Personalmangel in OT-Sicherheitsteams bedroht Cyberschutz in jedem fünften Industrieunternehmen

• Nur 43 Prozent besitzen ein dediziertes OT-/ICS-Sicherheitsteam
• Mangelnde Investitionen in Personal und Gehälter

19 Prozent der Industrieunternehmen geben an, dass ein Mangel an Sicherheitsexperten für Betriebstechnologie (OT) ihren Cyberschutz bedroht. Das zeigt eine aktuelle Umfrage von Kaspersky [1]. Insgesamt sehen sich zwei Drittel (66 Prozent) mit erheblichen Problemen bei der Personalbesetzung im Bereich der OT-Sicherheit konfrontiert. Dazu gehören unter anderem überlastete Mitarbeiter sowie Schwierigkeiten bei der Rekrutierung von qualifiziertem Personal. Die Studie zeigt zudem einen allgemeinen Mangel an Investitionen in Personal und Gehälter.

Laut Branchenakteurenist die Nachfrage nach OT-/ICS-Sicherheitskompetenzen und dementsprechend spezifischem Fachwissen in den vergangenen Jahren aufgrund von Bedrohungseskalationen und steigenden IT-/OT-Sicherheitsframeworks sowie -vorschriften gestiegen [2].

Die Kaspersky-Umfrage bestätigt, dass Industrieunternehmen mit erheblichen Herausforderungen hinsichtlich des Personals konfrontiert sind. Demnach mangelt es an Cybersicherheitsexperten (19 Prozent), das Personal ist überlastet (46 Prozent) oder einer Fluktuation ausgesetzt (30 Prozent). Nur vier Prozent fühlen sich bezüglich der Personalressourcen nicht unter Druck.

Angebot deckt Nachfrage nicht

Die Unterfinanzierung scheint einer der möglichen Gründe für die Diskrepanz zwischen Angebot und Nachfrage an qualifizierten Mitarbeitern zu sein. Fehlende finanzielle Mittel führten einer reduzierten Mitarbeiterzahl, wobei in jedem zweiten Unternehmen (55 Prozent) das Personal zum am stärksten unterfinanzierten Aspekt von OT-/ICS-Cybersicherheit zählt. Weitere 35 Prozent der Befragten hoben in diesem Zusammenhang auch niedrige Gehälter und Vergütungen als besonderes Anliegen hervor.

Insgesamt verfügt weniger als die Hälfte (43 Prozent) der Industrieunternehmen über spezielle OT-/ICS-Sicherheitsteams. Angesichts der Herausforderung, qualifizierte Spezialisten für industrielle Cybersicherheit zu finden, prüfen viele Unternehmen die Outsourcing-Möglichkeit, wobei 58 Prozent seit der Pandemie bereits verstärkt auf externe OT-Sicherheitsdienstleister zurückgreifen.

„Für den Cyberschutz eines Industrieunternehmens ist es sinnvoll, sich an ein professionelles Team wie einen Managed Security Service Provider (MSSP) zu wenden“, rät Christian Milde, Geschäftsführer Central Europe bei Kaspersky. „Wenn ein Unternehmen jedoch ein eigenes Team von Fachleuten benötigt, kann es Expertenorganisationen und CERTs (Computer Emergency Response Teams) wie das Kaspersky ICS CERT einbeziehen, die bei der Suche nach Schwachstellen, der Erkennung von Bedrohungen und der Untersuchung von Cybervorfällen über eine adäquate Expertise verfügen und ein internes Team genau für diese Herausforderungen schulen können. Neben der Schulung von OT-Cybersicherheitsexperten muss zudem sichergestellt werden, dass auch andere Mitarbeiter für Cybersicherheitsfragen sensibilisiert sind. Hierfür können spezielle Trainings durchgeführt werden, einschließlich persönlicher vor Ort-, Online- und E-Learning-Kurse. Dies kann für Unternehmen mit kritischen Infrastrukturen sogar eine gesetzliche Vorschrift sein.“

Kaspersky-Empfehlungen zur Erhöhung der OT-/ICS-Sicherheitskompetenz

• Verbesserung des Sicherheitsbewusstseins aller Mitarbeiter, die mit Industriecomputern arbeiten, um das durch menschliches Fehlverhalten verursachte Angriffsrisiko zu minimieren. Dazu gehören grundlegende Regeln wie die Nichtverwendung von ICS-Computern für persönliche Zwecke oder die Nicht-Installation nicht autorisierter Software auf denselben.
• Spezielle Trainings für IT-/OT-Manager und Ingenieure. Kaspersky ICS CERT [3] empfiehlt eine Kombination aus Vor-Ort-Schulungen für IT-, IT-Sicherheits- und ICS-Spezialisten [4], das Online-Modul der Kaspersky Automated Security Awareness Platform [5] sowie vertiefende professionelle Kurse zur digitalen Forensik und zur Reaktion auf Vorfälle [6].

Die Studie „Kaspersky ICS Security Survey 2022: The seven keys to improving OT security outcomes” ist verfügbar unter https://kas.pr/ics_report_2022

[1] https://kas.pr/ics_report_2022

[2] https://industrialcyber.co/news/ot-security-skills-gap-is-a-major-challenge-for-industrial-manufacturing-organizations/

[3] https://ics-cert.kaspersky.com/

[4] https://ics-cert.kaspersky.com/services/

[5] https://www.kaspersky.de/small-to-medium-business-security/security-awareness-platform

[6] https://www.kaspersky.de/enterprise-security/incident-response

Nützliche Links:

• Kaspersky-Studie „Kaspersky ICS Security Survey 2022: The seven keys to improving OT security outcomes”: https://kas.pr/ics_report_2022
• Kaspersky ICS CERT: https://ics-cert.kaspersky.com/
• Kaspersky Security Awareness Plattform: https://www.kaspersky.de/small-to-medium-business-security/security-awareness-platform
• Kaspersky Incident Response: https://www.kaspersky.de/enterprise-security/incident-response