關(guān)注公用事業(yè)網(wǎng)絡(luò)安全缺陷：從東拼西湊防線轉(zhuǎn)變?yōu)槌芍裨谛匕残臒o憂

作者：CristeneGonzalez-Wertz、Lisa-GianeFisher、StevenDougherty和MarkHolt

談話要點(diǎn)

IIoT在公用事業(yè)領(lǐng)域的運(yùn)用

公用事業(yè)領(lǐng)域既是IIoT技術(shù)的早期采用者，也是廣泛采用者。我們的調(diào)研揭示了IIoT技術(shù)的采用領(lǐng)域和方式。

網(wǎng)絡(luò)安全之窘境

公用事業(yè)企業(yè)意識(shí)到了存在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。但為什么他們?nèi)噪y以實(shí)現(xiàn)全方位的IIoT網(wǎng)絡(luò)安全？

五大具體戰(zhàn)略

了解如何通過奠定強(qiáng)有力的網(wǎng)絡(luò)安全基礎(chǔ)，運(yùn)用人工智能和自動(dòng)化技術(shù)，獲得更先進(jìn)的能力，從而實(shí)現(xiàn)并提高IIoT衛(wèi)生水平。

針對ICS網(wǎng)絡(luò)的攻擊：簡圖

隨著工業(yè)物聯(lián)網(wǎng)(IIoT)技術(shù)日益普及，自動(dòng)化設(shè)備和流程變得越來越智能，而公用事業(yè)遭受網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)也與日俱增。無論是由恐怖分子、網(wǎng)絡(luò)黑客還是國家發(fā)動(dòng)，攻擊一旦成功，都可能引發(fā)毀滅性的后果。入侵核電廠和電網(wǎng)可能會(huì)影響電力供應(yīng)，而針對供水設(shè)施的網(wǎng)絡(luò)攻擊則可能導(dǎo)致飲水污染或斷供。公民安全、關(guān)鍵基礎(chǔ)設(shè)施和環(huán)境面臨嚴(yán)峻風(fēng)險(xiǎn)。由自動(dòng)化和人工智能(AI)輔助實(shí)現(xiàn)的基本IIoT網(wǎng)絡(luò)衛(wèi)生成為確保公用事業(yè)運(yùn)營和服務(wù)連續(xù)性的關(guān)鍵所在。

目前，公用事業(yè)企業(yè)利用IIoT技術(shù)收集數(shù)據(jù)，以監(jiān)測資產(chǎn)，獲得深入的運(yùn)營洞察，同時(shí)提高效率和安全水平。然而，隨著IIoT的擴(kuò)展，破解并訪問工業(yè)控制系統(tǒng)(ICS)網(wǎng)絡(luò)的惡意行為仍在繼續(xù)。針對使用IIoT環(huán)境的攻擊目標(biāo)不僅涵蓋高價(jià)值資產(chǎn)或服務(wù)，還包括云端的關(guān)鍵工作負(fù)載。另外，還可能包括信息/實(shí)體系統(tǒng)中的流程控制子系統(tǒng)以及關(guān)鍵的業(yè)務(wù)、運(yùn)營和消費(fèi)者數(shù)據(jù)。例如，美國國土安全部(DHS)最近報(bào)告稱，Dragonfly間諜組織入侵了用于控制若干北美發(fā)電廠流程的HumanMachineInterfaces(HMI)。入侵系統(tǒng)后，該間諜組織不僅復(fù)制了配置信息，還可能破壞或控制設(shè)施。1

水力發(fā)電機(jī)保密監(jiān)督控制與數(shù)據(jù)采集(SCADA)系統(tǒng)數(shù)據(jù)在暗網(wǎng)中曝光

紐約大壩的SCADA

系統(tǒng)遭受黑客入侵

黑客入侵某水務(wù)公司的SCADA系統(tǒng)，控制水流和化學(xué)成分

以色列電力局

惡意軟件導(dǎo)致烏克蘭變電站下線(Industroyer)

勒索軟件加密了未打補(bǔ)丁的E&U流程控制系

統(tǒng)(WannaCry)

針對SIS的攻擊發(fā)布(TRISIS)

美國CERT發(fā)布了有

美國天然氣和電力公司發(fā)生網(wǎng)絡(luò)安全違規(guī)事件

三家烏克蘭配電企業(yè)的SCADA系統(tǒng)遭受滲透攻擊

收到勒索軟件電子郵件

巴伐利亞州核電站燃

料系統(tǒng)發(fā)現(xiàn)惡意軟件

密歇根州電力和水務(wù)公用事業(yè)設(shè)施遭受勒索軟件網(wǎng)絡(luò)釣魚攻擊

NotPetya惡意軟件導(dǎo)致切爾諾貝利輻射傳感器陷入癱瘓

關(guān)Dragonfly網(wǎng)絡(luò)間諜組織入侵美國公用事業(yè)控制系統(tǒng)的報(bào)告，其中包含HMI訪問證據(jù)。

2018

2017

2016

2015

6月 12月 1月 3月 4月 12月 5月 6月 12月 3月

來源：IBMSecurity研究。

公用事業(yè)運(yùn)營領(lǐng)域

中的IIoT網(wǎng)絡(luò)安全

的公用事業(yè)企業(yè)打算部署

IIoT技術(shù)，但他們對IIoT網(wǎng)

絡(luò)安全技術(shù)至多只是泛泛了解

70%

的電力企業(yè)將生產(chǎn)中斷/停工及公眾信心喪失視為最嚴(yán)重的IIoT網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

64%

公用事業(yè)企業(yè)自己檢測到的

IIoT網(wǎng)絡(luò)安全事故不到實(shí)際發(fā)

