關(guān)注公用事業(yè)網(wǎng)絡(luò)安全缺陷：從東拼西湊防線轉(zhuǎn)變?yōu)槌芍裨谛匕残臒o憂

作者：CristeneGonzalez-Wertz、Lisa-GianeFisher、StevenDougherty和MarkHolt

談話要點

IIoT在公用事業(yè)領(lǐng)域的運用

公用事業(yè)領(lǐng)域既是IIoT技術(shù)的早期采用者，也是廣泛采用者。我們的調(diào)研揭示了IIoT技術(shù)的采用領(lǐng)域和方式。

網(wǎng)絡(luò)安全之窘境

公用事業(yè)企業(yè)意識到了存在網(wǎng)絡(luò)安全風險。但為什么他們?nèi)噪y以實現(xiàn)全方位的IIoT網(wǎng)絡(luò)安全？

五大具體戰(zhàn)略

了解如何通過奠定強有力的網(wǎng)絡(luò)安全基礎(chǔ)，運用人工智能和自動化技術(shù)，獲得更先進的能力，從而實現(xiàn)并提高IIoT衛(wèi)生水平。

針對ICS網(wǎng)絡(luò)的攻擊：簡圖

隨著工業(yè)物聯(lián)網(wǎng)(IIoT)技術(shù)日益普及，自動化設(shè)備和流程變得越來越智能，而公用事業(yè)遭受網(wǎng)絡(luò)攻擊的風險也與日俱增。無論是由恐怖分子、網(wǎng)絡(luò)黑客還是國家發(fā)動，攻擊一旦成功，都可能引發(fā)毀滅性的后果。入侵核電廠和電網(wǎng)可能會影響電力供應(yīng)，而針對供水設(shè)施的網(wǎng)絡(luò)攻擊則可能導致飲水污染或斷供。公民安全、關(guān)鍵基礎(chǔ)設(shè)施和環(huán)境面臨嚴峻風險。由自動化和人工智能(AI)輔助實現(xiàn)的基本IIoT網(wǎng)絡(luò)衛(wèi)生成為確保公用事業(yè)運營和服務(wù)連續(xù)性的關(guān)鍵所在。

目前，公用事業(yè)企業(yè)利用IIoT技術(shù)收集數(shù)據(jù)，以監(jiān)測資產(chǎn)，獲得深入的運營洞察，同時提高效率和安全水平。然而，隨著IIoT的擴展，破解并訪問工業(yè)控制系統(tǒng)(ICS)網(wǎng)絡(luò)的惡意行為仍在繼續(xù)。針對使用IIoT環(huán)境的攻擊目標不僅涵蓋高價值資產(chǎn)或服務(wù)，還包括云端的關(guān)鍵工作負載。另外，還可能包括信息/實體系統(tǒng)中的流程控制子系統(tǒng)以及關(guān)鍵的業(yè)務(wù)、運營和消費者數(shù)據(jù)。例如，美國國土安全部(DHS)最近報告稱，Dragonfly間諜組織入侵了用于控制若干北美發(fā)電廠流程的HumanMachineInterfaces(HMI)。入侵系統(tǒng)后，該間諜組織不僅復制了配置信息，還可能破壞或控制設(shè)施。1

水力發(fā)電機保密監(jiān)督控制與數(shù)據(jù)采集(SCADA)系統(tǒng)數(shù)據(jù)在暗網(wǎng)中曝光

紐約大壩的SCADA

系統(tǒng)遭受黑客入侵

黑客入侵某水務(wù)公司的SCADA系統(tǒng)，控制水流和化學成分

以色列電力局

惡意軟件導致烏克蘭變電站下線(Industroyer)

勒索軟件加密了未打補丁的E&U流程控制系

統(tǒng)(WannaCry)

針對SIS的攻擊發(fā)布(TRISIS)

美國CERT發(fā)布了有

美國天然氣和電力公司發(fā)生網(wǎng)絡(luò)安全違規(guī)事件

三家烏克蘭配電企業(yè)的SCADA系統(tǒng)遭受滲透攻擊

收到勒索軟件電子郵件

巴伐利亞州核電站燃

料系統(tǒng)發(fā)現(xiàn)惡意軟件

密歇根州電力和水務(wù)公用事業(yè)設(shè)施遭受勒索軟件網(wǎng)絡(luò)釣魚攻擊

NotPetya惡意軟件導致切爾諾貝利輻射傳感器陷入癱瘓

關(guān)Dragonfly網(wǎng)絡(luò)間諜組織入侵美國公用事業(yè)控制系統(tǒng)的報告，其中包含HMI訪問證據(jù)。

2018

2017

2016

2015

6月 12月 1月 3月 4月 12月 5月 6月 12月 3月

來源：IBMSecurity研究。

公用事業(yè)運營領(lǐng)域

中的IIoT網(wǎng)絡(luò)安全

的公用事業(yè)企業(yè)打算部署

IIoT技術(shù)，但他們對IIoT網(wǎng)

