Maritime Cybersicherheit: Ein neuer Ansatz wird benötigt

© stepheng101 / Adobe Stock

Es ist an der Zeit, einen quantitativen Ansatz zu verfolgen, der ein tieferes Verständnis der einzelnen Risikoelemente in marinen Betriebssystemen ermöglicht.

Die zunehmende Konnektivität in komplexen maritimen Betriebssystemen erhöht die potenziellen Auswirkungen von Cyber-Vorfällen und erschwert die Abwehr von Angriffen. Herkömmliche Methoden zur Bewertung von Cyber-Risiken bieten unzureichende Richtlinien für die Anwendung begrenzter Sicherheitsressourcen.

Gegenwärtig sind die verfügbaren Risikobewertungsmethoden weitgehend qualitativ. Dennoch stellen diese Methoden die aktuelle Grundlage für Risikomanagementpläne dar, auf denen Eigentümer und Betreiber Programme zur Identifizierung, zum Schutz und zur Erkennung von Cybersicherheitsverletzungen aufbauen. Aufbauend auf diesem Modell ist es an der Zeit, zu einem quantitativen Ansatz überzugehen, der ein tieferes Verständnis der einzelnen Risikoelemente in marinen Betriebssystemen ermöglicht und Eigentümer mit technischen "Knobeln" ausstattet, um sie zu reduzieren.

Die häufigste Gleichung zur Darstellung des Cyber-Risikos lautet: Risiko = Bedrohung x Sicherheitslücke x Konsequenz. Diese Gleichung hat sich für Praktiker insofern als nützlich erwiesen, als sie dem Analytiker dabei geholfen hat, intuitiv zu verstehen, dass das Risiko drei konstituierende Elemente aufweist, und daraus folgert, dass durch die Entfernung eines dieser Elemente das Risiko verringert werden kann. Aber diese Formel ist im mathematischen Sinne weniger eine Gleichung als ein Referenzmodell für das Verständnis des Cyber-Sicherheitsrisikos. Seine drei Elemente sind größtenteils schwer zu messen und problematisch, wenn versucht wird, eine Cybersicherheitslösung zu entwickeln und / oder zu berechnen. Für den modernen maritimen Risikopraktiker besteht die zentrale Herausforderung darin, ein Modell zu erstellen, das das Cyberrisiko definiert, damit es für maritime Betriebssysteme gezählt, gemessen, berechnet und modelliert werden kann.

ABS hat kürzlich mit dem Stevens Institute zusammengearbeitet, um dieses Problem für den maritimen Sektor zu untersuchen und die Gleichung neu zu definieren, indem sie zählbar, beobachtbar und leicht verständlich ist. Eines unserer Forschungsergebnisse am Stevens Institute war, dass die Art des maritimen Risikos innerhalb der Cybersicherheit nicht klar definiert ist. Es ist auch nicht besonders gut verwaltet.

Das Ergebnis ist ein neues Modell, mit dem Betreiber proaktiv Kontrolle über Cybersicherheitsrisiken erlangen können.

Diese Risiken führen wiederum zu spezifischen Anforderungen, technischen Entscheidungen und Ressourcenengagements. Das Modell konzentriert sich auf die Identifizierung von Lösungen, die rechnergestützt, hochdetailliert und im Zusammenhang mit den zu bewältigenden Risiken stehen.

Effektiv stellt es die Steuerelemente für die Reaktion auf Cyber-Risiken wieder in die Hände des Eigentümers.

Die Verlagerung von Cyber-Risikopraktiken in der Branche weg von traditionelleren defensiven Methoden hin zu einem messbaren Prozess wird die Branche dazu zwingen, die Konversation zu ändern, aber vor allem wird es auch eine Veränderung in der Art und Weise, wie Risikopraktiker über Risiken denken, erfordern.

Um "Konsequenz, Vulnerabilität und Bedrohung" als kalkulierbare Elemente einer Risikogleichung für die Betriebstechnik darzustellen, haben wir sie durch die Konzepte "Funktionen, Verbindungen und Identitäten" (FCI) ersetzt.

