• 近期针对美国一家大型管道所有者的勒索软件攻击，凸显了关键基础设施的脆弱性。
• 能源行业不能坐等政府就网络安全出台监管措施。
• 能源行业必须做好准备，应对频繁且复杂的网络攻击，将其视为新常态。
强有力的网络安全需要协作式方法。在石油和天然气行业，供应链相互关联、彼此依存，因此作为一个整体共同提升网络安全成熟度至关重要。
近期针对Colonial Pipeline的勒索软件攻击应当成为一堂警示课，让人们看到关键基础设施在网络风险面前何其脆弱。Colonial Pipeline是一家大型管道所有者和运营商，负责向美国东部输送近一半的运输燃料。可靠的能源供应链取决于能否在当下及未来把网络安全做好。
无论愿意与否，政府和企业都必须适应不断升级的威胁局面。随着各国政府应对网络攻击所涉及的地缘政治问题，我们可以预见，许多政府将探索新的法规、加强政府与私营部门之间的合作，并增强对关键基础设施的技术防护。然而，石油和天然气企业高管不能坐等政府，而须自行推进降低其庞大而复杂的组织所面临网络风险这一艰巨任务。
持续的市场压力正推动石油和天然气行业掀起数字化革命。新冠疫情使远程工作安排激增，加入了不断增长的数字化、网络化系统浪潮，这些系统能够最大限度提高效率、最大限度减少排放。数字化资产明显的竞争优势意味着这场数字化革命将持续下去。石油和天然气行业的关键工业流程将越来越多地依赖联网、数字控制的设备。然而，数字化设备的本质特性也带来了更高的网络风险。那些帮助石油和天然气基础设施高效运行并支持远程操作的工具，正是网络攻击的潜在暴露点。
部分由于数字化设备带来的攻击面扩大和改变，攻击的频率和复杂程度持续上升，且攻击重点已发生转移。过去的攻击主要针对信息技术（IT），而如今针对运营技术（OT）的攻击已十分普遍。
这一威胁环境已成为石油和天然气基础设施的新常态。无论攻击者是出于经济利益的犯罪分子，还是参与地缘政治博弈的国家级行为体，数字化的石油和天然气基础设施都是一个诱人的目标。董事会成员及其问责的信息安全负责人应当做好准备，将频繁且复杂的攻击视为持续存在的运营风险。
即使是那些敏锐意识到石油和天然气行业所面临风险与趋势的行业领袖，构建稳健的网络安全体系也可能是一项艰巨挑战。
世界经济论坛白皮书《石油和天然气行业的网络韧性：董事会与企业高管行动指南》提供了一套全新的蓝图，用于保障关键基础设施安全，帮助石油和天然气行业领袖应对网络风险，并在其组织内部落实关键建议，同时推动能源生态系统采用相关标准。这份新的行动指南源于世界经济论坛石油和天然气行业合作伙伴社区（包括西门子能源和沙特阿美）的讨论与协作，该社区促成并编写了一份指南，帮助石油和天然气行业领袖应对网络风险，并在其组织内部落实关键建议，同时推动将其作为能源生态系统的标准加以倡导。
世界经济论坛工作组汇集各方经验，制定了一套针对行业的六项原则，以帮助石油和天然气公司的董事会管理网络风险，并增强其组织的网络韧性：
1. 网络韧性治理
网络安全工作依赖于组织内部的广泛参与。协调各方行动并明确问责机制，是取得成功的根本所在。
2. 设计即韧性
将网络安全作为设计参数纳入并融入企业文化，有助于改善成效。
3. 企业的韧性责任
鉴于复杂且频繁的威胁很可能持续存在或进一步升级，各机构应审视自身面临的网络风险，并承担起管理这些风险的责任。
4. 整体风险管理方法
与其他风险一样，管理网络风险需要明确授权、资金、资源和问责机制。在石油和天然气行业，尤其重要的是发现并降低价值链各环节的风险，以防某一薄弱环节导致生产中断。
5. 全生态系统协作
防御薄弱环节可能存在于组织之外。有意识地共享网络威胁信息、最佳实践，并在整个行业范围内提升网络安全成熟度，有助于维护全行业的稳定。
6. 全生态系统网络韧性计划
鉴于网络攻击将持续发生，制定韧性计划有助于减轻那些全部或部分得逞的攻击所造成的损害。网络安全演练使防御方能够测试并改进防御能力，包括其如何与其他行业合作伙伴开展协作。
为帮助董事会成员和企业高管设想这些原则的落地实践，该行动指南列出了最佳实践的具体示例，并提供了实施策略。这些原则的采纳将支持行业在未来数十年继续提供安全、可负担且低碳的能源。
世界经济论坛在网络安全方面开展了哪些工作
网络安全中心提供了一个可信赖的平台，让各方领袖齐聚一堂，共同厘清不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业协作与洞察共享，该中心帮助合作伙伴增强网络韧性，应对需要集体应对的挑战。
唯有携手合作，我们才能共同构建稳定、高效、可靠的石油和天然气生态系统，以应对持续存在的网络威胁，守护我们共同的未来。
