如何使IT與OT安全協同工作

張格

在過去的10年中，隨著云計算的出現，IT發生了巨大變化，云計算提供無處不在的訪問、無限的計算和無邊界的存儲。另一方面，運營技術（OT）的發展則緩慢得多，基于這種二分法，IT與OT安全的成熟度和發展也有各自的軌跡。

在企業的IT部門內，增量內容不斷交付，例如，對最新產品的頻繁更新，或者當發現嚴重漏洞時，安裝新軟件版本或補丁；然后是動態性更高的環境，例如，DevOps團隊不斷提供快速發布。

與此相反，企業的OT方面則很少進行軟件更新。即使是嚴重的漏洞，也可能會持續數月甚至數年未修復，因為升級系統需要關閉電力設施或核電站，這必須進行精心地協調，并且必須對軟件更新有絕對的信心。

但是，隨著IT開始擴展到OT，以及OT延展到IT，這些對IT和OT安全性的嚴格分類開始變得模糊。

將OT引入IT團隊

想象一下，某家企業正在安裝面部識別系統作為身份驗證機制，以允許員工進入辦公場所，或者在會議室安裝傳感器以檢測使用模式，這是IT還是OT范疇？如果這是傳統的B2C企業，并且該企業沒有OT章程，則屬于傳統IT的范圍。但是，這并不是傳統IT內的東西，傳統IT部門從未處理過這些操作組件，這明顯擴展了IT的范圍。并且，這樣的連接部署帶來很多安全和隱私隱患。對于面部識別系統，這些內容可能包括：

員工是否知道自己的照片正在用于身份驗證？

員工離開公司后，數據將保留多長時間？

數據是否與第三方共享？

問題并不止于此，對于這種IoT部署，傳統IT企業正在進入OT供應商的領域。

將IT帶到OT團隊

核電廠中的傳統OT傳感器平均使用壽命為10～20年。這里的安全問題是，對于最新發現的漏洞或重要功能更新，安裝軟件更新可能需要幾個月或幾年的時間。為什么呢？因為在這樣的關鍵環境中，任何停機都可能造成災難性后果，因此需要精心規劃。

但是，這種情況正在迅速發生改變。隨著物聯網和5G的到來，以及無線更新成為常態，互聯設備以及在其中運行的軟件突然變得更容易訪問———不僅是對于OT團隊，而且是對于黑客。傳統上，由于物理隔離，通常OT不用擔心網絡攻擊，但現在這種隔離已經被打破。而且，對這些傳感器進行儀表化以提高效率突然成為現實。例如，在寒冷的天氣中調低冷卻風扇的轉速可以節省大量能源并節省成本。通過IoT部署，現在數據收集、分析、預測和操作都加入到OT范疇，以及與之相關的所有安全性、隱私和法規。這一切突然開始看起來像是IT“故事”。

實現IT和OT安全

原本獨立的IT與OT安全的正在迅速發展。企業應該教育和培訓員工適應這種變化，并做好準備應對IT進入OT以及OT進入IT的安全隱患。

以下是3個實用技巧，可幫助應對這種IT與OT融合以及提高意識：

人員。跨領域招聘是一種很好的方法，可互相引入各自領域的人才，例如，傳統的IT企業可以很好地向OT企業尋求技術人才。同樣，任何OT企業都將擁有內部IT人才，這些人才可以加入主流產品開發部門，以提高網絡安全意識以及數字化轉型對該社區的影響。

培訓。永遠都會有需要學習的東西。但是，學習的資源多種多樣，從在線自我學習到講師指導的培訓，甚至是由供應商贊助的培訓。后者是OT企業進行數字轉型時可以利用的方法，以從供應商的角度獲得培訓和學習，了解如何連接和數據收集的最佳做法。

規章制度。規章制度通常被人們視為企業“合規稅”，這里可以是創新和學習的“狩獵場”，不僅可確保合規，還可以在法規內蓬勃發展。IT和OT都需要考慮數據安全性、隱私性和透明性，GDPR和《加州消費者隱私法案》都是實用和有價值法規的很好例子。