当前IT/OT融合已经成为一种趋势，本文对融合现状和管理进行了调研，并为企业的新CISO如何应对融合挑战提供了一些建议。

IT和OT的深度融合已是大势所趋，一方面为企业带来运营效率、性能和服务质量的提高，同时也带来更大的安全风险等弊端。当面对缺乏专业人员、合规不等于安全、企业领导关注度不足、OT日益严峻的威胁等关键挑战时，应对IT/OT融合挑战的六大关键步骤正是企业CISO需要的。

1.IT/OT融合下的利弊

西门子和Ponemon研究所最近发布的调查报告，对供电企业面临的工业网络风险进行了探讨。调查发现，随着工业物联网 (IIoT）的出现，将网络传感器和相关软件与复杂的物理机械结合在一起，IT 和OT 之间的鸿沟正在迅速消散。供电企业的的经营方式逐渐转变为用太阳能和风能等可再生能源替代传统发电，并结合资产数字化管理的主流方式，OT（运营技术）资产的数字化为全球公共事业行业带来了无限商机，也加速了IT（信息技术）和OT的融合。

一半以上的受访者表示在数字化的推动下，IT/OT融合是一件好事，它有着包括优化业务流程、降低成本、降低风险以及缩短项目时间等优点，同时也是提高供应链合作伙伴的信任和信心的重要因素。IT和OT“双剑合璧”后爆发出巨大的威力。

但IT和OT都有着各自的背景和特性，对两者进行区分是很重要的，如下表一所示：

表一 IT和OT特性对比

通常，企业运营团队在可用性和机密性两者之间会优先考虑可用性，因此OT网络通常都缺乏基本的安全防护。在这样的情况下，有受访者对两者的融合表达了担忧，因为随着行业内IT/OT集成度越来越高，供电企业的关键基础架构面临的攻击和威胁正日益增长，有可能造成严重的经济、环境和基础设施破坏。全球54%的被调查供电企业预计2020年会遭遇针对运营技术网络的攻击。

随着将大量规模的资产连接在一起，OT安全的风险也越来越大。大量具有不同功能、相互连接的设备分布在不同区域，通过这些连接可以扩展到数以万计的资产，而保护这些绵延数十上百公里的资产的安全，无疑是一件风险很大的事情，这也成为IT/OT融合的弊端。

2.IT/OT融合的关键挑战

IT/OT的融合面临着关键挑战：

缺乏专业人员：安全专家无疑是确保IT/OT成功融合的关键因素，组建跨职能团队来管理IT和OT系统中的网络风险将有助于问题的消除。但企业的风险管理，在46%的情况下是通过内部团队和外部服务提供商结合进行的，仅是内部团队或者仅外部服务提供商进行管理的情况则分别是34%和20%。缺乏专业的人员大大延迟了对攻击的响应——恶意软件攻击的响应需要72天！西门子的研究报告也指出，面对融合的安全风险，企业准备明显不足，只有不到1/3的受访者表示企业目前所做的准备足以应对可能发生的网络风险。

合规≠安全：行业内很多企业相信合规性可以给企业带来安全保障，因此他们按照“法规遵从为中心”的方法来管理企业网络安全风险，这种方式在一定程度上改善了网络安全状况，但是受访者披露，实现法规的合规并不等于实现良好的安全态势，仅依赖法规遵从性方法可能会对过去的安全事件做出响应，但面临新的网络攻击时则可能会显得束手无策。

领导缺乏关注度：此外，企业领导层对IT/OT融合过程中安全的关注度明显不足，有些企业管理者会觉得近几年发生的伊朗“震网”病毒攻击核电站、土耳其原油输送管遭受网络攻击爆炸、乌克兰遭受网络攻击造成大范围停电等安全事件并没有把攻击重点放在自己企业的网络上。乌克兰遭受的网络攻击主要是破坏国家的基础架构并令其瘫痪，但仍有大量企业的OT网络遭受到严重影响，如果这些攻击专门针对工业网络，后果将不堪设想。

OT威胁日益严峻：随着企业运营的数字化，网络攻击范围已经扩展到OT，与IT环境相比，网络威胁对缺乏安全防护的OT的影响更大。当网络攻击在关键能源基础设施间展开时，可能会对设备造成破坏、给员工带来风险，并造成企业高机密信息被窃取，OT的威胁成为IT/OT网络防御的痛点。

3.CISO应对OT/IT融合的六大关键步骤

那么在面对往往是陈旧且特有的关键业务运营技术（OT）与信息技术（IT）融合在一起产生的冲突时，谁为可能产生的网络安全风险买单？作为公司的CISO，如何降低企业整体的风险？是购买一种端点检测和响应（EDR）解决方案？或是将可视化和监视功能引入OT网络？可能下面的六个步骤是所有新CISO应该采取的最有效保护其OT环境的方式。

步骤1：资产盘点。公司的资产对公司是至关重要的。首先，CISO需要发现和盘点组织中的每项OT资产，对需要保护的内容（数据，软件，系统）做到全面的了解。缺乏完整而准确的资产盘点，后续步骤将无法最大程度地降低网络安全风险。 

步骤2：备份/测试还原。保护OT系统免受毁灭性勒索软件攻击的最有效方法是对OT数据进行备份并进行测试还原，以确保最佳备份。出于多种原因（其中包括安全原因），对系统进行备份可以通过保护网络免受数据丢失来确保其有效性。正如我们将在步骤5中看到的那样，连续不断地标识用于测试还原的相关数据非常重要，通常可以通过询问企业中的用户哪些数据对工作最重要，而当进行第一次进行备份/测试还原时，请尽可能全面和深入执行此操作，从而避免数据的丢失和其他问题。

步骤3：软件漏洞分析。步骤1的资产清单将对企业OT系统中的所有软件进行盘点，CISO必须清楚每项软件资产的状态，并对每个软件进行漏洞分析。比如软件的版本？是否有较新的版本（更安全，更有效）的OT系统可以使用？通常对于软件有一个关键性问题：是否需要打补丁？这里建议不要像IT那样对所有内容自动进行打补丁，因为对OT打补丁是一个复杂而具有挑战性的过程，需要用整个步骤进行评估。

步骤4：打补丁。尽管在IT中是自动进行打补丁，但在OT中要复杂的多，甚至有时给OT软件打补丁可能会起到适得其反的效果。一些非常重要的OT系统已经在工厂车间使用了15到25年甚至更长的时间，并且无法拆卸和打补丁，而且即使有适当（且安全）的补丁程序，陈旧的OT可能也没有足够的内存或CPU带宽来安装。

步骤5：二次备份/测试恢复。每当OT或IT系统中的任何内容发生更改（例如更新）时，备份/测试还原都必须成为一种根深蒂固的习惯。这里有个很重要的建议：持续定期的重复步骤3到5，新漏洞通常在旧软件中发现。

步骤6：启用日志。CISO不仅必须知道某件事情是如何工作或失败的，还必须知道为什么它会失败，日志记录这个时候就显得很重要，通过管理和分析日志，CISO团队能够了解环境，尽早发现威胁并优化防御。

随着越来越多的设备开始加入IIoT 网络，IT 与OT 之间的界限将逐渐消失，直到成为一个或相同的系统为止。在两者融合的过程中，如果企业的新CISO采取这六个基本但必不可少的步骤，并习惯性地重复那些需要重复的步骤，那么他们可以确信他们已经做的很扎实，将企业的OT风险降至到最低了。

来源：安全内参