能源行业网络安全：协作构建韧性价值链

本内容由人工智能自动翻译。

能源和公用事业行业遭遇了更有组织性的网络攻击，其影响广受报道。供应链攻击的数量和影响如今愈发显著。

仅在2021年，SolarWinds的一次攻击就影响了全球数千家大型企业和政府机构。与此同时，Colonial Pipeline遭受的攻击导致数百万民众的能源供应瘫痪数日，遏制和恢复工作耗资数百万，并对品牌造成长期损害。

已知在66%的事件中，攻击者将目标对准供应商代码，进而进一步侵害目标客户；而单个组织的弱点或漏洞就可能使整个价值链陷入瘫痪。基于此，你需要提出以下问题：

在彼此互联的世界里，没有任何组织能够独自前行，信任不可或缺。但信任本身也可能成为漏洞，前提是它缺乏审慎、互惠，也没有证据可以验证。

事实上，每个政府机构、非营利组织、全球企业集团以及中小企业，都依赖供应商或合作伙伴提供数字化支持才能运营。每一方都必须设法克服信息不对称。

然而，当组织承担着对国家发展和生产至关重要的“赋能职能”时，就必须通过行动，在整个价值链上确保信任。

与供应商开展可信对话

在多个地点运营、从五大洲采购商品、外包服务并管理数千家各不相同的供应商，是能源行业企业的日常现实。

除此之外，能源行业高度依赖数据来构建可靠而灵活的能源基础设施。相关支撑技术通常来自第三方，这增加了其技术环境的复杂性和风险。

当我们了解到65%的组织尚未识别出那些一旦遭到入侵就可能影响其最关键职能的第三方时，情况就更加复杂了。

为采取基于风险的管理方法，企业应制定“第三方安全原则”，规范与供应商合作、形成共同网络安全态势的方式，将安全和隐私要求纳入采购流程及供应商生命周期。这些原则可以包括：

第三方安全工作必须遵循指导原则，以降低供应商带来的风险，并围绕安全开展透明对话。

在复杂的价值链中，能源企业是客户或用户的供应商。因此，每家企业都必须证明，安全既是其首要任务，也是其实际行动。

因此，信任标志应成为网络战略的支柱，指导设计和交付过程中的安全工作，如下所述。

成功网络安全战略的关键要素Image: Rosa Kariger和Christophe Blassiau

从最基本的标志到最切实的证据，每一项都能提升信心水平，并在与客户和主管机构合作时促成可信对话。

与客户的每一次互动都很重要；网络安全必须从销售环节一直纳入讨论，直至首席信息安全官（CISO）层面，这一点至关重要。

客户必须确信，企业在访问其场所、提交网络安全问卷以及通报漏洞时，均遵守最高安全标准。以下是具体做法：

首先，销售人员、项目经理、调试人员和现场服务代表等面向客户的员工，必须能够满足客户的要求和期望，同时在多样且敏感的信息技术和运营技术环境中开展工作。应结合培训和意识教育等软性措施与技术性硬性控制，确保他们及其设备不会成为网络安全事件或攻击的入口，并确保所有网络安全事件均依照严格的标准、政策和流程得到检测和报告。这项举措应通过正式认可和公开承诺予以确立，例如颁发“网络安全徽章”。
其次，客户有自己的网络安全期望，并且必须了解与之打交道的组织如何管理网络安全。因此，同一企业的各地区和业务部门都必须及时、统一、专业地回应这些询问。
最后，企业必须在产品的整个生命周期内监控其漏洞，并遵循最新标准和法规，以确保达到适当的安全水平。为此，建立基于合规、业务和安全风险的漏洞处理流程，以便及时确定漏洞的优先级并予以修复，至关重要。企业还可以更进一步，通过支持门户与研究人员和客户沟通，让他们能够直接联系企业，从而确保协作与透明度。

能源行业是经济的基石：我们日常的一切活动都依赖能源的开发和运输。网络攻击若打击能源行业的价值链，就能切实重创经济、动摇国家安全。

网络安全中心提供一个可信平台，让领导者齐聚一堂，理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中增进理解与信任。

该中心通过推动跨行业协作和洞见共享，帮助合作伙伴增强网络韧性，应对需要集体行动的挑战。

在环境不确定、网络威胁态势不断变化且能源行业成为对手攻击目标的情况下，建立价值链内部的信任势在必行。

如果全球领导者基于共同理解开展协作并进行个人层面的互动，我们就能共同降低系统性风险，增强韧性。

授权与转载

世界经济论坛发布的文章，可依据《知识共享署名-非商业性使用-禁止演绎4.0国际公共许可协议》以及我方《使用条款》进行转载。本文所表达的观点仅代表作者个人立场，并不代表世界经济论坛的观点。