网络安全需要ICS/IIoT分类

有许多事件和数据点表明，即使是熟悉工业控制系统(ICS)和安全的人也很难在一起沟通，因为我们对ICS是什么有不同的观点和经验。

最新的例子是卡巴斯基的工业自动化系统威胁前景2018年上半年报告。该报告指出，“42%的机器有定期或全职的互联网连接”，根据其他统计数据，这42%中的很大一部分是在发送和接收电子邮件。如果你认为卡巴斯基没有关注ICS，他们将调查中的320台计算机描述为SCADA服务器、历史学家、OPC网关、工程工作站(EWS)和操作站/人机界面(HMIs)。

表面上看，这听起来很疯狂。我们几乎看不到工业控制系统(ICS)计算机直接接入互联网，当然这些计算机也不会接收电子邮件。即使考虑到客户明显有安全意识，因为他们聘请了昂贵的顾问来帮助他们，这些数字也是荒谬的。

转念一想，卡巴斯基监控的计算机很可能属于广义的ICS定义。它们可能包括建筑自动化系统，这些系统通常位于公司网络上，被认为是低价值的ICS。这与运行发电厂、管道、大型制造工厂、大型供水系统等的ics相去甚远。

这表明，当我们在没有某种分类的情况下使用这些广泛的术语时，我们在有效地沟通ICS方面遇到了挑战。

越来越多的困惑

还有更重要的领域，这个大型ICS类别抑制了有效的沟通和行动，包括适当的架构、安全控制、监管和风险。这种困惑正变得越来越严重。

国土安全部决定医疗设备，包括植入人体的医疗设备，都是ICS。这将是非常困难的解决方案，包括一个植入医疗设备和涡轮DCS和安全系统，除非在最广泛的，并不是特别有用的方式。

我一直不同意ARC的术语工业物联网(IIoT)。起初，我以为他们创造这个词是为了涵盖与传统上称为ICS的连接的物联网设备和系统。不。在他们的定义中，工业物联网包括了ICS世界中存在的一切，以及物联网世界中与工业相关的一切新事物。ICS和工业物联网可能会继续存在，并且可以很好地描述一个类似于企业术语的广泛类别。它们对于富有成效的讨论既不充分也无益。需要一些更具体的东西。

集成电路/ IIoT分类法

分类不需要完美或过于详细;它的目的是帮助有效的沟通。

以下是一些可能的分类:

• 价值——如果ICS/IIoT的完整性或可用性受到损害，会有什么后果
• 体系结构,经典普渡模式，物联网，经典+云?
• ICSsec程序的成熟度-在成熟的基础上应该做什么有很大的不同。这是目前最大的问题之一，资产所有者刚刚开始他们的ICSsec工作，花费时间和金钱在最小化风险的行动上。
• 部门/系统类型这是最明显的一类。有一些部门和系统是同质的，而另一些部门和系统，如化学制造业，在小型和大型制造商之间有显著的差异。我的想法是，你可以有三到五个有编号的行业，然后把行业适当地放在其中一个。然后我们可以讨论，例如，2区系统应该部署这些安全控制或有这些威胁。

这远远不是一个完整的可能性列表。

将越来越多的部门和系统捆绑到ICS/IIoT术语中是有帮助的，因为它提高了人们的意识，并希望采取相应的行动。即使在ICS的活跃人士中，这也导致了无益和令人困惑的讨论。高管和那些与ICS相关的外围人员几乎肯定会被与ICS无关的“ICS”信息所误导。

我们需要一个ICS/IIoT分类。

戴尔·彼得森他是行业安全提供商的创始人、首席执行官和首席催化剂吗数字键．本内容最初出现在ISSSource.com．ISSSource是CFE Media的内容合作伙伴。由CFE媒体制作编辑克里斯·瓦夫拉编辑，cvavra@cfemedia.com．

原始内容可以在www.isssource.com．

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。