近20年來，保衛自動化系統

疑問的答案，與具體場合一樣多。可是，它們仍有一些共同主題。很多資產所有者發明，假如沒有具體和緊迫風險的證據，很難定義變更其安全實踐的商務案例。可用的指南集，看起來龐大、令人惶惶且可能相互矛盾，其他人可能難以從中進行選擇。很多中、小型公司基本沒有必須的員工或技術知識，來充分知足對網絡安全策劃的需求。

01

通用尺度還是行業特定尺度?

此中一個更有趣的商量主題是：尺度和指南應該是廣泛而通用的，還是應針對特定行業量身定制。長年來，它一直在工業網絡安全界引起劇烈的爭論。基于行業相似性多于不同性的近況，應規定適用于各個行業的尺度和實踐，這一主張已經觸發了一系列回應，具體取決于個人的觀點。這里有一個與 Kübler-Ross 模子的有趣類比，也被稱為傷心階段，它描述了與創傷相關的情緒狀態的差異階段(圖 1)。

▲圖 1：對共同尺度和實踐的回應。

固然這個模子可能并不完全合適這種場合，但它確切提供了一個底細和步驟，使商量超越了特定指南的適用性疑問，轉向減低網絡風險需求。目標必要是從可用的傳授和實際案例中獲取最大價值，而不是僅僅由於這些信息來自差異行業就被忽視。

02

雷同的風險和后果

行業之間當然存在不同，但與潛在網絡進攻或缺陷相關的風險卻相當相似。風險，通常被定義為恐嚇、懦弱性和后果的函數，還有對可能性的估算。為了全面評估行業和公司之間的相似性，有必須研究每個因素。

對工業系統的恐嚇有多種格式，從直接進攻到利用這些系統的特性及其通過互聯網的可用性或可拜訪性而進行的非特定進攻。固然很多資產所有者以為，他們并不是什麼著名的公司，沒人會進攻他們，但當互聯網上出現惡意軟件時，他們很容易成為附帶受害人。最近敲詐軟件進攻的案例，就極度清楚地說明白這一點。發表此軟件的人可能并沒有考慮個人目標，而只是尋找可以利用的漏洞，來加密數據并要求為其付費。

算計風險的另有一個重要因素是懦弱性。正是在這里，我們看到了差異應用之間最大水平的共性。幾乎所有基于算計機或自動化系統的行業都採用來自相同主流供給商的產品。比年來，重要供給商的數目有所減少，它們根本上都採用相同的商用現成專業來生產數據庫、操縱系統和網絡設施等組件。這就造成了單一專業，因此自動化辦理方案固有的漏洞對所有用戶來講往往都是共同的。

漏洞緩解，要求資產所有者盡快更新或修補其已安裝的系統。在修補不可行甚至不可能的場合下，通常需要采用賠償性對策或管理措施來緩解漏洞。案例包含有採用各種隔離想法，直至將系統與網絡斷開連結。工業防火墻和單向網關等產品可實現此性能。

▲圖 2：美國國家尺度與專業研究院網絡安全框架 (NISTCSF)已被廣泛接納為表征有效網絡安全響應的通用框架。

在恐嚇算計中，最主要的組成部百家樂 娛樂城門或許是系統受損的潛在后果。這些后果可能遠遠過份自動化系統停機，甚至會導致無法察看或管理受控過程。在某些場合下，假如沒有自動化，就很難或不可能安全地操縱這些過程，這樣就會依賴自動化安全系統，將其移至安全狀態或實現安全停機。正如最近的事件所表明的那樣，縱然是安全系統本身也容易遭受網絡進攻。

盡管這些后果的細節因行業而異，但它們的性質縱然差異，通常也是相似的：從損失產品或服務，到爆炸、開釋有毒材料直至設施損壞。或許最常見的基于潛在后果的行業分組，是所謂的關鍵根基設備組成部分。

基于上述解析，差異行業面對的風險好像比人們想象的更相似，這反過來又會讓人們得出結論：更多的跨行業共享可能是有益的。

03

自動化系統的共同挑戰

還有許多因素常常限制為工業系統建立有效的網絡安全策劃。這在許多行業應用中都很常見。

尺度的復雜性：通常行業尺度都是採用極度準確的結構和術語來編寫的，以許可建立適合的一致性規范。對于那些不是該主題專家的人來說，這種語言晦澀難解。非命的是，這意味著對那些試圖在實際場合中應用這些文件的人來講，這些文件令人生畏，甚至難以懂得。這反過來會陰礙接納和采用水平。很明顯單憑尺度本身，不足以促進采用途經驗證的有效做法。

缺乏實際案例：盡管尺度通常紀實已被接納的工程實踐，但它們也是蒐集案例研究和用例的出發點。案例研究描述特定應用的想法和結局;而用例則側重于主題的特定方面。在這兩種場合下，主要的是要辨別和描述構成有效響應根基的共同原則和根本概念，而不管所涉及的是哪個行業。