"Funktionen" ermöglichen es der Besatzung, das Schiff zu manövrieren oder seine Aufgabe zu erfüllen, die von Bohröl bis zum Transport von Personen und Fracht oder Kombinationen davon reichen kann. In der FCI-Risikogleichung stellen sie Systeme dar, die ein Cyber-Angreifer kontrollieren oder besiegen würde: Steuerung, Standortüberwachung, Antriebssysteme, Kommunikation, alles, was ihren Zweck erfüllt.

"Verbindungen" stellen im Zusammenhang mit maritimer Betriebstechnologie dar, wie die Funktionen miteinander, mit Land, mit Satelliten, mit dem Internet usw. kommunizieren.

Innerhalb jeder Verbindung ist ein "Knoten", der Punkt, durch den ein Cyber-Zugriff Zugang erhält.

"Identitäten" sind entweder ein menschliches oder ein digitales Gerät. Das Ersetzen von Threat mit Identity ermöglicht die Zählung von Bedrohungen, ein bahnbrechendes Konzept zur Weiterentwicklung der maritimen Risikoberechnung.

Im Kontext des FCI-Modells muss eine Bedrohung eine Agenda haben. Diese reichen von mangelndem Bewusstsein für Cyber-Risiken bis hin zu unbeabsichtigten Verhaltensweisen - "Ich werde mich nicht an Unternehmensregeln halten und meine Aufgaben nicht auf sichere Weise erfüllen" - oder Maßnahmen wie die Entführung von Navigationssystemen, um ein Schiff zu stehlen oder zu zerstören oder andere Handlungen, die den normalen Betrieb stören, typischerweise für einen finanziellen Gewinn.

Die quantitativen Daten aus den Funktionen, Verbindungen und Identitäten werden dann gezählt und verwendet, um ein Arbeitsblatt zu füllen, das einen Risikoindex aufbaut, um zu demonstrieren, wie spezifische FCI-Änderungen das relative Risiko der Konfiguration jedes Systems verändern würden.

Der hier beschriebene Prozess ist vereinfacht, aber der Risiko-Index bietet letztlich eine quantitative Ansicht des relativen Risikos, das mit der architektonischen Gestaltung einzelner Systeme an Bord des Schiffes verbunden ist. Das ist etwas, was im maritimen Cybersicherheitsraum fehlt.

Die FCI-Methode bestimmt, ob Verbindungsknoten (die Zugangspunkte) angemessen geschützt sind und ob der Eigentümer des Eigentums die Identitäten derjenigen kontrolliert hat, denen Zugriff auf Knoten und eingeschränkte Bereiche innerhalb der Schiffskontrollsystemarchitektur gewährt wurde.

Der Index veranschaulicht den Beitrag jeder Komponente zum Gesamtrisiko. Auf der Grundlage dieser individuellen Risikobeiträge kann der Eigentümer beispielsweise eine Netzwerkarchitektur neu entwerfen, um den Zugriff auf das System entweder über Mensch-Maschine-Schnittstellen, Mobiltelefone, USB-Sticks oder Verbindungen zum Internet neu zu gestalten.

Dieser neue Ansatz ermöglicht dem Betreiber eine flottenweite Betrachtung des relativen Risikos, das mit jedem Schiff verbunden ist, basierend auf der Art, wie sein digitales System entworfen wird, der Art, wie Menschen darauf zugreifen dürfen und der Art der Knoten oder Zugangspunkte , sind geschützt.

ABS liefert einen Risikoindex, der anhand des FCI-Ansatzes berechnet wird. Dabei handelt es sich um eine Zahl, die das relative Risiko darstellt, das dem Design und dem Betrieb des digitalen Systems auf dem Schiff innewohnt. Es hilft Eigentümern zu entscheiden, wo sie ihre oft begrenzten Ressourcen zur Cyber-Verteidigung einsetzen.

In der Industrie gibt es ein altes Sprichwort: Man kann nicht verwalten, was man nicht misst. Während die maritime Industrie ihren Weg in Richtung Automatisierung fortsetzt, werden Unternehmen, die Cyber-Risiken messen und steuern können, besser positioniert sein, um Herausforderungen in der neuen digitalen Ära zu bewältigen.

Als eine Branche wird die Fähigkeit, Cyber-Risiken zu messen, eine zentrale Grundlage für betriebliche Effizienz und Sicherheit.

(Wie in der April 2018 Ausgabe von Maritime Reporter & Engineering News veröffentlicht )