Por que a TÜV SÜD diz que é uma líder em segurança cibernética industrial

MUNICH — Cerca de 67 por cento de todas as empresas são afetadas por incidentes de segurança a cada ano, disse Andy Schweiger, o diretor-gerente de serviços de segurança cibernética da TÜV SÜD, a organização internacional de teste, certificação e treinamento. E a “era dos script kiddies acabou”, disse Schweiger, referindo-se aos aspirantes a hackers que contam com recursos online para lançar ataques cibernéticos. “[Os script kiddies que] estavam nas manchetes 10 a 15 anos atrás agora estão crescidos”, acrescentou. Como resultado, os ataques cibernéticos atuais tendem a ser mais prejudiciais. Os atores estatais assumiram um papel maior no lançamento de ataques e no desenvolvimento de malware, que ocasionalmente vazam como no caso da exploração EternalBlue, dando aos hackers do submundo a capacidade de lançar ataques excepcionalmente prejudiciais. E alguns invasores estão aproveitando o aprendizado de máquina como subterfúgio e identificando alvos vulneráveis.

Para lidar com o desafio, a TÜV SÜD, assim como a UL nos Estados Unidos, está se posicionando cada vez mais como uma autoridade em segurança cibernética industrial. Há cinco razões pelas quais a TÜV SÜD está pronta para essa tarefa, disse Schweiger em uma apresentação como parte de uma coletiva de imprensa de segurança cibernética da Siemens aqui. Em primeiro lugar, ele conhece os requisitos regulatórios em evolução, como o GDPR, relacionados ao ciberespaço. (Em um ponto relacionado, os fabricantes de gadgets conectados à IoT de produção em massa encontram-se potencialmente responsáveis ​​pelos danos causados ​​por explorações cibernéticas em grande escala em seus produtos). Em segundo lugar, a organização fica de olho no cenário atual de ameaças. Terceiro, formou uma equipe sólida de especialistas cibernéticos. Quarto, é neutro e objetivo. E, finalmente, afirma ser um “balcão único” proverbial para a segurança cibernética.

[ Mundo IoT é o evento que leva IIoT da inspiração à implementação, turbinando negócios e operações. Compre seu ingresso agora. ]

O slogan em inglês da organização é:“Adicione valor. Inspire confiança. ”

A TÜV SÜD trabalhou para formar rapidamente uma equipe de mais de 30 especialistas cibernéticos em um período de seis meses. Se há um objetivo central para sua abordagem cibernética, é consagrar a estratégia cibernética em vez das táticas. “Existem milhares de marcas”, disse Schweiger, falando sobre o panorama dos fornecedores cibernéticos. “A promessa é:você compra o próximo eletrodoméstico e fica mais seguro”, disse ele. “Mas isso não é necessariamente verdade.”

Na verdade, uma organização que compra dezenas de dispositivos de segurança e tem uma equipe de segurança cibernética de cerca de uma dúzia pode se achar menos segura. Em vez de ter uma estratégia de segurança cibernética abrangente, provavelmente teria uma defesa colcha de retalhos que os deixaria vulneráveis.

Schweiger disse que o status da TÜV SÜD como um provedor de serviços de segurança cibernética, em vez de produtos, a torna mais ágil do que os provedores de produtos. Se uma nova vulnerabilidade surgir, a empresa pode se adaptar rapidamente para desenvolver estratégias para resolvê-la.

Seus principais serviços de cibersegurança se enquadram em quatro domínios, proteção de dados (como consultoria de proteção de dados e destruição de dados), segurança de transações comerciais, cibersegurança industrial (como testes de segurança baseados em IA e detecção de anomalias de rede) e serviços especializados (como detecção de serviço de ataque , avaliação de risco de exposição e teste de penetração).

No reino industrial, a empresa trabalha para ajudar os departamentos de OT e TI das organizações a convergirem, em vez de declarar categoricamente que cada um é simplesmente diferente do outro. “Se você anexar um OT ao sistema de TI, todos os desafios do sistema de TI passam para o sistema de OT”, disse Schweiger. A organização também afirma que ajuda a otimizar a eficiência de OT e TI e reutilizar os processos internos do cliente com as melhores práticas compartilhadas.

Conteúdo Relacionado



Risco é uma equação composta de um ativo, uma vulnerabilidade e uma ameaça, disse Stefan Laudat, gerente de segurança da informação da TÜV SÜD Sec-IT GmbH. Mas, ao contrário da segurança de TI tradicional, a segurança cibernética industrial não pode apenas colocar os dados, a produtividade e a disponibilidade do sistema em risco, mas pode potencialmente ameaçar vidas humanas ou causar ferimentos. Um ambiente industrial que inclui uma infraestrutura crítica potencialmente vulnerável pode impactar as comunidades vizinhas. E empresas aeroespaciais proeminentes, por exemplo, estão testando exoesqueletos para permitir que seus trabalhadores levantem objetos pesados. Se um desses dispositivos for violado ou configurado de forma mal-intencionada, ele pode representar uma grave ameaça para o usuário.

O nível atual de ameaças cibernéticas no espaço industrial é de moderado a alto, disse Laudat. Embora os atores atuais estejam mais ou menos dormentes, eles estão investindo dinheiro substancial na pesquisa de ataques com foco industrial, enquanto o custo de lançar tais exploits está caindo constantemente. Sites como o Shodan tornam simples para os invasores fazerem o reconhecimento de alvos industriais em potencial.

O escopo das vulnerabilidades em ambientes industriais também pode ser considerável em ambientes industriais, dados os sistemas de controle de acesso tipicamente fracos, a preponderância de protocolos proprietários, uma estrutura regulatória limitada, redes de fornecedores complexas e geralmente baixa conscientização sobre segurança de TI. Além disso, o protocolo IoT amplamente utilizado MQTT é leve, resiliente e inseguro, disse Laudat. E a longa vida útil de muitos dispositivos industriais conectados pode expô-los a vulnerabilidades substanciais ao longo do tempo.

Em alguns casos, a organização aconselha seus clientes industriais a evitar a digitalização e a se limitar a tecnologias analógicas quando a ameaça cibernética em potencial for inaceitável.

A abordagem cibernética da TÜV SÜD não depende de auditorias convencionais, onde um ou dois especialistas vão até uma empresa e realizam entrevistas. “As respostas vêm das entrevistas. Na melhor das hipóteses, eles são tendenciosos. Na pior das hipóteses, eles apenas dizem o que querem ”, disse Schweiger. Mas a abordagem cibernética da organização depende da automação para avaliar o risco cibernético de seus clientes. “O sistema não mente para nós”, acrescentou.