Slecht gesteld met IT-beveiliging in olie- en gasindustrie

Bedrijven in de olie- en gasindustrie zijn zich bewust dat zij beveiligingsmaatregelen moeten nemen tegen cyberdreigingen. De organisaties nemen echter onvoldoende concrete stappen om deze maatregelen daadwerkelijk in te stellen.

Dit blijkt het wereldwijde onderzoek ‘Is Your Company’s Cyber Security Actually Good Enough?’, dat Fox- IT heeft laten uitvoeren door informatieportal Oil & Gas IQ onder bedrijven in de olie- en gasindustrie. Negen op de tien bedrijven noemt het van vitaal belang om binnen enkele uren te reageren op een security-incident. Slechts vier op de tien bedrijven beschikt echter over een effectief Incident Response-systeem dat bij een beveiligingsincident direct in actie komt.

Hacktivisme
Een van de belangrijkste zorgen van bedrijven in de olie- en gasindustrie is ‘hacktivisme’, wat Fox-IT omschrijft als ‘internetaanvallen op organisaties’. Ook Advanced Persistent Threats (ATPs), malware die langere tijd ongemerkt actief kan zijn op een netwerk, is een ernstig risico. De meerderheid van de onderzochte bedrijven blijkt echter nog niet voldoende stappen te hebben genomen om zich daadwerkelijk tegen deze dreigingen te beschermen.

Het onderzoek kijkt ook naar het vertrouwen dat bedrijven hebben in hun huidige verdedigingsmaatregelen om dergelijke aanvallen te kunnen detecteren en afslaan. Dit vertrouwen blijkt relatief laag te zijn. 37% geeft aan hier ‘geen vertrouwen’ in te hebben, terwijl 45% aangeeft ‘enig vertrouwen’ te hebben in de huidige maatregelen. Slechts 11% van de ondervraagde organisaties vertrouwt er volledig op dat hacks snel en effectief worden gedetecteerd en aangepakt.

Hoge herstelkosten
49% van de bedrijven in de olie- en gasindustrie schat dat de herstelkosten voor een cyberaanval tussen 500.000 en 1 miljoen euro liggen. Het ontbreken van voldoende beveiligingsmaatregelen is dan ook opvallend. 23% van de bedrijven geeft aan het netwerk niet actief te monitoren op verdachte activiteiten, terwijl 19% geen scheiding heeft aangebracht tussen het IT-netwerk en het ‘operational technology’-netwerk. Fox-IT stelt dat dit essentiële maatregelen zijn tegen cyberdreigingen en noemt de bevindingen dan ook zorgwekkend.

“De resultaten van dit onderzoek zijn reden tot zorg. Je vraagt je af of de betrokkenen in de olie- en gasindustrie zich wel bewust zijn van de urgentie van de situatie. Het is cruciaal dat zij hun industriële netwerken zo snel mogelijk goed beveiligen. Anders kan een desastreuze aanval realiteit worden. Als we kijken naar de afgelopen vijf jaar, zien we dat kritieke infrastructuren wel degelijk het doelwit zijn van hackers en kwaadwillende natiestaten. Zij proberen deze essentiële infrastructuren te verstoren voor financieel gewin, of voor sabotage en nog erger”, zegt Ronald Prins, directeur en medeoprichter van Fox-IT. “We zien dagelijks nieuwe cybersecurity-incidenten, hieruit blijkt hoe belangrijk het is om goed voorbereid te zijn. Eerste stap is een goed systeem om het netwerk te monitoren en een absolute scheiding aan te brengen tussen het IT-netwerk en het industriële netwerk. Bijvoorbeeld met een systeem dat data maar in één richting doorlaat, een zogeheten ‘datadiode’: wel van het industriële netwerk naar het IT netwerk, maar niet andersom. Vervolgens moet er een goed responsplan zijn en een team dat direct in actie kan komen als zich een incident voordoet.”