Според нов доклад на института SANS организациите стават все по-бързи в откриването на инциденти в системи за индустриален контрол (ICS) и други среди на операционни технологии (OT), но реакцията при инциденти все още е недостатъчна.

Докладът „2024 State of ICS/OT Cybersecurity“ на SANS, който се основава на проучване сред повече от 530 специалисти в секторите на критичната инфраструктура, показва, че около 60% от респондентите могат да открият компрометиране за по-малко от 24 часа, което е значително подобрение в сравнение с преди пет години, когато същият брой респонденти са заявили, че времето от компрометиране до откриване е било 2-7 дни.

Атаките с рансъмуер продължават да поразяват организациите от сферата на ОТ, но проучването на SANS установи, че се наблюдава спад, като само 12% са били свидетели на рансъмуер през последните 12 месеца.

Половината от тези инциденти са засегнали както ИТ, така и ОТ мрежите или само ОТ мрежата, а 38% от инцидентите са повлияли на надеждността или безопасността на физическите процеси.

В случай на инциденти с киберсигурност, които не са свързани с рансъмуер, 19% от респондентите са наблюдавали такива инциденти през последните 12 месеца. В почти 46% от случаите първоначалният вектор на атаката е бил компрометиране на ИТ, което е позволило достъп до системи OT.

Външни отдалечени услуги, устройства с достъп до интернет, инженерни работни станции, компрометирани USB устройства, компрометиране на веригата за доставки, атаки „drive-by“ и „spearphishing“ са посочени в около 20% от случаите като първоначален вектор на атаката.

Въпреки че организациите стават все по-добри в откриването на атаки, реагирането на инцидент все още може да бъде проблем за много от тях. Само 56 % от анкетираните са заявили, че организацията им разполага със специфичен за ICS/OT план за реакция при инциденти, а мнозинството от тях тестват плана си веднъж годишно.

SANS откри, че организациите, които провеждат тестове за реагиране на инциденти на всяко тримесечие (16%) или всеки месец (8%), се насочват и към по-широк набор от аспекти, като например разузнаване на заплахите, стандарти и инженерни сценарии, основани на последиците. Проучването установи, че колкото по-често провеждат тестове, толкова по-уверени са в способността си да управляват своите ICS в ръчен режим.

Проучването разгледа и управлението на работната сила и установи, че повече от 50% от служителите по киберсигурност на ICS/OT имат по-малко от пет години опит в тази област и приблизително същият процент нямат специфични за ICS/OT сертификати.

Данните, събрани от SANS през последните пет години, показват, че CISO е бил и остава „основният собственик“ на киберсигурността на ICS/OT.

Пълният доклад на SANS