非命的是在自動化系統中，通常很難找到實用且具有典型性的案例研究。資產所有者可能不愿分享他們以為是專有或別的敏感的信息，或者他們可能只是沒有時間和資本來預備和發表此類文件。最常見的場合是供給商發表案例研究，此中大部門辨別信息被編制，但這些可能被視為特定產品求和決方案的隱晦廣告。

需要工作流程傳授：有一種特定類型的指南，好像有特別高的需求。資產所有者和別的但願創建有效網絡安全策劃的人，極度但願了解他們的伴同是如何將此類策劃整合到正常工作流程中的。有充分的證據和經驗表明，採用項目來實現網絡安全的想法，長期來看是不可連續的。就像別的安全謀略一樣，網絡安全必要成為正常流程和程序的一個組成部門。

多重才幹：還有一個疑問是需要哪些技巧或才幹來充分應對網絡安全風險。顯而易見的需求包含有：控制和保衛信息，以及信息所在的系統和網絡方面的技術知識。但在處理自動化系統時，這些還不夠。還必要徹底了解受控過程以及用于陰礙管理的謀略和邏輯。這種技術知識只能從自動化和雷同的工程技術中獲得。信息、系統和網絡安全與工程技術知識的結合，是全面辦理疑問所必需的。

到現在為止，風險的恐嚇和懦弱性對每個企業來說根本相同，固然詳細后果可能有所差異，但對于被以為是關鍵根基設備一部門的部分，潛在陰礙極度相似。那些試圖有效應對網絡風險的人所面對的挑戰也大致相同。此外，通過更多地分享實踐和經驗，也可以更有效地應對絕大部門挑戰。

04

應對措施的要素

鑒于行業之間存在如此多的共性，很明顯，更多的合作將有助于辦理改良操縱系統網絡安全的需求。這種合作應包含有幾個根本的要素：

底細信息：首要，必要有共同底細信息，用其來確認響應的組成部門，并創建彼此之間的關系。

概念和術語：必要有一套共同的概念和術語，跨行業和跨技術的有效協大福娛樂城app功能作和合作才有可能。盡管對于自動化行業中的性能元素以及網絡和安全技術中的系統元素已經存在，但當各技術必要協同工作時，有時會遭遇難題。跟著他們彼此之間變得更認識，這種場合正在改良。

規范性要求：只有對期待的未來狀態有明晰明確的描述，才能做出有效的響應。通常，這以一組規范性要和解相關增補指南的格式出現。主要的是，這些要求僅限于定義要做什麼，而不對如何實現做出假設或斷言。

推薦實踐：要求(縱然附有支援或辯白性的原因)也在線撲克遊戲是是不夠的，由於它們常常以許可定義一致性尺度的格式採用廣義或通用術語。推薦的做法是遵循這些要求，并採用更合適特定環境的術語來重新定義。因此，可能存在基于單一尺度的多種實踐，每種實踐都針對特定場景。

案例研究和用例：對于系統集成商和資產所有者來說，這可能是最有用的資本，由於它們描述了在先前的工況下哪些是有效的，哪些是無效的。

在建立、審查和共享上述資本時，所有相關技術和長處相關者都必要介入此中。供給商必要與系統集成商、資產所有者和服務提供商親暱合作，以應對生命周期各個階段的活動：從規范和開闢到實施、運營和支援。利用所有相關和受陰礙技術的技術知識也很主要。例如，自動化系統的風險評估，必要包含有leo娛樂城下載問題認識底層流程和可能后果的工程師和運行人員的輸入。

上述大部門內容已經存在，盡管來歷不唯一。這可能會導致需求信息的人缺乏意識和懂得。需要更多的合作才能將各個部門組合在一起，并提供全方向的必須傳授。此外，還需要提高對現成資本的熟悉和了解。

美國國家尺度與專業研究院網絡安全框架 (NIST CSF) 已推出數年。盡管它是美國推出的，但它也反應了世界別的地域的功勞，并已被廣泛接納為表征有效網絡安全響應的一般框架。此外，NIST 還發表了符合制造業目標和行業最佳實踐的網絡安全框架制造部署文件的實施指南。

一些組織以各種格式處理了工業網絡安全概念、模子和術語;贏家 娛樂城然而，ISA 和 IEC 聯盟開闢了可以說是該領域最全面的尺度集。ISAIEC 62443 尺度不是針對某個行業，而是基于活動、資產和后果尺度的組合來定義其范圍(圖 3)。

▲ISAIEC 62443 范圍尺度。

ISAIEC 62443尺度的優勢在于：這些尺度不受特定行業或部分的約束或限制。固然起初是針對過程工業開闢的，但它們已勝利應用于軌道交通和采礦等行業。開闢這些應用最常見的想法，涉及在相關行業底細下辯白概念和要求，并將這種辯白用作更會合的推薦實踐的根基。

網絡安全風險在各個行業都很常見，尤其是在自動化系統中。對這種風險的有效應對應當是創建在多學科知識根基上的。意識到挑戰，并在辦理方案上進行合作，是確保當前和未來關鍵資產安全的有效方式。