Các tổ chức đã phát hiện sự cố OT nhanh hơn, nhưng phản ứng vẫn chưa hiệu quả

Theo báo cáo mới từ Viện SANS, các tổ chức đang ngày càng nhanh hơn trong việc phát hiện các sự cố trong hệ thống điều khiển công nghiệp (ICS) và các môi trường công nghệ vận hành (OT) khác, nhưng khả năng phản ứng với sự cố vẫn còn hạn chế.

Báo cáo về tình trạng an ninh mạng ICS/OT năm 2024 của SANS, dựa trên khảo sát hơn 530 chuyên gia trong các lĩnh vực cơ sở hạ tầng quan trọng, cho thấy khoảng 60% người tham gia khảo sát có thể phát hiện sự cố trong vòng chưa đầy 24 giờ. Đây là một cải thiện đáng kể so với năm năm trước, khi cùng tỷ lệ người tham gia cho biết thời gian từ khi bị xâm nhập đến khi phát hiện thường kéo dài từ 2 đến 7 ngày.

Các cuộc tấn công ransomware vẫn tiếp tục nhắm vào các tổ chức OT, nhưng khảo sát của SANS cho thấy đã có sự giảm bớt, với chỉ 12% tổ chức ghi nhận bị tấn công ransomware trong 12 tháng qua.

Một nửa trong số các sự cố đó đã ảnh hưởng đến cả mạng IT và OT hoặc chỉ riêng mạng OT, và 38% sự cố đã tác động đến độ tin cậy hoặc an toàn của các quy trình vật lý.

Trong các sự cố an ninh mạng không liên quan đến ransomware, 19% người tham gia khảo sát đã ghi nhận sự cố trong 12 tháng qua. Gần 46% các sự cố này bắt nguồn từ việc hệ thống IT bị xâm nhập, cho phép tin tặc truy cập vào hệ thống OT.

Các dịch vụ truy cập từ xa bên ngoài, thiết bị kết nối trực tiếp với internet, trạm làm việc kỹ thuật, USB bị nhiễm mã độc, xâm phạm chuỗi cung ứng, tấn công dạng "drive-by", và tấn công spearphishing đều được nhắc đến trong khoảng 20% trường hợp là phương thức tấn công ban đầu.

Mặc dù các tổ chức đang cải thiện khả năng phát hiện các cuộc tấn công, nhưng việc phản ứng với sự cố vẫn còn là vấn đề đối với nhiều đơn vị. Chỉ 56% người tham gia khảo sát cho biết tổ chức của họ có kế hoạch phản ứng sự cố riêng cho ICS/OT, và phần lớn chỉ kiểm tra kế hoạch này một lần mỗi năm.

SANS phát hiện ra rằng các tổ chức thực hiện các bài kiểm tra phản ứng sự cố hàng quý (16%) hoặc hàng tháng (8%) cũng nhắm đến một loạt các khía cạnh rộng hơn, như thông tin về mối đe dọa, các tiêu chuẩn và các kịch bản kỹ thuật dựa trên hậu quả. Khảo sát cho thấy, càng thường xuyên thực hiện kiểm tra, họ càng tự tin hơn vào khả năng vận hành hệ thống ICS của mình ở chế độ thủ công.

Khảo sát cũng đã xem xét quản lý nguồn nhân lực và phát hiện rằng hơn 50% nhân viên an ninh mạng ICS/OT có ít hơn năm năm kinh nghiệm trong lĩnh vực này, và khoảng cùng một tỷ lệ không có chứng chỉ chuyên môn về ICS/OT.

Dữ liệu được SANS thu thập trong năm năm qua cho thấy rằng Giám đốc An ninh Thông tin (CISO) là và vẫn là "chủ sở hữu chính" của an ninh mạng ICS/OT.

Báo cáo đầy đủ về tình trạng an ninh mạng ICS/OT năm 2024 của SANS có sẵn dưới định dạng PDF.

Nguồn: Organizations Faster at Detecting OT Incidents, but Response Still Lacking: Report