[[435433]]

根據(jù)網(wǎng)絡安全管理及安全分析服務商Skybox Security公司的一項研究，83%的企業(yè)在過去36個月內(nèi)受到了運營技術(OT)網(wǎng)絡安全漏洞的影響。研究還發(fā)現(xiàn)，很多企業(yè)低估了網(wǎng)絡攻擊的風險，73%的首席信息官和首席信息安全官都認為他們所在的公司在未來一年不會遭受運營技術攻擊。

Skybox Security公司首席執(zhí)行官Gidi Cohen說：“不僅企業(yè)依賴運營技術，人們也依賴這項技術獲得包括能源和水資源在內(nèi)的重要服務。不幸的是，網(wǎng)絡犯罪分子非常清楚關鍵基礎設施的安全性通常很薄弱。因此，網(wǎng)絡威脅行為者認為，對運營技術的勒索軟件攻擊極有可能獲得回報。勒索軟件攻擊將繼續(xù)利用運營技術漏洞進行破壞。”

這項研究揭示了運營技術安全面臨的艱難挑戰(zhàn)——包括網(wǎng)絡復雜性、功能孤島、供應鏈風險和有限的漏洞修復選項。網(wǎng)絡攻擊者利用這些運營技術弱點的方式不僅危及企業(yè)的運營，而且威脅公共健康、安全和經(jīng)濟等行業(yè)領域。

以下是一些關鍵要點：

很多企業(yè)低估了網(wǎng)絡攻擊的風險

56%的受訪者確認他們的公司在未來一年不會遇到運營技術違規(guī)的風險。然而，83%的受訪者還表示，他們在過去36個月內(nèi)至少發(fā)生過一次運營技術安全漏洞事件。盡管這些設施非常重要，但現(xiàn)有的安全措施通常很薄弱或根本不存在。

首席信息安全官的感知與現(xiàn)實脫節(jié)

73%的首席信息官和首席信息安全官對他們的運營技術安全系統(tǒng)不會在未來一年遭到破壞非常有信心。相比之下，只有27%的受訪者對網(wǎng)絡攻擊的影響有更多的了解。雖然有些人并不相信他們的運營技術系統(tǒng)容易受到攻擊，但其他受訪者表示下一次安全漏洞事件將會出現(xiàn)。

合規(guī)性不等于安全

迄今為止，合規(guī)性標準已被證明不足以防止安全事件。保持對法規(guī)和要求的遵守是所有受訪者最普遍關心的首要問題。鑒于最近對關鍵基礎設施的網(wǎng)絡攻擊，合規(guī)性監(jiān)管要求將繼續(xù)增加。

復雜性增加安全風險

78%的受訪者表示，多個供應商技術帶來的復雜性是保護運營技術環(huán)境的一個挑戰(zhàn)。此外，39%的受訪者表示，改進安全計劃的最大障礙是決策是在沒有更多監(jiān)督的單個業(yè)務部門做出的。

有些人認為具有網(wǎng)絡責任保險已經(jīng)足夠

34%的受訪者表示，網(wǎng)絡責任保險被認為是一種充分的解決方案。然而，網(wǎng)絡責任保險不包括由于勒索軟件攻擊而導致的代價高昂的“業(yè)務損失”，這是調查受訪者最擔心的三大問題之一。

暴露和路徑分析是網(wǎng)絡安全的首要任務

45%的首席信息安全官和首席信息官表示，無法在整個環(huán)境中進行路徑分析以了解實際暴露情況是他們的三大安全問題之一。此外，首席信息安全官和首席信息官表示，跨運營技術和IT環(huán)境的脫節(jié)架構(48%)以及IT技術的融合(40%)是三個主要安全風險中的兩個。

功能孤島導致流程差距和技術復雜性

首席信息官、首席信息安全官、架構師、工程師和工廠經(jīng)理都將功能孤島列為他們保護運營技術基礎設施的首要挑戰(zhàn)。管理運營技術安全是一項團隊行動。如果團隊成員使用不同的策略和措施，將難以取得成功。

供應鏈和第三方風險是主要威脅

40%的受訪者表示，供應鏈/第三方訪問網(wǎng)絡是三個主要安全風險之一。然而，只有46%的受訪者表示他們的公司采用運營技術的第三方訪問策略。

Navista公司信息安全經(jīng)理Robert Lynch說：“一些首席信息安全官可能盲目自信，因為即使他們已經(jīng)遭受網(wǎng)絡攻擊，他們還沒有發(fā)現(xiàn)這一點。黑客可能長期存在，所以這種自信是危險的。”

Skybox Security公司研究實驗室威脅情報負責人Sivan Nir說：“我們的威脅情報調查表明，與2020年上半年相比，今年運營技術中的新漏洞增加了46%。盡管漏洞和最近的網(wǎng)絡攻擊事件有所增加，但許多安全團隊并未將運營技術安全納入企業(yè)優(yōu)先事項。令人驚訝的發(fā)現(xiàn)之一是，一些安全團隊否認他們易受攻擊。他們相信當前的基礎設施是安全的，但這將導致采取的運營技術的安全措施不足。”