https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

OT安全管理趨勢:交棒資安長,強化資安治理成熟度

2023 / 05 / 29
編輯部
OT安全管理趨勢:交棒資安長,強化資安治理成熟度
Fortinet發布《2023年OT與網路資安現況調查報告》(2023 State of Operational Technology and Cybersecurity Report)。報告針對台灣及全球570位營運技術(OT)專業人員進行調查,結果顯示,儘管仰賴OT的產業整體防護能量有所提升,但多數的企業組織仍在過去12個月內遭到駭客入侵。值得注意的是,高達九成五的OT組織預計在未來12個月內將安全管理工作交由資安長(CISO)負責,讓資安管理的權責劃分更加明確清楚。
 
Fortinet台灣區總經理吳章銘表示:「在台灣,製造業等仰賴OT的產業近年來不僅在工業4.0時代與智慧工廠的推動下快速轉型,更持續於全球半導體等重點供應鏈扮演要角,這也意味著業者是否具備足夠的資安韌性,將成為台灣強化產業競爭力的核心關鍵。」
 

四大發現

一、駭客威脅持續猖獗,多數OT組織仍成網路犯罪者重點攻擊目標
隨著IT與OT環境邁向高度整合,企業組織皆致力於強化資安防護,以應對日益嚴峻的駭客威脅。然而,Fortinet調查顯示,雖然過去12個月內未曾經歷任何網路安全攻擊的企業較去年成長近兩成,但仍有高達七成五的OT組織表示,至少遭到駭客入侵一次。此外,利用惡意軟體(56%)及網路釣魚(49%)所發動的入侵行動,持續成為OT環境最常見的資安事件類型,更有超過三成的組織表示,曾在過去12個月內淪為勒索軟體的攻擊對象。
 
二、OT組織高估自身資安成熟度,精準掌握內部安全防禦能量成挑戰
除了成為駭客鎖定的重點攻擊目標,針對智慧製造系統、關鍵基礎設施等OT場域資安成熟度的自我評估,也是企業組織近來面臨的困境之一。Fortinet報告發現,僅有約一成的OT組織認為內部的安全防護成熟度是屬於「高度成熟」的第4級,較去年減少7%,顯示OT專業人員的資安意識與整體思維有所提升,並運用更加精準有效的工具來掌握自身的安全防禦能量。在此同時,逾三成(32%)的OT組織指出,當資安攻擊事件發生時,IT和OT系統皆會受到影響,相比去年增長超過一成。
 
三、近八成OT組織擁有逾百台智慧連網裝置,資安風險與威脅更甚以往
Fortinet數據顯示,近八成企業組織的OT環境內設有逾百台具備IP連網功能的OT機台與設備,凸顯日益擴大的受攻擊面與網路威脅,對於資安防護團隊而言,是相當艱鉅的挑戰。此外,有超過四分之三的OT專業人員表示,部署網路安全解決方案有助於強化營運生產力,尤其是提升效率(67%)及靈活性(68%)等方面。
 
不過,當解決方案的類型與數量逐漸增加,企業如何在高度融合的IT及OT環境,落實統一的安全防護策略與措施,也變得愈發困難。而OT環境系統逐漸老化的問題,更是讓資安人員面臨的風險加劇,超過七成的組織指出,其工業控制系統(ICS)的平均使用時長已達6至10年。
 
四、近全數OT組織安全管理工作將交棒資安長,以明確權責劃分強化資安治理成熟度
面對資安人才與相關技能的缺乏,以及資安專業人員招募不易的重大挑戰,多數的OT企業組織仍將「資訊安全」列為優先項目。根據Fortinet調查,將近全數(95%)的企業計畫在未來12個月內將OT場域的安全管理工作交由資安長負責,以取代過去主掌相關業務的營運主管或團隊。除此之外,企業內部的OT資安管理人員現在也多半改由IT高階安全主管來擔任,而非產品管理部門,顯示OT企業組織資安策略的核心決策權,正在從營運團隊轉移至其他部門領導者,且多數皆是交棒給資安長或安全長(CSO)。

零信任架構、資安意識培訓、整合與自動化網路安全平台三管齊下

當OT產業進入工業4.0 與智慧製造的全新階段,如何建立全方位的資安防禦策略,並確保關鍵供應鏈營運不中斷,成為台灣不論規模大小的企業近年來在OT資安防護面臨的重要課題。面對與日俱增的資安風險,Fortinet建議企業組織應善用「零信任(Zero Trust)」機制,以落實完整的數位資產盤點與分割,並藉由持續性的驗證,確保只有獲得信任的使用者、設備或應用程式得以存取內部的關鍵機敏資訊。
 
在導入零信任架構的同時,企業組織也應當透過網路安全培訓與認證,提升員工與營運團隊的防禦思維,更可以開設基礎的資安意識訓練課程,讓遠距辦公的工作者及身處相同網路環境的家人,從安全防護弱點進化為企業組織最強大的防線。
 
資安技術部署方面,Fortinet則建議企業組織建立高整合性與自動化的OT網路安全平台,並與擁有廣泛解決方案組合的供應商合作。藉由 OT 安全營運中心(SOC)等解決方案,完成從基本的資產管理、網路分段到進階的威脅回應,助企業資安長在IT與OT環境高度融合的環境下,輕鬆簡化資安防禦複雜度。而企業組織亦可透過網路存取控制(NAC),保護連線至企業網路的各項關鍵數位資產,包含工業控制系統、資料蒐集與監控系統(SCADA)、物聯網(IoT)裝置及自攜設備(BYOD)等,進而為OT環境提供持續且完整的可視性、控制與自動回應,全面守護企業網路安全。