【儀表網(wǎng) 行業(yè)科普】隨著針對(duì)工業(yè)系統(tǒng)的網(wǎng)絡(luò)安全攻擊的不斷增多，制造企業(yè)亟需IT和OT團(tuán)隊(duì)共同構(gòu)建一個(gè)堅(jiān)實(shí)的安全框架以應(yīng)對(duì)工業(yè)環(huán)境中獨(dú)特的挑戰(zhàn)。
  

　　許多制造企業(yè)在啟動(dòng)工業(yè)安全計(jì)劃時(shí)面臨重重困難，或者已有計(jì)劃運(yùn)行效果不佳。制定一項(xiàng)工業(yè)安全計(jì)劃需要時(shí)間，同時(shí)要求企業(yè)全神貫注地投入。然而，由于信息技術(shù)(IT)和運(yùn)營(yíng)技術(shù)(OT)團(tuán)隊(duì)通常具備不同的技能且視角各異，工業(yè)安全計(jì)劃可能會(huì)面臨失敗的風(fēng)險(xiǎn)。本文詳細(xì)探討了企業(yè)在制定一個(gè)可持續(xù)的工業(yè)安全計(jì)劃時(shí)應(yīng)該采取的七個(gè)步驟。
 

　　第一步：查找問(wèn)題
 

　　承認(rèn)問(wèn)題的存在是解決問(wèn)題的第一步。許多安全計(jì)劃都跳過(guò)了這一步，認(rèn)為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)對(duì)每個(gè)人來(lái)說(shuō)都是顯而易見(jiàn)的。但實(shí)際上，大多數(shù)人只是將網(wǎng)絡(luò)風(fēng)險(xiǎn)與那些備受矚目的企業(yè)系統(tǒng)遭遇入侵事件聯(lián)系在一起。在每天的新聞中都有商務(wù)郵件遭篡改或遭受勒索軟件攻擊的報(bào)道，然而，工業(yè)系統(tǒng)受到攻擊的情況卻很少被披露。
 

　　對(duì)于大多數(shù)IT安全計(jì)劃而言，模擬真實(shí)網(wǎng)絡(luò)事件的沙盤(pán)推演已成為一種標(biāo)準(zhǔn)做法。然而，這些推演通常集中在企業(yè)層面的事件上，例如人力資源系統(tǒng)遭入侵或遭受勒索軟件攻擊。相比之下，進(jìn)行以生產(chǎn)線等工業(yè)資產(chǎn)為重點(diǎn)的沙盤(pán)推演能夠更有效地讓企業(yè)高層參與進(jìn)來(lái)，并提高他們對(duì)OT風(fēng)險(xiǎn)的認(rèn)識(shí)。
 

　　為了全面了解公司所面臨的風(fēng)險(xiǎn)，建議企業(yè)讓運(yùn)營(yíng)負(fù)責(zé)人、工廠經(jīng)理以及工程團(tuán)隊(duì)至少參與一次工業(yè)安全沙盤(pán)推演。此推演應(yīng)聚焦于一項(xiàng)關(guān)鍵的工業(yè)資產(chǎn)，并從一個(gè)影響工業(yè)資產(chǎn)的重大且看似合理的網(wǎng)絡(luò)事件入手展開(kāi)討論。
 

　　典型的工業(yè)安全沙盤(pán)推演可能是這樣的：一位工程集成人員將一臺(tái)筆記本電腦連接到一條關(guān)鍵的生產(chǎn)線上，從而引入了惡意軟件。即便公司認(rèn)為已采取了相關(guān)管控措施來(lái)防止此類(lèi)情況發(fā)生，但現(xiàn)實(shí)中這種場(chǎng)景仍可能出現(xiàn)的。隨后，惡意軟件擴(kuò)散到該資產(chǎn)內(nèi)所有基于 Windows 系統(tǒng)的計(jì)算機(jī)上，包括工業(yè)人機(jī)界面(HMI)、服務(wù)器和工作站，導(dǎo)致這些設(shè)備無(wú)法恢復(fù)正常。
 

