地铁列车困在隧道里。大范围停电。大坝遭到破坏。电信网络瘫痪。关键基础设施安全遭到破坏，可能带来这些及其他后果：轻则造成不便，重则导致死亡，或造成令人震惊的大规模破坏。乌克兰在2015年和2016年发生的停电就是两个例子。
在当今高度互联的世界，这类基础设施比以往任何时候都更容易受到网络安全威胁，威胁可能来自心怀不轨的民族国家、犯罪组织或个人。这种新的脆弱性源于组织技术系统中的关键基础设施发生了根本性变化。医疗服务提供者、公用事业企业、化学品生产商、制造商、国防机构、应急响应机构、银行和交通运输系统等组织，长期以来一直拥有并运行两类技术系统。其信息技术（IT）系统运行电子邮件、薪资和人力资源系统等基本办公功能；而运营技术（OT）系统则控制执行组织使命所必需的实体设备和人员，例如发电和输电。
过去，OT由独立运行的系统构成，使用鲜为人知的专有协议——正是其不为人知的特性使其安全。但如今，OT系统与IT系统运行在相同的通用软件和硬件平台上。黑客熟悉这些系统，因此它们的安全性大幅降低。
前所未有的暴露风险
是什么促成了OT与IT的融合？这是因为人们越来越需要无缝访问信息，而这有赖于传感器、摄像头和可穿戴设备等“智能”数字技术。例如，公用事业企业从智能电表收集停电的在线数据，以便迅速确定故障地点并恢复供电。房主在度假期间远程调节家中恒温器，降低室内温度。医生在办公室电脑上查看患者的胰岛素使用情况。企业远程监测火车、公交车和卡车的状态与位置、管道中的油气流量，或水电消耗情况，以便有效、高效地管理这些服务。
这些例子中的技术改善了我们的生活，也提高了经济运行效率，但同时也可能让我们更容易受到攻击。乌克兰三家电力公用事业企业的客户因网络事件而断电时，这些企业能够转而采用手动操作来恢复供电。而在一些其他国家，手动操作已不复存在，因此无法这样做。洛杉矶一家医院遭遇勒索软件攻击后，医院系统被锁定而无法使用，医院一度无法获取患者的处方用药信息。所幸，没有人因服用了错误的药物或未能服用正确的药物而死亡。
随着互联设备数量不断增加，黑客可用来干扰关键基础设施的潜在入口也随之增多。所有这些设备在设计、实施和部署时，都必须采取措施降低其遭受攻击的风险。
简而言之，我们对技术的依赖如今已至关重要，而且正呈指数级增长。攻击者一旦袭击使用这些技术的系统，受到干扰或感到烦恼可能只是我们最轻的担忧。
了解挑战
如今高度互联和暴露的状态，也给关键基础设施组织带来了严峻挑战。正如我们最近在提交给美国国家标准与技术研究院（NIST）的报告中向美国总统加强国家网络安全委员会所阐述的那样。让我们仔细看看。
在未来数字基础设施仍在演进之际确保其安全
智慧城市、技术赋能医疗和无人驾驶汽车，有望为我们所有人带来更美好、更安全、更高效的生活。但要建设实现这一愿景所需的数字基础设施，关键基础设施组织必须预见此类基础设施未来的需求。
基础设施未来需要支持的一些技术尚未发明。这就像在不知道飞机需要飞多远、要搭载多少乘客的情况下造飞机。更困难的是，关键基础设施组织的OT系统由较旧的技术构成，这些技术在网络安全受到关注之前就已设计和部署。由于这些系统至关重要，往往无法下线进行重新设计和维修。此外，更换现有设备和系统既昂贵又耗时。你能想象为了升级设备，让你所在社区停电六个月吗？
网络安全人才短缺
确保智能设备在设计、实施和维护时都充分考虑安全性并非易事。此外，这需要全球都十分短缺的专业知识。全球网络安全专业人才缺口已有充分记录。要找到懂得如何保护关键基础设施所需的IT和OT系统的人才，更是难上加难。
尽管这两类系统如今采用相同的底层技术，但保护它们需要不同的优先事项和方法。两者的优先事项差异明显：OT系统首先必须安全且可用，而IT系统首先必须保护其处理和存储的数据的机密性。在IT或OT环境中工作的人员，其职业生涯受这些截然不同的优先事项驱动，通常教育背景也不同，因此思维方式大不相同。要找到同时具备OT和IT网络安全实践能力的人并非易事，而交叉培训既困难、成本高，也不总能取得成效。
大组织与小组织之间的资源差距
