如何建立一个可持续的工业安全计划-广州启明自动化科技有限公司

　　许多组织在启动其工业安全计划或拥有运行不畅的计划方面存在困难。一个工业安全计划需要时间并需要组织的全部关注。由于信息技术(IT)和运营技术(OT)团队通常具有不同的技能和观点，工业安全计划可能会失败。我认为有方法可以解决这个问题并使计划回到正轨。

　　以下是我认为每个组织都应采取的七个步骤来建立工业安全计划。我经常看到公司专注于其中一两个步骤，但可能忽视其他步骤，这可能对进展产生负面影响。

　　步骤一：承认你有一个问题

　　承认组织存在问题是解决问题的第一步。许多安全项目跳过了这一步，认为网络安全风险对每个人来说都是显而易见的。问题是，大多数人将网络安全风险与高调的公司系统公开漏洞联系起来。然而，商务电子邮件 compromisions (BEC) 或勒索软件攻击每天都在新闻中出现，但工业系统攻击却很少被公开。

　　桌面演习模拟真实的网络事件已经成为大多数IT安全计划的常规做法。然而，这些演习通常集中于公司层面的事件，例如人力资源系统的漏洞或勒索软件攻击。进行专注于工业资产(如制造线)的桌面演习，以有效吸引领导层并提高对运营技术风险的意识。

　　为了充分了解公司的风险，我建议组织至少一次工业安全桌面演习，让运营领导人、工厂经理和工程团队参与。该演习应集中于一个关键的工业资产。从一个重大但合理的网络事件影响工业资产的示例开始讨论。

　　一个典型的工业桌面可能看起来像这样：

　　一个工程集成商将一台笔记本电脑连接到一条关键的生产线上，引入了恶意软件。即使公司认为自己已经建立了防止这种情况的控制措施，这种场景也是现实的，并且可能会发生。

　　恶意软件然后传播到资产内的所有基于Windows的计算机，包括工业人机界面、服务器和工作站，使它们成为不可恢复的。

　　在这个阶段，保持简单是很重要的。以下是需要讨论的一些关键问题：

　　这一事件会对业务产生什么影响?

　　资产可以从备份中恢复吗?备份系统有多可靠?如果备份被破坏会发生什么?

　　如果所有Windows计算机都感染了病毒，工业过程可以安全地执行关闭吗?

　　这个事件会影响安全吗?

　　使用这个桌面会议来吸引关键领导者，并获得他们对项目的支持。保持讨论的高水平，并将桌面会议限制在一两个小时内。确保讨论保持专注，并将后续讨论推迟到以后。

　　步骤 2：雇佣翻译人员

　　组织中运营技术(OT)和信息技术(IT)之间的紧张关系可能会阻碍工业安全计划的实施。这通常是因为每个领域都有专业的技能，缺乏相互理解，导致沟通障碍。许多组织有关于一方行动给另一方带来问题的故事，从而培养和传播不信任。

　　工程师们通常会有关于IT破坏系统影响生产的故事，感到IT不理解环境。相反，IT专业人员会有一些例子，说明由于工程师缺乏网络或服务器知识，工业故障发生，IT在最后一刻进行修复。

　　为了在IT和OT之间建立有意义的对话，工业安全计划需要一名OT翻译者。OT安全计划通常由IT安全团队领导，但很少有IT专业人员真正了解OT。包括一名来自OT的人员可以增加该计划的可信度，并促进更好的沟通。

　　我见过一些组织采用的策略。

　　内部招聘：如果组织中有一位优秀的工程师可以加入该项目，这可能是最佳选择。OT 译员不需要是安全人员，但应具备良好的 IT 基础并热爱学习。

　　外部招聘： 从组织外部招聘一名工程师，能够带来新想法和必要的技能。寻找具有强大沟通技巧和工业安全经验的人才。具有强大工业控制、IT和安全混合背景的资源很少，因此组织可能需要做出妥协。

　　借阅： 在许多情况下，使用具有工业安全经验的咨询小组可能会很有帮助。这种经验将有助于在团队开发其内部OT / IT能力的同时，建立项目的 foundation。

　　步骤 3：理解关键的业务和 OT 流程

　　一旦业务已表明对该项目的支持，并且有一位OT翻译人员到位，下一步就是了解该组织的工业流程。如果存在多个流程，可以从被认为对组织有重大影响的工业流程开始。

　　为了更好地了解情况，现场参观很有帮助。参加一个以整体制造流程和控制系统在该流程中的作用为重点的工厂参观。然而，不需要了解流程的每一个细节，但是团队应该集中精力于关键的组件和系统。以下是参观过程中需要涵盖的一些关键问题。

　　制造过程的目标是什么?

　　系统如何控制以防止安全问题?

　　过程中的哪些系统是最重要的?

　　如果这个系统失败了会怎样?

　　是否有其他关键控制系统是监管要求所必需的?

　　谁可以访问这些系统，以及如何访问?员工或第三方是否远程访问该系统以进行实施、维护或支持?

