NSA發布OT網絡安全六大原則

組織可以使用本指南來做出有關設計、實施和管理OT環境的決策，以確保它們既安全又可靠，同時還能為關鍵服務提供業務連續性。

國家安全局(NSA)與澳大利亞、加拿大、德國、日本、荷蘭、新西蘭、韓國和英國的網絡安全機構合作，發布了一份指南，概述了六個原則，這些原則可以用來指導創建和維護一個安全的關鍵基礎設施操作技術(OT)環境。“操作技術網絡安全原則”為安全從業者提供了增強關鍵基礎設施(包括水、能源和交通系統)安全性的方法。

該文件鼓勵組織確定對OT系統進行的更改，是否會涉及對這些原則產生影響或破壞，這可能會在OT環境中引入漏洞，并檢查是否已實施適當的安全控制措施以降低風險。

六大原則如下：

1、安全為先

雖然對企業IT系統的更改可能會干擾業務連續性，但對于OT環境來說，風險更高。關鍵基礎設施的更改可能導致對人類生命的致命威脅或對設備、環境造成重大損害。水和電力基礎設施的故障可能對社區和個人造成災難性影響。為了確保社區安全，OT負責人應該考慮系統如何能夠重啟和備份，以最小化可能的停機時間。考慮安全和可靠性需要貫穿所有任務，即使是最常見的網絡安全任務。

2、業務知識至關重要

團隊應該了解需要保護什么，以及業務的哪些部分對于提供服務至關重要。當利益相關者的領導了解網絡安全問題和實踐時，結果會有所改善。在實踐中，支持這一原則的活動可能包括創建包含足夠信息的網絡安全事件響應劇本和業務連續性計劃。另一種想法是對電纜類型進行顏色編碼并標識其功能，以便從業者在緊急情況下能夠快速工作。

3、OT數據是需要保護的高價值數據

由于OT基礎設施很少更改，因此保護其配置信息至關重要。工程配置數據(如網絡圖)、操作順序說明文檔、邏輯圖和原理圖為對手提供了深入了解系統工作原理或網絡結構的信息。即使是短暫的數據，如壓力表設置和電壓水平，仍然可以提供對組織活動、客戶行為和整體OT環境的洞察。OT數據應與企業環境和互聯網隔離。跟蹤誰在何時以及如何訪問數據。

4、OT應與其他網絡進行分割和隔離

企業應將OT網絡從互聯網和IT網絡中分割和隔離，以降低來自互聯網或系統(如電子郵件或Web瀏覽)的入侵風險。OT網絡還應與供應商隔離。例如，電力傳輸網絡(ETN)的OT網絡可以連接到其他ETN的OT網絡或供應商或電力分配網絡的OT網絡。網絡也可以在企業環境中管理，從而允許更大的風險。

5、必須確保供應鏈安全

供應商呈現的風險暴露，OT團隊需要意識到并使其最小化，并且必須了解所有接觸OT網絡的設備，包括打印機和終端或建筑管理系統，如HVAC。了解它們的位置、誰管理它們以及供應商系統的網絡安全成熟度水平。

6、人才對OT網絡安全至關重要

在網絡安全事件發生時，必須有訓練有素的OT專業人員隨時準備響應。強大的網絡安全文化至關重要，擁有不同技能、知識和經驗的多樣化人才隊伍也是如此。安全文化應該在包括IT、控制系統工程師、現場操作人員和資產管理者在內的各個角色中強調。

“公共安全和加強我們的網絡安全能力是這份CSI[網絡安全信息表]的核心。”NSA網絡安全總監Dave Luber在一份聲明中說。“這份CSI中探討的OT網絡安全六大原則對于任何希望加強其網絡安全能力的人來說都至關重要，尤其是對于那些在支持我們國家關鍵系統的OT環境中工作的人來說。”

* 本文為金東東編譯，原文地址：https://www.darkreading.com/ics-ot-security/nsa-releases-6-principles-ot-cybersecurity

注：圖片均來源于網絡，無法聯系到版權持有者。如有侵權，請與后臺聯系，做刪除處理。

來源：數世咨詢