絡(luò)安全技術(shù)至多只是泛泛了解

70%

的電力企業(yè)將生產(chǎn)中斷/停工及公眾信心喪失視為最嚴重的IIoT網(wǎng)絡(luò)安全風險

64%

公用事業(yè)企業(yè)自己檢測到的

IIoT網(wǎng)絡(luò)安全事故不到實際發(fā)

生數(shù)量的

50%

2

為了更好地了解IIoT安全現(xiàn)狀，IBM商業(yè)價值研究院(IBV)與牛津經(jīng)濟研究院合作，對18個國家或地區(qū)的700多位工業(yè)與能源企業(yè)高管（包括120位公用事業(yè)高

在運營中實施了IIoT。

管）進行了一次調(diào)研。調(diào)研期間，所有700家企業(yè)全部

研究確認，公用事業(yè)領(lǐng)域既是IIoT技術(shù)的早期采用者，也是廣泛采用者。廣大受訪者普遍表示，所在企業(yè)主要應(yīng)用IIoT技術(shù)發(fā)出警報、讀表以及實時監(jiān)測設(shè)備，因此會生成大量數(shù)據(jù)，并通過監(jiān)測與控制網(wǎng)絡(luò)傳輸相關(guān)數(shù)據(jù)。

然而，公用事業(yè)企業(yè)高管對IIoT終端的安全倍感擔憂。24%的受訪者認為設(shè)備和傳感器是IIoT部署最薄弱的環(huán)節(jié)。另外，公用事業(yè)企業(yè)高管擔心這些設(shè)備、傳感器及網(wǎng)關(guān)上的數(shù)據(jù)未得到充分保護。12%的公用事業(yè)企業(yè)擔心云端數(shù)據(jù)的脆弱性。

公用事業(yè)領(lǐng)域網(wǎng)絡(luò)攻擊可能會產(chǎn)生嚴重的健康、經(jīng)濟、環(huán)境和心理影響。

平均而言，公用事業(yè)企業(yè)將敏感數(shù)據(jù)曝光視為影響最嚴重的IIoT相關(guān)風險。這包括計費和收入信息（來自智能電網(wǎng)和智能電表系統(tǒng)）、控制系統(tǒng)信息以及員工和客戶

數(shù)據(jù)。電力公用事業(yè)企業(yè)更擔心生產(chǎn)中斷或停工，以及由此引發(fā)的聲譽損害。半數(shù)以上的公用事業(yè)企業(yè)擔心監(jiān)管違規(guī)和設(shè)備損壞帶來的潛在影響（見圖1）。

圖1

公用事業(yè)市場：影響重大的IIoT網(wǎng)絡(luò)安全風險

敏感數(shù)據(jù)/保密數(shù)據(jù)泄露破壞活動導致生產(chǎn)中斷/停工企業(yè)聲譽受損/公眾信心喪失違反法規(guī)要求/可能遭受罰款因操縱物理輸出導致設(shè)備損壞

危害個人安全潛在的環(huán)境危害/災(zāi)難

因連接運營系統(tǒng)的IT系統(tǒng)過于復雜，

導致可視性和控制力下降

知識產(chǎn)權(quán)盜竊未經(jīng)認證的設(shè)備配置變更、補丁變更

62%

74%

64%

65%

64%

63%

58%

65%

47%

56%

51%

44%*

48%

49%

43%

49%

43%

47%

42%

49%

電力 供水

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

為什么公用事業(yè)企業(yè)未能縮小差距？

公用事業(yè)企業(yè)很清楚網(wǎng)絡(luò)安全風險的存在，但70%的受訪者表示他們對IIoT網(wǎng)絡(luò)安全技術(shù)至多只是泛泛了解。調(diào)研結(jié)果表明，公用事業(yè)企業(yè)缺乏基本的IIoT網(wǎng)絡(luò)衛(wèi)生戰(zhàn)略—也就是緩解風險所需的組織、技術(shù)和流程。雖然電力企業(yè)還未真正實現(xiàn)“安全”運營，但他們對IIoT部署和所連接的信息/實體系統(tǒng)安全需求的認識，要比供水企業(yè)更勝一籌。18%的電力企業(yè)已經(jīng)制定了正式的IIoT網(wǎng)絡(luò)安全計劃，用于建立、管理和更新所需的IIoT網(wǎng)絡(luò)安全工具、流程和技能，而供水企業(yè)中只有2%做到了這一點（見圖2）。

圖2

理解IIoT網(wǎng)絡(luò)安全并采用正式的網(wǎng)絡(luò)安全計劃

顯著

一般

有限

正式采用

正在評估

對IIoT網(wǎng)絡(luò)安全

IIoT網(wǎng)絡(luò)安全

IIoT風險

的理解有限

計劃

2%*

供水

18%*

電力

70%*

供水

70%*

電力

28%*

供水

12%*

電力

什么是網(wǎng)絡(luò)衛(wèi)生？2

網(wǎng)絡(luò)衛(wèi)生是指企業(yè)在網(wǎng)絡(luò)安全計劃中采用的基準網(wǎng)絡(luò)實踐，以及使用計算機和其他設(shè)備的企業(yè)和用戶為維護系統(tǒng)正常運行和提高在線安全性所采取的步驟。通常，此類實踐屬于日常工作，旨在幫助確保身份及其他可能被盜或遭受破壞的詳細信息的安全性。與身體衛(wèi)生一樣，定期實施網(wǎng)絡(luò)衛(wèi)生工作有助于防止自然損

