Ist HAZOP auf die Cybersicherheit anwendbar?

Was ist die HAZOP-Methode?

HAZOP ist in erster Linie für die industrielle Risikoanalyse bestimmt. Konzipiert vom Unternehmen Imperial Chemical Industries, es zielt darauf ab, die Sicherheit der Verfahren zu gewährleisten.

‍

Definition von HAZOP

„HAZOP“ ist die Abkürzung für „Hazard and Operability Study“. Dieses Tool wird hauptsächlich zur Bewertung der potenziellen Risiken im Zusammenhang mit industriellen Aktivitäten verwendet.

Diese Methode ist in der Norm IEC 61882 ausführlich beschrieben. Es hat auch Ähnlichkeiten mit dem FMEA-Methode, Analyse von Fehlerarten und Auswirkungen. HAZOP wurde entwickelt, um Risiken aller Art zu identifizieren: materielle, verfahrenstechnische oder menschliche Risiken. Die FMEA konzentriert sich ihrerseits auf die Aufdeckung systemischer Fehler und die Identifizierung von Ursache-Versagen-Folgekombinationen. Diese beiden Methoden ergänzen sich bei der Bekämpfung von Cyberrisiken.

‍

Für wen ist die Hazard and Operability-Studie bestimmt?

In der Vergangenheit war HAZOP für die Öl-, Pharma- und Chemieindustrie als Prozessrisikoanalyse vorgesehen. Die Cyberrisikobewertung dieser Strukturen stützte sich in der Vergangenheit auf Methoden wie MEHARI (MethoD for the Harmonised Analysis of RisK) oder EBIOS (Äußerung von Bedürfnissen und Identifizierung von Sicherheitszielen)..

HAZOP kann tatsächlich leicht an den Bereich der industriellen IT-Sicherheit angepasst werden. In der Tat erleichtert es die Identifizierung unerwarteter und dennoch wahrscheinlicher potenzieller Cyberrisiken. HAZOP hilft dabei, die Risiken kommerzieller Verluste im Zusammenhang mit Cybersicherheitslücken zu erkennen, die die industrielle Produktion zum Erliegen bringen könnten.

In dem Artikel Globale Cybersicherheit in der Fertigungsindustriewerden die verschiedenen Cyberrisiken vorgestellt, die den IT-Betrieb von Industrieunternehmen belasten. In einigen dieser Risikoszenarien können die Kriminellen durch finanzielle Gewinne motiviert sein, wie dies bei Ransomware. In anderen Szenarien wird ebenfalls ein Versuch eines unlauteren Wettbewerbs dargestellt. In seltenen Fällen geht der Cyberangriff von einer staatlichen Organisation aus, die terroristische oder militärische Ziele verfolgt.

Derselbe Artikel zählt auch eine beträchtliche Anzahl von Cyberangriffe über Industriebauten, einschließlich:

• Diebstahl geistigen Eigentums;
• Datenänderung der Kundenspezifikationen vor der Herstellung;
• Produktivitätsverlust aufgrund der Ausfallzeiten;
• Schadsoftware Beeinträchtigung der Integrität der Produktionsprozesse;
• Veränderung der Produkte und Verlust der Zuverlässigkeit.

‍

Wie kann dieses Analysetool nützlich sein?

Ursprünglich ist HAZOP für die Analyse chemischer und industrieller Prozesse konzipiert. Es bewertet unter anderem die Sicherheit von Temperaturüberwachungsanlagen, Durchfluss- und Drucksystemen. Anschließend werden potenzielle Gefahren entdeckt, indem „Stichwörter“, die eine ungewöhnliche Situation repräsentieren — beispielsweise „mehr Druck“ oder „weniger Durchfluss“ — mit den üblichen Betriebsparametern abgeglichen werden.

Dieser Ansatz beleuchtet unbekannte und unerwartete Risikoursachen. Es bewertet auch die Wirksamkeit der bereits getroffenen Maßnahmen zur Risikoprävention.

