Hvad undersøgelsen afslører om angreb på britisk produktion

En ny undersøgelse omtalt i The Guardian tegner et foruroligende billede af Storbritanniens industrielle base: næsten en tredjedel af producenterne blev ramt af et cyberangreb i det seneste år. Endnu mere bekymrende er det, at kun omkring halvdelen af de adspurgte virksomheder har en formel plan for, hvordan de skal reagere, når et angreb sker. Store virksomheder beskrev at være under konstant trussel, men alligevel opererer mange stadig uden de grundlæggende spillebøger, der kunne begrænse skaden og fremskynde genopretningen.

Denne kløft mellem eksponering og beredskab er den egentlige historie her. Det er én ting at erkende, at angreb er hyppige; det er noget andet rent faktisk at opbygge de processer, roller og tekniske sikkerhedsforanstaltninger, der er nødvendige for at reagere hurtigt. Producenter, der mangler en reaktionsplan, beslutter i praksis, hvordan de skal reagere på et brud midt i en krise, hvilket er præcis dér, hvor fejl er dyrest.

Hvorfor producenter er oplagte mål for hackere

Risikoen for cyberangreb mod britiske producenter stiger ikke tilfældigt. Fabrikker og industrivirksomheder befinder sig i et ubehageligt krydsfelt: de besidder værdifuld intellektuel ejendom, driver komplekse forsyningskæder med snesevis af tredjepartsleverandører og er i stigende grad afhængige af forbundet operationel teknologi, der oprindeligt ikke blev designet med cybersikkerhed for øje. Ældre industrielle kontrolsystemer, forældet software og et kludetæppe af fjernadgangsværktøjer, der bruges af entreprenører og ingeniører, udvider alle angrebsfladen.

Producenter er også attraktive mål, fordi forstyrrelse har øjeblikkelige, synlige konsekvenser. Et ransomware-angreb, der standser en produktionslinje, koster ikke kun penge i løsesumsbetalinger; det stopper forsendelser, bryder leveringsaftaler og kan sprede sig til alle downstream-virksomheder. Denne løftestang gør, at producenter er mere tilbøjelige til at føle pres for at betale hurtigt, hvilket igen gør dem til mere attraktive mål i første omgang.

Angribere er også blevet bedre til at omgå de forsvar, som virksomheder antager vil beskytte dem. D1R-ransomware-angrebet på ARM er en nyttig case her: den gruppe, som påtog sig ansvaret, formåede at kompromittere en stor britisk-baseret teknologivirksomhed på trods af tilstedeværelsen af tofaktorautentificering, en kontrol som mange virksomheder betragter som tilstrækkelig i sig selv. Denne hændelse er en påmindelse om, at ingen enkelt sikkerhedsforanstaltning, uanset hvor standard den er, garanterer beskyttelse. Lagdelt forsvar betyder mere end nogen enkelt afkrydsningsboks.

At lukke kløften: VPN'er, adgangskontrol og grundlæggende incident response

Meget af den eksponering, der beskrives i undersøgelsen, kan spores tilbage til, hvordan fjernadgang og interne netværk håndteres. Producenter har ofte ingeniører, entreprenører og tredjeparts vedligeholdelsesteams, der opretter forbindelse til interne systemer udefra, nogle gange ved hjælp af forbrugergradsværktøjer eller forældet fjernadgangssoftware, der ikke er blevet gennemgået i årevis.

En korrekt konfigureret VPN, parret med streng adgangskontrol, er en af de mest ligefremme måder at reducere denne risiko på. VPN'er krypterer trafik mellem fjernbrugere og interne systemer, hvilket gør det meget sværere for angribere at opsnappe legitimationsoplysninger eller sessionsdata undervejs. Men en VPN alene er ikke en sølvkugle, som ARM-sagen viser. Den skal sidde sammen med stærk autentificering, netværkssegmentering, der begrænser, hvor langt en angriber kan bevæge sig, hvis de kommer ind, og regelmæssige revisioner af, hvem der faktisk har adgang til hvad.

For producenter, der stadig er afhængige af flade netværk, hvor en enkelt kompromitteret konto kan nå produktionssystemer, økonomisoftware og kundedata på én gang, bør segmentering behandles som en prioritet, ikke som en rar at have. Kombineret med VPN-sikret fjernadgang er disse nu grundlæggende hygiejneforanstaltninger, ikke avancerede forsvar forbeholdt store virksomheder.

Byg en reaktionsplan, før du får brug for den

Undersøgelsens mest handlingsorienterede fund er uden tvivl det enkleste: kun halvdelen af producenterne har en incident response-plan. Det betyder, at den anden halvdel ville improvisere under et faktisk brud, i realtid beslutte, hvem de skal ringe til, hvilke systemer de skal isolere, og hvordan de skal kommunikere med kunder og myndigheder.

En grundlæggende reaktionsplan behøver ikke at være kompliceret. Den bør identificere, hvem der er ansvarlig for at træffe beslutninger under en hændelse, opliste de tekniske trin til at isolere berørte systemer og inkludere en kommunikationsplan for personale, kunder og, hvor det er relevant, myndigheder. At teste denne plan periodisk, selv gennem en simpel bordøvelse, betyder lige så meget som at skrive den ned.

Hvad dette betyder for dig

Hvis du arbejder i produktion eller driver en virksomhed, der afhænger af produktionspartnere, er denne undersøgelse et signal til at tjekke din egen eksponering i stedet for at antage, at det er en andens problem. Spørg, om fjernadgang til dine systemer er sikret med en VPN og stærk autentificering, om dit netværk er segmenteret, så et enkelt brud ikke kan sprede sig overalt, og om der findes en egentlig skriftlig plan for, hvad der sker, hvis en angriber kommer ind. Den risiko for cyberangreb mod britiske producenter, der er beskrevet i denne undersøgelse, er ikke abstrakt; den er en afspejling af huller, der findes i almindelige daglige IT-beslutninger.

Hovedpointer

  • Næsten en tredjedel af britiske producenter blev angrebet i det seneste år, men kun halvdelen har en reaktionsplan.
  • Producenter er attraktive mål på grund af værdifuld IP, komplekse forsyningskæder og forældet operationel teknologi.
  • Standardforsvar som tofaktorautentificering kan omgås, som set i ARM-bruddet, så lagdelt sikkerhed betyder noget.
  • VPN-sikret fjernadgang og netværkssegmentering er grundlæggende beskyttelser, ikke valgfri ekstraudstyr.
  • En skriftlig, testet incident response-plan bør være en prioritet for enhver producent, der ikke allerede har en.