耗和常見威脅。

4

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

大多數(shù)公用事業(yè)企業(yè)對IIoT網(wǎng)絡(luò)安全只有一定程度的了解。

雖然平均而言，電力企業(yè)的網(wǎng)絡(luò)安全計劃日漸成熟，但電力企業(yè)和供水企業(yè)這兩個群體的IIoT網(wǎng)絡(luò)安全能力還不成熟。他們面臨巨大挑戰(zhàn)，致使IIoT技術(shù)與網(wǎng)絡(luò)安全部署之間存在巨大差距，妨礙實現(xiàn)全方位的IIoT網(wǎng)絡(luò)安全（見圖3）。

在接受調(diào)研的供水企業(yè)和電力企業(yè)高管中，有49%的供水

企業(yè)高管和40%的電力企業(yè)高管面臨網(wǎng)絡(luò)安全人才短缺問題。此外，在運用眾多IIoT技術(shù)保護復雜公用事業(yè)基礎(chǔ)設(shè)施時，面臨速度和規(guī)模方面的難題。我們的研究表明，44%的供水企業(yè)高管和30%的電力企業(yè)高管面臨巨大的數(shù)據(jù)挑戰(zhàn)。

圖3

保障公用事業(yè)IIoT部署安全面臨的最大挑戰(zhàn)

缺乏高技能人才安全大數(shù)據(jù)挑戰(zhàn)

多種法規(guī)、標準和準則更新現(xiàn)有的工業(yè)生產(chǎn)網(wǎng)絡(luò)

無法發(fā)現(xiàn)威脅并確定威脅優(yōu)先級智能系統(tǒng)過時或基礎(chǔ)設(shè)施老化

電力

這些企業(yè)為了有效管理、分析和應(yīng)用安全工具所采集的數(shù)據(jù)，以便支持檢測和補救工作而疲于奔命。

近期發(fā)表的一份關(guān)于攻擊活動全球趨勢的報告指出，

2017年，從成功入侵到檢測到威脅之間的時間中位數(shù)為

101天。3我們的調(diào)研數(shù)據(jù)表明，電力企業(yè)和供水企業(yè)分

別需要14天和18天才能做出響應(yīng)并恢復運營。此外，受訪者表示，約半數(shù)公用事業(yè)企業(yè)的IIoT網(wǎng)絡(luò)安全事故

（53%的電力企業(yè)事故和48%的供水企業(yè)事故）由第三方檢測出，而不是由他們自己檢測出。

40%

49%

44%

30%*

40%

30%*

39%

30%*

34%

33%*

29%

28%*

供水

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

公用事業(yè)企業(yè)選擇最多的三項。n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

保護基于云的公用事業(yè)企業(yè)數(shù)據(jù)

智慧城市中的電力控制基礎(chǔ)設(shè)施不斷產(chǎn)生海量數(shù)據(jù)，不僅涉及車流量、街道照明和安全傳感器，還涵蓋分配的電力資源、電力流動和使用情況。為使公用事業(yè)企業(yè)利用不斷增長的IIoT傳感器數(shù)據(jù)，在云端托管的計算和存儲資源提供了多種有效方法。

但是，北美發(fā)電或輸電企業(yè)必須遵守北美電力可靠性公司(NERC)關(guān)鍵基礎(chǔ)設(shè)施保護(CIP)委員會制定的“關(guān)鍵國家基礎(chǔ)設(shè)施”法規(guī)。因此，目前無法將控制系統(tǒng)信息傳輸?shù)焦_共享的云托管計算環(huán)境。聯(lián)邦能源監(jiān)管委員會(FERC)采用NERCCIP標準，幫助保護和監(jiān)管大規(guī)模電網(wǎng)，要求公用事業(yè)企業(yè)了解誰有權(quán)訪問其數(shù)據(jù)以及如何對數(shù)據(jù)實施保護。7

IBM與NERC開展合作，共同開發(fā)“聯(lián)邦風險與授權(quán)管理計劃”(FedRAMP)模型，這是美國政府用于評估云系統(tǒng)安全性的標準化方法。CIPC正在評估這個流程，確定是否可以在符合“CIP可靠性標準”的環(huán)境中進行使用。FedRAMP模型通過值得信賴的第三

