帮助企业创建IT/OT融合的4个关键步骤

导读：IT 和 OT 团队通常看起来像是处于不同的世界。要将真正的 IT 安全性带入 OT 环境，以下是帮助企业创建IT/OT 融合的4 个关键步骤。

在许多工业企业中，信息技术（IT）和运营技术（OT）团队仿佛来自不同的星球。他们有各自的目标、优先事项、技能、指标甚至语言。IT/OT 融合需要这些团队共同努力，以帮助这些新的互联系统，实现诸如更高的效率和产出，以及增强的安全性等关键业务目标。

通过IT/OT 融合，以前与企业IT 系统隔离，并无法访问互联网和通信应用（如电子邮件和云接口）的系统，现在可以通过企业基础设施，利用规模优势和大数据分析的优势。但带来收益的同时，IT 网络中存在的风险也随之增加：勒索软件、间谍黑客，甚至更糟糕的是，物理过程的潜在中断可能会造成物理破坏。

现在，企业的董事会要求首席信息安全官（CISO）和首席信息官（CIO）确保这些系统的安全，并确保它们与企业内的其他设备具有相同的安全级别。因此，IT 部门正在寻求加强IT 和OT 的集成，以在企业中推动所有端点和网络安全的标准化。

不幸的是，运营技术（OT/ICS）资产，如人机界面（HMI）、服务器、可编程逻辑控制器（PLC）、继电器、实时自动化控制器和其他智能电子设备，由于各种原因被排除在大多数企业的网络安全流程之外。这些原因可能包括从组织边界和法规要求，到IT 人员缺乏OT 系统技能的所有方面。此外，由于运营部门希望提高效率，OT 团队始终面临人员编制的压力。

结果是OT 系统中缺乏网络安全所需的许多基本要素。例如 ，库存不准确，配置和补丁程序数据库过时，帐户和用户访问管理未得到良好管理等等。部分原因是，鉴于OT/ICS 系统中资产的敏感性、独特性和嵌入性，自动化这些过程所需的工具还不可用。

  要将真正的 IT 安全性带入 OT 环境并实现稳健、一致的安全管理，企业可以通过以下4 个关键步骤帮助 IT和 OT 协同工作：

1

创建IT/OT 融合的联合培训和沟通

IT 和 OT 的根本差距始于对每个职能部门的目标和目的缺乏了解。例如，IT 团队使用传统的IT 漏洞扫描器定期扫描OT 系统，并采取一致行动，为OT 设备打补丁，但没有意识到它们可能会造成某些问题。类似地，OT 团队通常会说，“我们不能打补丁”，这只是一个笼统的声明，他们并不了解IT 的安全目标或在特定时间修补某些资产的实际方法。

企业为成功实现IT/OT 融合而采取的第一步，是致力于联合培训和沟通。通常情况下，这可能发生在召开一系列4 到5 个联合研讨会上，关键的OT 领导人分享他们的业务流程和目标细节，IT 团队则分享他们的安全目标和典型方法。这些研讨会使两个部门了解如何相互沟通，并了解各自的目标和局限性。

2

构建满足双方需求的IT/OT 安全团队

没有完美的企业模式。一些企业已经成功地创建了一个联合安全领导团队，OT 领导与IT 同行一起担任高级领导职务。另外一些公司则以IT 成员担任安全领导职务，但将OT 的重要输入纳入到适用于其系统的工具、流程和标准中。

企业容易犯的最大的错误，是在安全领导团队中设置一个象征性的OT 代表，或者招聘一到两名有OT 经验的中层人员作为OT 的代表。几乎在所有情况下，这都会以 OT 代表被纳入 IT 组织并且影响有限而告终。那些最成功的企业会指派一位关键的、资深的、真正受人尊敬的 OT 领导者，并赋予他们在整个安全组织中的真正权威。

3

建立OT 系统管理计划

OT 系统管理是健全OT 安全计划的关键。它涉及以下要素：

• 资产库存管理；

• 生命周期管理，包括定义系统需求以实现预期的物理系统，制定规范以确保可靠性和安全性、供应链管理和控制这些系统，以及更换过时的组件；

• 配置管理；

• 补丁和漏洞管理；

• 网络与系统设计；

• 用户和帐户管理；

• 日志和性能监控以实现可靠性和安全性；

• 事件和故障响应；

• 备份和恢复。

在IT 方面，对这些基本组件非常熟悉，被认为是理所当然的，因为多年来它们一直是IT 系统管理的核心部分。但对于OT 方面，实现大多数任务的基础设施并不一致。因此，OT 缺乏建立IT 安全性的基础。  在了解网络资产、系统用户之前，组织希望先实现威胁检测或划分微区域。  通过建立OT 系统管理，IT 和OT 团队可以从类似资产管理的基础开始，有效地开展协同工作。稳健的OT 系统管理计划带来许多其它关键好处，包括：  

• 对网络中所有硬件和软件的清晰标识，以确保快速识别漏洞；

• 正确更新和配置系统，减少攻击面；

• 高效完成系统更新，以实现关键运行任务的自动化；

• 跨IT 和OT 系统进行一致的报告和监控，以简化进度报告；

• 更有效和更先进的安全控制，因为它们是通过适当的可见性，以及对底层端点和网络信息的访问而构建的。

4

技能发展

为了真正实现IT/OT 融合，企业需要在OT 中构建关键的安全管理技能集。在IT 中，几乎所有系统管理任务都可以集中完成。然而，在OT 中，在执行补丁或配置管理等安全功能之前，独特且敏感的流程可能需要本地OT 知识。

因此，有必要在传统运营系统设备和网络设备以及嵌入式运营设备的范围内，围绕关键OT 系统管理概念（如修补、配置管理、密码管理等）开展员工队伍建设。我们当然可以赞扬围绕网络安全分析、调查、威胁搜寻等提供的重要培训，但同样需要关注其它70%的网络安全，包括系统管理的基础要素。

企业需要坚持这4 个关键步骤：建立共同意识和正确的团队、建立OT 系统管理和培养正确的技能，以使IT 和OT 团队有效地协同工作，并在两个部门中推动真正的安全能力。

关键概念： 

■ IT 部门正在寻求加强IT 和OT 的集成，以在企业中推动所有端点和网络安全的标准化。

■ 通过建立OT 系统管理的基础，IT 和OT 团队可以从类似资产管理的基础开始，有效地开展协同工作。

思考一下： 

为了实现更高的效率和产出，您的团队在IT/OT 融合方面都做了哪些努力？

审核编辑 ：李倩