工業物聯網面臨風險的三大原因

嚴星

不久前，LNS Research發布的一份報告指出，工業物聯網（簡稱IIoT）采用率正在持續增長。但在權衡聯網技術的商業化應用時，企業往往沒能充分考慮到網絡安全挑戰的未來態勢，且企業存在三大障礙影響IIoT安全發展。

工業安全發展現狀

被廣泛視為“智慧工廠”核心支柱的工業4.0無疑是實現適應性、自動化與敏捷性的新型聯網硬件基礎。LNS方面發現，大多數工業企業都有計劃實施數字化轉型，而這意味著網絡安全問題正變得比以往任何時間都更加重要。

遺憾的是，大多數計劃邁入工業物聯網領域的企業都未能考慮到安全性這項因素，這主要是由于運營技術與信息技術之間存在嚴重隔閡。而這道鴻溝甚至有可能嚴重影響到工業數字化轉型浪潮的未來命運。

報告指出，40%的工業企業已經啟動工業物聯網計劃，另有24%則計劃在年之內開始著手。

眾多下一代工業物聯網平臺都將以即服務方式運行，這將帶來更突出的靈活性、易用性并生成大量可量化數據。但這一切在網絡安全層面又會帶來新的軟肋———特別是考慮到工業企業通常將安全保護視為一種附加因素，而非工業物聯網PaaS體系中的固有部分。

工業物聯網面臨風險的三大原因

LNS方面就工業物聯網安全所面臨的巨大風險給出了三項原因：企業并不了解相關威脅的嚴重程度；IT與OT在各自的孤島內運作；嚴重缺乏網絡安全最佳實踐的實施經驗。

1.威脅態勢

研究結果顯示，企業對威脅態勢并不清楚：47%的受訪企業沒有處理過任何安全違規事件。其中19%的企業曾因便攜式存儲介質上的惡意軟件而遭遇安全事故，相比之下直接攻擊活動則非常罕見。這使得眾多企業面對網絡安全工作抱有一種“迷之自信”。但這種自信顯然站不住腳，例如美國國土安全部就曾警告稱，目前每一家主要自動化方案供應商的產品中都包含有已知軟件漏洞。這意味著直接攻擊必將發生，只是或早或晚的問題。

2. IT與OT間的彼此孤立

導致網絡安全挑戰的另一大問題在于IT與OT間的彼此孤立。OT包括工廠當中非企業模式的一切元素，例如控制系統、監控系統、工廠硬件以及機器等等。

報告指出，“即使企業開始以認真態度對待工業網絡安全，如果不能在IT與OT之間建立起真正的合作關系，問題仍然不可能得到充分解決。”IT技能與OT專業知識應當加以結合，從而為下一代工業技術創造行之有效的安全規劃。

3.缺乏網絡安全實施經驗

而在最佳實踐方面，這里還列出了一系列令人沮喪的數字。只有35%的受訪企業擁有專門的首席信息安全官（簡稱CISO），其余企業則將這部分職責歸入首席信息官的職能范疇。報告指出：“為了使得IT與OT的融合成為現實，并確保企業實施有效的工業網絡安全解決方案，CISO與CIO這兩大角色必須同時存在且協同工作。”

除了缺乏CISO之外，工業企業在其它安全領域也較為落后。只有49%的企業擁有廠內帳戶管理政策，而只有38%企業擁有聯網設備清單并記錄往來流量，另外38%企業并未進行任何網絡安全監控。

無論是哪個行業，其原本的所謂下一代技術都是簡單將舊有、過時的成果拼湊在新的系統之上，而這類系統往往根本無法與現代數字化世界進行對接。

這一輪技術變革浪潮在給我們帶來無限可能性之余，亦提醒人們其必須配合新的且能夠相互聯系的基礎方可實現成功———此外，將安全元素視為其核心組成部分同樣至關重要。

因此無論是工業企業抑或其它領域機構，都應當認真聽取LNS報告中的建議，包括確保網絡安全成為數字化轉型戰略中的基本組成部分，著重于采用最佳實踐（立足現有及未來即將出現的系統），最終消除IT與OT（或者其它需要與IT建立合作關系的相關方）間的孤島。