方來驗證是否已實施并監(jiān)控控制措施，從而增強合規(guī)性，加快讓IIoT數(shù)據(jù)上云的速度。8

6

極速應(yīng)對安全違規(guī)事件至關(guān)重要。Ponemon近期發(fā)表的數(shù)據(jù)泄露成本報告顯示，發(fā)現(xiàn)并控制數(shù)據(jù)泄露事件的速度越快，成本就越低。報告發(fā)現(xiàn)，廣泛應(yīng)用IoT設(shè)備會使每條記錄泄露的平均成本提高5美元。相比之下，完全部署安全自動化解決方案的企業(yè)，數(shù)據(jù)泄露的平均成本比沒有部署的企業(yè)要低約35%。4

另外，受訪者還表示，他們需要應(yīng)用或遵守太多的法規(guī)、標準和準則，感到壓力巨大（請參閱側(cè)邊欄“保護基于云的公用事業(yè)企業(yè)數(shù)據(jù)”）。此外，在接受調(diào)研的電力企業(yè)和供水企業(yè)中，39%的電力企業(yè)和30%的供水企業(yè)具有工業(yè)生產(chǎn)網(wǎng)絡(luò)以及難以更新的老化基礎(chǔ)設(shè)施。安全性是許多早期工業(yè)控制系統(tǒng)應(yīng)用（如智能電網(wǎng)）事后才考慮的問題，而傳統(tǒng)設(shè)備在制造之時通常對安全性關(guān)注不足。

因此，更換此類設(shè)備既昂貴又不切實際，因為新式設(shè)備并不總是采用現(xiàn)代安全功能制造，而且全天運行的設(shè)備的更新時間窗口期非常有限。5這種情況近期內(nèi)不大可能發(fā)生轉(zhuǎn)變：截至2018年9月，加利福尼亞州是美國唯一出臺物

聯(lián)網(wǎng)安全法規(guī)的州，而且直到2020年才會生效。6

完全部署安全自動化解決方案的企業(yè)，數(shù)據(jù)泄露的平均成本比沒有部署的企業(yè)要低約35%。4

縮小差距：構(gòu)筑有力的防御屏障

我們建議雙管齊下，縮小網(wǎng)絡(luò)安全差距。首先，企業(yè)應(yīng)專注于構(gòu)筑強大的IIoT網(wǎng)絡(luò)安全基礎(chǔ)，并制定基本的網(wǎng)絡(luò)衛(wèi)生戰(zhàn)略。建立防御基礎(chǔ)后，公用事業(yè)企業(yè)可通過使用人工智能和自動化技術(shù)，重點培養(yǎng)更高級的安全能力。這樣，不僅可以進一步克服挑戰(zhàn)，還能確保實現(xiàn)持續(xù)運營和服務(wù)交付。

以下是幫助公用事業(yè)企業(yè)奠定堅實的IIoT網(wǎng)絡(luò)衛(wèi)生基礎(chǔ)的四項戰(zhàn)略：

在企業(yè)層面管理IIoT網(wǎng)絡(luò)安全風險。

如果公用事業(yè)IIoT環(huán)境保護不力，會對社會各界造成風險。因此，整個公用事業(yè)領(lǐng)域均應(yīng)了解并管理這些風險。定義明確的IIoT安全戰(zhàn)略后，公用事業(yè)企業(yè)可以應(yīng)用三項實踐，為整個生態(tài)系統(tǒng)注入IIoT網(wǎng)絡(luò)安全能力：

正式制定IIoT安全計劃，定義、管理和更新所需的IIoT

網(wǎng)絡(luò)安全工具、流程和技能。

應(yīng)用安全和監(jiān)管框架組合（如美國國家標準與技術(shù)研究院(NIST)風險管理框架、NIST800標準和ISO/IEC27000-1），以此作為基礎(chǔ)：9

確定關(guān)鍵數(shù)據(jù)、資產(chǎn)和安全邊界。

確定IIoT系統(tǒng)、連接的生產(chǎn)環(huán)境和人員資產(chǎn)中的漏洞。

構(gòu)建和定制風險管理框架。

評估風險，記錄并執(zhí)行計劃以減輕風險。

保護最緊迫的安全計劃的投資并溝通進度。

根據(jù)業(yè)務(wù)目標與合規(guī)要求，平衡可接受的風險水平。

組建跨職能安全團隊，廣泛覆蓋IT安全、工程、運營、控制系統(tǒng)和安全供應(yīng)商。在接受調(diào)研的電力企業(yè)和供水企業(yè)中，49%的電力企業(yè)和44%的供水企業(yè)部署了這樣的團隊?？缏毮芄ぷ鞣椒ㄓ兄谄髽I(yè)更清晰地了解物聯(lián)網(wǎng)系統(tǒng)、標準企業(yè)IT系統(tǒng)和運營設(shè)備之間的差異。同時，還可以幫助公用事業(yè)企業(yè)利用IT和運營技術(shù)(OT)專業(yè)技能，更有效地保護系統(tǒng)和設(shè)備（參見圖4）。10

