工业控制系统安全清单：保护ICS的8大实证步骤
工业控制系统（ICS）管控关键基础设施——从核电站到炼油厂。网络攻击可瘫痪运营，区别于主要影响IT数据存储的传统数据泄露。
因OT（运营技术）设备和网络区别于传统IT，保护它们需要专门方法。以下是行业专业人士可采纳的八大实证原则，以降低风险、构建韧性。
1. 资产清单与深度理解
许多设施不清楚拥有何种设备。Trend Micro基础设施战略副总裁Bill Malik指出：“大多数组织不知道部署了什么技术。”
运营技术资产包括PLC、SCADA、DCS系统——常隐藏在非联网设备或1960-70年代遗留设备后。仅统计服务器或IP地址会遗漏此复杂性。Deloitte的Sean Peasley解释，专业供应商可被动进行OT资产清单，避免干扰生产流程。
2. 采用可信框架
ISA/IEC 62443、ISO/IEC 27001、NIST网络安全框架、NERC CIP、工业控制系统MITRE ATT&CK、UL 2900等标准提供通用语言和控制，连接IT与OT。
从适合您环境的一个框架入手；这些标准间的重叠将赋予您整体网络安全思维。
3. 建立网络灾难恢复计划
框架应转化为检测、响应、恢复的通俗指南。Haward-Grau强调可执行计划必要性：“如何识别和保护资产？如何检测、响应和恢复？”
4. 投资网络保险
因许多遗留资产无法打补丁，保险商常要求补偿性控制。不投保单个设备，而投保工业流程。即便安全态势强健，也须注意免责条款。
5. 应用最小权限原则
限制OT网络和设备访问。用防火墙阻断非必要流量、白名单允许进程、远程维护强制唯一凭证。Malik警告勿用未加固的通用PC。
6. 考虑漏洞赏金计划
漏洞赏金有助早期发现漏洞，尤其IIoT和5G扩展背景下。但可能因未修补遗留系统淹没组织。策略性使用。
7. 管理第三方风险
Peasley指出大企业面临成千上万供应商和子组件。正式第三方风险计划须评估软件、硬件和嵌入式系统全供应链。
8. 借鉴安全规程实践
传统安全协议——如过程危害分析——可延伸至网络安全。美国化学工程师协会建议将网络风险纳入此类分析。安全仪表系统虽可能脆弱，仍为关键防御层；未重新设计网络韧性前不建议改造。
遵循这八步，工业运营商可强化防御、对齐最佳实践、保护任务关键运营免受不断演变的网络威胁。
物联网技术