Der große Vorteil dieses Tools ist auch seine Vollständigkeit. Im Rahmen eines Risikomanagement Eine Strategie, die alle Cybersicherheitsrisiken antizipiert. Sie ist eine gute Unterstützung für die Synthese und den strukturierten und detaillierten Überblick über Cyberrisiken zu einem bestimmten Zeitpunkt.

‍

Wie bezieht sich HAZOP auf Cybersicherheit?

Im Rahmen einer Cyberrisikoanalyse muss HAZOP angepasst werden. HAZOP beruft in der Regel das Treffen von „Task Forces“ ein, die auf dem Gebiet der physischen Prozesse des Unternehmens kompetent sind.

Für eine effiziente Cybersicherheitsstrategie wird empfohlen, Cybersicherheitsexperten mit diesen Fachleuten zusammenzuarbeiten:

‍

1/Vorbereitung der HAZOP-Analyse: Hazard- und Operabilitätsstudie

Das Unternehmen entscheidet, welche Subsysteme einer Cyber-Risikobewertung unterzogen werden müssen. In der HAZOP-Sprache werden solche Subsysteme als „Knoten“ oder „Linien“ bezeichnet.

In der IT besteht ein System aus:

• Geräte wie Server, Netzwerke oder Workstations;
• Informationen, insbesondere sensible Daten;
• am Prozess beteiligte Akteure;
• Datenaustauschflüsse.

‍

2/Generierung potenzieller „Drifts“

HAZOP hat die Besonderheit, mit „Schlüsselwörtern“ konfrontiert zu werden, die für potenzielle Probleme mit den üblichen Betriebsparametern der Systeme stehen. Im industriellen Bereich beziehen sich diese Schlagworte in der Regel auf Druck, Zeit oder Durchfluss. Wenn es um Cybersicherheit geht, konzentriert sich HAZOP jedoch auf andere Kriterien wie Verfügbarkeit von Systemen, Datenvertraulichkeit, Integrität und Verfügbarkeit (die CIA-Triade der Daten).

Die Konfrontation dieser Risiken mit dem normalen Betrieb der Informationssysteme veranlasst das Arbeitsteam dann, potenzielle „Abweichungen“ ausfindig zu machen. Im Bereich Cybersicherheit zeichnet sich diese Spezifität von HAZOP dadurch aus, dass Ausfälle berücksichtigt werden, die auf böswillige Handlungen zurückzuführen sind, und nicht nur auf menschliche Fehler oder Sicherheitslücken.

Die Task Force listet dann alle möglichen Abweichungen auf, die sich aus der Kombination von Parametern und Schlüsselwörtern ergeben, um mit der Analyse der Ursachen und möglichen Folgen der Abweichungen fortzufahren.

‍

3/Identifizierung der Ursachen und Folgen der Abweichungen

Sobald die Liste der potenziellen Risiken erstellt wurde, muss Ihre Task Force zunächst deren Eintrittswahrscheinlichkeit und dann ihre Auswirkungen bewerten. Das Hauptziel besteht darin, die Auswirkungen eines Risikos auf ein System anhand von Kriterien zu bewerten, die von Unternehmen zu Unternehmen unterschiedlich sind. Diese Auswirkungen können die Form eines Schadens auf der Nutzerseite, eines Angriffs auf den Ruf des Unternehmens oder auf dessen Umsatz- oder Finanzergebnisse annehmen.

Viele Methoden sind nicht präskriptiv genug und ermöglichen es den für die Risikobewertung zuständigen Mitgliedern der Task Force oft, ihre Raster auf nominalen Skalen vom Typ niedrig/durchschnittlich/hoch zu erstellen — sowohl für die Wahrscheinlichkeit des Auftretens als auch für den Schweregrad der Auswirkungen — was zu einigen Einschränkungen führen kann, wie dies der Fall ist, wenn Sie den verschiedenen Risikofaktoren gleichwertige Gewichte zuweisen: hohe Wahrscheinlichkeit X geringe Auswirkung entspricht niedriger Wahrscheinlichkeit X hoher Auswirkung (vgl.:) Leider dokumentiert in ISO 27005 Abschnitt 8.3 und Anlagen, diese Einschränkungen gelten für alle Methoden, die auf nominalen oder sogar Ordinalskalen beruhen.