員工網(wǎng)絡(luò)安全教育有助于增強安全意識，提高安全運營有效性。

圖4

16%*

44%*

19%*

18%*

48%

在企業(yè)層面管理IIoT網(wǎng)絡(luò)安全風險

2%*

電力 供水

制定了正式的IIoT網(wǎng)絡(luò)安全計劃

應(yīng)用了NIST網(wǎng)絡(luò)安全框架和/或800系列標準組建了跨職能安全團隊

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

落實并執(zhí)行IIoT網(wǎng)絡(luò)安全。

隨著IIoT技術(shù)成為公用事業(yè)關(guān)鍵架構(gòu)的一部分，安全功能也應(yīng)同步融入。以下三項實踐有助于將安全功能融入架構(gòu)，將它們整合到運營之中，并且在企業(yè)之外發(fā)揮作用：

將IIoT網(wǎng)絡(luò)安全整合到IT、OT和IIoT運營流程中。64%的電力企業(yè)表示，他們至少部署了安全提供基于IIoT的新產(chǎn)品或新服務(wù)所需的基礎(chǔ)架構(gòu)和流程。只有35%的供水企業(yè)做到這一點。為部署高風險的復雜IIoT系統(tǒng)，不僅需要網(wǎng)絡(luò)安全專家，還要由OT專家提供信息/實體系統(tǒng)設(shè)計和運行方面的指導。我們建議采用安全系統(tǒng)開發(fā)生命周期(SDLC)（如DevSecOps），整合各種活動，以便盡早發(fā)現(xiàn)并消除漏洞。

增強員工洞悉物聯(lián)網(wǎng)安全運營、IT和OT運營的能力。118%的電力企業(yè)和12%的供水企業(yè)將此作為重點預防性措施。網(wǎng)絡(luò)安全教育和安全意識活動對于實現(xiàn)IIoT網(wǎng)絡(luò)衛(wèi)生至關(guān)重要（見圖5）。

定義明確的安全與隱私服務(wù)級別協(xié)議(SLA)。在依賴第三方的情況下，這一點尤其重要。只有16%的電力企業(yè)通過SLA來監(jiān)控和履行安全要求，沒有供水企業(yè)受訪者表示這樣做。確保對數(shù)據(jù)的受控訪問有助于抵御內(nèi)部攻擊，防止信息被盜或受到損害。務(wù)必記錄有權(quán)訪問敏感功能或數(shù)據(jù)的人員，密切監(jiān)控和審計這些特權(quán)用戶的行為。12

圖5

落實并執(zhí)行IIoT網(wǎng)絡(luò)安全

本可能產(chǎn)生災(zāi)難性影響，將有助于企業(yè)正確劃分網(wǎng)絡(luò)安全投資的優(yōu)先級。以下兩項實踐尤其有助于限制違規(guī)行為的影響：

購買網(wǎng)絡(luò)保險以減輕殘余風險。46%的電力企業(yè)和44%的供水企業(yè)購買網(wǎng)絡(luò)保險，抵消違規(guī)或類似事件后的恢復成本。

與第三方簽訂合同以降低風險。42%的電力企業(yè)和

48%的供水企業(yè)采用這種方法（見圖6）。

圖6

了解并限制事故和違規(guī)的影響

16%*

30%

64%

48%

48%

42%*

44%*

12%*

35%*

0%*

電力 供水

IIoT網(wǎng)絡(luò)安全已整合到IT、OT和IIoT運營流程增強了員工洞悉IIoT安全運營的能力

定義了明確的安全與隱私SLA

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

了解并限制事故和違規(guī)的影響。

綜合考量違規(guī)的所有成本：響應(yīng)和通知、關(guān)鍵基礎(chǔ)設(shè)施損壞、監(jiān)管罰款、額外的安全和審計要求，以及其他賠償責任和估算的損失。了解哪些成本可以消化，哪些成

電力 供水

購買了網(wǎng)絡(luò)保險

與第三方簽訂合同以緩解風險

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

精心策劃響應(yīng)措施，應(yīng)對事故和違規(guī)

公用事業(yè)企業(yè)面臨諸多難題：難以捉摸的復雜網(wǎng)絡(luò)攻擊、異常繁復的基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全技能不足等。用于實現(xiàn)快速動態(tài)、統(tǒng)籌協(xié)調(diào)的響應(yīng)的技術(shù)和流程至關(guān)重要。我們發(fā)現(xiàn)了四項幫助建立相關(guān)能力的實踐：

在安全管理計劃中，制定事故響應(yīng)計劃。如有必要，與第三方事故處理公司合作，以便獲得專業(yè)技能。62%的電力企業(yè)和42%的供水企業(yè)制定了事故響應(yīng)計劃，確立了針對受損IIoT組件的行動預案。

執(zhí)行網(wǎng)絡(luò)安全違規(guī)模擬。22%的電力企業(yè)通過執(zhí)行安全違規(guī)模擬以進一步實施事故響應(yīng)，幫助確定發(fā)生違規(guī)時要激活哪些流程、人員和工具。只有7%的受訪供水企業(yè)執(zhí)行模擬。

