關鍵基礎設施現代化急需資安轉型

近年來世界各地頻傳能源、金融、國防等關鍵基礎設施（CI）遭受攻擊事件，而2022年，在疫情、俄烏戰爭雙重挑戰下，更加劇了關鍵基礎設施面臨的資安挑戰。而台灣由於其地緣特殊性及在科技等產業的全球發展重要性，再加上與民生息息相關的水、電、天然氣等資源的基礎設施皆面臨數位轉型挑戰，相關政府單位及社會各界也越來越重視關鍵基礎設施的資安防禦。

Palo Alto Networks指出，保護關鍵基礎設施和營運技術 (OT) 至關重要。這些機構的領導者必須正視規劃中及已運行中的基礎設施所面臨的風險。雖然關鍵基礎設施和營運技術的數位轉型步伐不如IT領域快速，像是改善服務正常運行時間 (uptime) 和安全，以及降低營運成本等重要商業因素驅動了這些改變，例如，過去不曾共同推動IT專案的營運、IT和資安團隊，現在卻必須密切合作，確保在數位轉型CI/OT規劃時就考量到資安要素，而不是事後再補救。

關鍵基礎設施是具高吸引力的攻擊目標

由於網攻公共事業、能源管線營運商、貨運公司或製造商可能造成嚴重衝擊，近年來針對關鍵基礎設施和營運技術發動攻擊的頻率增長是個完全可以預期的趨勢。威脅發動者越來越懂得如何掌握這些機構的籌碼，例如網路罪犯發現，他們可從受害者處取得高額贖金，國家也可藉由展現其網路犯罪能力，更有效地霸凌對手國。不僅越來越多駭客開始針對CI/OT發動攻擊，他們也進一步投資，改進攻陷這些組織的能力。我們也發現，他們開發了一些特別針對CI/OT的攻擊，如Crash Override和Triton。

另一方面，在我們的關鍵基礎設施裡有許多漏洞源頭，包括通常未分割的網路、開放政策、以及舊型系統經常未修補或無法修補導致軟體漏洞（如HMI、PLC、ICS、SCADA、DCS、MES）。IT和OT人員也不常合作，導致脆弱、不協調的資安程式，以及資金不足和低風險意識。由於許多CI攻擊從IT入侵OT，我們不能忽視缺乏風險意識的危險。攻擊頻率增加和原本就很脆弱的CI資安安全狀況，對負責保護當前關鍵基礎設施的人員造成更大挑戰。

CI/OT數位轉型的潛在盲點

公平地說，過去幾十年來，大家花了很多功夫處理CI資安缺口。主要是透過翻新強化先前少有或甚至完全沒有資安的領域。政府也建立了CI特定法規和標準，以保護關鍵基礎設施，未來我們可望看到更多此類努力。此外，IT和OT團隊也在學習如何有效合作，並提升機構領導者的風險意識，改善公司治理。

這些回應過去OT弱點的努力值得敬佩，但我們在回應新興和未來OT基礎設施資安需求之處看到斷點。許多CI組織已開始部署CI的新延伸，作為其數位轉型方案如工業4.0、Smart Grids、和Digital Oilfields的一部分。這些智慧基礎設施可望完全發揮新世代工業自動化技術 – 如IoT感測器和機器人、雲端、數位雙生、5G和SD-WAN  – 的優勢，並進一步整合供應鏈。

營運單位經常在沒有資安團隊參與的前提下，很快就建構前導專案甚至生產部署。當然，組織有快速推動這些技術，好讓投資回本的強大誘因，但導入這些新技術並增加到雲端和第三方機構的連結，如果管理不當也可能導入新漏洞，過去建構OT時曾因未考量資安而發生一些錯誤，現在極有可能因此再度發生。

關鍵基礎設施數位轉型需要資安轉型

當務之急是組織絕不能讓CI轉型計畫與網安脫節。不防治這些新攻擊的風險太高，資安轉型的一大重點是需要改變IT、OT、和資安團隊如何一起討論推動合作計畫的架構。從另一個角度來看，企業可能覺得IT/資安部門威脅到核心營運，也不支援提供服務和/或提升營收的核心任務。或許企業領導者出自好意，但不受控地部署這些先進技術風險實在太高，因此轉型必須包括組織如何合作，確保現代化CI/OT的活動要納入RACI利益相關方，特別是資安和IT部門。

CI/OT進行資安轉型的另一關鍵點是心態。許多機構認為OT是IT圍成的花園，在牆內的任何事物都可信任。或許他們也認為，任何已經成功確認自己身分，能使用OT的用戶都是可信任的。但許多攻擊事件已經證明信任模型的缺失，組織必須開始抱持零信任心態，對信任層級不做任何預設，而是透過收集網路流量的額外脈絡，根據該資訊決定容許還是拒絕。零信任雖然源自IT，也可以運用在CI/OT上，提升可見度並減少如工廠和控制中心等基礎設施的網路風險，帶來重大效益。

除此之外，CI/OT資安轉型必須透過平台式的作法來改善資安作業的效能和效率。我們需要新能力來保護現代化工廠，它可能裝備物聯網 (IoT)、機器人、透過5G與SD-WAN連線到雲端應用。我們也需要新的資安堆疊來保護這些新基礎設施的功能。組織不應該只是替資安堆疊添加單點解決方案，而是必須考量資安平台的做法，由防火牆平台將資安功能視為服務提供，該防火牆能跨越整個延展CI，提供網路防護。組織追求的平台應該要能運用網路資安智慧，並建立它和雲端和端點數據的關係，這樣就能運用機器學習，將偵測與補救流程自動化。最理想的狀況是該平台跨IT和OT無所不在地部署。這樣資安作法就有一致性，可分享資安智慧和全企業營運效率。反之，若使用支離破碎的單點式解決方案，資訊各自獨立並需手動處理，這樣的作法不足以應付隨著攻擊者開始運用雲端、AI和自動化日益先進的攻擊手法。