基础设施服务遭受网络攻击的情况日益增多，最近的案例包括美国的殖民地输油管道遭黑客入侵事件，以及爱尔兰公共卫生服务遭受的攻击。
黑客正利用物联网（IoT）技术，这在关键基础设施中制造了数以百万计的新漏洞节点。
我们需要公共部门和私营部门进一步就物联网安全标准达成更广泛的共识，并在关键基础设施领域建立对安全的信任。
我们正处于“网络大流行”之中。2020年，新冠疫情加速了向远程办公的转型，用于此类攻击的软件也变得更容易执行，勒索软件攻击迅速增加，并在2021年持续加速：
仅在美国，过去九个月的攻击次数就增长了300%。
超过60%的勒索软件攻击以关键基础设施行业为目标，其中医疗保健、公用事业和制造业首当其冲。
美国公用事业机构已遭受攻击，每周300次，并且仅在两个月内增长了50%。
网络犯罪分子的主要目标之一是运营技术（OT）网络，这些网络连接着管理我们关键基础设施的工业控制系统（ICS）。随着电网、水处理设施、交通和医疗保健系统越来越多地将其运营技术系统与物联网相集成（例如通过远程传感器和监测），这带来了一个新的风险前沿：黑客可能利用数以百万计的额外漏洞节点和新的攻击途径。
这些攻击不仅对企业，也对社区、城市、州和整个国家产生了巨大影响。其后果可能十分严重。2020年4月，黑客通过以色列水处理设施的物联网系统对其发动攻击，攻击者由此获得了改变水压、水温和水中氯含量的能力。如果攻击完全得逞，可能导致整个社区因饮用水而患病，或触发故障保护机制，从而使数千人完全无水可用。
黑客是如何利用物联网系统的？
当未落实安全最佳实践时，物联网设备及相连系统可能给关键基础设施服务带来重大安全风险，因为它们本身存在若干固有缺陷：
供应链中网络安全实践缺乏标准化，导致暴露面扩大。
安全协议和设计存在薄弱环节，包括弱密码和补丁管理实践。
架构、固件和软件陈旧且不再获得支持。
攻击面随所连接设备数量的增加而扩大。
因此，黑客有多种方式利用这些设备，either发动针对更大目标的攻击，或横向移动以损害关键任务系统，并窃取客户和员工信息、知识产权或其他敏感资产。
名为Mozi的新型“僵尸网络”攻击在过去18个月中极为活跃，2020年占物联网攻击总量的90%，并控制了近50万台联网设备。每台被入侵的设备都会被指令去寻找更多设备进行感染，这使网络犯罪分子能够控制整个网络及其数据，并以此勒索赎金。
世界经济论坛为避免网络大流行采取了哪些措施？
2021年3月，硅谷初创公司Verkada遭受了大规模物联网网络攻击。黑客获得了大量安全监控摄像头的管理员权限，这意味着他们可以在这些设备上执行自身的恶意代码。
一旦黑客入侵某台联网设备，便可将其作为横向攻击的跳板，进而暴露对运营至关重要的系统。随着各行业进一步整合IT和OT网络以获取新的洞察，这些设备对依赖工业控制系统的运营构成了更大的威胁。如果不进一步加强针对这些联网设备的安全措施，我们很可能会继续看到以关键基础设施行业为目标的更多攻击。
在国家和全球层面正在采取哪些措施？
关键基础设施在很大程度上仍为私有，因此需要公共部门和私营部门协调努力，以遏制勒索软件和物联网威胁。为弥补关键行业安全协议和标准中的漏洞，各国政府正主动出台并扩展针对物联网设备的现有网络安全政策。
欧洲联盟网络安全局（ENISA）于2020年发布了物联网供应链安全指南，目前正为物联网运营商和关键基础设施行业制定具体的安全措施。与此同时，《物联网网络安全改进法》于2020年末颁布，要求使用物联网的美国公共部门用户（包括关键基础设施中使用的物联网）为其物联网部署提供强有力的网络防御。
相关标准由美国国家标准与技术研究院（NIST）制定，该机构多年来一直是美国提升网络安全方法的核心力量。NIST在与政府、行业和私营部门利益相关方磋商，并与其他国家的国际标准化工作相协调的基础上，制定了多项指导性文件。鉴于美国政府作为客户的规模，公共部门采用的NIST标准也可能成为美国乃至更广范围内所有类型物联网设备的事实上的行业标准。
除了聚焦美国联邦政府市场的《物联网网络安全改进法》之外，2020年末通过的第116-283号公法要求设立一个由私营部门利益相关方组成的物联网指导委员会，为美国联邦政府跨部门机构工作组提供咨询。指导委员会和联邦工作组的任务是识别物联网的益处、改进物联网监管并消除采用障碍。与此同时，总统于2021年5月签署的关于网络安全的行政令要求试行消费类物联网产品标识计划，标明产品如何满足网络安全标准，该计划将于2022年2月前投入运行。
这些为物联网设备确立安全要求的努力，已超出联邦机构和承包商的范围，以应对关键基础设施领域的安全需求。最易受此类攻击影响的行业寻求统一性和效率，因此将这些法律和政策视为采用基线安全要求的指导原则。
公共部门和私营部门可以做些什么？
随着关键行业网络攻击的增加，政府与私营部门对保护这些系统负有共同责任。物联网设备的采用者可与政策制定者和网络安全供应商合作，在就物联网安全标准达成更广泛共识的同时，在关键基础设施领域建立对安全的信任。
1) 通过以下方式，在全球范围内建立统一的物联网安全方法：
就物联网安全达成全球通用的基线标准（区分消费类设备和工业设备）。
推广来自Cyber Tech Accord、Charter of Trust或Paris Call for Trust and Security等行业联盟的共同安全原则。
协调各项法规及设备安全认证的基线机制。
制定数字安全的共同原则和国际准则。
不仅关注物联网技术的供应商，也关注其使用者。
2) 通过提高透明度和加强国际合作建立信任：
明确供应链和价值链中的责任模式。
促进跨行业和国际合作。
推广使用国际信息共享框架及保障最佳实践。