生數(shù)量的

50%

2

為了更好地了解IIoT安全現(xiàn)狀，IBM商業(yè)價(jià)值研究院(IBV)與牛津經(jīng)濟(jì)研究院合作，對18個(gè)國家或地區(qū)的700多位工業(yè)與能源企業(yè)高管（包括120位公用事業(yè)高

在運(yùn)營中實(shí)施了IIoT。

管）進(jìn)行了一次調(diào)研。調(diào)研期間，所有700家企業(yè)全部

研究確認(rèn)，公用事業(yè)領(lǐng)域既是IIoT技術(shù)的早期采用者，也是廣泛采用者。廣大受訪者普遍表示，所在企業(yè)主要應(yīng)用IIoT技術(shù)發(fā)出警報(bào)、讀表以及實(shí)時(shí)監(jiān)測設(shè)備，因此會(huì)生成大量數(shù)據(jù)，并通過監(jiān)測與控制網(wǎng)絡(luò)傳輸相關(guān)數(shù)據(jù)。

然而，公用事業(yè)企業(yè)高管對IIoT終端的安全倍感擔(dān)憂。24%的受訪者認(rèn)為設(shè)備和傳感器是IIoT部署最薄弱的環(huán)節(jié)。另外，公用事業(yè)企業(yè)高管擔(dān)心這些設(shè)備、傳感器及網(wǎng)關(guān)上的數(shù)據(jù)未得到充分保護(hù)。12%的公用事業(yè)企業(yè)擔(dān)心云端數(shù)據(jù)的脆弱性。

公用事業(yè)領(lǐng)域網(wǎng)絡(luò)攻擊可能會(huì)產(chǎn)生嚴(yán)重的健康、經(jīng)濟(jì)、環(huán)境和心理影響。

平均而言，公用事業(yè)企業(yè)將敏感數(shù)據(jù)曝光視為影響最嚴(yán)重的IIoT相關(guān)風(fēng)險(xiǎn)。這包括計(jì)費(fèi)和收入信息（來自智能電網(wǎng)和智能電表系統(tǒng)）、控制系統(tǒng)信息以及員工和客戶

數(shù)據(jù)。電力公用事業(yè)企業(yè)更擔(dān)心生產(chǎn)中斷或停工，以及由此引發(fā)的聲譽(yù)損害。半數(shù)以上的公用事業(yè)企業(yè)擔(dān)心監(jiān)管違規(guī)和設(shè)備損壞帶來的潛在影響（見圖1）。

圖1

公用事業(yè)市場：影響重大的IIoT網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

敏感數(shù)據(jù)/保密數(shù)據(jù)泄露破壞活動(dòng)導(dǎo)致生產(chǎn)中斷/停工企業(yè)聲譽(yù)受損/公眾信心喪失違反法規(guī)要求/可能遭受罰款因操縱物理輸出導(dǎo)致設(shè)備損壞

危害個(gè)人安全潛在的環(huán)境危害/災(zāi)難

因連接運(yùn)營系統(tǒng)的IT系統(tǒng)過于復(fù)雜，

導(dǎo)致可視性和控制力下降

知識(shí)產(chǎn)權(quán)盜竊未經(jīng)認(rèn)證的設(shè)備配置變更、補(bǔ)丁變更

62%

74%

64%

65%

64%

63%

58%

65%

47%

56%

51%

44%*

48%

49%

43%

49%

43%

47%

42%

49%

電力 供水

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

為什么公用事業(yè)企業(yè)未能縮小差距？

公用事業(yè)企業(yè)很清楚網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的存在，但70%的受訪者表示他們對IIoT網(wǎng)絡(luò)安全技術(shù)至多只是泛泛了解。調(diào)研結(jié)果表明，公用事業(yè)企業(yè)缺乏基本的IIoT網(wǎng)絡(luò)衛(wèi)生戰(zhàn)略—也就是緩解風(fēng)險(xiǎn)所需的組織、技術(shù)和流程。雖然電力企業(yè)還未真正實(shí)現(xiàn)“安全”運(yùn)營，但他們對IIoT部署和所連接的信息/實(shí)體系統(tǒng)安全需求的認(rèn)識(shí)，要比供水企業(yè)更勝一籌。18%的電力企業(yè)已經(jīng)制定了正式的IIoT網(wǎng)絡(luò)安全計(jì)劃，用于建立、管理和更新所需的IIoT網(wǎng)絡(luò)安全工具、流程和技能，而供水企業(yè)中只有2%做到了這一點(diǎn)（見圖2）。

圖2

理解IIoT網(wǎng)絡(luò)安全并采用正式的網(wǎng)絡(luò)安全計(jì)劃

顯著

一般

有限

正式采用

正在評估

對IIoT網(wǎng)絡(luò)安全

IIoT網(wǎng)絡(luò)安全

IIoT風(fēng)險(xiǎn)

的理解有限

計(jì)劃

2%*

供水

18%*

電力

70%*

供水

70%*

電力

28%*

供水

12%*

電力

什么是網(wǎng)絡(luò)衛(wèi)生？2

網(wǎng)絡(luò)衛(wèi)生是指企業(yè)在網(wǎng)絡(luò)安全計(jì)劃中采用的基準(zhǔn)網(wǎng)絡(luò)實(shí)踐，以及使用計(jì)算機(jī)和其他設(shè)備的企業(yè)和用戶為維護(hù)系統(tǒng)正常運(yùn)行和提高在線安全性所采取的步驟。通常，此類實(shí)踐屬于日常工作，旨在幫助確保身份及其他可能被盜或遭受破壞的詳細(xì)信息的安全性。與身體衛(wèi)生一樣，定期實(shí)施網(wǎng)絡(luò)衛(wèi)生工作有助于防止自然損