　　有了这些信息，工业安全计划就可以开始确定下一步的优先事项。

　　步骤 4：了解您的 OT 资产

　　一些IT安全专家建议“资产清单”应是项目的第一步，然而，我将其放在了第四步。虽然清单很重要，但完成前 three 步可以帮助团队更好地理解清单以及系统对流程的影响。

　　组织有时会在了解支持该流程和技术的上下文之前就购买工具来帮助他们识别资产和漏洞。这可能导致项目关注错误的资产和错误的优先事项。

　　开源工具通常免费，对于许多组织来说，在建立第一个高级库存时是足够的。然而，购买的工具可以显著减少创建库存所需的努力。它们通常能够更精确地完成任务。这些自动化工具可以在库存过程完成后使用，并帮助组织监控环境的变化。

　　OT翻译人员可能能够帮助团队安全地将库存工具连接到OT网络，并且应该能够帮助解释扫描结果。一些购买的工具是被动的，只能查看网络流量。这些系统可能风险较低，因为它们不太可能与生产系统产生不利的互动。其他工具是主动的，可能需要在工业系统计算机上安装软件，或者可能会生成可能具有破坏性的网络流量。无论采取哪种方法，都必须极其谨慎，以确保任何资产管理系统工具都能确保操作安全。

　　ISA/IEC 62443系列标准在这一阶段对组织来说是一个宝贵的资源，是工业安全的事实标准。该系列标准提供了评估工业系统风险的指南。此步骤的关键成果之一是根据区域和通道来图示当前的系统。ISA/IEC 62443系列标准提供了这些概念的指南和进行初步风险评估的有用信息。

　　此步骤的目的是优先考虑您的工作，并确定应包含在您的计划中的关键资产。

　　步骤5：增加价值

　　安全计划通常专注于减少风险，但重要的是要展示出OT团队在减少网络风险之外的价值。如果OT团队从工业安全团队的举措中看到额外的价值，那么他们更有可能全身心投入。工业安全计划可以为OT团队提供价值的几个领域如下。

　　系统备份和切换测试审查。 对关键系统进行彻底审查，以确保系统备份正在执行，并且切换机制正常运行。系统集成商通常在初始安装时实施备份系统或冗余服务器解决方案，但是这些系统可能随着时间的推移没有得到适当维护。及时识别和解决这些问题可以帮助工厂避免昂贵的停机时间。

　　虚拟化系统实现经常使用像VMware这样的虚拟化技术。然而，这些系统具有很大的价值，但许多集成商缺乏部署这些环境的经验，而OT工作人员通常没有太多管理这些环境的经验。团队应审查这些环境以进行性能、可靠性和安全性改进。在提出建议之前，请确保符合工业系统制造商的要求，并对任何更改进行严格测试。

　　投资支持。资产清单可以突出显示OT团队无法获得资金的有风险资产。项目团队可能更擅长向管理层描述旧IT系统的风险。

　　一旦工业安全计划开始为OT团队增加价值，更多的合作将会随之而来。

　　第6步：实施OT治理计划

　　安全框架是任何安全计划的基础。从根本上讲，大多数IT组织都遵循某种安全框架，其中最常见的是ISO 27001或NIST 800-53。这些框架中的每一个都提供了一种一致的方法来解决安全问题。对于工业安全，黄金标准是ISA/IEC 62443系列。62443工业安全标准可以补充现有的安全框架，或者如果还没有IT安全框架，也可以独立实施。

　　对于任何对62443感兴趣的人来说，可以从ISA-62443工业自动化和控制系统安全第1-1部分：术语、概念和模型开始学习。该标准提供了对框架的良好概述，ISA还提供在线培训以帮助深入了解。

　　接下来，查看第2-1部分：IACS资产所有者的安全程序要求。该标准包括了程序级别的基本要求，这些要求对于一个程序来说是必不可少的。对于熟悉ISO 27000系列标准的人来说，这个标准类似于ISO 27002，因为它定义了特定的要求和指南，但针对的是工业安全。

　　一些62443 2-1的要求与传统的网络安全框架重叠，但许多是工业安全的独特要求。ISA 62243 2-1还包括了与传统框架(如ISO和NIST)的映射，因此不会有重复的工作。

　　步骤七：保持真实

　　既然安全计划已经到位，OT-IT 合作伙伴关系也已建立，就至关重要的是将所有工业员工，包括操作员、维护公司和承包商，纳入该计划。

　　拥有工业系统的公司可能会将安全视为公司的一项基本价值观。工业安全计划应包括安全和安全的讯息，以加强其讯息。像安全一样，花时间与员工谈论安全及其对他们可能产生的影响。

　　安全威胁将继续演变，因此员工必须了解他们的决策如何有助于维持一个安全的环境。为了有效吸引员工，安全意识培训应确保员工不仅了解应采取哪些步骤，还了解为什么采取这些步骤。实际例子可以帮助员工理解负面影响以及他们的行为如何避免这些影响。

　　IT和OT之间的关系是任何工业项目都应该培养的关键基础。当IT和OT共同努力并欣赏彼此的优势时，他们可以创建一个坚固的安全框架，以应对工业环境的独特挑战。