen offensichtlich ist, wird nicht genug getan, um kritische Infrastrukturen vor solchen Angriffen zu schützen."
Nur jeder sechste der weltweit Befragten beschreibt die IT-Sicherheitsvorkehrungen seines Unternehmens als ausgereift. Die Mehrzahl der Sicherheitsverletzungen des vergangenen Jahres führen diese Personen allerdings auf interne Missgeschicke oder Fehler zurück. So bezeichneten 48 Prozent der deutschen Unternehmen den fahrlässigen Umgang ihrer Mitarbeiter mit sicherheitsrelevanten Systemen als Bedrohung für die Unternehmenssicherheit. Die Notwendigkeit von Weiterbildungen für alle Mitarbeiter im Bereich Cybersecurity erkennen dagegen lediglich 7 Prozent der deutschen Firmen (6 Prozent weltweit).
„Egal ob böswillig oder aus Versehen - Bedrohungen, die im Unternehmen entstehen, können ebenso verheerend sein wie äußere Angriffe", betont Dave Frymier, Chief Information Security Officer von Unisys. „Wir hoffen, dass die Umfrageergebnisse für alle Organisationen, die kritische Infrastrukturen bereit stellen, eine Art Weckruf sind, sich proaktiver und umfassender um den Schutz ihrer IT-Systeme gegen Angriffe zu kümmern. Man sollte bereits im Vorfeld gegen mögliche Angriffe aktiv werden, nicht erst wenn es bereits zu einer Verletzung der Datensicherheit kam."
Die Studie behandelt auch die Sorgen der befragten Führungskräfte bezüglich der Sicherheit ihrer Industrial Control- (ICS) sowie Supervisory Control and Data Acquisition-Systeme (SCADA). Das sind Systeme, die technische sowie betriebliche Prozesse beispielsweise zur Stromerzeugung überwachen und steuern. So antworteten 78 Prozent der weltweit befragten Sicherheitschefs (in Deutschland 72 Prozent), dass in den nächsten 24 Monaten ein erfolgreicher Angriff auf ihr ICS- oder SCADA-System durchaus möglich sei. Lediglich 21 Prozent der weltweit Befragten (Deutschland: 15 Prozent) glaubt, dass das Gefährdungslevel für ICS und SCADA aufgrund von Vorschriften oder branchenweiten Sicherheitsstandards abgenommen hat. Dies bedeutet, dass in diesem Bereich strengere Kontrollen und Standards von Nöten sind.
Die vollständige Studie kann unter www.unisys.com/insights/critical-infrastructure-security eingesehen werden.
Methodik der Studie
Auf die Online-Umfrage haben 599 IT- und Sicherheitsverantwortliche von Versorgungsunternehmen und im produzierenden Gewerbe aus 13 Ländern zwischen April und Mai 2014 geantwortet.