保護(hù)生產(chǎn)底層的數(shù)據(jù)、網(wǎng)絡(luò)和運(yùn)營(yíng)安全的幾種方法

既然傳統(tǒng)的黑匣子管理方式正在被通用的商業(yè)軟件所替代，而且管理層與生產(chǎn)底層已經(jīng)連通，那么有關(guān)生產(chǎn)底層數(shù)據(jù)安全的問(wèn)題就比以往任何時(shí)候都顯得更加緊迫了。生產(chǎn)底層安全涉及到信息技術(shù)、保證產(chǎn)品和員工的安全性和可靠性的關(guān)鍵業(yè)務(wù)活動(dòng)。為了能夠勝任工作崗位，員工需要掌握專門(mén)的信息技術(shù)和業(yè)務(wù)操作。控制安全問(wèn)題是一項(xiàng)龐大的工作，沒(méi)有什么一蹴而就的方法或者簡(jiǎn)單的解決方案。但憑借一些基本的參數(shù)可以明確安全系數(shù)，從而可以把風(fēng)險(xiǎn)控制在一定的范圍內(nèi)。

2個(gè)獨(dú)立卻又同等重要的挑戰(zhàn)

● 安全性
● 可靠性

可靠性與安全性是兩個(gè)彼此相關(guān)的問(wèn)題。一般來(lái)說(shuō)，人們會(huì)確保員工與環(huán)境的安全性、保證有形資產(chǎn)和無(wú)形資產(chǎn)的可靠性，但有時(shí)候同一個(gè)事務(wù)卻需要同時(shí)保證安全性與可靠性。請(qǐng)記住，僅僅關(guān)注兩者之一，你會(huì)非常容易遭受攻擊和損失。

1個(gè)事實(shí)：

可靠性是對(duì)風(fēng)險(xiǎn)的管理。沒(méi)有人能夠確保工廠100%的可靠，問(wèn)題就在于，你的公司能接受什么水平的風(fēng)險(xiǎn)？

7個(gè)錯(cuò)誤的假設(shè)：

● 認(rèn)為生產(chǎn)底層的可靠性問(wèn)題與公司的IT部門(mén)和業(yè)務(wù)部門(mén)的可靠性問(wèn)題是一樣的。
● 認(rèn)為公司當(dāng)前保證可靠性的政策能滿足生產(chǎn)底線的可靠性需要。
● 只要防火墻沒(méi)有出問(wèn)題，那么生產(chǎn)底線系統(tǒng)就不會(huì)出問(wèn)題。
● 信息技術(shù)能斷定所有的可靠性問(wèn)題并能解決問(wèn)題。
● 對(duì)于生產(chǎn)底線這個(gè)層面來(lái)說(shuō)，不會(huì)產(chǎn)生新問(wèn)題。
● 假如產(chǎn)生了新問(wèn)題，也只能等新的標(biāo)準(zhǔn)規(guī)范和技術(shù)推出后才能解決。
● 因?yàn)闆](méi)有人了解公司生產(chǎn)底線的網(wǎng)絡(luò)系統(tǒng)，所以公司認(rèn)為隱蔽的就是安全的。
資料來(lái)源：羅克韋爾自動(dòng)化公司(Rockwell Automation)

安全戰(zhàn)略的2個(gè)指導(dǎo)原則：

● 你只需要保護(hù)那些能給你的企業(yè)帶來(lái)價(jià)值的東西，而且要根據(jù)價(jià)值的大小制定安全方案，要考慮投入產(chǎn)出比例。
● 生產(chǎn)底線安全管理是一個(gè)持續(xù)的過(guò)程，沒(méi)有終點(diǎn)。

制定可行安全方案的5個(gè)關(guān)鍵點(diǎn)：

1. 就安全政策和相關(guān)程序?qū)T工進(jìn)行培訓(xùn)。
2. 政策要清晰地定義出什么時(shí)候需要做什么以及如何做。
3. 流程要明確政策中涉及到的產(chǎn)品、工具和方法。
4. 程序要明確應(yīng)用上述流程和技術(shù)的步驟。
5. 產(chǎn)品要能滿足你對(duì)安全性的特定需求。
資料來(lái)源：羅克韋爾自動(dòng)化公司

4項(xiàng)最大的威脅及其發(fā)生原因：

● 系統(tǒng)崩潰導(dǎo)致運(yùn)轉(zhuǎn)中斷——例如：計(jì)算機(jī)病毒，蠕蟲(chóng)。
● 因?yàn)闆](méi)有備份或者備份不足導(dǎo)致數(shù)據(jù)丟失。
● 由于沒(méi)有進(jìn)行訪問(wèn)控制導(dǎo)致信息被竊。
● 由于沒(méi)有訪問(wèn)控制和身份驗(yàn)證導(dǎo)致系統(tǒng)資料被竄改。
資料來(lái)源：SFW有限公司(SFW LLC)

最近，美國(guó)聯(lián)邦調(diào)查局(FBI)和計(jì)算機(jī)安全局(Computer Security Institute)聯(lián)合進(jìn)行的一項(xiàng)調(diào)查顯示，在回收的有效調(diào)查中，有81%的被調(diào)查者認(rèn)為，最有可能破壞公司安全的因素來(lái)自公司內(nèi)部。

