轉自網絡

去年卡巴斯基在工業環境中發現的所有網絡安全事件中，超過一半(52%)是人為失誤造成的。

這家俄羅斯AV供應商的《2019年工業網絡安全狀況報告》(State of Industrial Cybersecurity 2019 report)是根據對282家運營和工業控制系統技術(OT/ICS)的公司的採訪彙編而成。

報告發現，儘管絕大多數企業(81%)計劃將其運營網絡數字化，以推動工業4.0計劃，但只有很少的企業(57%)撥出了網絡安全預算。

然而，拋開預算不談，這些公司的網絡安全技能短缺令人擔憂:受訪者最擔心的兩件事是沒有足夠的網絡安全專家來管理工業網絡，以及OT/ICS運營商普遍缺乏安全意識。

在近一半(45%)的情況下，IT安全員工還負責OT/ICS安全，但儘管這兩個領域正在融合，但任何一方的專業人員都可以有不同的目標，並採取不同的方法來實現它們。

例如，在OT世界中，傳統上注重可用性和物理安全，因為設備基本上與internet隔離。隨著這種變化，需要新的方法。

“今年的研究表明，企業正在尋求改善對工業網絡的保護。然而，只有解決與缺乏合格員工和員工錯誤相關的風險，才能實現這一點，”卡巴斯基工業網絡安全經理喬吉•舍布爾達耶夫(Georgy Shebuldaev)表示。

“採取全面、多層次的措施，將技術保護與定期培訓IT安全專家和工業網絡運營商相結合，將確保網絡免受威脅，技能保持最新。”

為了說明在工業環境中確保安全的緊迫性，4月份的一份報告顯示，在過去兩年中，90%的關鍵基礎設施(CNI)供應商的IT/OT環境受到了網絡攻擊的破壞。

1.使網絡安全成為“第二天性”

企業必須優先考慮兩大網絡安全方向：工業系統和企業系統的網絡安全。哈比表示，將網絡安全融入企業文化至關重要，其中最重要的是開展網絡意識培訓。例如，美國知名的私人能源公司 Consolidated Edison 就在企業內部創建了專門的安全團隊，其成員包括美國執法機構的前僱員。

2.“自上而下”很重要

新舉措和培訓往往由企業的人力資源部或專門的團隊推出，這可能會導致指令太過抽象或缺乏情景。有效提高網絡培訓需要企業領導層的高度關注。網絡意識培訓需要從董事會開始，例如，企業首席執行官（CEO）有必要提出舉措，要求首席信息官（CIO）和首席信息安全官（CISO）接受這種想法，這將有助於推動網絡意識培訓和文化變革。

3.提防陌生危險

到目前為止，仍有相當一部分行業人認為一般的網絡安全建議不足以引起重視，尤其不足以引起管理層的重視，但往往是常見的網絡攻擊方式帶來了嚴重的後果。比如，網絡釣魚電子郵件活動變得越來越複雜，對特定目標發送具有針對性的電子郵件有助於誘騙目標上鉤。

且多數案例說明，仍有眾多專業人士被誘騙點擊網絡釣魚電子郵件。同樣的邏輯適用於諸如 U 盤之類的移動媒體設備，如若撿到來路不明的 U 盤，切記不可插入自己的電腦。

四年前，美國國土安全部（DHS）發出警告，指出針對能源控制系統的惡意軟件部署方式包括搜索網絡連接的文件共享和可刪除媒介，以便在受影響的環境中橫向移動。Consolidated Edison 等公司會標記來自外部的電子郵件，網絡釣魚是攻擊者慣用的策略，打標記有助於提醒員工提高警惕。

4.持續開展安全活動

建議採用其它策略提高這類企業的網絡安全性，例如舉行會議時強調網絡安全。例如，北美電力可靠性公司（NERC）一直在開展持續的培訓，其電力信息共享和分析中心（E-ISC）就提供行業教育和培訓機會，包括每月一次的行業與政府安全專家網絡研討會。

5.多參加網絡安全演習

參加網絡安全演習有助於提高網絡安全響應能力。就北美地區而言，NERC 每兩年都會舉辦 GridEx 網絡演習，這樣的模擬攻擊演習可讓參與公共事業公司執行網絡響應計劃，加強組織機構與個人之間的聯繫，並確定有待改進的空間。

網絡安全，真的很重要~

聲明：我們尊重原創者版權，除確實無法確認作者外，均會註明作者和來源。轉載文章僅供個人學習研究，同時向原創作者表示感謝，若涉及版權問題，請及時聯繫小編刪除！

精彩在後面

Hi，我是超級盾

更多幹貨，可移步到，微信公眾號：超級盾訂閱號！精彩與您不見不散！

超級盾：從現在開始，我的每一句話都是認真的。

如果，你被攻擊了，別打110、119、120，來這裡看著就行。

截至到目前，超級盾成功抵禦史上最大2.47T黑客DDoS攻擊，超級盾具有無限防禦DDoS、100%防CC的優勢。