帮助您的组织实现IT-OT融合的四个关键步骤

在许多工业组织中，信息技术(IT)和操作技术(OT)团队来自不同的星球。他们有各自的目标、优先级、技能、指标甚至语言。IT-OT融合，或者更好的说法是“互联行业”，要求这些团体共同努力，以实现提高效率和产出的关键业务目标，以及增强这些新连接系统的安全性。

通过IT- ot融合，以前与企业IT及其对互联网和通信应用(如电子邮件和云接口)的访问“隔离”或“隔离”的系统，可以利用这种企业基础设施来利用大数据分析的规模和威力。但伴随这一额外好处而来的是IT网络存在的风险:勒索软件、用于间谍活动的黑客攻击，甚至更糟的是，可能破坏物理进程，造成物理破坏。

首席信息安全官(CISO)和首席信息官(CIO)现在被董事会要求确保这些系统的安全，并确保它们具有与企业内其他设备相同的安全级别。因此，IT领导者正在寻求增加IT和OT的集成，以推动企业中所有端点和网络的标准化网络安全。

不幸的是，操作技术(OT/ICS)资产，如人机接口(HMI)、服务器、可编程逻辑控制器(PLC)、继电器、实时自动化控制器(RTAC)和其他智能电子设备，在大多数组织中由于各种原因被排除在网络安全流程之外。这可能包括从组织边界和法规需求到IT人员OT系统技能的缺乏。此外，OT/ICS团队一直承受着员工压力，因为运营希望提高效率。

因此，网络安全的许多基本要素并不存在于OT/ICS中。库存不准确，配置和补丁数据库过时，帐户和用户访问管理没有得到很好的管理。在某种程度上，这是因为由于OT/ICS资产的敏感、独特和嵌入式特性，自动化这些过程所需的工具还没有可用。

为了将真正的IT保安引入OT环境，并实现稳健、一致的保安管理，各组织可采取以下四个关键步骤，协助IT和OT协同工作:

1.创建IT-OT融合的共享教育和意识。

IT和OT的根本差距始于对每个功能的目标和目标缺乏理解。例如，IT团队经常尝试使用传统的IT漏洞扫描器扫描OT系统，并在一致的基础上“砖砌”OT设备，而没有意识到它们造成的问题。类似地，OT团队经常会说，“我们不能打补丁”，作为一个笼统的声明，而不理解IT的安全目标或在特定时间潜在地修补特定资产的实际方法。

组织为实现成功的IT-OT融合而采取的第一步是致力于联合教育和宣传会议。通常情况下，这可能发生在一系列四到五个联合研讨会上，在这些研讨会上，主要的OT领导人分享他们的业务流程和目标的细节，IT团队分享他们的安全目标和典型方法。这些研讨会将使两个部门了解如何相互沟通，并了解各自的目标和局限性。

2.设计满足双方需求的IT-OT安全组织。

没有完美的企业模式。然而，组织已经成功地创建了一个联合的安全领导团队，OT领导加入了他们的IT同行，担任高级领导职务。其他公司采用了IT安全领导，但包括OT对适用于其系统的工具、过程和标准的大量投入。

企业犯的一些最大的错误是在安全领导团队中有一个象征性的OT代表，或者在团队中招募一到两个有OT经验的中层人员作为OT代表。在几乎所有情况下，最终OT代表被纳入IT组织，影响有限。最成功的公司会指派一个关键的、资深的、真正受人尊敬的OT领导，并在整个安全组织中给予他们真正的权威。

3.建立OT系统管理计划。

OT系统管理(OTSM)的关键在于强健的OT安全程序．它涉及下列要素:

• 资产库存管理
• 生命周期管理，包括定义系统需求以实现预期的物理系统结果，制定规范以确保可靠性和安全性，供应链管理和控制这些系统，以及更换过时的组件
• 配置管理
• 补丁和漏洞管理
• 网络与系统设计
• 用户和帐户管理
• 日志和性能监控以实现可靠性和安全性
• 事件和故障响应
• 备份和恢复。

它通常认为这些基本组件是理所当然的，因为它们多年来一直是IT系统管理（ITSM）的核心部分。但在OT中，这些任务中的大多数并不是在一致的基础上完成的。因此，OT缺乏建立IT安全性的基础。在了解网络上的资产、系统上的用户等之前，组织通常希望跳转到威胁检测或微划分。

通过建立OTSM基础， IT和OT团队可以从类似的资产管理基础上开始有效地一起工作。

一个健壮的OTSM项目会带来许多其他关键的好处，包括:

• 网络中所有硬件和软件的清晰性，以确保快速识别漏洞
• 正确更新和配置系统，减少攻击的表面积
• 操作效率高的系统更新，以实现关键操作任务的自动化
• 跨IT和OT进行一致的报告和监控，以简化进度报告
• 更有效和先进的安全控制，因为它们构建了适当的可见性和对底层端点和网络信息的访问。

4.技能发展

为了真正实现IT-OT融合，企业需要在OT中构建关键的安全管理技能集。在IT中，几乎所有系统管理任务都可以集中完成。然而，在OT中，在执行补丁或配置管理等安全功能之前，独特且敏感的流程可能需要本地OT知识。因此，有必要在传统操作系统设备和网络设备以及嵌入式操作设备的范围内，围绕关键OTSM概念（如修补、配置管理、密码管理等）开展员工队伍建设。我们当然可以赞扬围绕网络安全分析、调查、威胁搜寻等提供的重要培训，但同样需要关注其他70%的网络安全，包括系统管理的基础要素。

组织需要坚持以下四个关键步骤：建立意识、设计正确的组织、建立OTSM和培养正确的技能，以使IT和OT团队有效地协同工作，并在两个部门中推动真正的安全能力。

- - - - - -神韵工业是CFE媒体内容合作伙伴。看看约翰·利文斯顿在说什么日益增加的工业网络安全威胁和对太阳林和奥德斯玛的网络攻击在工业网络安全专家访谈系列．