ほとんどのCIOおよびCISOは、OT違反のリスクを過小評価しています

Skybox Securityの調査研究によると、過去36か月間に83％の組織がオペレーショナルテクノロジー（OT）のサイバーセキュリティ違反に見舞われました。調査では、組織がサイバー攻撃のリスクを過小評価していることも明らかになりました。CIOとCISOの73％は、組織が来年にOT違反を被ることはないと「非常に確信しています」。

「企業はOTに依存しているだけでなく、一般の人々はエネルギーや水などの重要なサービスをこのテクノロジーに依存しています。残念ながら、サイバー犯罪者は、重要なインフラストラクチャのセキュリティが一般的に弱いことを十分に認識しています。その結果、脅威の俳優がOTのランサムウェア攻撃が可能性が高い支払うためにあると信じて、」言ったスカイボックスセキュリティCEO Gidiコーエン。「悪が無関心で繁栄するのと同じように、ランサムウェア攻撃は、何もしないことが続く限り、OTの脆弱性を悪用し続けます。」

この調査では、OTセキュリティが直面する困難な戦いが明らかになりました。これは、ネットワークの複雑さ、機能のサイロ、サプライチェーンのリスク、および限られた脆弱性修復オプションで構成されています。脅威アクターは、これらのOTの弱点を利用して、個々の企業を危険にさらすだけでなく、公衆衛生、安全、および経済を脅かします。

重要なポイント

組織はサイバー攻撃のリスクを過小評価しています

全回答者の56％は、組織が来年にOT違反を経験しないことを「非常に確信している」と答えました。それでも、83％は、過去36か月間に少なくとも1回のOTセキュリティ違反があったとも述べています。これらの施設の重要性にもかかわらず、実施されているセキュリティ慣行はしばしば弱いか存在しません。

知覚と現実の間のCISOの切断

CIOとCISOの73％は、来年もOTセキュリティシステムが侵害されないことを確信しています。攻撃の影響を直接経験したプラント管理者のわずか37％と比較して。OTシステムが脆弱であると信じることを拒否する人もいれば、次の違反が間近に迫っていると言う人もいます。

コンプライアンスはセキュリティと同等ではありません

現在まで、コンプライアンス基準はセキュリティインシデントの防止には不十分であることが証明されています。規制と要件の遵守を維持することは、すべての回答者の最も一般的な最大の関心事でした。重要なインフラストラクチャに対する最近の攻撃に照らして、規制順守要件は引き続き増加します。

複雑さはセキュリティリスクを増大させます

78％が、マルチベンダーテクノロジーによる複雑さは、OT環境を保護する上での課題であると述べています。さらに、全回答者の39％が、セキュリティプログラムを改善する上での最大の障壁は、中央の監視なしに個々のビジネスユニットで意思決定が行われることであると述べています。

一部の人はサイバー賠償責任保険で十分だと考えています

回答者の34％は、サイバー賠償責任保険が十分な解決策と考えられていると述べました。ただし、サイバー賠償責任保険は、調査回答者の上位3つの懸念事項の1つである、ランサムウェア攻撃に起因するコストのかかる「失われたビジネス」をカバーしていません。

露出と経路分析はサイバーセキュリティの最優先事項です

CISOとCIOの45％は、実際のエクスポージャーを理解するために環境全体でパス分析を実行できないことが、セキュリティ上の懸念の上位3つのうちの1つであると述べています。さらに、CISOとCIOは、OT環境とIT環境にまたがるばらばらのアーキテクチャ（48％）とITテクノロジーの統合（40％）が、セキュリティリスクの上位3つのうちの2つであると述べました。

機能的なサイロは、プロセスのギャップとテクノロジーの複雑さにつながります

CIO、CISO、アーキテクト、エンジニア、およびプラントマネージャーはすべて、OTインフラストラクチャを保護する上での最大の課題の1つとして機能的なサイロを挙げています。OTセキュリティの管理はチームスポーツです。チームメンバーが異なるプレイブックを使用している場合、一緒に勝つ可能性は低くなります。

サプライチェーンとサードパーティのリスクは大きな脅威です

回答者の40％が、ネットワークへのサプライチェーン/サードパーティのアクセスは、セキュリティリスクが最も高い上位3つのうちの1つであると述べています。それでも、OTに適用されるサードパーティのアクセスポリシーとして組織を挙げたのはわずか46％でした。

Navistar、情報セキュリティマネージャーのRobert Lynch：「一部のCISOは、すでに侵害されているにもかかわらず、まだこれを特定していないため、誤った信頼を持っている可能性があります。時々ハッカーは彼らの足場を確立するために長期間そこにいます。悪者はとても良いので、自信を持つのは危険です。」

Skybox Security ResearchLabの脅威インテリジェンスリードSivanNir：「私たちの脅威インテリジェンスは、OTの新しい脆弱性が2020年上半期と比較して46％増加したことを示しています。脆弱性の増加と最近の攻撃にもかかわらず、多くのセキュリティチームはOTセキュリティを企業にしています優先順位。どうして？驚くべき発見の1つは、一部のセキュリティチームの担当者は、脆弱性を否定しているにもかかわらず、侵害されたことを認めていることです。彼らのインフラストラクチャは安全であるという信念は、それとは反対の証拠にもかかわらず、不十分なOTセキュリティ対策につながっています。」