IT和OT融合治理是工業(yè)4.0之后提的非常多的一件事情，經(jīng)過若干年的努力，很多地方的IT與OT之間其實已經(jīng)做了非常多的探討。我們一起看看原西門子負(fù)責(zé)監(jiān)督其保護工業(yè)客戶免受網(wǎng)絡(luò)攻擊的服務(wù)的開發(fā)的工業(yè)安全服務(wù)的全球主管的一些觀點。

在過去幾年中，大多數(shù)大型企業(yè)在定義其運營技術(shù) (OT) 治理戰(zhàn)略和在降低風(fēng)險方面取得有意義的進展方面取得了長足的進步。除了技術(shù)創(chuàng)新，最重要的成功因素是治理計劃的結(jié)構(gòu)和執(zhí)行方式。最重要的是組織結(jié)構(gòu)驅(qū)動戰(zhàn)略的指導(dǎo)原則。 

意思是什么？ 

在擁有大量網(wǎng)絡(luò)物理系統(tǒng) (CPS) 足跡的組織（例如，制造、石油和天然氣以及制藥）中，CISO 及其安全團隊需要與 OT 工程團隊協(xié)作來定義和執(zhí)行 OT 戰(zhàn)略。雖然大多數(shù)組織都在 CISO 下對 OT 網(wǎng)絡(luò)安全進行集中治理和責(zé)任，但魔鬼在他們?nèi)绾味x和實施它的細(xì)節(jié)上。

 實施的細(xì)節(jié)以及組織的結(jié)構(gòu)都屬于一個范圍——對安全團隊的“控制”從少到多。多種變體運作良好，并且相信關(guān)鍵是清楚地了解每個團隊的邊界和責(zé)任。在重新設(shè)計組織或僅使用繼承的內(nèi)容時，至少需要考慮三個主要方面，以創(chuàng)建一個可以有效降低風(fēng)險的策略。其中包括預(yù)算、實施和持續(xù)報告。 

預(yù)算

許多公司正在轉(zhuǎn)向?qū)T網(wǎng)絡(luò)安全項目進行集中預(yù)算分配，但這在實踐中意味著什么可能會有很大差異。發(fā)現(xiàn)以下問題有多少答案：

• 誰擁有預(yù)算？ 
• 分配難易程度？

一方面，OT 網(wǎng)絡(luò)安全項目的預(yù)算可能只是安全團隊預(yù)算中的一個成本中心項目。這里的風(fēng)險在于，項目的推出取決于 OT 的批準(zhǔn)和實施，并且預(yù)算可能無法在與其可用性相一致的時間范圍內(nèi)分配。在另一個極端，每個站點都有自己的預(yù)算，這會阻礙整個攻擊面的全局部署和連續(xù)性，這使得很難使用一致的基準(zhǔn)進行管理。無論您的預(yù)算流程是什么，請確保它在實踐中支持您的合并團隊的決策結(jié)構(gòu)和時間表。 

實施

鑒于 OT 網(wǎng)絡(luò)安全的日益成熟，大多數(shù)組織都處于了解并同意需要實施的風(fēng)險降低類別的階段。挑戰(zhàn)通常來自實際的推出和實施。組織需要了解并在以下方面保持一致： 

• 誰可以（遠(yuǎn)程和物理）訪問部署新技術(shù)的CPS 和網(wǎng)絡(luò)？ 
• 誰來設(shè)計部署？新技術(shù)將如何融入企業(yè)的其他安全工具？ 

成功最終歸結(jié)為一組非常具體的IT和OT組合技能，一般情況下這很難找到。一些公司花費時間和精力來交叉培訓(xùn)他們的團隊或嘗試從外部招聘，這也是一項艱巨而長期的任務(wù)。鑒于 OT 網(wǎng)絡(luò)安全人才缺口，交叉培訓(xùn)可能更節(jié)省時間和成本效益。需要了解技術(shù)的操作方面以及在部署新技術(shù)時要考慮的任何限制的人。對現(xiàn)有員工進行投資為專業(yè)發(fā)展提供了機會，并為建立團隊之間的關(guān)系創(chuàng)造了額外的好處。

持續(xù)報道

這可能是最重要的方面。需要能夠持續(xù)監(jiān)控 CPS 的網(wǎng)絡(luò)態(tài)勢，將該信息與組織的其他網(wǎng)絡(luò)態(tài)勢疊加，然后繼續(xù)調(diào)查事件。沿著這條道路前進時，有幾個方面需要解決： 

• 誰使用來自CPS 和網(wǎng)絡(luò)的安全遙測？ 
• 這些數(shù)據(jù)是否與來自其他網(wǎng)絡(luò)的安全遙測和洞察相關(guān)聯(lián)？ 
• 如何解釋數(shù)據(jù)以及誰采取行動？ 

部分要求是協(xié)調(diào)信息流，另一部分是擁有對 CPS 有足夠了解的 SOC 分析師層，他們可以對警報進行分類。當(dāng)需要更深入地了解這些系統(tǒng)及其正常模式時，分析師還需要接觸OT工程師。連接和協(xié)作受到組織結(jié)構(gòu)以及團隊之間培養(yǎng)的非正式關(guān)系的影響。 

最常見、最有效的組織設(shè)計由安全團隊中的一個小型、專門的團隊組成，團隊被指派直接與OT工程合作，并在 CPS 環(huán)境中執(zhí)行更改方面具有不同程度的權(quán)限（通常是間接借助工程團隊）。典型的實施是“兩合一”模型——安全工程師和 OT 工程師共同負(fù)責(zé)每個站點的實施。雖然正式的組織結(jié)構(gòu)推動了OT治理戰(zhàn)略和降低風(fēng)險的有意義的進步，但一個關(guān)鍵的成功因素是 IT 和 OT 組織之間的非正式關(guān)系。這需要信任，信任需要時間，所以請勿拖延。