耗和常見威脅。

4

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

大多數(shù)公用事業(yè)企業(yè)對IIoT網(wǎng)絡(luò)安全只有一定程度的了解。

雖然平均而言，電力企業(yè)的網(wǎng)絡(luò)安全計(jì)劃日漸成熟，但電力企業(yè)和供水企業(yè)這兩個(gè)群體的IIoT網(wǎng)絡(luò)安全能力還不成熟。他們面臨巨大挑戰(zhàn)，致使IIoT技術(shù)與網(wǎng)絡(luò)安全部署之間存在巨大差距，妨礙實(shí)現(xiàn)全方位的IIoT網(wǎng)絡(luò)安全（見圖3）。

在接受調(diào)研的供水企業(yè)和電力企業(yè)高管中，有49%的供水

企業(yè)高管和40%的電力企業(yè)高管面臨網(wǎng)絡(luò)安全人才短缺問題。此外，在運(yùn)用眾多IIoT技術(shù)保護(hù)復(fù)雜公用事業(yè)基礎(chǔ)設(shè)施時(shí)，面臨速度和規(guī)模方面的難題。我們的研究表明，44%的供水企業(yè)高管和30%的電力企業(yè)高管面臨巨大的數(shù)據(jù)挑戰(zhàn)。

圖3

保障公用事業(yè)IIoT部署安全面臨的最大挑戰(zhàn)

缺乏高技能人才安全大數(shù)據(jù)挑戰(zhàn)

多種法規(guī)、標(biāo)準(zhǔn)和準(zhǔn)則更新現(xiàn)有的工業(yè)生產(chǎn)網(wǎng)絡(luò)

無法發(fā)現(xiàn)威脅并確定威脅優(yōu)先級(jí)智能系統(tǒng)過時(shí)或基礎(chǔ)設(shè)施老化

電力

這些企業(yè)為了有效管理、分析和應(yīng)用安全工具所采集的數(shù)據(jù)，以便支持檢測和補(bǔ)救工作而疲于奔命。

近期發(fā)表的一份關(guān)于攻擊活動(dòng)全球趨勢的報(bào)告指出，

2017年，從成功入侵到檢測到威脅之間的時(shí)間中位數(shù)為

101天。3我們的調(diào)研數(shù)據(jù)表明，電力企業(yè)和供水企業(yè)分

別需要14天和18天才能做出響應(yīng)并恢復(fù)運(yùn)營。此外，受訪者表示，約半數(shù)公用事業(yè)企業(yè)的IIoT網(wǎng)絡(luò)安全事故

（53%的電力企業(yè)事故和48%的供水企業(yè)事故）由第三方檢測出，而不是由他們自己檢測出。

40%

49%

44%

30%*

40%

30%*

39%

30%*

34%

33%*

29%

28%*

供水

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

公用事業(yè)企業(yè)選擇最多的三項(xiàng)。n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

保護(hù)基于云的公用事業(yè)企業(yè)數(shù)據(jù)

智慧城市中的電力控制基礎(chǔ)設(shè)施不斷產(chǎn)生海量數(shù)據(jù)，不僅涉及車流量、街道照明和安全傳感器，還涵蓋分配的電力資源、電力流動(dòng)和使用情況。為使公用事業(yè)企業(yè)利用不斷增長的IIoT傳感器數(shù)據(jù)，在云端托管的計(jì)算和存儲(chǔ)資源提供了多種有效方法。

但是，北美發(fā)電或輸電企業(yè)必須遵守北美電力可靠性公司(NERC)關(guān)鍵基礎(chǔ)設(shè)施保護(hù)(CIP)委員會(huì)制定的“關(guān)鍵國家基礎(chǔ)設(shè)施”法規(guī)。因此，目前無法將控制系統(tǒng)信息傳輸?shù)焦_共享的云托管計(jì)算環(huán)境。聯(lián)邦能源監(jiān)管委員會(huì)(FERC)采用NERCCIP標(biāo)準(zhǔn)，幫助保護(hù)和監(jiān)管大規(guī)模電網(wǎng)，要求公用事業(yè)企業(yè)了解誰有權(quán)訪問其數(shù)據(jù)以及如何對數(shù)據(jù)實(shí)施保護(hù)。7

IBM與NERC開展合作，共同開發(fā)“聯(lián)邦風(fēng)險(xiǎn)與授權(quán)管理計(jì)劃”(FedRAMP)模型，這是美國政府用于評估云系統(tǒng)安全性的標(biāo)準(zhǔn)化方法。CIPC正在評估這個(gè)流程，確定是否可以在符合“CIP可靠性標(biāo)準(zhǔn)”的環(huán)境中進(jìn)行使用。FedRAMP模型通過值得信賴的第三

方來驗(yàn)證是否已實(shí)施并監(jiān)控控制措施，從而增強(qiáng)合規(guī)性，加快讓IIoT數(shù)據(jù)上云的速度。8

6

極速應(yīng)對安全違規(guī)事件至關(guān)重要。Ponemon近期發(fā)表的數(shù)據(jù)泄露成本報(bào)告顯示，發(fā)現(xiàn)并控制數(shù)據(jù)泄露事件的速度越快，成本就越低。報(bào)告發(fā)現(xiàn)，廣泛應(yīng)用IoT設(shè)備會(huì)使每條記錄泄露的平均成本提高5美元。相比之下，完全部署安全自動(dòng)化解決方案的企業(yè)，數(shù)據(jù)泄露的平均成本比沒有部署的企業(yè)要低約35%。4

