Die Bewertung von Hard- und Softwareschwachstellen in der Operational Technology (OT), respektive industriellen Steuerungs- und Überwachungssystemen, ist auf vielfältige Weise eine Herausforderung, insbesondere im Kontext von Kritischen Infrastrukturen. In der Praxis unterstützen verschiedene internationale Standards und Tools das Schwachstellenmanagement und das Incident Response Management, um ein systematisches Vorgehen zum frühzeitigen Erkennen von Vulnerabilitäten sowie deren Priorisierung auf Basis der vorhandenen Kritikalität zu ermöglichen. Allerdings reicht es in der Regel nicht aus, nur die theoretischen Konzepte der internationalen Normen und Standards zu verstehen. Entscheidend für das Erreichen der in diesen Konzepten angestrebten Ergebnissen ist die Frage, wie ein Verfahren mit mehreren Methoden, ein Rahmenwerk oder ein Standard in einem praktischen Kontext umgesetzt wird.-

Eine wesentliche Aufgabe kommt der Effizienz der Modelle und Werkzeuge zu, welche letztlich für die Umsetzung und Erfüllung der Standards von essenzieller Natur sind. In der hier geführten wissenschaftlichen Debatte wird ein Kohärenzmodell und das dazugehörige Incident Response Evaluation Tool (IRET) vorgestellt, welches primär für OT-Netzwerke in der Energie- und Wasserwirtschaft entwickelt und in einer industriellen Umgebung bezüglich Machbarkeit und Validität evaluiert wurde. IRET ermöglicht die Bewertung von Schwachstellen und CVE in OT-Netzwerken anhand objektiver und system-, architektur- und anwendungsbasierter Fakten zu treffen und die Entscheidungsfindungsprozesse somit unabhängig der subjektiven Wahrnehmung, Salienz und Verhaltensabsicht der einzelnen Entscheidungsträger zu ermöglichen.-

IRET hilft insbesondere hierbei, die Anzahl der False Positives, aber auch gleichzeitig die Anzahl der False Negatives zu reduzieren, um auch die endlichen Kapazitäten an personellen, fachlichen und finanziellen Ressourcen zielgerichtet zur Behebung von True Positives einzusetzen.

The assessment of hardware and software vulnerabilities in Operational Technology (OT), which are industrial control and monitoring systems, is challenging in many ways, especially in the context of Critical Infrastructure. In practice, various international standards and tools support vulnerability management and incident response management to enable a systematic approach for the early detection of vulnerabilities and their prioritization based on existing criticality. However, it is usually insufficient to understand only the theoretical concepts of international norms and standards. Important to achieving the outcomes is the question of how a method or standard is integrated in a practical context. Operationally efficient models and tools, which are ultimately responsible for the implementation of standards, play an essential role here. This dissertation presents a coherence model and the corresponding Incident Response Evaluation Tool (IRET), which was primarily developed for OT networks in the energy and water industries and evaluated in an industrial environment with respect to feasibility and validity. IRET enables the assessment of vulnerabilities and CVE in OT networks based on objective, system, architecture, and application-based facts, thus enabling decision- making processes that are independent of the subjective perception, salience, and behavioral intent of individual decision makers. IRET helps to reduce the number of false positives, but also at the same time the number of false negatives, to use the finite capacities of human, technical, and financial resources in a targeted manner to eliminate true positives. The modified Observe-Orient-Decide-Act loop serves as the main framework for IRET to integrate the coherence model into the context of institutional vulnerability management.