评估今天的网络安全，以改善未来的制造运营

大多数过程工厂自动化系统经过长时间的设计，以确保操作可重复、可靠、可用和安全。然而，与业务系统连接的增加增加了控制系统对互联网的暴露。组织现在必须考虑网络安全的影响，以便工业自动化和控制系统保持安全和稳定。

一个很好的起点是网络安全风险评估，以评估当前实施的战略和技术中的差距，并提供识别、优先排序和消除漏洞的路线图。

运营技术(OT)团队在执行或请求评估时，应该注意以下三个常见错误:

• 假设他们自己的团队已经知道并理解所有的风险
• 追求“灵丹妙药”的解决方案，然后由于大量的问题而不采取行动
• 缺乏优先次序和有限的资金。

那些武装自己对抗这些潜在障碍的组织可以从风险评估中获得全部好处。他们可以推动更多的网络安全运营，并提供大多数面向安全的项目所缺乏的业务理由，而资产所有者也很难做到这一点。

1.识别未知的网络安全风险、解决方案

网络安全是一场不断发展的军备竞赛，对于OT团队，甚至是一些有网络经验的信息技术(IT)团队来说，这似乎是压倒性的。了解到杀毒软件和防火墙不再是足够的保护可能会令人生畏。

网络风险评估消除了OT团队确定工厂中每个潜在网络漏洞的需要。评估可以帮助团队识别、记录、确定优先级，并围绕最高的威胁漏洞构建路线图。此路线图提供了创建解决方案的指南，以快速提供足够的安全性。

一旦评估完成，由专家合作伙伴创建和共享的资源可以扩展与主要漏洞直接相关的网络安全策略和技术的知识。自动化提供商(以及其他技术提供商)通常提供各种各样的安全手册、安全体系结构指南、网络安全在线研讨会和继续教育，以帮助OT团队学习、开发和改进用于保护关键系统的策略。

此外，团队不能假设他们的操作员知道所有关于网络安全的知识。政策和程序应形成文件，共享并定期更新(图1)。人员需要接受培训，以便在评估后建立的新指导方针下操作。新的政策往往会颠覆运营商已经习惯的行之有效的方法。网络安全团队不应该依赖用户固有的网络安全知识，而应该教他们如何在新的指导方针下执行操作。

一旦新的指导方针到位，网络安全团队应该评估其实施的成功和相关性。创建安全系统和过程的最佳方法是定期审查实现，并确保适当的实践到位。

2.技术本身无法解决网络安全问题

对于每一个已知的网络安全风险，至少有一家公司拥有最新、最好的解决方案，这是一种集惊人技术于一体的综合解决方案。然而，当你仔细观察这些炒作时，就会发现它们的有效性各不相同。更重要的是:这些设备或软件解决方案很少设计与控制系统技术。

即使是最好的一体化解决方案也不能替代网络评估。无论评估结果如何，由路线图支持的整体方法始终是前进的最佳途径。技术解决方案本身永远不会消除理解对每个组织来说什么是重要的，以及反映运营和业务需求的灵活策略的需求。

虽然一个热门的新产品可能会提供一个快速修复现有的或紧急的漏洞，如果它中断了控制系统的核心功能之一，它不太可能在自动化系统的生命周期内交付价值，并且组织可能面临更严重的困难。

自动化供应商可以提供经过认证的网络安全解决方案，这些解决方案最适合消除在网络风险评估中发现的漏洞。自动化供应商使用第三方安全技术和配套架构开发和测试分层网络安全解决方案，以确定哪种技术最适合他们的产品。此外，这些批准的产品不断进行重新测试和重新评估，以确保持续成功运行。随着安全态势的重新评估，自动化供应商也在重新调整他们的产品以满足新的需求。

一些第三方解决方案被集成到工业控制系统(ics)中，因此它们成为自动化解决方案的一部分，这使得自动化供应商能够在以物联网为中心的环境中提供全面支持。在某些情况下，第三方供应商成为控制系统供应商的战略合作伙伴，因此参考体系结构不会影响自动化系统的核心价值(图2)。

自动化系统支持团队已经精通围绕控制系统的安全技术。这意味着OT团队可以依靠自动化供应商的单一支持网络，将任何潜在的停机时间降至最低。

3.网络安全部门不堪重负且资金不足

最简单的不作为的例子是在有限的预算下处理信息技术(IT)和OT的小部门。这样的团队很容易不堪重负，因为有太多的漏洞需要解决，而且没有足够的时间、资源或整体资金。

即使是大型的、资金充足的组织也需要从单独的解决方案开始，并构建一个全面的纵深防御策略。并非所有问题都需要立即解决。良好的网络安全风险评估将创建一个优先的路线图，以构建防御层，随着时间的推移，以合理的成本缩小差距。

另一个重要的策略是依靠一个值得信赖的合作伙伴来执行或帮助进行评估。合作伙伴组织有战略和工具来帮助管理网络安全增强，通过检查有关网络安全破坏成本的信息来证明投资的合理性。

如何开始进行网络风险评估

采取具体措施应对网络风险评估并不像看起来那么令人生畏。虽然未来可能会出现新的网络安全风险，但这些风险并不像安全补丁、热修复和升级所涵盖的旧风险那样为人所知或可能被利用。

比起新发现的漏洞，组织更有可能使用他们从未修补过的旧漏洞成为攻击目标，因为更多的攻击者将拥有攻击其武器库中较旧漏洞的工具。这些是最有可能通过评估发现并被基本防御层阻止的漏洞。

纵深防御策略从良好的上下文定义开始，这样可以正确设计每个保护层，然后根据可用资源确定优先级。网络风险评估有助于构建适合组织独特需求的良好上下文定义。

积极主动地进行网络风险评估也可以帮助OT团队确保任何安全措施都不会影响运营。如果OT在确定和追求适合运营的解决方案方面等待的时间过长，IT可能会介入并提供自己的解决方案，而不了解运营团队的独特需求。

当对风险进行评估并适当部署解决方案时，网络安全将成为IT和OT之间的桥梁，使双方都受益。当组织被迫精简和远程操作以确保操作和业务连续性时，这一点尤其有价值。

投资网络评估以确保自动化系统的安全

与业务系统连接的增加提高了对控制系统的网络安全保护需求。从网络安全评估开始，确定您的组织在其旅程中所处的位置，准备人员编写策略和程序，以更好地保护自动化系统。花费在定义特定上下文上的时间将帮助您建立防御层，以满足当前的需求(图3)。

全面的网络风险评估也将有助于制定路线图，正如最近发生的事件所证明的那样，该路线图对于为未来的意外需求做好准备至关重要。

亚历山大Peixoto，德尔塔v产品营销经理;里克Gorskie，网络安全全球销售经理，爱默生。副主编克里斯·瓦夫拉编辑，控制工程、CFE媒体与技术、cvavra@cfemedia.com。

更多的答案

关键词:网络安全、控制系统、操作技术

网络安全风险评估可以帮助组织确定他们需要在哪里投资额外的度量。

公司应该一个资金充足的网络安全团队，纪律严严实实，始终遵循最佳实践。

增加了连接对业务系统的攻击提高了对控制系统的网络安全保护需求。

考虑一下这个

什么网络安全贵公司面临的挑战是什么?如何解决这些挑战?

您是否具有本内容中提到的主题的经验和专业知识?您应该考虑为我们的CFE媒体编辑团队做出贡献，并获得您和您的公司应得的认可。点击在这里开始这个过程。