另外，受訪者還表示，他們需要應(yīng)用或遵守太多的法規(guī)、標(biāo)準(zhǔn)和準(zhǔn)則，感到壓力巨大（請參閱側(cè)邊欄“保護(hù)基于云的公用事業(yè)企業(yè)數(shù)據(jù)”）。此外，在接受調(diào)研的電力企業(yè)和供水企業(yè)中，39%的電力企業(yè)和30%的供水企業(yè)具有工業(yè)生產(chǎn)網(wǎng)絡(luò)以及難以更新的老化基礎(chǔ)設(shè)施。安全性是許多早期工業(yè)控制系統(tǒng)應(yīng)用（如智能電網(wǎng)）事后才考慮的問題，而傳統(tǒng)設(shè)備在制造之時(shí)通常對安全性關(guān)注不足。

因此，更換此類設(shè)備既昂貴又不切實(shí)際，因?yàn)樾率皆O(shè)備并不總是采用現(xiàn)代安全功能制造，而且全天運(yùn)行的設(shè)備的更新時(shí)間窗口期非常有限。5這種情況近期內(nèi)不大可能發(fā)生轉(zhuǎn)變：截至2018年9月，加利福尼亞州是美國唯一出臺(tái)物

聯(lián)網(wǎng)安全法規(guī)的州，而且直到2020年才會(huì)生效。6

完全部署安全自動(dòng)化解決方案的企業(yè)，數(shù)據(jù)泄露的平均成本比沒有部署的企業(yè)要低約35%。4

縮小差距：構(gòu)筑有力的防御屏障

我們建議雙管齊下，縮小網(wǎng)絡(luò)安全差距。首先，企業(yè)應(yīng)專注于構(gòu)筑強(qiáng)大的IIoT網(wǎng)絡(luò)安全基礎(chǔ)，并制定基本的網(wǎng)絡(luò)衛(wèi)生戰(zhàn)略。建立防御基礎(chǔ)后，公用事業(yè)企業(yè)可通過使用人工智能和自動(dòng)化技術(shù)，重點(diǎn)培養(yǎng)更高級(jí)的安全能力。這樣，不僅可以進(jìn)一步克服挑戰(zhàn)，還能確保實(shí)現(xiàn)持續(xù)運(yùn)營和服務(wù)交付。

以下是幫助公用事業(yè)企業(yè)奠定堅(jiān)實(shí)的IIoT網(wǎng)絡(luò)衛(wèi)生基礎(chǔ)的四項(xiàng)戰(zhàn)略：

在企業(yè)層面管理IIoT網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

如果公用事業(yè)IIoT環(huán)境保護(hù)不力，會(huì)對社會(huì)各界造成風(fēng)險(xiǎn)。因此，整個(gè)公用事業(yè)領(lǐng)域均應(yīng)了解并管理這些風(fēng)險(xiǎn)。定義明確的IIoT安全戰(zhàn)略后，公用事業(yè)企業(yè)可以應(yīng)用三項(xiàng)實(shí)踐，為整個(gè)生態(tài)系統(tǒng)注入IIoT網(wǎng)絡(luò)安全能力：

正式制定IIoT安全計(jì)劃，定義、管理和更新所需的IIoT

網(wǎng)絡(luò)安全工具、流程和技能。

應(yīng)用安全和監(jiān)管框架組合（如美國國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)風(fēng)險(xiǎn)管理框架、NIST800標(biāo)準(zhǔn)和ISO/IEC27000-1），以此作為基礎(chǔ)：9

確定關(guān)鍵數(shù)據(jù)、資產(chǎn)和安全邊界。

確定IIoT系統(tǒng)、連接的生產(chǎn)環(huán)境和人員資產(chǎn)中的漏洞。

構(gòu)建和定制風(fēng)險(xiǎn)管理框架。

評估風(fēng)險(xiǎn)，記錄并執(zhí)行計(jì)劃以減輕風(fēng)險(xiǎn)。

保護(hù)最緊迫的安全計(jì)劃的投資并溝通進(jìn)度。

根據(jù)業(yè)務(wù)目標(biāo)與合規(guī)要求，平衡可接受的風(fēng)險(xiǎn)水平。

組建跨職能安全團(tuán)隊(duì)，廣泛覆蓋IT安全、工程、運(yùn)營、控制系統(tǒng)和安全供應(yīng)商。在接受調(diào)研的電力企業(yè)和供水企業(yè)中，49%的電力企業(yè)和44%的供水企業(yè)部署了這樣的團(tuán)隊(duì)?？缏毮芄ぷ鞣椒ㄓ兄谄髽I(yè)更清晰地了解物聯(lián)網(wǎng)系統(tǒng)、標(biāo)準(zhǔn)企業(yè)IT系統(tǒng)和運(yùn)營設(shè)備之間的差異。同時(shí)，還可以幫助公用事業(yè)企業(yè)利用IT和運(yùn)營技術(shù)(OT)專業(yè)技能，更有效地保護(hù)系統(tǒng)和設(shè)備（參見圖4）。10

員工網(wǎng)絡(luò)安全教育有助于增強(qiáng)安全意識(shí)，提高安全運(yùn)營有效性。

圖4

16%*

44%*

19%*

18%*

48%

在企業(yè)層面管理IIoT網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

2%*

電力 供水

制定了正式的IIoT網(wǎng)絡(luò)安全計(jì)劃

應(yīng)用了NIST網(wǎng)絡(luò)安全框架和/或800系列標(biāo)準(zhǔn)組建了跨職能安全團(tuán)隊(duì)

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

落實(shí)并執(zhí)行IIoT網(wǎng)絡(luò)安全。

隨著IIoT技術(shù)成為公用事業(yè)關(guān)鍵架構(gòu)的一部分，安全功能也應(yīng)同步融入。以下三項(xiàng)實(shí)踐有助于將安全功能融入架構(gòu)，將它們整合到運(yùn)營之中，并且在企業(yè)之外發(fā)揮作用：

