Para a ANDRITZ, uma fornecedora líder de plantas industriais, equipamentos e soluções, acompanhar as ameaças cibernéticas tornou-se cada vez mais difícil. Uma das razões era que seu ambiente de TI incluía uma variedade de sistemas e políticas de segurança que complicavam os esforços de segurança. Mas um problema maior era a vastidão do perímetro de segurança da empresa e a área de superfície de ataque: a ANDRITZ possui mais de 280 locais de produção e organizações de serviço/vendas em todo o mundo. Aproximadamente 50% dos seus 27.000 funcionários viajam e usam a rede da empresa e opções de conectividade remota para acessar automaticamente recursos de TI. Uma série de terceiros, contratados e engenheiros, também têm acesso a sistemas de TI chave.

Klaus Glatz, diretor digital da ANDRITZ, reconheceu os riscos. "Temos todas essas conexões remotas com nosso equipamento. Não se trata apenas de funcionários da ANDRITZ, mas também de muitas empresas externas. É por isso que tudo se resume a transparência, visibilidade e obtenção de uma compreensão abrangente do que está acontecendo. Você não pode arriscar a operação de um cliente."

Os clientes da ANDRITZ operam usinas hidrelétricas, fábricas de papel e celulose, fábricas químicas e metalúrgicas que dependem das plantas, equipamentos e sistemas da empresa para funcionar. Potencialmente, uma violação de segurança ou vulnerabilidade em TI pode fornecer um caminho para algo muito mais abrangente ou catastrófico, especialmente se as intenções de um agente de ameaça vão além do roubo de dados.

Desde o início, a ANDRITZ tinha um objetivo claro e bem definido que ultrapassou a simples implementação de uma coleção de ferramentas de segurança cibernética operadas por terceiros. A empresa precisava de uma organização de serviços que entendesse seus requisitos e pudesse complementar a equipe e a configuração existentes.

Em julho de 2020, após investigar vários provedores, a ANDRITZ substituiu seu antigo MSSP por MSS. A IBM projetou e implementou uma solução abrangente em menos de seis meses, incluindo a integração do software, a implementação dos serviços de segurança e a conclusão de uma implementação mundial para demonstrar os benefícios do modelo de software como serviço (SaaS). Como a pandemia COVID-19 não permitiu que as equipes globais se encontrassem pessoalmente, todo o trabalho foi feito remotamente e por meio de reuniões virtuais. Isso exigia ainda mais profissionalismo e confiança de ambos os partidos.

"Nosso primeiro pensamento foi que a IBM era uma empresa muito grande, muito burocrática e que provavelmente não seria uma boa opção para nós", admite Strieder. “Mas depois de trabalharmos juntos, tivemos que reajustar nossos pensamentos. A IBM fez exatamente o que queríamos. Eles foram muito flexíveis, ouviram nossas demandas e vieram com as soluções certas."

Para o gerenciamento de eventos e informações de segurança (SIEM), a ANDRITZ escolheu a tecnologia IBM® Security QRadar on Cloud, implantada como SaaS.A plataforma ajuda o centro de operações de segurança baseado na Polônia (SOC) da ANDRITZ a se concentrar na detecção e correção de ameaças, enquanto os profissionais de segurança da IBM fornecem gerenciamento ininterrupto da infraestrutura.O SIEM ingere dados e registra eventos de várias fontes em toda a rede.Ao aplicar funções analíticas avançadas e correlações entre tipos de dados (redes, endpoints, ativos, vulnerabilidades, dados de ameaças e muito mais), o SOC dá uma visão abrangente da segurança.

Quando o sistema detecta atividades ou padrões suspeitos, como várias tentativas de login fracassadas, ele aciona um alerta automatizado. Dependendo do nível de gravidade, a equipe de segurança da IBM cria um ticket ou trabalha diretamente com o SOC para fornecer recomendações de resposta. A ANDRITZ também pode chamar a equipe do IBM® Incident Response Services para realizar uma investigação direta.

"A solução garante a proteção adequada", diz Glatz. "Temos muito mais informações e transparência. Normalmente, temos milhões de eventos por dia, por isso é importante que nossos funcionários entendam e selecionem os 25 ou 30 eventos mais críticos que podem ser de alto risco para o meio ambiente."

O serviço SIEM é complementado por dois serviços adicionais: IBM® X-Force Red Vulnerability Management Services, além de suporte a classificação e correção, e IBM® Managed Detection and Response Services, que está integrado à tecnologia antivírus CrowdStrike Falcon Prevent para acelerar a detecção e a correção de ameaças.

O X-Force Red Vulnerability Management Services verifica os sistemas da ANDRITZ e avalia as vulnerabilidades de segurança. A cada verificação é gerado um relatório que avalia as vulnerabilidades conforme a gravidade usando o sistema comum de pontuação de vulnerabilidades (CVSS). Isso ajuda a ANDRITZ a priorizar a resposta a incidentes.

“Para nós, o componente proativo aqui é o gerenciamento de vulnerabilidades”, explica Strieder. “Com o gerenciamento de vulnerabilidades, é possível fazer muitas coisas erradas. Precisávamos de alguém que trabalhasse conosco nessas vulnerabilidades e priorizasse o que precisávamos resolver primeiro. É um esforço conjunto."

O Managed Detection and Response Services identifica alertas que são coletados pelo serviço SIEM. Ele usa aprendizado de máquina e IA para avaliar as atividades que acontecem nos notebooks, celulares e outras interfaces dos funcionários. Se detectar comportamento anômalo, ele poderá bloquear sistemas, dando tempo ANDRITZ para investigar.

Para aumentar os recursos de seu SIEM e programa de segurança, a ANDRITZ aproveita o IBM® Security X-Force Threat Management Services, uma oferta abrangente que integra insights de ameaças, proteção, detecção, resposta e recursos de recuperação.