執(zhí)行滲透測試和紅隊演習。紅隊是指模擬網(wǎng)絡(luò)攻擊的道德黑客團體，旨在幫助安全負責人對事故響應(yīng)計劃進行壓力測試、找出差距并進行相應(yīng)調(diào)整。滲透測試有助于發(fā)現(xiàn)臨時漏洞，確保持續(xù)遵守安全策略和數(shù)據(jù)隱私法規(guī)。我們的研究表明，37%的電力企業(yè)和26%的供水企業(yè)正在實施此類進攻性防御戰(zhàn)略。

定期進行現(xiàn)場和工廠狀況感知以及安全運營中心(SOC)監(jiān)控?，F(xiàn)場和工廠狀況感知演習應(yīng)在SOC團隊的輔助下完成，SOC團隊將持續(xù)評估企業(yè)的安全狀況，監(jiān)督安全運營并與組織事故響應(yīng)團隊密切合作。超過1/4的電力企業(yè)正在不斷深化自身對于復雜運營環(huán)境（如發(fā)電廠）的認識，這對于決策者而言至關(guān)重要；相比之下，只有14%的供水企業(yè)做到這一點（見圖7）。

圖7

精心策劃響應(yīng)措施，應(yīng)對事故和違規(guī)

22%*

26%

37%

62%

42%*

26%*

14%*

7%*

電力 供水

事故響應(yīng)計劃

網(wǎng)絡(luò)安全違規(guī)模擬滲透測試和紅隊演習

定期現(xiàn)場和工廠狀況與SOC監(jiān)控

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

確立防御基礎(chǔ)后，公用事業(yè)企業(yè)可以專注實施第五項戰(zhàn)略，培養(yǎng)更高級的能力。

應(yīng)用智能化、自動化的威脅檢測和響應(yīng)技術(shù)

為減輕安全人員的負擔，可通過實施人工智能驅(qū)動的自動化調(diào)查流程來減少手動威脅檢測。通過定義敏感數(shù)據(jù)和資

—應(yīng)用數(shù)據(jù)挖掘和機器學習技術(shù)，處理威脅情報。SOC團隊可適時獲得適當?shù)耐{情報，實時阻止攻擊，預測攻擊者的下一步行動并主動獵殺威脅。只有17%的電力企業(yè)和4%的供水企業(yè)具備相關(guān)系統(tǒng)，能夠從IIoT數(shù)據(jù)流和外部來源中提取信息，并且應(yīng)用機器學習技術(shù)來檢測異常行為，預測存在嚴重威脅的項目（見圖8）。

產(chǎn)、網(wǎng)絡(luò)分段和云服務(wù)，可以對自定義警報進行系統(tǒng)優(yōu)先

級排序。安全工具可以利用人工智能，理解所采集的大量

數(shù)據(jù)。以下是實現(xiàn)這些功能的五種方法：

應(yīng)用高級網(wǎng)絡(luò)安全監(jiān)控與分析技術(shù)，進行事故檢測與補救。37%的電力企業(yè)和12%的供水企業(yè)專注于分析IIoT信息，而不是收集數(shù)據(jù)以生成事后審計和報告。

實施人工智能技術(shù)，實時進行安全監(jiān)控與響應(yīng)。為實時跟蹤IIoT信息并全面了解環(huán)境中發(fā)生的情況，20%的電力企業(yè)已自動收集、集成和分析所有可能監(jiān)測點的數(shù)據(jù)。包括系統(tǒng)日志、網(wǎng)絡(luò)流、終端數(shù)據(jù)、云使用情況和用戶行為。只有2%的供水企業(yè)實施類似的功能。

應(yīng)用數(shù)據(jù)挖掘和機器學習技術(shù)，自動構(gòu)建模型、跟蹤正常行為和標記異?；顒?。各監(jiān)測點的IIoT信息有助于

理解深入到網(wǎng)絡(luò)層面的“正?！睒藴?。機器學習可以自

圖8

應(yīng)用智能化、自動化的威脅檢測和響應(yīng)技術(shù)

18%*

20%*

37%

2%*

12%*

4%*

5%*5%*

17%*

26%

動構(gòu)建正常自適應(yīng)模型、跟蹤正常行為以及標記可能表明出現(xiàn)新威脅跡象的異?；顒?。18%的電力企業(yè)和5%的供水企業(yè)表示自己具備這些能力。

應(yīng)用高級行為分析，用于終端違規(guī)檢測與響應(yīng)。運用終端檢測和響應(yīng)機制補充現(xiàn)有技術(shù)，監(jiān)測惡意軟件創(chuàng)建者在近期攻擊中采用的技術(shù)，進而利用由機器學習提供支持的模式識別技術(shù)來彌補差距。26%的電力企業(yè)表示已采用能夠利用機器學習的行為分析，只有5%的供水企業(yè)做到這一點。

電力 供水

應(yīng)用高級網(wǎng)絡(luò)安全監(jiān)控與分析技術(shù)，進行事故檢測與補救實施人工智能技術(shù)，實時進行安全監(jiān)控與響應(yīng)

應(yīng)用數(shù)據(jù)挖掘和機器學習技術(shù)，自動構(gòu)建模型、跟蹤正常行為和標記異常

活動

高級行為分析，用于漏洞檢測和響應(yīng)