將IIoT網(wǎng)絡(luò)安全整合到IT、OT和IIoT運(yùn)營流程中。64%的電力企業(yè)表示，他們至少部署了安全提供基于IIoT的新產(chǎn)品或新服務(wù)所需的基礎(chǔ)架構(gòu)和流程。只有35%的供水企業(yè)做到這一點(diǎn)。為部署高風(fēng)險(xiǎn)的復(fù)雜IIoT系統(tǒng)，不僅需要網(wǎng)絡(luò)安全專家，還要由OT專家提供信息/實(shí)體系統(tǒng)設(shè)計(jì)和運(yùn)行方面的指導(dǎo)。我們建議采用安全系統(tǒng)開發(fā)生命周期(SDLC)（如DevSecOps），整合各種活動(dòng)，以便盡早發(fā)現(xiàn)并消除漏洞。

增強(qiáng)員工洞悉物聯(lián)網(wǎng)安全運(yùn)營、IT和OT運(yùn)營的能力。118%的電力企業(yè)和12%的供水企業(yè)將此作為重點(diǎn)預(yù)防性措施。網(wǎng)絡(luò)安全教育和安全意識(shí)活動(dòng)對于實(shí)現(xiàn)IIoT網(wǎng)絡(luò)衛(wèi)生至關(guān)重要（見圖5）。

定義明確的安全與隱私服務(wù)級(jí)別協(xié)議(SLA)。在依賴第三方的情況下，這一點(diǎn)尤其重要。只有16%的電力企業(yè)通過SLA來監(jiān)控和履行安全要求，沒有供水企業(yè)受訪者表示這樣做。確保對數(shù)據(jù)的受控訪問有助于抵御內(nèi)部攻擊，防止信息被盜或受到損害。務(wù)必記錄有權(quán)訪問敏感功能或數(shù)據(jù)的人員，密切監(jiān)控和審計(jì)這些特權(quán)用戶的行為。12

圖5

落實(shí)并執(zhí)行IIoT網(wǎng)絡(luò)安全

本可能產(chǎn)生災(zāi)難性影響，將有助于企業(yè)正確劃分網(wǎng)絡(luò)安全投資的優(yōu)先級(jí)。以下兩項(xiàng)實(shí)踐尤其有助于限制違規(guī)行為的影響：

購買網(wǎng)絡(luò)保險(xiǎn)以減輕殘余風(fēng)險(xiǎn)。46%的電力企業(yè)和44%的供水企業(yè)購買網(wǎng)絡(luò)保險(xiǎn)，抵消違規(guī)或類似事件后的恢復(fù)成本。

與第三方簽訂合同以降低風(fēng)險(xiǎn)。42%的電力企業(yè)和

48%的供水企業(yè)采用這種方法（見圖6）。

圖6

了解并限制事故和違規(guī)的影響

16%*

30%

64%

48%

48%

42%*

44%*

12%*

35%*

0%*

電力 供水

IIoT網(wǎng)絡(luò)安全已整合到IT、OT和IIoT運(yùn)營流程增強(qiáng)了員工洞悉IIoT安全運(yùn)營的能力

定義了明確的安全與隱私SLA

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

了解并限制事故和違規(guī)的影響。

綜合考量違規(guī)的所有成本：響應(yīng)和通知、關(guān)鍵基礎(chǔ)設(shè)施損壞、監(jiān)管罰款、額外的安全和審計(jì)要求，以及其他賠償責(zé)任和估算的損失。了解哪些成本可以消化，哪些成

電力 供水

購買了網(wǎng)絡(luò)保險(xiǎn)

與第三方簽訂合同以緩解風(fēng)險(xiǎn)

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

精心策劃響應(yīng)措施，應(yīng)對事故和違規(guī)

公用事業(yè)企業(yè)面臨諸多難題：難以捉摸的復(fù)雜網(wǎng)絡(luò)攻擊、異常繁復(fù)的基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全技能不足等。用于實(shí)現(xiàn)快速動(dòng)態(tài)、統(tǒng)籌協(xié)調(diào)的響應(yīng)的技術(shù)和流程至關(guān)重要。我們發(fā)現(xiàn)了四項(xiàng)幫助建立相關(guān)能力的實(shí)踐：

在安全管理計(jì)劃中，制定事故響應(yīng)計(jì)劃。如有必要，與第三方事故處理公司合作，以便獲得專業(yè)技能。62%的電力企業(yè)和42%的供水企業(yè)制定了事故響應(yīng)計(jì)劃，確立了針對受損IIoT組件的行動(dòng)預(yù)案。

執(zhí)行網(wǎng)絡(luò)安全違規(guī)模擬。22%的電力企業(yè)通過執(zhí)行安全違規(guī)模擬以進(jìn)一步實(shí)施事故響應(yīng)，幫助確定發(fā)生違規(guī)時(shí)要激活哪些流程、人員和工具。只有7%的受訪供水企業(yè)執(zhí)行模擬。

執(zhí)行滲透測試和紅隊(duì)演習(xí)。紅隊(duì)是指模擬網(wǎng)絡(luò)攻擊的道德黑客團(tuán)體，旨在幫助安全負(fù)責(zé)人對事故響應(yīng)計(jì)劃進(jìn)行壓力測試、找出差距并進(jìn)行相應(yīng)調(diào)整。滲透測試有助于發(fā)現(xiàn)臨時(shí)漏洞，確保持續(xù)遵守安全策略和數(shù)據(jù)隱私法規(guī)。我們的研究表明，37%的電力企業(yè)和26%的供水企業(yè)正在實(shí)施此類進(jìn)攻性防御戰(zhàn)略。