　　在這個(gè)時(shí)候，保持推演內(nèi)容的簡(jiǎn)潔性十分重要。以下是一些應(yīng)當(dāng)討論的關(guān)鍵問(wèn)題：
 

　　■ 這一事件會(huì)對(duì)企業(yè)業(yè)務(wù)產(chǎn)生何種影響？
 

　　■ 能否從備份中恢復(fù)該資產(chǎn)？備份系統(tǒng)的可靠性有多高？如果備份遭到蓄意破壞，會(huì)發(fā)生什么情況？
 

　　■ 如果所有基于Windows系統(tǒng)的計(jì)算機(jī)都受到感染，工業(yè)生產(chǎn)過(guò)程能否安全地停機(jī)？
 

　　■ 這一事件會(huì)對(duì)安全造成何種影響？
 

　　第二步：聘請(qǐng)OT“翻譯員”
 

　　制造企業(yè)中OT團(tuán)隊(duì)和IT團(tuán)隊(duì)之間的矛盾可能會(huì)阻礙工業(yè)安全計(jì)劃的推進(jìn)。這通常是因?yàn)閮蓚€(gè)領(lǐng)域各自擁有專(zhuān)業(yè)技能，且彼此缺乏了解，從而導(dǎo)致溝通不暢。許多組織都存在這樣的情況：一方的行動(dòng)給另一方帶來(lái)問(wèn)題，進(jìn)而滋生并加劇了雙方的不信任感。
 

　　工程師們常常會(huì)有這樣的經(jīng)歷：IT部門(mén)對(duì)系統(tǒng)的干預(yù)會(huì)對(duì)生產(chǎn)造成負(fù)面影響，他們認(rèn)為IT部門(mén)并不了解實(shí)際的生產(chǎn)環(huán)境。而反過(guò)來(lái)，IT專(zhuān)業(yè)人員也能舉例說(shuō)明，由于工程師缺乏網(wǎng)絡(luò)或服務(wù)器方面的知識(shí)，導(dǎo)致工業(yè)生產(chǎn)出現(xiàn)故障，最終只能在緊急關(guān)頭呼叫IT部門(mén)進(jìn)行修復(fù)。
 

　　為了在IT團(tuán)隊(duì)和OT團(tuán)隊(duì)之間建立有意義的對(duì)話，工業(yè)安全計(jì)劃需要聘請(qǐng)一位OT “翻譯員”。OT安全計(jì)劃通常由IT安全團(tuán)隊(duì)主導(dǎo)，但很少有IT專(zhuān)業(yè)人員真正了解OT系統(tǒng)。增加一位來(lái)自O(shè)T領(lǐng)域的人員，有助于增加該計(jì)劃的可信度，并促進(jìn)雙方更好地溝通。以下是一些對(duì)組織行之有效的策略：
 

　　■ 內(nèi)部招聘：如果企業(yè)內(nèi)有能力出眾的工程師能夠參與到該計(jì)劃中來(lái)，這或許是最佳選擇。這位OT“翻譯員”不一定要是安全領(lǐng)域的專(zhuān)家，但應(yīng)具備良好的IT基礎(chǔ)，并且有學(xué)習(xí)的熱情。
 

　　■ 外部招聘：從企業(yè)外部聘請(qǐng)工程師，帶來(lái)新的思路和必要的技能。尋找那些具備較強(qiáng)溝通能力且有工業(yè)安全領(lǐng)域經(jīng)驗(yàn)的人。同時(shí)精通工業(yè)控制、信息技術(shù)和安全領(lǐng)域的人才十分稀缺，因此組織可能需要做出一些讓步。
 

　　■ 借用外援：在很多情況下，借助一個(gè)在工業(yè)安全領(lǐng)域有經(jīng)驗(yàn)的咨詢(xún)團(tuán)隊(duì)可能會(huì)有所幫助。在幫助團(tuán)隊(duì)培養(yǎng)自身內(nèi)部OT/IT能力的同時(shí)，這些咨詢(xún)團(tuán)隊(duì)的經(jīng)驗(yàn)將有助于為該計(jì)劃奠定基礎(chǔ)。
 