應(yīng)用數(shù)據(jù)挖掘和機器學習技術(shù)，處理威脅情報

來源：IBM商業(yè)價值研究院對標調(diào)研，2018年。

n=120；電力=77；供水=43

*計數(shù)較低(n<20)在統(tǒng)計學上不具有可靠性，但與其余受訪者做比較時可以視作方向性推論。

為制定強有力的安全戰(zhàn)略，必須進行全方位的IIoT風險評估。

對于公用事業(yè)企業(yè)而言，必須確保家家戶戶“電燈長明”或“流水不斷”，因而可用性成為主要的安全優(yōu)先事項。但是，倘若未全面評估IIoT風險即實施多項IIoT安全控制、實踐和技術(shù)，將會導致戰(zhàn)略重點不明，進而造成IIoT網(wǎng)絡(luò)安全投資重點錯位。若未開展強有力的評估，公用事業(yè)企業(yè)最終可能達不到關(guān)鍵防御措施的要求。在實施總體IIoT安全戰(zhàn)略和計劃的過程中，必須采用網(wǎng)絡(luò)安全實踐和技術(shù)，并且符合更廣泛的企業(yè)IT和運營技術(shù)風險與安全框架。這并非某一種特定工具或某一項特定技能。安全性與人員、技術(shù)和流程息息相關(guān)，各要素環(huán)環(huán)相扣，必須精心統(tǒng)籌策劃才能有效運行。這是整個生態(tài)系統(tǒng)發(fā)揮合力的結(jié)果，包括公用事業(yè)企業(yè)、政府、設(shè)備提供商和安全供應(yīng)商。

貴組織能否保護基礎(chǔ)設(shè)施、國民經(jīng)濟乃至整個社會？

?如何保證貴組織的運營技術(shù)安全戰(zhàn)略與總體安全戰(zhàn)略保持一致？

?如何保證IIoT安全實踐與組織確立的企業(yè)風險管理框架保持一致？

?如何將安全工具和管理流程整合到企業(yè)安全框架和運營流程之中？

?如何采用“安全第一”戰(zhàn)略，將基本安全功能融入IIoT設(shè)計的方方面面？

?如何遏制威脅影響、減少中斷以及建立從攻擊中快速恢復的能力？

關(guān)于作者

CristeneGonzalez-Wertz

/in/cjgw1

cristeneg@

CristeneGonzalez-Wertz是IBM商業(yè)價值研究院的電子、環(huán)保、能源與公用事業(yè)行業(yè)領(lǐng)域的主管。她負責為客戶提供人工智能、分析技術(shù)、物聯(lián)網(wǎng)、安全性和客戶體驗方面的技術(shù)、趨勢和戰(zhàn)略定位建議。Cristene提供新價值機遇方面的指導，尤其擅長數(shù)據(jù)化經(jīng)濟。

Lisa-GianeFisher

/in/lisa-giane-?sher

l?sher@

Lisa-GianeFisher是IBM商業(yè)價值研究院中東和非洲對標分析負責人。她主要負責保修和物聯(lián)網(wǎng)安全對標分析，并與IBM行業(yè)專家合作開發(fā)并維護行業(yè)流程框架。

StevenDougherty

/in/steven-a-steve

dougherty-cissp-cfe-4585b7

sdougherty@

StevenDougherty是IBMSecurity能源、環(huán)境與公用事業(yè)業(yè)務(wù)開發(fā)主管。他在為全球客戶設(shè)計、交付和運行創(chuàng)新型解決方案、工業(yè)控制和技術(shù)戰(zhàn)略方面擁有30多年的豐富經(jīng)驗。Steven是IEEE資深成員、經(jīng)過認證的信息系統(tǒng)安全專家(CISSP)和經(jīng)過認證的欺詐檢驗師(CFE)。

MarkHolt

/in/lmarkholt

mholt@

MarkHolt是IBM全球能源、環(huán)境與公用事業(yè)行業(yè)安全業(yè)務(wù)開發(fā)負責人。Mark不僅在工程系統(tǒng)、資產(chǎn)管理和物聯(lián)網(wǎng)方面擁有豐富經(jīng)驗，還領(lǐng)導實施了IBM系統(tǒng)工程戰(zhàn)略。目前，Mark負責在全球?qū)BM安全能力應(yīng)用于公用事業(yè)領(lǐng)域。

更多信息

欲獲取IBM研究報告的完整目錄，或者訂閱我們的每月新聞稿，請訪問：

/iibv

。

從應(yīng)用商店下載免費“IBMIBV”應(yīng)用，即可在平板電腦上訪問IBM商業(yè)價值研究院執(zhí)行報告。

訪問IBM商業(yè)價值研究院中國網(wǎng)站，免費下載研究報告:

/cn-zh/services/insights/

institute-business-value

。

選對合作伙伴，駕馭多變的世界

在IBM，我們積極與客戶協(xié)作，運用業(yè)務(wù)洞察和先進的研究方法與技術(shù)，幫助他們在瞬息萬變的商業(yè)環(huán)境中保持獨特的競爭優(yōu)勢。