定期進(jìn)行現(xiàn)場和工廠狀況感知以及安全運(yùn)營中心(SOC)監(jiān)控?，F(xiàn)場和工廠狀況感知演習(xí)應(yīng)在SOC團(tuán)隊(duì)的輔助下完成，SOC團(tuán)隊(duì)將持續(xù)評估企業(yè)的安全狀況，監(jiān)督安全運(yùn)營并與組織事故響應(yīng)團(tuán)隊(duì)密切合作。超過1/4的電力企業(yè)正在不斷深化自身對于復(fù)雜運(yùn)營環(huán)境（如發(fā)電廠）的認(rèn)識(shí)，這對于決策者而言至關(guān)重要；相比之下，只有14%的供水企業(yè)做到這一點(diǎn)（見圖7）。

圖7

精心策劃響應(yīng)措施，應(yīng)對事故和違規(guī)

22%*

26%

37%

62%

42%*

26%*

14%*

7%*

電力 供水

事故響應(yīng)計(jì)劃

網(wǎng)絡(luò)安全違規(guī)模擬滲透測試和紅隊(duì)演習(xí)

定期現(xiàn)場和工廠狀況與SOC監(jiān)控

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

確立防御基礎(chǔ)后，公用事業(yè)企業(yè)可以專注實(shí)施第五項(xiàng)戰(zhàn)略，培養(yǎng)更高級(jí)的能力。

應(yīng)用智能化、自動(dòng)化的威脅檢測和響應(yīng)技術(shù)

為減輕安全人員的負(fù)擔(dān)，可通過實(shí)施人工智能驅(qū)動(dòng)的自動(dòng)化調(diào)查流程來減少手動(dòng)威脅檢測。通過定義敏感數(shù)據(jù)和資

—應(yīng)用數(shù)據(jù)挖掘和機(jī)器學(xué)習(xí)技術(shù)，處理威脅情報(bào)。SOC團(tuán)隊(duì)可適時(shí)獲得適當(dāng)?shù)耐{情報(bào)，實(shí)時(shí)阻止攻擊，預(yù)測攻擊者的下一步行動(dòng)并主動(dòng)獵殺威脅。只有17%的電力企業(yè)和4%的供水企業(yè)具備相關(guān)系統(tǒng)，能夠從IIoT數(shù)據(jù)流和外部來源中提取信息，并且應(yīng)用機(jī)器學(xué)習(xí)技術(shù)來檢測異常行為，預(yù)測存在嚴(yán)重威脅的項(xiàng)目（見圖8）。

產(chǎn)、網(wǎng)絡(luò)分段和云服務(wù)，可以對自定義警報(bào)進(jìn)行系統(tǒng)優(yōu)先

級(jí)排序。安全工具可以利用人工智能，理解所采集的大量

數(shù)據(jù)。以下是實(shí)現(xiàn)這些功能的五種方法：

應(yīng)用高級(jí)網(wǎng)絡(luò)安全監(jiān)控與分析技術(shù)，進(jìn)行事故檢測與補(bǔ)救。37%的電力企業(yè)和12%的供水企業(yè)專注于分析IIoT信息，而不是收集數(shù)據(jù)以生成事后審計(jì)和報(bào)告。

實(shí)施人工智能技術(shù)，實(shí)時(shí)進(jìn)行安全監(jiān)控與響應(yīng)。為實(shí)時(shí)跟蹤IIoT信息并全面了解環(huán)境中發(fā)生的情況，20%的電力企業(yè)已自動(dòng)收集、集成和分析所有可能監(jiān)測點(diǎn)的數(shù)據(jù)。包括系統(tǒng)日志、網(wǎng)絡(luò)流、終端數(shù)據(jù)、云使用情況和用戶行為。只有2%的供水企業(yè)實(shí)施類似的功能。

應(yīng)用數(shù)據(jù)挖掘和機(jī)器學(xué)習(xí)技術(shù)，自動(dòng)構(gòu)建模型、跟蹤正常行為和標(biāo)記異?；顒?dòng)。各監(jiān)測點(diǎn)的IIoT信息有助于

理解深入到網(wǎng)絡(luò)層面的“正?！睒?biāo)準(zhǔn)。機(jī)器學(xué)習(xí)可以自

圖8

應(yīng)用智能化、自動(dòng)化的威脅檢測和響應(yīng)技術(shù)

18%*

20%*

37%

2%*

12%*

4%*

5%*5%*

17%*

26%

動(dòng)構(gòu)建正常自適應(yīng)模型、跟蹤正常行為以及標(biāo)記可能表明出現(xiàn)新威脅跡象的異?；顒?dòng)。18%的電力企業(yè)和5%的供水企業(yè)表示自己具備這些能力。

應(yīng)用高級(jí)行為分析，用于終端違規(guī)檢測與響應(yīng)。運(yùn)用終端檢測和響應(yīng)機(jī)制補(bǔ)充現(xiàn)有技術(shù)，監(jiān)測惡意軟件創(chuàng)建者在近期攻擊中采用的技術(shù)，進(jìn)而利用由機(jī)器學(xué)習(xí)提供支持的模式識(shí)別技術(shù)來彌補(bǔ)差距。26%的電力企業(yè)表示已采用能夠利用機(jī)器學(xué)習(xí)的行為分析，只有5%的供水企業(yè)做到這一點(diǎn)。

電力 供水

應(yīng)用高級(jí)網(wǎng)絡(luò)安全監(jiān)控與分析技術(shù)，進(jìn)行事故檢測與補(bǔ)救實(shí)施人工智能技術(shù)，實(shí)時(shí)進(jìn)行安全監(jiān)控與響應(yīng)

應(yīng)用數(shù)據(jù)挖掘和機(jī)器學(xué)習(xí)技術(shù)，自動(dòng)構(gòu)建模型、跟蹤正常行為和標(biāo)記異常

