[[434641]]

11月10日，波耐蒙研究所和工業(yè)網(wǎng)絡(luò)安全公司Dragos發(fā)布研究報(bào)告，揭示影響工業(yè)控制系統(tǒng)(ICS)或其他運(yùn)營(yíng)技術(shù)(OT)系統(tǒng)的安全事件可造成平均約300萬(wàn)美元的損失，某些公司報(bào)告的損失甚至超過(guò)1億美元。

該報(bào)告基于美國(guó)波耐蒙研究所對(duì)600名信息技術(shù)(IT)、IT安全和OT安全從業(yè)人員進(jìn)行的調(diào)查數(shù)據(jù)。

29%的受訪者承認(rèn)，其所在公司在過(guò)去兩年間曾遭遇過(guò)勒索軟件攻擊;超過(guò)半數(shù)的受訪者稱，平均支付了50多萬(wàn)美元的贖金。一些公司報(bào)告的贖金支付金額超過(guò)200萬(wàn)美元。

近三分之二的受訪者在過(guò)去兩年間經(jīng)歷過(guò)ICS/OT網(wǎng)絡(luò)安全事件。內(nèi)部人員疏忽、維護(hù)問(wèn)題，或者因?yàn)镮T和OT分隔不善而導(dǎo)致IT安全事件“漫溢”到OT網(wǎng)絡(luò)，是遭遇ICS/OT網(wǎng)絡(luò)安全事件最常見(jiàn)的幾個(gè)原因。

平均而言，企業(yè)檢測(cè)事件需要170天，調(diào)查事件需要66天，修復(fù)事件則需要80天。根據(jù)6人團(tuán)隊(duì)檢測(cè)、調(diào)查和修復(fù)事件所需的總小時(shí)數(shù)，我們可以計(jì)算得出，總?cè)斯こ杀窘咏?00萬(wàn)美元。加上大約價(jià)值200萬(wàn)美元的停機(jī)時(shí)間、法務(wù)費(fèi)用、監(jiān)管罰款和設(shè)備更換，平均總約為300萬(wàn)美元。

在確認(rèn)發(fā)生網(wǎng)絡(luò)安全事件的公司中，1%的公司表示ICS/OT網(wǎng)絡(luò)安全事件的總成本超過(guò)1億美元，2%的公司稱成本在1000萬(wàn)至1億美元之間?？傮w而言，13%的受訪者表示，網(wǎng)絡(luò)安全事件造成的損失超過(guò)100萬(wàn)美元。

Dragos和波耐蒙研究所發(fā)布的報(bào)告重點(diǎn)關(guān)注IT和OT團(tuán)隊(duì)之間的“文化鴻溝”及其對(duì)IT和OT環(huán)境安全的影響。

半數(shù)受訪者將安全、IT和工程師之間的文化差異視為IT和OT團(tuán)隊(duì)協(xié)作的主要障礙。超過(guò)40%的受訪者還提到了技術(shù)差別和明晰的工業(yè)網(wǎng)絡(luò)風(fēng)險(xiǎn)所有權(quán)。

調(diào)查發(fā)現(xiàn)的其他問(wèn)題還包括：

• 首席級(jí)高管和董事會(huì)未定期了解公司ICS/OT網(wǎng)絡(luò)安全計(jì)劃的效率、有效性和安全;
• 很多高級(jí)經(jīng)理缺乏對(duì)OT環(huán)境風(fēng)險(xiǎn)與威脅的認(rèn)知，導(dǎo)致資源分配不足;
• OT安全的報(bào)告關(guān)系和問(wèn)責(zé)結(jié)構(gòu)不合理，阻礙了對(duì)OT和ICS網(wǎng)絡(luò)安全的投入;
• 很多企業(yè)的ICS/OT網(wǎng)絡(luò)安全成熟度不足。

報(bào)告原文：

https://hub.dragos.com/hubfs/Reports/2021-Ponemon-Institute-State-of-Industrial-Cybersecurity-Report.pdf?hsLang=en