Die HAZOP-Methode basiert auf dem Prinzip der Vollständigkeit. Das Risikobewertungsteam muss daher für jeden „Knoten“ jedes Systems alle wahrscheinlichen Ausfälle ermitteln. Es muss die sogenannte „Risikoerschöpfung“ ins Visier nehmen. HAZOP zielt auf Vollständigkeit ab und eignet sich daher nur schlecht für große Strukturen, es sei denn, Sie erwägen, in dieser Angelegenheit große Anstrengungen zu unternehmen.

Die größten Unternehmen, insbesondere wenn es um die Bewertung von Risiken in extrem komplexen Informationssystemen geht, profitieren mehr von Methoden, die sich auf das konzentrieren, was wahrscheinlich passieren wird, und nicht auf das, was passieren könnte. Ein gutes Beispiel ist die VaR-Methode (Value at Risk), die sich in erster Linie auf die Knoten konzentriert, die für die Struktur und ihre Fähigkeit, Wert zu schaffen, entscheidend sind. Ein solcher Ansatz bietet auch Platz für statistische Daten und quantitative Skalen, die strenger sind und auf denen Sie nützliche Vergleiche aufbauen können.

‍

4/Organisation von Präventionsmaßnahmen und Empfehlungen

Anschließend muss die Task Force neue Tools zur Erkennung und Prävention von Cyberrisiken vorschlagen. Dabei kann es sich um organisatorische Maßnahmen handeln, die auf die Schulung des Personals oder auf die Festlegung einer Technologiestrategie abzielen. Die am häufigsten angewandten Präventionsverfahren fallen unter die technische Prävention: Virenschutz und Firewalls, Unternehmenssoftware zur Überwachung der IT und zur Erkennung von Cybersicherheitslücken.

In der Industrie führt das Verfahren auch zu materiellen Präventionsmaßnahmen, wie zum Beispiel physische Absperrvorrichtungen, die die technischen Folgen eines Cyberangriffs verringern. Es kann sich beispielsweise um eine Küvette oder um Sicherheitsventile handeln. Hersteller verlassen sich auch auf Sonden zur Erkennung von Cyberangriffen, um die Gefahren zu erkennen, die das Steuerungssystem bedrohen.

‍

Vor- und Nachteile von HAZOP in der Risikoanalyse?

Die Stärke von HAZOP liegt in seiner Fähigkeit, Fehler aufzuzeigen, an die niemand gedacht hatte. Es ist nützlich, wenn vor der Analyse kein gefährliches Ereignis eingetreten ist, aber infolgedessen erfordert es auch ein gewisses Maß an Antizipation all dessen, was wahrscheinlich passieren wird.

Es ist auch eine sehr strenge Methode, da sie multidisziplinäre Teams zusammenbringt. HAZOP, angewendet auf Cybersicherheit, ermöglicht eine weitere Zentralisierung der Analysen, anstatt den Aufwand auf mehrere verschiedene Methoden zu verteilen.

Die Nachteile von HAZOP liegen in der Querverweisung der Ergebnisse:

• es hilft nicht unbedingt, die Folgen der Kombination von Abweichungen zu messen;
• es identifiziert nur eine Ursache für jede Abweichung;
• Es ist keine Ausnahme von der Regel: Jede Methode, die auf Nominal- und Ordinalskalen basiert, weist dieselben Mängel auf.
• es ist sehr zeitaufwändig für die Teams.

‍

Zusammenfassend lässt sich sagen, dass dieser „umfassende“ und gewichtige Ansatz für komplexe, aber begrenzte und abgegrenzte industrielle Umgebungen gilt. Umgekehrt scheint er für die Analyse dynamischer Informationssysteme ungeeignet zu sein, da diese immer komplexer und grenzenlos werden — wenn man das Unternehmen in seinem Ökosystem von Dritten betrachtet.

‍