　　第三步：了解關(guān)鍵業(yè)務(wù)和OT過(guò)程
 

　　一旦企業(yè)表明支持這項(xiàng)工作，并且OT“翻譯員”已就位，接下來(lái)的步驟就是了解企業(yè)的制造過(guò)程。如果存在多個(gè)過(guò)程，就從被認(rèn)為對(duì)組織影響較大的生產(chǎn)過(guò)程入手。
 

　　為了更深入地了解，親身體驗(yàn)這個(gè)過(guò)程會(huì)很有幫助。通過(guò)參觀工廠，重點(diǎn)關(guān)注生產(chǎn)過(guò)程以及控制系統(tǒng)在其中的作用。團(tuán)隊(duì)無(wú)需了解過(guò)程的每一個(gè)細(xì)節(jié)，而應(yīng)聚焦于關(guān)鍵的組件和系統(tǒng)。以下是在參觀過(guò)程中需要探討的一些關(guān)鍵問(wèn)題：
 

　　■ 制造過(guò)程的目標(biāo)是什么？
 

　　■ 如何對(duì)系統(tǒng)進(jìn)行控制以避免安全問(wèn)題的發(fā)生？
 

　　■ 在這個(gè)過(guò)程中，哪些是最為關(guān)鍵的系統(tǒng)？
 

　　■ 如果該系統(tǒng)出現(xiàn)故障會(huì)發(fā)生什么情況？
 

　　■ 是否存在其它為滿足監(jiān)管要求所必需的關(guān)鍵控制系統(tǒng)？
 

　　■ 哪些人有權(quán)訪問(wèn)這些系統(tǒng)，以及如何訪問(wèn)？員工或第三方是否會(huì)為了實(shí)施、維護(hù)或提供支持而遠(yuǎn)程訪問(wèn)該系統(tǒng)？
 

　　掌握了這些信息后，工業(yè)安全計(jì)劃就可以著手對(duì)后續(xù)步驟進(jìn)行優(yōu)先排序了。
 

　　第四步：了解您的OT資產(chǎn)
 

　　一些IT安全專(zhuān)家認(rèn)為,“資產(chǎn)清查”應(yīng)該是工業(yè)安全計(jì)劃的第一步，然而，我將其排在了第四步。雖然資產(chǎn)清查很重要，但前三個(gè)步驟可以幫助團(tuán)隊(duì)更好地理解資產(chǎn)清查工作，以及各個(gè)系統(tǒng)對(duì)生產(chǎn)過(guò)程的影響。
 

　　有些企業(yè)在尚未了解其生產(chǎn)過(guò)程以及支撐該過(guò)程的技術(shù)背景的情況下，就購(gòu)買(mǎi)工具來(lái)幫助識(shí)別資產(chǎn)和漏洞。這可能導(dǎo)致工業(yè)安全計(jì)劃將重點(diǎn)放在錯(cuò)誤的資產(chǎn)上，并設(shè)定錯(cuò)誤的優(yōu)先次序。
 

　　對(duì)于許多企業(yè)來(lái)說(shuō)，在建立初步的高層次資產(chǎn)清單時(shí)，開(kāi)源工具(通常是免費(fèi)的)可能就足夠了。購(gòu)買(mǎi)現(xiàn)成的工具可以顯著減少創(chuàng)建資產(chǎn)清單所需的工作量，并且往往能更精確地完成這項(xiàng)工作。這些自動(dòng)化工具可以在資產(chǎn)清查過(guò)程完成后投入使用，幫助組織監(jiān)測(cè)環(huán)境的變化。
 

　　OT“翻譯員”能夠幫助團(tuán)隊(duì)安全地將資產(chǎn)清查工具連接到OT網(wǎng)絡(luò)，并且應(yīng)能夠協(xié)助解讀掃描結(jié)果。如果購(gòu)買(mǎi)的工具屬于被動(dòng)型的，只能查看網(wǎng)絡(luò)流量，這類(lèi)系統(tǒng)的風(fēng)險(xiǎn)可能較低，因?yàn)樗鼈儾惶赡軐?duì)生產(chǎn)系統(tǒng)產(chǎn)生負(fù)面影響。還有一些工具是主動(dòng)型的，可能需要在工業(yè)系統(tǒng)計(jì)算機(jī)上安裝軟件，或者可能產(chǎn)生干擾生產(chǎn)的網(wǎng)絡(luò)流量。無(wú)論采用哪種方式，都必須格外謹(jǐn)慎，以確保任何資產(chǎn)管理工具都不會(huì)危及生產(chǎn)運(yùn)營(yíng)的安全。
 