活動(dòng)

高級(jí)行為分析，用于漏洞檢測和響應(yīng)

應(yīng)用數(shù)據(jù)挖掘和機(jī)器學(xué)習(xí)技術(shù)，處理威脅情報(bào)

來源：IBM商業(yè)價(jià)值研究院對標(biāo)調(diào)研，2018年。

n=120；電力=77；供水=43

*計(jì)數(shù)較低(n<20)在統(tǒng)計(jì)學(xué)上不具有可靠性，但與其余受訪者做比較時(shí)可以視作方向性推論。

為制定強(qiáng)有力的安全戰(zhàn)略，必須進(jìn)行全方位的IIoT風(fēng)險(xiǎn)評估。

對于公用事業(yè)企業(yè)而言，必須確保家家戶戶“電燈長明”或“流水不斷”，因而可用性成為主要的安全優(yōu)先事項(xiàng)。但是，倘若未全面評估IIoT風(fēng)險(xiǎn)即實(shí)施多項(xiàng)IIoT安全控制、實(shí)踐和技術(shù)，將會(huì)導(dǎo)致戰(zhàn)略重點(diǎn)不明，進(jìn)而造成IIoT網(wǎng)絡(luò)安全投資重點(diǎn)錯(cuò)位。若未開展強(qiáng)有力的評估，公用事業(yè)企業(yè)最終可能達(dá)不到關(guān)鍵防御措施的要求。在實(shí)施總體IIoT安全戰(zhàn)略和計(jì)劃的過程中，必須采用網(wǎng)絡(luò)安全實(shí)踐和技術(shù)，并且符合更廣泛的企業(yè)IT和運(yùn)營技術(shù)風(fēng)險(xiǎn)與安全框架。這并非某一種特定工具或某一項(xiàng)特定技能。安全性與人員、技術(shù)和流程息息相關(guān)，各要素環(huán)環(huán)相扣，必須精心統(tǒng)籌策劃才能有效運(yùn)行。這是整個(gè)生態(tài)系統(tǒng)發(fā)揮合力的結(jié)果，包括公用事業(yè)企業(yè)、政府、設(shè)備提供商和安全供應(yīng)商。

貴組織能否保護(hù)基礎(chǔ)設(shè)施、國民經(jīng)濟(jì)乃至整個(gè)社會(huì)？

?如何保證貴組織的運(yùn)營技術(shù)安全戰(zhàn)略與總體安全戰(zhàn)略保持一致？

?如何保證IIoT安全實(shí)踐與組織確立的企業(yè)風(fēng)險(xiǎn)管理框架保持一致？

?如何將安全工具和管理流程整合到企業(yè)安全框架和運(yùn)營流程之中？

?如何采用“安全第一”戰(zhàn)略，將基本安全功能融入IIoT設(shè)計(jì)的方方面面？

?如何遏制威脅影響、減少中斷以及建立從攻擊中快速恢復(fù)的能力？

關(guān)于作者

CristeneGonzalez-Wertz

/in/cjgw1

cristeneg@

CristeneGonzalez-Wertz是IBM商業(yè)價(jià)值研究院的電子、環(huán)保、能源與公用事業(yè)行業(yè)領(lǐng)域的主管。她負(fù)責(zé)為客戶提供人工智能、分析技術(shù)、物聯(lián)網(wǎng)、安全性和客戶體驗(yàn)方面的技術(shù)、趨勢和戰(zhàn)略定位建議。Cristene提供新價(jià)值機(jī)遇方面的指導(dǎo)，尤其擅長數(shù)據(jù)化經(jīng)濟(jì)。

Lisa-GianeFisher

/in/lisa-giane-?sher

l?sher@

Lisa-GianeFisher是IBM商業(yè)價(jià)值研究院中東和非洲對標(biāo)分析負(fù)責(zé)人。她主要負(fù)責(zé)保修和物聯(lián)網(wǎng)安全對標(biāo)分析，并與IBM行業(yè)專家合作開發(fā)并維護(hù)行業(yè)流程框架。

StevenDougherty

/in/steven-a-steve

dougherty-cissp-cfe-4585b7

sdougherty@

StevenDougherty是IBMSecurity能源、環(huán)境與公用事業(yè)業(yè)務(wù)開發(fā)主管。他在為全球客戶設(shè)計(jì)、交付和運(yùn)行創(chuàng)新型解決方案、工業(yè)控制和技術(shù)戰(zhàn)略方面擁有30多年的豐富經(jīng)驗(yàn)。Steven是IEEE資深成員、經(jīng)過認(rèn)證的信息系統(tǒng)安全專家(CISSP)和經(jīng)過認(rèn)證的欺詐檢驗(yàn)師(CFE)。

MarkHolt

/in/lmarkholt

mholt@

MarkHolt是IBM全球能源、環(huán)境與公用事業(yè)行業(yè)安全業(yè)務(wù)開發(fā)負(fù)責(zé)人。Mark不僅在工程系統(tǒng)、資產(chǎn)管理和物聯(lián)網(wǎng)方面擁有豐富經(jīng)驗(yàn)，還領(lǐng)導(dǎo)實(shí)施了IBM系統(tǒng)工程戰(zhàn)略。目前，Mark負(fù)責(zé)在全球?qū)BM安全能力應(yīng)用于公用事業(yè)領(lǐng)域。

更多信息

欲獲取IBM研究報(bào)告的完整目錄，或者訂閱我們的每月新聞稿，請?jiān)L問：

/iibv

。

從應(yīng)用商店下載免費(fèi)“IBMIBV”應(yīng)用，即可在平板電腦上訪問IBM商業(yè)價(jià)值研究院執(zhí)行報(bào)告。