IBM商業(yè)價值研究院

IBM商業(yè)價值研究院(IBV)隸屬于IBM服務(wù)部，致力于為全球高級業(yè)務(wù)主管就公共和私營領(lǐng)域的關(guān)鍵問題提供基于事實的戰(zhàn)略洞察。

IBM的能力

如果不實施充分的保護，

就將用于監(jiān)測和控制物理環(huán)境

的系統(tǒng)貿(mào)然連接到互聯(lián)網(wǎng)，不但會帶來風險，

而且代價

可能十分沉重。

一旦網(wǎng)絡(luò)攻擊成功入侵IoT支持的公用

事業(yè)行業(yè)運營環(huán)境，

很可能會導致災(zāi)難性的后果。但也

不必過分擔心

，許多風險都可以避免或緩解。IBM可以

幫助公用事業(yè)行業(yè)高管輕松應(yīng)對愈發(fā)頻繁的網(wǎng)絡(luò)攻擊

。

我們將認知方法應(yīng)用于安全領(lǐng)域，

幫助保護關(guān)鍵基礎(chǔ)設(shè)

施資產(chǎn)，

采用新型服務(wù)為平臺和生態(tài)系統(tǒng)提供支持。我

們的全球公用事業(yè)專家具備深厚的專業(yè)知識，

完全有能

力保護您的資產(chǎn)和流程，

同時提升產(chǎn)品和服務(wù)的質(zhì)量。

IBM

應(yīng)用認知方法

，幫助降低安全風險。請訪問

ibm.

com/industries/energy

。

15

相關(guān)IBV出版物

Gonzalez-Wertz、Cristene、LisaFisher、PeterXu與MartinBorrett合著，“電子行業(yè)的工業(yè)物聯(lián)網(wǎng)：補齊短板，取得成功”，IBM商業(yè)價值研究院，2018年10月。

/common/ssi/cgi-bin/

ssialias?html?d=85020085CNZH&

TimHahn、MarcelKisch與JamesMurphy合著，“充滿威脅的網(wǎng)絡(luò)：保護面向工業(yè)和公用事業(yè)企業(yè)的物聯(lián)網(wǎng)”，IBM商業(yè)價值研究院，2018年3月

。

/common/ssi/cgi-bin/

ssialias?html?d=62013962CNZH&

“智能互聯(lián)—借助智能物聯(lián)網(wǎng)重塑企業(yè)”，全球最高管理層調(diào)研（第19期），IBM商業(yè)價值研究院，2018年1月。

/common/ssi/cgi-bin/

ssialias?html?d=32012632CNZH&

備注和參考資料

“Alert(TA18-074A)RussianGovernmentCyberActivityTargetingEnergyandOtherCriticalInfrastructureSectors.”UnitedStatesComputerEmergencyReadinessTeamalert.March15,2018.

/ncas/alerts/TA18-074A

Aldorisio,Jeff.“WhatisCyberHygiene?ADe?nitionofCyberHygiene,Bene?ts,BestPractices,andMore.”

DigitalGuardian.September26,2018.

/blog/what-cyber-hygiene-

de?nition-cyber-hygienebene?ts-best-practices-and-more

“M-Trends2018.”Mandiant,aFireEyecompany.2018.

https://www.?/content/dam/collateral/en/

mtrends-2018.pdf

“2018CostofaDataBreachStudy:GlobalOverview.”PonemonInstituteLLC.July2018.

/common/ssi/cgi-bin/

ssialias?html?d=55017055USEN

Gonzalez-Wertz,Cristene,LisaFisher,PeterXu,andMartinBorrett.“ElectronicsIndustrialIoTcybersecurity:Asstrongasitsweakestlink.”IBMInstituteforBusinessValue.October2018.

/services/us/gbs/

thoughtleadership/electronicsiiot/

Robertson,Adi.“Californiajustbecamethe?rststatewithanInternetofThingscybersecuritylaw.”TheVerge.September28,2018.

/2018/9/28/17874768/california-

iot-smart-device-cybersecurity-bill-sb-327signed-law

“MandatoryReliabilityStandardsforCriticalInfrastructureProtection:ARulebytheFederalEnergyRegulatoryCommission.”FederalRegister.January18,2008.

https://

/documents/2008/02/07/E8-1317/

mandatoryreliability-standards-for-critical-infrastructure

protection

;“CriticalInfrastructureProtectionCommittee(CIPC).”NorthAmericanElectricReliabilityCorporation(NERC)website,accessedDecember26,2018.

https://www.

/comm/CIPC/Pages/default.aspx

“CriticalInfrastructureProtectionCommittee(CIPC)MeetingMinutes.”NorthAmericanElectricReliabilityCorporation(NERC).June5-6,2018.

/comm/CIPC/

Agendas%20Highlights%20and%20Minutes%202013/

CIPC%20June%202018%20minutes%20DRAFT%20v0.pdf

“NationalInstituteofSta