分(fēn)享到:
本文圖片來(lái)源:QMS International
數字化(huà)革命正在将生産與業務流程結合起來(lái),并将人(rén)工智能(AI)、雲計算(suàn)和(hé)增強現實(AR) 引入車間。通(tōng)過在整個(gè)業務和(hé)供應鏈中收集實時(shí)數據, 企業可(kě)以更好地了(le)解其運營情況,并分(fēn)析和(hé)改進性能和(hé)維護。然而,這(zhè)種更大(dà)的(de)連通(tōng)性,使制造業和(hé)工程部門在網絡安全方面面臨新的(de)威脅。
制造企業和(hé)工程師更容易受到惡意軟件、拒絕服務和(hé)設備黑(hēi)客的(de)攻擊。如果設備遭到黑(hēi)客攻擊并失去控制, 可(kě)能會導緻智能數據丢失、破壞停機時(shí)間和(hé)産品瑕疵, 甚至會造成健康和(hé)安全威脅。
随著(zhe)對(duì)透明(míng)數據流的(de)進一步關注,工廠車間和(hé)設備再也(yě)無法與主網絡隔離。事實上,一切都是相互關聯的(de), 更多(duō)的(de)人(rén)和(hé)系統可(kě)以訪問網絡,這(zhè)就爲網絡黑(hēi)客打開了(le)多(duō)個(gè)大(dà)門。移動設備也(yě)變得(de)越來(lái)越普遍,很難确保總是及時(shí)完成安全更新。
數字化(huà)升級通(tōng)常是分(fēn)步實施的(de),這(zhè)意味著(zhe)舊(jiù)系統與新系統并存,具有不同的(de)安全性和(hé)脆弱性。再加上不能及時(shí)安裝升級或補丁,這(zhè)給企業帶來(lái)了(le)另一個(gè)挑戰, 也(yě)給網絡黑(hēi)客帶來(lái)了(le)更多(duō)的(de)機會。
制造業和(hé)工程部門需要采取一種全面的(de)方法,将網絡安全融入其業務的(de)各個(gè)方面,創造一種安全文化(huà)。
在思考工業4.0 的(de)網絡安全時(shí),需要重點考慮的(de)因素包括:
■ 如何确保系統和(hé)信息的(de)完整性;
■ 在整個(gè)數據生命周期内保護敏感信息;
■ 關鍵系統的(de)恢複過程,以及如何将事件影(yǐng)響降至最低。
首先,制造商必須首先評估其風險。爲了(le)保護智能網絡免受網絡罪犯的(de)攻擊,首先需要識别可(kě)能的(de)風險及其發生的(de)可(kě)能性。
應進行全面的(de)風險評估,必須考慮組織、供應商及其技術。評估工業控制系統(ICS)的(de)安全性、敏感數據的(de)存儲方式和(hé)位置、供應鏈的(de)漏洞以及誰可(kě)以訪問該系統。還(hái)要仔細觀察哪些系統控制與物(wù)理(lǐ)過程相連接,以及如果遭到破壞,可(kě)能會帶來(lái)什(shén)麽後果。一旦知道了(le)風險,就有可(kě)以著(zhe)手制定緩解或消除這(zhè)些風險的(de)解決方案。
強化(huà)系統可(kě)減少網絡安全威脅
強化(huà)系統有助于降低網絡威脅的(de)風險。這(zhè)包括(但不局限于)一些下(xià)面的(de)措施:
■ 安裝防火牆;
■ 創建安裝補丁的(de)過程;
■ 安裝實時(shí)入侵檢測或威脅情報;
■ 加密;
■ 訪問和(hé)身份管理(lǐ)(物(wù)理(lǐ)和(hé)數字);
■ 定期備份;
■ 系統的(de)細分(fēn)。
制定災難恢複計劃或業務連續性計劃,也(yě)有助于提高(gāo)企業的(de)應變能力,方法是确保組織做(zuò)好應對(duì)事故的(de)準備,并詳細說明(míng)恢複正常所需的(de)步驟。
保持持續的(de)警惕是關鍵,應對(duì)網絡、人(rén)員(yuán)和(hé)環境進行持續監控,以盡早發現威脅。爲了(le)提高(gāo)警惕,工人(rén)需要接受培訓。應定期進行網絡安全意識培訓,尤其是在引入新技術或出現新威脅時(shí)。
此外,還(hái)應确保供應商以及與系統相關的(de)任何其它組織,承諾進行定期審核,并在軟件補丁可(kě)用(yòng)後盡快(kuài)安裝。
發展安全文化(huà)
要創建安全第一的(de)方法,将信息安全整合到整個(gè)企業中,最好實施一個(gè)全面的(de)信息安全管理(lǐ)系統,如ISO 27001,其中包括物(wù)理(lǐ)、數字和(hé)法律風險的(de)流程。
ISO 27001的(de)114項控制措施,旨在幫助實施最佳實踐流程,将安全性集成到人(rén)員(yuán)、數字和(hé)實物(wù)資産中。這(zhè)些過程包括訪問控制、運營安全、系統獲取和(hé)維護、供應商關系和(hé)事件管理(lǐ),爲在制造或工程業務中建立真正的(de)安全文化(huà)提供必要的(de)框架。
該标準還(hái)可(kě)以通(tōng)過附加的(de)實踐規範進行擴展,以使其适應組織的(de)需要。例如,ISO 27017提供了(le)額外的(de)控制措施,涵蓋雲服務的(de)信息安全,而ISO 27018則解決了(le)對(duì)保存在雲中的(de)個(gè)人(rén)身份信息的(de)保護。
無論是否采用(yòng)了(le)管理(lǐ)系統,創建一個(gè)綜合防禦戰略, 使安全性盡可(kě)能一緻仍然很重要。(作者 | Claire Price)
關鍵概念:
■ 工業4.0 制造商的(de)增加,意味著(zhe)網絡安全風險的(de)增加。
■ 強化(huà)物(wù)理(lǐ)系統和(hé)保持警惕, 是降低網絡安全風險的(de)兩個(gè)好方法。
思考一下(xià):
貴司在解決網絡安全問題方面做(zuò)了(le)哪些工作?