电力与水务行业基于风险的网络安全七大最佳实践
数字化转型为电力和水务行业带来了巨大的发展机遇。
信息技术（IT）与运营技术（OT）的融合、连接能力的增强以及数据访问范围的扩大等先进技术，彻底改变了公用事业企业及市政机构的运营模式。这些技术不仅能够帮助企业实现运营流程的自动化与优化，还能安全地管理分布式能源资源，并持续保障电力生产的可靠性与低成本运行，以及清洁供水的稳定供应。
然而，数字化转型也带来了新的安全漏洞。 随着电力与水务行业加速数字化进程，其面临的网络安全风险日益加剧，尤其是在缺乏适当安全策略和可靠合作伙伴支持的情况下。
当前，针对关键基础设施的网络攻击日趋频繁。 美国环境保护署（EPA）发布备忘录，强调有必要对地方供水系统的安全措施开展审计；与此同时，工业网络安全领域的领先企业 Dragos 报告称，能源行业的相关网络安全事件仍在持续增加。
随着攻击不断升级，相关成本也在不断攀升。 据估计，到 2025 年，全球每年因网络攻击及网络威胁造成的损失将达到 10.5 万亿美元，而 2015 年这一数字为 3 万亿美元。
如今，越来越多的分布式能源资源（DER）——例如风电场、太阳能发电设施和微电网——正在向电网输送可再生能源，为关键基础设施提供电力。这也进一步增加了黑客通过远程方式干扰电力输送的风险。 根据美国能源部阿贡国家实验室的研究，分布式能源资源具有渗透率高、管理主体多、互联网络扩大攻击面等特点，因此会带来独特的网络安全挑战。在整合分布式能源资源时，必须将安全设计作为核心组成部分。
为何重要：针对关键基础设施的网络安全威胁正在不断加剧。电力与水务行业需要采用结构化、基于风险的网络安全方法，以保护运营、减少停机时间，并维护客户信任。
- 网络安全形势不断变化：攻击手段的演变速度越来越快，频率也越来越高，往往超出防御措施的更新速度。 静态的安全策略已无法满足需求。
- 基于风险的策略优于无差别的全面防护：应优先投入资源，解决最有可能对业务造成损害的安全漏洞，而不是试图防范所有可能出现的威胁。
- 自动化与卓越的控制系统能力是制胜关键：采用专门设计的解决方案，例如艾默生的 Ovation™ 自动化平台，可将运营技术安全无缝融入运营流程，同时不牺牲系统正常运行时间或业务灵活性。该平台已获得美国国土安全部（DHS）认证。
如今，黑客的技术日益精进，攻击手段更加复杂，而且在许多情况下，其技术演进与创新的速度甚至超过了目标企业的防御能力。那么，企业究竟应该采取哪些措施，才能有效抵御这些攻击？
采用基于风险导向的策略破解网络安全难题
无论什么行业，采用基于风险导向的策略都有助于尽早识别潜在漏洞，保护企业当前及未来的运营。 基于风险导向的策略并非试图防住一切威胁，而是识别关键薄弱点，根据其突破概率与影响程度制定安全方案。
在优化网络安全体系时，可从以下几个方面入手，构建持续升级的整体防护框架：
最佳实践一：评估风险
风险评估能够为企业提供关键见解，有助于预先缓解风险。 通过评估，企业可了解网络安全、数据管理、周界防护等关键要素的准备度，更全面地掌握整体安全态势。
最佳实践二：严格管控系统访问权限
安全措施可能带来麻烦或不便，因此不由得减少安全措施，而这正是攻击者梦寐以求的。 确保员工不折不扣地落实安全政策、不断评估风险并帮助在内部建立恰当的安全文化，确保系统访问受到严密保护。
最佳实践三：建立完善的安全管理制度
即使是最缜密的安全措施，也会因人为错误而变得毫无用处。 因此，务必培训并授权员工实施强有力的管理政策，以降低社交工程、网络钓鱼和相关攻击的风险。
最佳实践四：升级控制系统
停机成本高昂，应尽可能避免。 及时安装补丁并升级系统，可以降低停机风险，同时消除服务器和工作站因未获得安全更新而处于无防护状态的风险。
最佳实践五：超越传统边界防护
攻击者通常认定外围保护已部署到位，因此会使用通用协议和已知服务端口来破坏控制系统组件。 为了应对有针对性的攻击，部署可自定义的、适应性强的防火墙并持续扫描是否存在安全缺口，从而控制系统外围并保护任何潜在的入侵入口。
最佳实践六：严格管控远程访问权限
几乎所有控制系统都部署了某种类型的远程连接，但这仅仅是因为远程访问是一种常态化的做法，并不是因为它安全。 在必须进行远程访问的系统上，请确保远程访问得以安全监控和实施。 甚至可采用多重身份认证等方式增强安全性。
最佳实践七：深入了解控制系统
在制定并部署基于风险的网络安全方法之后，请确保全程持续监控风险，并尽快识别潜在的攻击和威胁。 有效的网络安全策略必须能不断调整与升级。
对于希望不断创新、保持竞争优势的电力企业或市政公用事业而言，数字化转型已不再是“可有可无”，而是必选项。 数字化转型虽有风险，但也不乏回报，例如加强员工之间的协作与创新、取得突破性运营改进等。
此外，在不断演变的网络安全格局中，上述实践只是起点。 为真正优化运营，完善其风险导向防护策略，越来越多的电力与水务企业通过自动化手段，在其业务中深度集成业内优质的网络安全解决方案，例如艾默生的 Ovation™ 自动化平台，该系统已获美国国土安全部指定并认证为“合格反恐安全技术”。
无论企业目前处于网络安全建设的哪个阶段，都始终有机会进一步改进安全措施、持续完善防护体系并增强防御能力。 艾默生基于风险的网络安全方法，结合行业领先的自动化与控制系统解决方案，可帮助电力与水务行业发现安全漏洞、最大限度地减少停机时间，并更加安心、自信地开展运营。
准备好评估自身的网络安全态势了吗？ 探索艾默生 Ovation™ 控制系统及运营技术（OT）安全相关资源，开启网络安全能力提升之旅。
