网络风险与威胁管理：回归安全基础准则
作者：Mike Lester
网络攻击每天都在上演。 从 SolarWinds 被入侵并波及微软、因特尔、思科等大型企业，到 Colonial Pipeline 遭遇攻击而被迫停运、导致油气供应中断，再到全球咨询公司埃森哲遭遇 LockBit 勒索软件攻击，案例层出不穷。 独立犯罪组织和国家支持团体的攻击频发，引起了企业董事会、政府主管机构及立法机构日益高度的关注。
这些网络攻击并非全都依赖新型技术手段，却呈现出频率更高、影响更重的趋势。 任何制造企业都无法保证自己永远“置身事外”，但业务和安全负责人可以回归基础控制，通过打破内部孤岛、采用整体视角并实施优选实践，有效降低此类威胁带来的风险。
艾默生深知这些挑战是行业当前的重点关切，并与客户开展日常合作，助其夯实网络安全基础、减少风险暴露。 以下是我们建议生产客户落实的基本准则。
开展业务运营映射
制造企业需要使业务和制造体系与相应的职能、收入来源、关键使命一一对应。 这样有助于了解并掌握每个流程，在网络攻击面前实现业务连续性和灵活性，类似于商业危机管理。 一般来说，业务运营筹划需要高级行政管理对跨职能利益相关者给予支持，其中涵盖生产运营、工厂网络安全、IT 安全、生产系统、企业系统等。 这项工作本身工作量较大，需做好投入准备，并在必要时寻求协助，采用框架法推进。
全面分析威胁
制造企业还要对网络威胁进行深度分析。 在这一过程中，建议参考 MITRE ATT&CK 矩阵尤其是近期开发的 MITRE ICS ATT&CK 矩阵，它基于真实攻击方的战术与技术构建。
评估网络安全防护现状
企业应通过网络安全评估或审计，梳理和验证当前部署的安全控制及运行状况。 其中应包括对三大支柱的评估：人员、流程和技术，以人员为主，并进行新技术和新流程的技能提升。 技术手段可以发挥作用，但真正决定效果的是人。 在开展评估时，建议与熟悉并擅长工业控制系统建设与运行的自动化供应商（例如艾默生）合作。
制定纵深防御策略
企业应基于威胁分析和安全评估结果，构建“纵深防御”策略，覆盖可能受到直接或间接攻击，或可能使运营能力丧失的各个薄弱环节，降低其中风险性。 此类策略应以风险为导向，对发现的漏洞和威胁进行优先级排序，优先处理重大风险，提升控制系复原力。
在围绕“人员、流程、技术”三大支柱进行评估时，正确的方法往往事半功倍，例如寻求外部资源帮助；为员工提供培训以助其技能提升；调整关键流程、技术控制、系统、架构，以确保防御体系稳固可行。 行动计划还应与企业的业务连续性和灾难恢复方案保持一致。就像应对系统故障或硬件失效那样，网络攻击的响应方案也需要明确有效的流程，制定“遏制与恢复时效”目标。
此类防御策略还应考虑到严苛情况。 例如，针对生产设施，我们要准确备份计算机系统以防故障，还要硬拷贝订单、标签和联系人，以便计算机停用时转为人工操作。 虽然此举并非适用所有状况，但定期审查更新备份与连续性计划，能让企业在遭遇网络攻击时保持状态，为维持运营做好准备。
定期验证并更新
纵深防御策略确立后并非“一劳永逸”。企业应有条理地对其进行测试和验证，确保措施有效，不会对干扰日常运营或带来新的风险。 在引入新技术或新流程时，相应的角色分工、职责和培训内容也应同步更新。
制造企业需要尽快行动，全面了解自身所面临的网络威胁类型及其严重程度。 网络威胁和攻击是真实存在的，而且在快速增长。 网络安全应成为制造企业及各类组织的重点议题，只有重视了，前瞻性与防御性控制措施才能到位，重要数据、流程和运营才能得到保护。 企业领导应与网络安全负责人保持联系，了解后者的需求，在董事会层面确定紧迫程度、给予支持，帮助评估、掌握并管控网络风险。