重視生產(chǎn)底線IT安全問(wèn)題的3個(gè)原因：

● 自2000年以來(lái)，針對(duì)加工監(jiān)控和數(shù)據(jù)采集軟件(SCADA)系統(tǒng)的攻擊的事件增加了10倍。
● 每年都有100起到500起攻擊事件未被報(bào)告。
● 在過(guò)去發(fā)生的這些攻擊事件中，有一半的損失超過(guò)100萬(wàn)美元。
資料來(lái)源：思科公司

受攻擊可能性增加的7個(gè)原因：

● 生產(chǎn)底層流程控制系統(tǒng)與公司信息系統(tǒng)的連接越來(lái)越多。
● 出現(xiàn)越來(lái)越多的破壞力巨大的計(jì)算機(jī)攻擊，例如：蠕蟲(chóng)，病毒和電腦黑客。
● 公司的信息安全系統(tǒng)常常沒(méi)有覆蓋到生產(chǎn)底層流程控制系統(tǒng)。
● 獲取信息的需求越來(lái)越強(qiáng)烈，所以公司需要連接到互聯(lián)網(wǎng)、供應(yīng)鏈上的合作伙伴、無(wú)線網(wǎng)絡(luò)和公司自己的分支機(jī)構(gòu)。
● 知識(shí)產(chǎn)權(quán)對(duì)競(jìng)爭(zhēng)優(yōu)勢(shì)的貢獻(xiàn)越來(lái)越大。
● 網(wǎng)絡(luò)服務(wù)增加了應(yīng)用系統(tǒng)的漏洞。
● 由于因系統(tǒng)遭到破壞導(dǎo)致喪失商業(yè)機(jī)會(huì)的可能性增加了。
資料來(lái)源：思科公司與羅克韋爾自動(dòng)化公司

兩重防護(hù)墻安全策略：

你應(yīng)該把你的車(chē)間置于兩種防護(hù)墻的保護(hù)之中。
1.外部防護(hù)墻能夠保證整個(gè)企業(yè)的安全。防范外部的攻擊和威脅。它是由防火墻、虛擬專用網(wǎng)（VPN）、病毒防范工具以及其他信息安全工具所構(gòu)成。
2.內(nèi)部防護(hù)墻是保證車(chē)間信息系統(tǒng)的另一層措施，由為車(chē)間量身定制的防火墻與其他信息安全工具所組成。

信息系統(tǒng)發(fā)生安全漏洞時(shí)需要采取的6個(gè)步驟：

● 未雨綢繆，在產(chǎn)生安全漏洞之前要制定一個(gè)應(yīng)急預(yù)案。
● 把受感染的服務(wù)器或者電腦從網(wǎng)絡(luò)上斷開(kāi)，以隔離出問(wèn)題的設(shè)備。
● 確定安全漏洞在哪里？漏洞的影響范圍？漏洞的破壞力有多大？
● 如果你不能確定漏洞的數(shù)量，那就設(shè)法跟蹤電腦黑客。漏洞的影響范圍并不總是顯而易見(jiàn)的，立即跟蹤黑客或許能夠幫助你弄清楚問(wèn)題的復(fù)雜性，特別是當(dāng)黑客來(lái)自內(nèi)部的時(shí)候。此外，你也應(yīng)當(dāng)設(shè)法抓住這些黑客，以免遭受進(jìn)一步的破壞。但請(qǐng)記住，黑客們通常會(huì)使用某種方法來(lái)關(guān)閉機(jī)器，這樣所有能夠跟蹤到他們的痕跡就會(huì)被抹掉。
● 取出受感染設(shè)備的硬盤(pán)。
● 把這些硬盤(pán)插到另外一臺(tái)電腦上，并使用“只讀”方式打開(kāi)，分析問(wèn)題，這樣不會(huì)對(duì)有可能是案件線索的信息造成破壞。
資料來(lái)源：SFW LLC

保證生產(chǎn)底層（以及其他環(huán)節(jié)）安全的5個(gè)首要步驟：

1. 樹(shù)立安全意識(shí)。如有必要，傳遞壞消息。讓高層管理人員了解到保證生產(chǎn)底層安全不僅僅是防范電子郵件病毒這樣簡(jiǎn)單，從現(xiàn)在就開(kāi)始制定適宜的計(jì)劃和政策。
2. 進(jìn)行風(fēng)險(xiǎn)分析：
a.你要保護(hù)的是什么資產(chǎn)？
b.這部分資產(chǎn)具有什么價(jià)值？
c.這些資產(chǎn)會(huì)遭受哪些潛在的威脅？
d.這些資產(chǎn)受到攻擊會(huì)造成什么影響？
3. 仔細(xì)檢查：
a.回顧現(xiàn)行政策的文件和報(bào)告
b.列出了解你系統(tǒng)安全問(wèn)題的人的名單
c.測(cè)試公司的政策和程序
d.評(píng)估結(jié)果
e. 排列補(bǔ)救措施的優(yōu)先順序
你的安全檢察顯示生產(chǎn)底層存在安全問(wèn)題嗎？下一步你需要采取什么措施？
4.著手圍繞最重要的系統(tǒng)做一系列的安全保障。
5.制定保證持續(xù)生產(chǎn)與容災(zāi)恢復(fù)的計(jì)劃。
資料來(lái)源： Info-Tech Research Group


關(guān)于設(shè)備安全的7個(gè)問(wèn)題：