网络安全是一门复杂的学科，涵盖多个知识领域。要做好网络安全，需要多种专业知识，而小型组织负担不起。资源充足的大型关键基础设施组织可以聘请自己的专家，并建立完善的网络安全计划。较小的组织（如应急响应机构和供水企业）则必须以少得多的资源管理同样的风险。
依赖第三方安全地提供关键能力
经济规律促使企业专注于核心能力，并将其余工作外包。因此，交通运输企业、公用事业企业、医疗服务提供者、金融服务提供者及无数其他行业依靠众多合作伙伴提供从软件和硬件到法律或咨询服务等各种产品和服务，并不令人意外。这也包括关键基础设施的软硬件组件以及大量智能设备。如今，合并后的企业比以往整合得更加紧密，包括互联彼此的系统并交换高度敏感的信息。更复杂的是，供应商还有自己的供应商、次级供应商，依此类推。
因此，供应链已转变为供应网络——漫长、延伸、复杂、多维且跨国。这带来了几乎无穷无尽的额外攻击点。传统IT制造商应对网络威胁已有20至30年，而智能设备和关键基础设施系统制造商直到最近才开始面对这一问题。前文提到的网络安全人才短缺，严重影响了供应商保护其设备的能力，包括保护自身供应链。过去生产手动操作硬件设备、如今转而生产由软件驱动的智能设备的供应商，必须迅速掌握网络安全知识。
采取行动：我们向总统委员会提出的建议
互联网的时间流逝远快于人的时间。也就是说，威胁行为者按照互联网的速度行动，而人们还在思考、分析并为决策焦虑。组织必须立即行动，缓解当下所面临的网络安全挑战。我们提出了几项建议，以推动有效的集体行动。
IT/OT网络安全从业人员的培养就是一个例子。联邦资助的网络安全人才培养项目虽是正确方向上的一步，但其重点是通用网络安全培训，而非IT/OT环境。因此，这些项目无法充分满足制造业、交通运输和公用事业等行业关键基础设施组织及其供应商生态系统的需求。为缩小这一差距，组织可以支持拓展教育方式，包括大学学位、学徒项目，以及面向现有员工的IT/OT安全培训。
跨组织指导和知识转移是另一项建议。网络安全经验较少或团队规模较小的组织，可以向经验更丰富的同行学习。大型组织还应鼓励专家参与行业协会、公私合作伙伴关系和区域组织，这些都为正式开展跨组织指导和知识转移提供了机会。小型组织也应鼓励类似参与。短期来看，参与这类工作组会占用员工的日常工作时间。但在当今互联互通的世界，组织长远来看会从中受益，因为知识转移将提升连接彼此的基础设施安全性。
将网络安全融入组织文化和战略
除了上述建议，关键基础设施组织还必须将网络安全融入自身文化和战略规划。与安全和质量项目一样，这些工作需要大规模的变革性转变。组织不能只靠采用网络安全技术解决方案。相反，它们必须建立恰当的激励机制、绩效管理、培训、流程、规程和其他体系，从而将网络安全所需的思维方式、行为和实践内化于组织之中。这包括有效使用现有技术并落实新政策。在更具体的日常工作层面，管理者需要以身作则，展现他们希望组织内其他人效仿的思维方式、行动和价值观。
简而言之，增强网络安全韧性最有效的方式，是改变人们使用技术的方式，而不是增加技术来弥补技术使用不当的问题。NIST网络安全框架中的大多数类别都属于非技术范畴，这印证了这一点。事实上，根据我们与麻省理工学院、世界经济论坛及全球各地企业合作的经验，我们建议采取以下做法，将网络安全融入组织文化和战略规划：
赋予网络安全高级负责人相应权力和预算，并确保他们定期与本组织董事会沟通。
在组织内部和外部寻求适当的专家支持。
根据业务战略和风险偏好，明确网络风险承受度。
支持能够最大限度提升业务影响的网络安全投资。
要求提交包含切实可行信息的报告，以支持有效且有优先次序的决策。
建立清晰的沟通机制和问责制度，鼓励整个组织开展协作。
支持与客户、供应商、业务伙伴和竞争对手等第三方开展网络安全协作与信息共享。
归根结底，将网络安全融入文化和战略规划的组织最具韧性。组织中的每个人都会了解网络安全意味着什么；它为何关系到所在组织、整个社会、自己的工作和家人；以及他们如何在日常工作和互动中，为保护整个国家的关键基础设施贡献力量。这很艰巨吗？当然。但任何关键基础设施组织都不能逃避这项工作。
