Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.
Enligt TrendMicro råkade 89 procent av alla företag inom el, olja & gas, samt tillverkning, ut för cyberattacker de senaste tolv månaderna. Orsakerna till ökningen är många, allt från den geopolitiska situationen till brist på kompetens inom IT-säkerhet. Förutom att attackerna blir fler är de också allvarligare och kostar mer för de verksamheter som råkar ut för dem. Här är tre tydliga trender:
Trend #1. Ransomware oftare riktat mot industriföretag
Ransomware-attacker mot industriföretag ökade med 87 procent mellan 2021 och 2022. Framförallt inom tillverkning, transport och industri finns stor bredd vad gäller system och utrustning vilket öppnar möjligheter för hackare att ta sig in och hitta sårbarheter.
Kostnaden för att helt stoppa en stor anläggning, en flygplats eller ett kraftverk kan dessutom vara så hög att ägarna hellre väljer att betala lösensumman, även om den är stor, eftersom konsekvenserna av att stå stilla kan vara ännu värre. I april 2022 råkade exempelvis franska konstruktionsföretaget Clestra Hauserman ut för en attack som lamslog dem under tre månader och slutligen tvingade dem till konkurs.
Trend #2. Attackerna blir mer sofistikerade
Cyberattackerna blir dessutom mer sofistikerade och anpassade till olika branscher. Ett malware-kit kallat Pipedream har exempelvis utvecklats för att attackera kontrollsystem inom industrin, (ICS). Den här typen av attacker mot kontrollsystem har ökar med över 30 procent det senaste året. Överhuvudtaget ser vi en ökning av attacker som utnyttjar konvergensen mellan verksamhetsteknologi (Operational technology; OT) och IT. Integrationen har lett till mer automation och högre effektivitet, men även till att industriverksamhet i högre grad löper risk för mer avancerade och i vissa fall förödande attacker som tar sig in från IT-sidan.
Väl inne kan dessa attacker utnyttja det sämre skyddet på verksamhetssidan, där det är sämre segmentering och mindre koll på programvaru-inventarier och patchar. Hälften av europeiska företag inom energi och VA, säger att de har liten eller dålig koll på säkerhetsfixar för sina assets och en av tio anser att det skulle ta dem mer än sex månader att patch en sårbarhet i en viktig programvara.
Trend #3: Företag med kompetensbrist löper större risk för sårbarhet
Cybersäkerhet är ett område där det råder väldigt stor kompetensbrist. Enligt Enterprise Strategy Group (ESG) rapporterar hela 71 procent av företag att de upplever kompetensbrist inom området. Två tredjedelar av experterna inom cybersäkerhet säger också att deras jobb blivit betydligt svårare de senaste två åren. En av deras största utmaningar är, enligt 59 procent av de svarande, att attackerna blivit allt bredare, vilket beror på allt från mer Internet of Things (IoT) till ökat distansarbete. 43 procent anger också ansträngda budgetar och krav på efterlevnad av alltmer komplexa regelverk.
Tunt med kompetens och otillräckligt finansierade cybersäkerhetsteam får konkreta konsekvenser. I februari 2023 utnyttjade brottslingar tusentals VMware ESXi-servrar via en sårbarhet som varit känd i närmare två år.
Det är alltså helt avgörande att ha omfattande och väl uppdaterade inventarier av alla OT och IT assets och kartlägga var entry-punkter. Bättre koll krävs för att förstå risk, hitta sårbarheter och utveckla effektiva incidentförfaranden, beredskap- och återhämtningsplaner.
Kompetensbristerna förväntas fortsätta och en omfattande inventariehantering kan också lägga grunden till en automatisering av fler säkerhetsuppgifter. Ett sätt att få en bild av hur många potentiella sårbarheter som finns i verksamheten är att kontrollera existerande enheter och programvaror mot databaser med kända säkerhetsbrister som NIST-NVD från National Institute of Standards and Technology. En sådan kontroll ger en bättre överblick över vilken utrustning som är i riskzonen.
Att införa strategier för riskhantering kan visa sig helt avgörande. Vi lever i en tid präglad av ekonomisk osäkerhet. 51 procent av större företag förväntar sig antingen en minskning av, eller samma budgetnivå, vad gäller cybersäkerhet de närmaste tolv månaderna. För industriföretag kan de närmaste tolv månaderna därför komma att handla om att avvärja allt fler och avancerade cyberattacker med mindre pengar och resurser.
