制造商网络安全要义：Pat Toth 专访实录

网络攻击持续上升，网络犯罪分子愈发坚定。企业在快速变化的数字环境中，试图穿越令人困惑的技术指引。小制造商常认为自家不在风险之中。毕竟，为何要盯上一家小型乡村制造商，而不去攻击大企业？

为弄清实情、了解制造商真正需知的网络安全知识，我采访了 Pat Toth。Pat 是 NIST 制造业延伸合作伙伴关系计算机科学家，拥有 30 多年网络安全经验，参与编写多份 NIST 网络安全指引文件。

问：制造商与其他行业相比，真面临网络攻击风险吗？如果是，为什么？

Pat：据美国国土安全部，按报告网络攻击数量计，制造业是第二大被攻击行业。

我认为小制造商尤其脆弱，因被视为进入大型供应链的便捷入口。设想：若你是计划闯入建筑行窃的罪犯，你会尝试闯入有监控、报警系统、保安的建筑，还是更倾向攻击毫无安防设施的建筑？通常是后者，这也是网络犯罪分子专门盯上制造商的原因。不幸的是，许多小企业因不认为自己是目标，而未建立适当安全措施。

网络犯罪分子可能对您的知识产权（IP）感兴趣，或想获取您合作伙伴、员工信息。Target 2013 年客户数据泄露是著名案例。其暖通空调系统供应商被网络犯罪分子刻意攻击，因黑客知可通过该供应商进入 Target 系统。泄露导致数百万人信用卡信息被盗。

问：鉴于中小制造商（SMM）常是主要目标却资源有限，它们能做什么？

Pat：可能看起来复杂、有点压倒性，但 SMM 可采取低成本甚至零成本、易实施的行动。

核心在于建立政策和教育员工。多项研究发现员工是每家公司安全最脆弱环节。大多数员工 simply unaware of what they need to watch out for and how to identify a potential or actual cyber incident until it’s too late. 公司需定期沟通，帮助员工理解网络犯罪战术及其在预防网络事件中的关键角色。

例如，公司应制定职场社交媒体使用政策。部分员工期望工作时间访问社交媒体。公司面临平衡：允许访问社交媒体 vs 保护系统。怎么做？制定政策。政策可以是：不允许在公司系统使用社交媒体。或提供单独的半公共网络供员工全天访问社交媒体，不暴露公司风险。无论何种政策，确保员工知晓、理解存在原因及违规后果。

问：听到有低/零成本方案很好。若公司准备改善网络安全，从何入手？

Pat：从 NIST 网络安全框架和 NISTIR 7621《小企业信息安全：基础》入手。网络安全框架包含管理网络安全风险的标准、指南和最佳实践，提供优先级明确、灵活、高性价比的系统保护方法。《小企业信息安全：基础》基于框架，为可能无技术背景的决策者提供更易管理的概览，也聚焦如何评估和优先排序安全功能。

为助您起步，简述框架核心内容：

第一步 识别。识别对公司最有价值的信息。这些信息若丢失或篡改，将使运营停摆。例如，您是食品制造商，用祖母食谱做巧克力片饼干。该食谱对业务至关重要，应防盗防篡改，确保业务持续。

第二步 保护。与管理层和员工沟通，反馈识别出最重要信息。现在决定如何妥善保护。此步很大程度取决于您业务特有的威胁和漏洞。仅通过面对面或电话与客户打交道的小公司，保护需求比通过邮件和网络门户开展业务的公司少。真取决于您的运营环境，决定需建立何种防护。

第三步 检测。您需能检测网络事件发生。应配备最新反间谍软件、防病毒和入侵检测系统。也应考虑物理空间。考虑如：是否需在人员进入不该进入区域时预警。无论事件是数字还是物理，知晓发生时间、人员获取了什么都很重要。

第四步 响应。网络事件发生时，公司需快速响应减轻潜在损害。事前须有计划。计划应含：谁负责、发生事件时联系谁。员工还须知工作时间内外如何获取计划。

回想小学定期消防演练？就像那些演练，公司应定期演练网络事件响应，让员工清楚事件发生时该做什么。

第五步 恢复。应定期备份以便恢复系统。备份应存异地或云端。须测试备份。不测试备份信息，无法确保能从事件中完全恢复。测试频率应基于信息对公司运营的关键程度决定。

这非“一刀切”，您必须决定什么适合您公司和文化。对一家公司，年测一次够用；另一家可能需周测一次。非易得答案，但真需要审视系统脆弱点、了解面临威胁、规划应对。

问：假设公司已建立适当安全措施和响应计划：下一步是什么？

Pat：这非“一劳永逸”活动。不能写完响应计划就搁置。这应是活文档。所有人需知公司网络安全态势及如何持续改进。

每次采购新设备、招聘新员工，都需思考这些活动如何影响安全。对小公司这很难。常见公司快速增长却忘记非人人需访问所有信息。需花时间，管理层梳理员工清单，看谁该访问什么。车间员工不需访问薪资信息。定义角色、实施角色分离虽难，但保护公司免受网络威胁所必需。

我认为网络安全与质量在采用上有许多相似之处。许多公司曾慢于采用 ISO 9000 等质量体系。质量主要成分是公司心态。网络安全不只属 IT 或网络安全负责人——公司每个层级每位员工都有某种责任。网络安全需像质量一样融入公司文化，才能有效。

问：哪里能找到教育员工降低公司网络风险的资源？

Pat：访问 NIST MEP 网络安全资源网页。您将找到多种资源，包括基于 NIST 网络安全框架的简单自我评估工具，可自评公司网络风险水平。自评帮助确定公司弱点、聚焦资源改进。我们不追踪您信息或保留结果。评估后您获得分数，知晓网络安全工作的弱点。也可联系 MEP 国家网络™ 旗下全美 50 州和波多黎各的 51 个 MEP 中心寻求问题解答或协助。