工業網絡安全事故損失慘重

趙明

卡巴斯基實驗室進行的一項調查顯示，過去一年，每兩家ICS（工業控制系統）公司中，就有一家經歷過1到5次安全事故。平均來看，無效的網絡安全給工業機構平均造成每年49.7萬美元的損失。盡管大多數工業機構認為自己已經準備好應對網絡安全事故，但他們的這種自信似乎并不充分。

新興的工業4.0趨勢使網絡安全成為全球工業組織的首要任務，為應對ICS帶來了新的挑戰。挑戰包括IT和運營技術（OT）的融合，以及向外部供應商提供工業控制網絡。為了更深入地了解ICS組織目前所面臨的問題和機遇，卡巴斯基實驗室和Business Advantage于2017年2月至4月進行了一項涉及359名工業網絡安全從業人員參加的全球調查。調查的主要結果之一是人們對ICS事故的現實與感知之間存在差距。例如，盡管83%的受調查者認為自己已經準備好應對OT/ICS網絡威脅事故，但是參與調查的企業中，有一半在過去12個月內經歷過1倒5次IT安全事故，還有4%遭遇過超過6次安全事故。這就引出一個重要的問題——這些機構的IT安全策略和保護手段應該怎樣修改才能夠更有效地保護這些關鍵企業數據和技術流程的安全？

ICS企業意識到自己所面臨的風險：74%的受調查企業認為自己的基礎設施可能會遭遇網絡攻擊。盡管企業對最新威脅，如針對性攻擊和勒索軟件的認知度有所提高，但ICS機構面臨的最大痛點仍然是傳統惡意軟件。有56%的受調查企業認為這種威脅仍然是造成安全事故的主要因素。在這種情況下，感知符合現實：過去一年中，每兩家企業中，就有一家不得不處理傳統惡意軟件感染造成的后果。

但是，在員工錯誤和無意的行為之間也存在不匹配——這對于ICS機構的威脅更大，超過來自供應鏈和合作伙伴的威脅，以及外部攻擊造成的破壞和物理損害。但是，ICS機構最擔心的前三位威脅中包含外部攻擊。

同時，位居前三位的IT安全事故后果包括對產品和服務質量造成損害，造成專利或機密信息丟失，造成生產減產或損失。

86%的受調查企業都具有通過批準和歸檔的ICS網絡安全策略，目的是保護企業免受潛在的IT安全事故侵害。但是，事故經驗表明，僅有網絡安全策略是不夠的。由于缺乏內部和外部的IT安全專業知識，工業組織承認缺乏專業知識是他們在ICS安全中最擔憂的問題。這一情況非常令人擔憂，因為它表明，工業機構并沒有做好準備應對攻擊，而且經常處在被攻擊的邊緣。有時候，攻擊者還是自己的員工。“內部威脅危險程度更高。我們受到良好的外部威脅保護，但是內部威脅會直接給我們造成影響，沒有防范內部威脅的防火墻。無法防范來自員工的威脅。”一家來自德國制造商的ICS從業人員承認。

積極的一面是，ICS從業人員采取的安全策略看起來相當穩固。 大多數公司已經放棄使用網閘作為安全措施，而采用綜合的網絡安全解決方案。在未來的12個月內，參與調查的企業計劃部署工業異常檢測工具（42%），并且計劃對員工進行安全意識培訓。有一半的受訪ICS公司承認，外部提供商可以訪問其組織中的工業控制網絡，擴大了威脅邊界，因此工業異常威脅檢測工具的部署很重要。

IT和OT系統日益增長的互聯性帶來了新的安全挑戰，需要董事會成員、工程師和IT安全團隊充分準備進行應對。他們需要對威脅環境有深刻的了解，仔細考慮保護手段，同時要確保提高員工的安全意識。網絡威脅已經深入工業控制系統的車間，所以最好做好準備進行應對。對于那些充分考慮到ICS需求的定制安全解決方案的企業來說，消除安全事故隱患將變得更為簡單。