　　在這個(gè)階段，ISA/IEC 62443 系列標(biāo)準(zhǔn)是企業(yè)的一個(gè)很好的資源，也是工業(yè)安全的既定標(biāo)準(zhǔn)。這一系列標(biāo)準(zhǔn)為評(píng)估工業(yè)系統(tǒng)風(fēng)險(xiǎn)提供了指導(dǎo)。此步驟的關(guān)鍵成果之一是按照區(qū)域和傳輸通道繪制當(dāng)前系統(tǒng)的示意圖。ISA/IEC 62443 系列標(biāo)準(zhǔn)對(duì)這些概念提供了指導(dǎo)意見(jiàn)，并為開(kāi)展初步風(fēng)險(xiǎn)評(píng)估提供了有用信息。這一步驟的目的是對(duì)工作進(jìn)行優(yōu)先排序，并確定應(yīng)納入工業(yè)安全計(jì)劃的關(guān)鍵資產(chǎn)。
 

　　第五步：發(fā)現(xiàn)價(jià)值
 

　　安全計(jì)劃通常側(cè)重于降低風(fēng)險(xiǎn)，但除了減少網(wǎng)絡(luò)風(fēng)險(xiǎn)之外，向OT團(tuán)隊(duì)展示其它方面的價(jià)值也同樣重要。如果運(yùn)營(yíng)技術(shù)團(tuán)隊(duì)能夠從工業(yè)安全團(tuán)隊(duì)的舉措中看到額外的價(jià)值，就更有可能全力參與其中。以下是工業(yè)安全計(jì)劃能夠?yàn)镺T團(tuán)隊(duì)帶來(lái)價(jià)值的幾個(gè)方面：
 

　　系統(tǒng)備份與故障轉(zhuǎn)移審查。對(duì)關(guān)鍵系統(tǒng)進(jìn)行全面審查，以確保系統(tǒng)備份正常執(zhí)行，且故障轉(zhuǎn)移機(jī)制正確運(yùn)行。在初始安裝時(shí)，系統(tǒng)集成商通常會(huì)部署備份系統(tǒng)或冗余服務(wù)器解決方案；然而，隨著時(shí)間的推移，這些系統(tǒng)可能未得到妥善維護(hù)。及時(shí)發(fā)現(xiàn)并解決這些問(wèn)題，可以幫助工廠避免因停機(jī)而造成的高昂損失。
 

　　虛擬化。系統(tǒng)實(shí)施過(guò)程中經(jīng)常會(huì)用到像VMware這樣的虛擬化技術(shù)，但許多集成商在部署這類(lèi)技術(shù)時(shí)缺乏經(jīng)驗(yàn)，而OT人員通常在管理方面也缺乏相關(guān)經(jīng)驗(yàn)。團(tuán)隊(duì)?wèi)?yīng)針對(duì)這些環(huán)境在性能、可靠性或安全性方面的提升進(jìn)行審查。在提出建議之前，需確保符合工業(yè)系統(tǒng)制造商的要求，并對(duì)任何變更進(jìn)行嚴(yán)格測(cè)試。
 

　　投資支持。資產(chǎn)清查能夠識(shí)別出OT團(tuán)隊(duì)一直無(wú)法獲得資金的風(fēng)險(xiǎn)資產(chǎn)。在向管理層描述老舊IT系統(tǒng)的風(fēng)險(xiǎn)方面，工業(yè)安全計(jì)劃團(tuán)隊(duì)通常更有經(jīng)驗(yàn)。一旦安全計(jì)劃開(kāi)始為OT團(tuán)隊(duì)帶來(lái)價(jià)值，隨之而來(lái)的將是更緊密的合作。
 

