[[435433]]

根據(jù)網(wǎng)絡(luò)安全管理及安全分析服務(wù)商Skybox Security公司的一項研究，83%的企業(yè)在過去36個月內(nèi)受到了運營技術(shù)(OT)網(wǎng)絡(luò)安全漏洞的影響。研究還發(fā)現(xiàn)，很多企業(yè)低估了網(wǎng)絡(luò)攻擊的風(fēng)險，73%的首席信息官和首席信息安全官都認(rèn)為他們所在的公司在未來一年不會遭受運營技術(shù)攻擊。

Skybox Security公司首席執(zhí)行官Gidi Cohen說：“不僅企業(yè)依賴運營技術(shù)，人們也依賴這項技術(shù)獲得包括能源和水資源在內(nèi)的重要服務(wù)。不幸的是，網(wǎng)絡(luò)犯罪分子非常清楚關(guān)鍵基礎(chǔ)設(shè)施的安全性通常很薄弱。因此，網(wǎng)絡(luò)威脅行為者認(rèn)為，對運營技術(shù)的勒索軟件攻擊極有可能獲得回報。勒索軟件攻擊將繼續(xù)利用運營技術(shù)漏洞進(jìn)行破壞。”

這項研究揭示了運營技術(shù)安全面臨的艱難挑戰(zhàn)——包括網(wǎng)絡(luò)復(fù)雜性、功能孤島、供應(yīng)鏈風(fēng)險和有限的漏洞修復(fù)選項。網(wǎng)絡(luò)攻擊者利用這些運營技術(shù)弱點的方式不僅危及企業(yè)的運營，而且威脅公共健康、安全和經(jīng)濟(jì)等行業(yè)領(lǐng)域。

以下是一些關(guān)鍵要點：

很多企業(yè)低估了網(wǎng)絡(luò)攻擊的風(fēng)險

56%的受訪者確認(rèn)他們的公司在未來一年不會遇到運營技術(shù)違規(guī)的風(fēng)險。然而，83%的受訪者還表示，他們在過去36個月內(nèi)至少發(fā)生過一次運營技術(shù)安全漏洞事件。盡管這些設(shè)施非常重要，但現(xiàn)有的安全措施通常很薄弱或根本不存在。

首席信息安全官的感知與現(xiàn)實脫節(jié)

73%的首席信息官和首席信息安全官對他們的運營技術(shù)安全系統(tǒng)不會在未來一年遭到破壞非常有信心。相比之下，只有27%的受訪者對網(wǎng)絡(luò)攻擊的影響有更多的了解。雖然有些人并不相信他們的運營技術(shù)系統(tǒng)容易受到攻擊，但其他受訪者表示下一次安全漏洞事件將會出現(xiàn)。

合規(guī)性不等于安全

迄今為止，合規(guī)性標(biāo)準(zhǔn)已被證明不足以防止安全事件。保持對法規(guī)和要求的遵守是所有受訪者最普遍關(guān)心的首要問題。鑒于最近對關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊，合規(guī)性監(jiān)管要求將繼續(xù)增加。

復(fù)雜性增加安全風(fēng)險

78%的受訪者表示，多個供應(yīng)商技術(shù)帶來的復(fù)雜性是保護(hù)運營技術(shù)環(huán)境的一個挑戰(zhàn)。此外，39%的受訪者表示，改進(jìn)安全計劃的最大障礙是決策是在沒有更多監(jiān)督的單個業(yè)務(wù)部門做出的。

有些人認(rèn)為具有網(wǎng)絡(luò)責(zé)任保險已經(jīng)足夠

34%的受訪者表示，網(wǎng)絡(luò)責(zé)任保險被認(rèn)為是一種充分的解決方案。然而，網(wǎng)絡(luò)責(zé)任保險不包括由于勒索軟件攻擊而導(dǎo)致的代價高昂的“業(yè)務(wù)損失”，這是調(diào)查受訪者最擔(dān)心的三大問題之一。

暴露和路徑分析是網(wǎng)絡(luò)安全的首要任務(wù)

45%的首席信息安全官和首席信息官表示，無法在整個環(huán)境中進(jìn)行路徑分析以了解實際暴露情況是他們的三大安全問題之一。此外，首席信息安全官和首席信息官表示，跨運營技術(shù)和IT環(huán)境的脫節(jié)架構(gòu)(48%)以及IT技術(shù)的融合(40%)是三個主要安全風(fēng)險中的兩個。

功能孤島導(dǎo)致流程差距和技術(shù)復(fù)雜性

首席信息官、首席信息安全官、架構(gòu)師、工程師和工廠經(jīng)理都將功能孤島列為他們保護(hù)運營技術(shù)基礎(chǔ)設(shè)施的首要挑戰(zhàn)。管理運營技術(shù)安全是一項團(tuán)隊行動。如果團(tuán)隊成員使用不同的策略和措施，將難以取得成功。

供應(yīng)鏈和第三方風(fēng)險是主要威脅

40%的受訪者表示，供應(yīng)鏈/第三方訪問網(wǎng)絡(luò)是三個主要安全風(fēng)險之一。然而，只有46%的受訪者表示他們的公司采用運營技術(shù)的第三方訪問策略。

Navista公司信息安全經(jīng)理Robert Lynch說：“一些首席信息安全官可能盲目自信，因為即使他們已經(jīng)遭受網(wǎng)絡(luò)攻擊，他們還沒有發(fā)現(xiàn)這一點。黑客可能長期存在，所以這種自信是危險的。”

Skybox Security公司研究實驗室威脅情報負(fù)責(zé)人Sivan Nir說：“我們的威脅情報調(diào)查表明，與2020年上半年相比，今年運營技術(shù)中的新漏洞增加了46%。盡管漏洞和最近的網(wǎng)絡(luò)攻擊事件有所增加，但許多安全團(tuán)隊并未將運營技術(shù)安全納入企業(yè)優(yōu)先事項。令人驚訝的發(fā)現(xiàn)之一是，一些安全團(tuán)隊否認(rèn)他們易受攻擊。他們相信當(dāng)前的基礎(chǔ)設(shè)施是安全的，但這將導(dǎo)致采取的運營技術(shù)的安全措施不足。”