针对运营技术（OT）系统的网络攻击日益增多，危及全球范围内的关键基础设施，影响能源、水务和制造业。
首席执行官必须区分IT与OT网络安全，才能有效保护数据和工业运营。
量身定制的OT网络安全控制措施——例如工业控制系统（ICS）响应计划和可防御架构——可以保护关键系统，并确保运营连续性。
工业机构的高管层和董事会对网络安全的认识日益提高，要求获得保证，确保本公司能够经受国家行为体、黑客活动人士和犯罪团伙带来的日益严峻的网络威胁。
近期事件包括针对水务设施、化工厂以及处理流体的制造商所用可编程逻辑控制器的一系列网络攻击。间谍活动威胁仍在持续，Volt Typhoon继续威胁能源、水务、交通和通信基础设施。
最近发现的FrostyGoop恶意软件不仅扰乱了乌克兰600多栋住宅楼的供暖，而且其攻击目标是全球超过46,000台可联网工业控制系统（ICS）设备所使用的技术。各机构也在警惕PIPEDREAM，这是首个能够跨系统和跨行业扩大攻击范围的ICS恶意软件。
工业企业的首席执行官和董事会成员通常会收到由信息技术（IT）安全工具生成的指标以及网络安全预算分配情况，以证明公司的承诺。
遗憾的是，这种做法会带来一种虚假的安全感。支撑业务创收环节的运营技术（OT）仍然暴露在风险之中，因为IT网络安全无法对其提供充分保护。
通过理解IT与OT之间的区别以及这些环境中有效的网络安全控制措施，首席执行官和董事会成员可以做出更明智的决策，并更好地追究团队的责任。
以下入门指南阐明相关概念，并有助于强化机构在网络安全与韧性方面的组织方法。
保护支撑我们生活方式的运营系统
OT为现代工业系统和关键基础设施提供动力，对我们生活的诸多方面产生重大影响。截至2022年，关键基础设施为全球91%的人口（72亿人）提供了电力，并为74%的人口提供了清洁饮用水（59亿人）。
石油和天然气对全球交通运输、制造业和发电至关重要。根据世界银行《2023年世界发展指标》，制造业对全球国内生产总值的贡献超过15%，雇用了全球劳动力的15%至20%，并且通过所生产的商品和服务，几乎影响地球上的每一个人。
OT网络安全在发展过程中，本质上已形成以运营的连续性和恢复为重点的理念。
一旦OT系统受到干扰，就会出现停电、短缺、安全隐患、生产中断和经济损失。针对水务系统的网络攻击可能导致饮用水不安全或无法获取。
针对能源基础设施的攻击可能导致停电并造成经济中断。针对食品加工厂、芯片制造商和制药公司的网络威胁会导致短缺、质量问题、健康和生命受到威胁、全球供应链中断，以及企业声誉和业务可行性受损。
高管们询问首席信息安全官其企业是否得到保护，这样做是正确的，但他们还需要深入探究。原因如下：企业网络安全投资通常用于保护数据和信息系统，而非那些大规模运行、拥有独特系统且对可用性有严格要求的工业流程。
这些OT系统正日益通过数字化转型举措实现互联，但往往包含脆弱的技术，而这些技术在设计时并未考虑网络安全。
实施正确的网络安全措施
IT网络安全旨在保护信息并防止未经授权的访问。IT侧重于管理和处理数据，以确保信息的可用性、保密性和完整性。IT设备通常为现成产品，使用寿命较短，且更易于更换和维护。
然而，OT网络安全保护的是确保工业环境安全高效运行的系统。OT负责监控和控制物理流程与设备，并与机械设备及物理基础设施进行交互。
OT中使用的设备通常为专门定制，使用寿命长，并需要专业维护。传统上，OT的安全优先事项强调安全性、可靠性和实时性能，重点在于保护物理流程和设备。
企业必须采用专门针对工业环境的网络安全措施来保护OT系统。由于在纷繁复杂的指导意见中把握方向可能颇具挑战，SANS研究所为OT网络安全制定了“五项关键控制措施”，帮助机构优先考虑最重要的控制措施，并建立有效的网络安全实施路径。
这些控制措施包括：
制定工业控制系统（ICS）事件响应计划，为应对攻击做好准备。
构建可防御的架构。
获取ICS网络的可见性并进行监控。
使用安全的远程访问。
开展基于风险的漏洞管理，对适用于工业高可用性环境的漏洞进行优先级排序和缓解。
根据世界经济论坛近期发布的白皮书，《解读网络韧性》，“机构必须将网络韧性作为一项战略性领导议题予以优先考虑，以保护核心业务目标并促进长期增长。”
对于那些在OT网络安全方面为机构走上正确道路的工业企业领导者而言，这是一个积极的消息。其网络韧性将立即得到提升。
就既定实践和广泛采用而言，OT网络安全是一门比IT网络安全更为新兴的学科，但其发展过程中本质上已形成以运营的连续性和恢复为重点的理念。
OT网络安全必须始终考虑与保障关键基础设施安全运行相关的独特挑战和高风险。因此，OT网络安全纳入了各项策略，以防范网络威胁，并确保系统能够经受住事件冲击并迅速恢复。
