工業(yè)物聯(lián)網(wǎng)面臨風(fēng)險(xiǎn)的三大原因

嚴(yán)星

不久前，LNS Research發(fā)布的一份報(bào)告指出，工業(yè)物聯(lián)網(wǎng)（簡(jiǎn)稱IIoT）采用率正在持續(xù)增長(zhǎng)。但在權(quán)衡聯(lián)網(wǎng)技術(shù)的商業(yè)化應(yīng)用時(shí)，企業(yè)往往沒(méi)能充分考慮到網(wǎng)絡(luò)安全挑戰(zhàn)的未來(lái)態(tài)勢(shì)，且企業(yè)存在三大障礙影響IIoT安全發(fā)展。

工業(yè)安全發(fā)展現(xiàn)狀

被廣泛視為“智慧工廠”核心支柱的工業(yè)4.0無(wú)疑是實(shí)現(xiàn)適應(yīng)性、自動(dòng)化與敏捷性的新型聯(lián)網(wǎng)硬件基礎(chǔ)。LNS方面發(fā)現(xiàn)，大多數(shù)工業(yè)企業(yè)都有計(jì)劃實(shí)施數(shù)字化轉(zhuǎn)型，而這意味著網(wǎng)絡(luò)安全問(wèn)題正變得比以往任何時(shí)間都更加重要。

遺憾的是，大多數(shù)計(jì)劃邁入工業(yè)物聯(lián)網(wǎng)領(lǐng)域的企業(yè)都未能考慮到安全性這項(xiàng)因素，這主要是由于運(yùn)營(yíng)技術(shù)與信息技術(shù)之間存在嚴(yán)重隔閡。而這道鴻溝甚至有可能嚴(yán)重影響到工業(yè)數(shù)字化轉(zhuǎn)型浪潮的未來(lái)命運(yùn)。

報(bào)告指出，40%的工業(yè)企業(yè)已經(jīng)啟動(dòng)工業(yè)物聯(lián)網(wǎng)計(jì)劃，另有24%則計(jì)劃在年之內(nèi)開(kāi)始著手。

眾多下一代工業(yè)物聯(lián)網(wǎng)平臺(tái)都將以即服務(wù)方式運(yùn)行，這將帶來(lái)更突出的靈活性、易用性并生成大量可量化數(shù)據(jù)。但這一切在網(wǎng)絡(luò)安全層面又會(huì)帶來(lái)新的軟肋———特別是考慮到工業(yè)企業(yè)通常將安全保護(hù)視為一種附加因素，而非工業(yè)物聯(lián)網(wǎng)PaaS體系中的固有部分。

工業(yè)物聯(lián)網(wǎng)面臨風(fēng)險(xiǎn)的三大原因

LNS方面就工業(yè)物聯(lián)網(wǎng)安全所面臨的巨大風(fēng)險(xiǎn)給出了三項(xiàng)原因：企業(yè)并不了解相關(guān)威脅的嚴(yán)重程度；IT與OT在各自的孤島內(nèi)運(yùn)作；嚴(yán)重缺乏網(wǎng)絡(luò)安全最佳實(shí)踐的實(shí)施經(jīng)驗(yàn)。

1.威脅態(tài)勢(shì)

研究結(jié)果顯示，企業(yè)對(duì)威脅態(tài)勢(shì)并不清楚：47%的受訪企業(yè)沒(méi)有處理過(guò)任何安全違規(guī)事件。其中19%的企業(yè)曾因便攜式存儲(chǔ)介質(zhì)上的惡意軟件而遭遇安全事故，相比之下直接攻擊活動(dòng)則非常罕見(jiàn)。這使得眾多企業(yè)面對(duì)網(wǎng)絡(luò)安全工作抱有一種“迷之自信”。但這種自信顯然站不住腳，例如美國(guó)國(guó)土安全部就曾警告稱，目前每一家主要自動(dòng)化方案供應(yīng)商的產(chǎn)品中都包含有已知軟件漏洞。這意味著直接攻擊必將發(fā)生，只是或早或晚的問(wèn)題。

2. IT與OT間的彼此孤立

導(dǎo)致網(wǎng)絡(luò)安全挑戰(zhàn)的另一大問(wèn)題在于IT與OT間的彼此孤立。OT包括工廠當(dāng)中非企業(yè)模式的一切元素，例如控制系統(tǒng)、監(jiān)控系統(tǒng)、工廠硬件以及機(jī)器等等。

報(bào)告指出，“即使企業(yè)開(kāi)始以認(rèn)真態(tài)度對(duì)待工業(yè)網(wǎng)絡(luò)安全，如果不能在IT與OT之間建立起真正的合作關(guān)系，問(wèn)題仍然不可能得到充分解決?！盜T技能與OT專業(yè)知識(shí)應(yīng)當(dāng)加以結(jié)合，從而為下一代工業(yè)技術(shù)創(chuàng)造行之有效的安全規(guī)劃。

3.缺乏網(wǎng)絡(luò)安全實(shí)施經(jīng)驗(yàn)

而在最佳實(shí)踐方面，這里還列出了一系列令人沮喪的數(shù)字。只有35%的受訪企業(yè)擁有專門的首席信息安全官（簡(jiǎn)稱CISO），其余企業(yè)則將這部分職責(zé)歸入首席信息官的職能范疇。報(bào)告指出：“為了使得IT與OT的融合成為現(xiàn)實(shí)，并確保企業(yè)實(shí)施有效的工業(yè)網(wǎng)絡(luò)安全解決方案，CISO與CIO這兩大角色必須同時(shí)存在且協(xié)同工作。”

除了缺乏CISO之外，工業(yè)企業(yè)在其它安全領(lǐng)域也較為落后。只有49%的企業(yè)擁有廠內(nèi)帳戶管理政策，而只有38%企業(yè)擁有聯(lián)網(wǎng)設(shè)備清單并記錄往來(lái)流量，另外38%企業(yè)并未進(jìn)行任何網(wǎng)絡(luò)安全監(jiān)控。

無(wú)論是哪個(gè)行業(yè)，其原本的所謂下一代技術(shù)都是簡(jiǎn)單將舊有、過(guò)時(shí)的成果拼湊在新的系統(tǒng)之上，而這類系統(tǒng)往往根本無(wú)法與現(xiàn)代數(shù)字化世界進(jìn)行對(duì)接。

這一輪技術(shù)變革浪潮在給我們帶來(lái)無(wú)限可能性之余，亦提醒人們其必須配合新的且能夠相互聯(lián)系的基礎(chǔ)方可實(shí)現(xiàn)成功———此外，將安全元素視為其核心組成部分同樣至關(guān)重要。

因此無(wú)論是工業(yè)企業(yè)抑或其它領(lǐng)域機(jī)構(gòu)，都應(yīng)當(dāng)認(rèn)真聽(tīng)取LNS報(bào)告中的建議，包括確保網(wǎng)絡(luò)安全成為數(shù)字化轉(zhuǎn)型戰(zhàn)略中的基本組成部分，著重于采用最佳實(shí)踐（立足現(xiàn)有及未來(lái)即將出現(xiàn)的系統(tǒng)），最終消除IT與OT（或者其它需要與IT建立合作關(guān)系的相關(guān)方）間的孤島。