　　第六步：實(shí)施OT治理計(jì)劃
 

　　安全框架是任何安全計(jì)劃的重要基礎(chǔ)。從根本上講，大多數(shù)IT組織都遵循某種安全框架，其中最常見(jiàn)的是ISO 27001或NIST 800-53。這些框架都提供了一致的安全處理方法。對(duì)于工業(yè)安全領(lǐng)域而言，ISA/IEC 62443系列標(biāo)準(zhǔn)是一個(gè)重要的實(shí)施依據(jù)。該系列工業(yè)安全標(biāo)準(zhǔn)既可以補(bǔ)充現(xiàn)有的安全框架，也可以在沒(méi)有IT安全框架的情況下獨(dú)立實(shí)施。
 

　　對(duì)于初次部署工業(yè)安全計(jì)劃的人員，可以從《ISA-62443 工業(yè)自動(dòng)化和控制系統(tǒng)安全第 1-1 部分：術(shù)語(yǔ)、概念和模型》開(kāi)始了解。該標(biāo)準(zhǔn)很好地概述了該框架，ISA還提供了在線培訓(xùn)，以幫助加深理解。
 

　　接下來(lái)，查看《第 2-1 部分：工業(yè)自動(dòng)化與控制系統(tǒng)(IACS)資產(chǎn)所有者的安全計(jì)劃要求》。這一標(biāo)準(zhǔn)包含了對(duì)工業(yè)安全計(jì)劃至關(guān)重要的計(jì)劃層面的要求。對(duì)于熟悉ISO 27000系列標(biāo)準(zhǔn)的人來(lái)說(shuō)，這一標(biāo)準(zhǔn)與ISO 27002類(lèi)似，因?yàn)樗x了具體的要求和指導(dǎo)方針，不過(guò)是針對(duì)工業(yè)安全領(lǐng)域的。
 

　　ISA 62443 標(biāo)準(zhǔn)第2-1部分的一些要求，與傳統(tǒng)的網(wǎng)絡(luò)安全框架存在重疊之處，但也有許多內(nèi)容是工業(yè)安全領(lǐng)域所特有的。此外，它還包含了與 ISO 和 NIST 等傳統(tǒng)框架的對(duì)照關(guān)系，因此可以有效避免重復(fù)工作。
 

　　第七步：注重實(shí)際
 

　　一旦安全計(jì)劃制定完成，OT與IT團(tuán)隊(duì)之間的合作關(guān)系得以建立，讓所有工業(yè)領(lǐng)域的員工參與其中就顯得尤為重要。這些員工包括運(yùn)行人員、維護(hù)公司人員和承包商等。
 

　　對(duì)于制造企業(yè)來(lái)說(shuō)，安全運(yùn)營(yíng)是其一項(xiàng)基本價(jià)值觀。因此，工業(yè)安全計(jì)劃應(yīng)融入安全保障與安全生產(chǎn)的理念，以強(qiáng)化宣傳內(nèi)容。就像重視安全生產(chǎn)一樣，企業(yè)需要花時(shí)間與員工探討安全保障問(wèn)題，以及這些問(wèn)題對(duì)其可能產(chǎn)生的影響。
 

　　安全威脅不斷演變，因此員工必須明白其決策如何有助于維護(hù)一個(gè)安全可靠的環(huán)境。為了有效吸引員工參與，不僅要通過(guò)安全意識(shí)培訓(xùn)讓員工了解需要采取哪些措施，還要讓他們明白為什么要采取這些措施。通過(guò)真實(shí)的案例幫助員工了解不良后果的嚴(yán)重性，以及其行為如何避免這些后果的發(fā)生。
 

　　IT與OT之間的關(guān)系，是任何工業(yè)安全計(jì)劃都需要悉心培育的關(guān)鍵基礎(chǔ)。當(dāng)IT和OT團(tuán)隊(duì)能夠攜手合作，并相互欣賞對(duì)方的優(yōu)勢(shì)時(shí)，他們就能共同構(gòu)建一個(gè)堅(jiān)實(shí)的安全框架，以應(yīng)對(duì)工業(yè)環(huán)境中的獨(dú)特挑戰(zhàn)。