Die Folgen eines fehlenden oder mangelhaften Managements
Übersicht über die Bestandteile des Device- und Update-Managements (Quelle: Phoenix Contact; Grafik: oa)
Darstellung des Prozesses des Software-Updates (Quelle: Phoenix Contact; Grafik: oa)
Ein fehlendes oder schlecht implementiertes Device- und Update-Management erschwert nicht nur die Sicherheitsabläufe. Es schafft auch kritische Risiken für das komplette Unternehmen. Dazu gehört eine höhere Gefahr von Geschäftsunterbrechungen. Wenn wesentliche Daten oder Systeme wegen einer Sicherheitsverletzung nicht mehr verfügbar sind, kann das Unternehmen möglicherweise nicht mehr arbeiten. Solche Störungen schaden dem Ruf des Unternehmens und resultieren in ernsten finanziellen Folgen. Ein mangelhaftes Device- und Update-Management beeinträchtigt ebenso die kontinuierliche und genaue Bestandsaufnahme der OT-Ressourcen. Sofern der Betreiber nicht weiß, welches Asset wo in seinem Unternehmen vorhanden ist, kann er lediglich erahnen, in welchem Bereich die größten Risiken liegen. Die fehlende Gewissheit macht es schwierig, Sicherheitsressourcen effizient zu verwenden, wenn sie auftreten.
In ähnlicher Weise untergräbt eine unwirksame Verwaltung der Assets die Fähigkeit der Security-Teams, effektiv zu arbeiten. Sicherheitsvorgänge lassen sich nur schwerlich automatisieren, wenn dem Betreiber keine exakte Liste der bestehenden Ressourcen und Risiken vorliegt. Stattdessen ist sein Security-Team darauf angewiesen, Geräte manuell zu finden und zu sichern, was einem schlechten Einsatz von Zeit und Geld gleichkommt.
Die Aktivitäten kontinuierlich durchführen
Da OT-Ressourcen und -Sicherheitsrisiken in vielen Formen vorkommen, ist das Device- und Update-Management ein Prozess, der zahlreiche Aktivitäten umfasst. Die Herangehensweise an die Asset-Administration variiert von Unternehmen zu Unternehmen – je nachdem, welche Arten von Ressourcen gefährdet sind. Im Folgenden werden die Eckpfeiler des Prozesses für ein typisches Unternehmen vorgestellt:
- Gerätekennung: Durch die Identifizierung und Bewertung jedes einzelnen Netzwerkeckpunkts auf Sicherheitsschwachstellen können die Teams sofort Maßnahmen zur Problembehebung ergreifen.
- Aufgaben erkennen: Die Verwaltung von Assets unterstützt bei der Identifikation von Aufgaben, um Sicherheitslücken zu schließen oder neue Funktionen auszurollen.
- Umsetzung planen: Weil sich die Dringlichkeit von Updates unterscheiden kann, bietet das Device- und Update-Management die Möglichkeit, ein Update unverzüglich oder zu einem bestimmten Zeitpunkt zu starten.
- Updates installieren: Nachdem die Aufgaben in der Asset-Verwaltung geplant und priorisiert worden sind, wird das Update auf den Assets installiert. In diesem Zusammenhang kann das Security-Team auswählen, ob das Update gleich nach dem Transfer aufgespielt werden soll oder zu einem späteren Zeitpunkt.
Zu beachten ist, dass sich viele der oben beschriebenen Ressourcen ständig ändern. Netzwerkgeräte können kommen und gehen. Daher sind die Asset-Management-Prozesse kontinuierlich durchzuführen, damit sie mit den sich schnell entwickelnden Umgebungen Schritt halten können.
Fazit
In der Vergangenheit haben die Unternehmen der Administration von Assets wenig Priorität eingeräumt. Denn für die Automatisierung der Prozesse zur Verwaltung von Assets gab es keine geeigneten Tools. Die permanente manuelle Administration von Beständen war nicht praktikabel. Durch die Entwicklung von automatisierten Tools zur Erkennung von Ressourcen und Bedrohungen spielt das Asset-Management heute in zahlreichen Branchen eine wichtige Rolle, wenn es um Sicherheitsoperationen geht. Es ist nicht nur für Software- und IT-Unternehmen von entscheidender Bedeutung, sondern für jedes Unternehmen, das auf Soft- und Hardware angewiesen ist, um seinen Betrieb aufrechtzuerhalten. Das trifft derzeit auf fast jedes Unternehmen zu.