訪問IBM商業(yè)價(jià)值研究院中國網(wǎng)站，免費(fèi)下載研究報(bào)告:

/cn-zh/services/insights/

institute-business-value

。

選對合作伙伴，駕馭多變的世界

在IBM，我們積極與客戶協(xié)作，運(yùn)用業(yè)務(wù)洞察和先進(jìn)的研究方法與技術(shù)，幫助他們在瞬息萬變的商業(yè)環(huán)境中保持獨(dú)特的競爭優(yōu)勢。

IBM商業(yè)價(jià)值研究院

IBM商業(yè)價(jià)值研究院(IBV)隸屬于IBM服務(wù)部，致力于為全球高級(jí)業(yè)務(wù)主管就公共和私營領(lǐng)域的關(guān)鍵問題提供基于事實(shí)的戰(zhàn)略洞察。

IBM的能力

如果不實(shí)施充分的保護(hù)，

就將用于監(jiān)測和控制物理環(huán)境

的系統(tǒng)貿(mào)然連接到互聯(lián)網(wǎng)，不但會(huì)帶來風(fēng)險(xiǎn)，

而且代價(jià)

可能十分沉重。

一旦網(wǎng)絡(luò)攻擊成功入侵IoT支持的公用

事業(yè)行業(yè)運(yùn)營環(huán)境，

很可能會(huì)導(dǎo)致災(zāi)難性的后果。但也

不必過分擔(dān)心

，許多風(fēng)險(xiǎn)都可以避免或緩解。IBM可以

幫助公用事業(yè)行業(yè)高管輕松應(yīng)對愈發(fā)頻繁的網(wǎng)絡(luò)攻擊

。

我們將認(rèn)知方法應(yīng)用于安全領(lǐng)域，

幫助保護(hù)關(guān)鍵基礎(chǔ)設(shè)

施資產(chǎn)，

采用新型服務(wù)為平臺(tái)和生態(tài)系統(tǒng)提供支持。我

們的全球公用事業(yè)專家具備深厚的專業(yè)知識(shí)，

完全有能

力保護(hù)您的資產(chǎn)和流程，

同時(shí)提升產(chǎn)品和服務(wù)的質(zhì)量。

IBM

應(yīng)用認(rèn)知方法

，幫助降低安全風(fēng)險(xiǎn)。請?jiān)L問

ibm.

com/industries/energy

。

15

相關(guān)IBV出版物

Gonzalez-Wertz、Cristene、LisaFisher、PeterXu與MartinBorrett合著，“電子行業(yè)的工業(yè)物聯(lián)網(wǎng)：補(bǔ)齊短板，取得成功”，IBM商業(yè)價(jià)值研究院，2018年10月。

/common/ssi/cgi-bin/

ssialias?html?d=85020085CNZH&

TimHahn、MarcelKisch與JamesMurphy合著，“充滿威脅的網(wǎng)絡(luò)：保護(hù)面向工業(yè)和公用事業(yè)企業(yè)的物聯(lián)網(wǎng)”，IBM商業(yè)價(jià)值研究院，2018年3月

。

/common/ssi/cgi-bin/

ssialias?html?d=62013962CNZH&

“智能互聯(lián)—借助智能物聯(lián)網(wǎng)重塑企業(yè)”，全球最高管理層調(diào)研（第19期），IBM商業(yè)價(jià)值研究院，2018年1月。

/common/ssi/cgi-bin/

ssialias?html?d=32012632CNZH&

備注和參考資料

“Alert(TA18-074A)RussianGovernmentCyberActivityTargetingEnergyandOtherCriticalInfrastructureSectors.”UnitedStatesComputerEmergencyReadinessTeamalert.March15,2018.

/ncas/alerts/TA18-074A

Aldorisio,Jeff.“WhatisCyberHygiene?ADe?nitionofCyberHygiene,Bene?ts,BestPractices,andMore.”

DigitalGuardian.September26,2018.

/blog/what-cyber-hygiene-

de?nition-cyber-hygienebene?ts-best-practices-and-more

“M-Trends2018.”Mandiant,aFireEyecompany.2018.

https://www.?/content/dam/collateral/en/

mtrends-2018.pdf

“2018CostofaDataBreachStudy:GlobalOverview.”PonemonInstituteLLC.July2018.

/common/ssi/cgi-bin/

ssialias?html?d=55017055USEN

Gonzalez-Wertz,Cristene,LisaFisher,PeterXu,andMartinBorrett.“ElectronicsIndustrialIoTcybersecurity:Asstrongasitsweakestlink.”IBMInstituteforBusinessValue.October2018.

/services/us/gbs/

thoughtleadership/electronicsiiot/

Robertson,Adi.“Californiajustbecamethe?rststatewithanInternetofThingscybersecuritylaw.”TheVerge.September28,2018.

/2018/9/28/17874768/california-

iot-smart-device-cybersecurity-bill-sb-327signed-law

“MandatoryReliabilityStandardsforCriticalInfrastructureProtection:ARulebytheFederalEnergyRegulatoryCommission.”FederalRegister.January18,2008.

https://

/documents/2008/02/07/E8-1317/

mandatoryreliability-standards-for-critical-infrastructure

protection

;“CriticalInfrastructureProtectionCommittee(CIPC).”NorthAmericanElectricReliabilityCorporation(NERC)website,accessedDecember26,2018.

https://www.

/comm/CIPC/Pages/default.aspx

“CriticalInfrastructureProtectionCommittee(CIPC)MeetingMinutes.”NorthAmericanElectricReliabilityCorporation(NERC).June5-6,2018.

/comm/CIPC/

Agendas%20Highlights%20and%20Minutes%202013/

CIPC%20June%202018%20minutes%20DRAFT%20v0.pdf

“NationalInstituteofSta