大多数首席信息官和首席信息安全官低估了运营技术违规的风险

根据网络安全管理及安全分析服务商Skybox Security公司的一项研究，83%的企业在过去36个月内受到了运营技术(OT)网络安全漏洞的影响。研究还发现，很多企业低估了网络攻击的风险，73%的首席信息官和首席信息安全官都认为他们所在的公司在未来一年不会遭受运营技术攻击。

Skybox Security公司首席执行官Gidi Cohen说：“不仅企业依赖运营技术，人们也依赖这项技术获得包括能源和水资源在内的重要服务。不幸的是，网络犯罪分子非常清楚关键基础设施的安全性通常很薄弱。因此，网络威胁行为者认为，对运营技术的勒索软件攻击极有可能获得回报。勒索软件攻击将继续利用运营技术漏洞进行破坏。”

这项研究揭示了运营技术安全面临的艰难挑战——包括网络复杂性、功能孤岛、供应链风险和有限的漏洞修复选项。网络攻击者利用这些运营技术弱点的方式不仅危及企业的运营，而且威胁公共健康、安全和经济等行业领域。

以下是一些关键要点：

很多企业低估了网络攻击的风险

56%的受访者确认他们的公司在未来一年不会遇到运营技术违规的风险。然而，83%的受访者还表示，他们在过去36个月内至少发生过一次运营技术安全漏洞事件。尽管这些设施非常重要，但现有的安全措施通常很薄弱或根本不存在。

首席信息安全官的感知与现实脱节

73%的首席信息官和首席信息安全官对他们的运营技术安全系统不会在未来一年遭到破坏非常有信心。相比之下，只有27%的受访者对网络攻击的影响有更多的了解。虽然有些人并不相信他们的运营技术系统容易受到攻击，但其他受访者表示下一次安全漏洞事件将会出现。

合规性不等于安全

迄今为止，合规性标准已被证明不足以防止安全事件。保持对法规和要求的遵守是所有受访者最普遍关心的首要问题。鉴于最近对关键基础设施的网络攻击，合规性监管要求将继续增加。

复杂性增加安全风险

78%的受访者表示，多个供应商技术带来的复杂性是保护运营技术环境的一个挑战。此外，39%的受访者表示，改进安全计划的最大障碍是决策是在没有更多监督的单个业务部门做出的。

有些人认为具有网络责任保险已经足够

34%的受访者表示，网络责任保险被认为是一种充分的解决方案。然而，网络责任保险不包括由于勒索软件攻击而导致的代价高昂的“业务损失”，这是调查受访者最担心的三大问题之一。

暴露和路径分析是网络安全的首要任务

45%的首席信息安全官和首席信息官表示，无法在整个环境中进行路径分析以了解实际暴露情况是他们的三大安全问题之一。此外，首席信息安全官和首席信息官表示，跨运营技术和IT环境的脱节架构(48%)以及IT技术的融合(40%)是三个主要安全风险中的两个。

功能孤岛导致流程差距和技术复杂性

首席信息官、首席信息安全官、架构师、工程师和工厂经理都将功能孤岛列为他们保护运营技术基础设施的首要挑战。管理运营技术安全是一项团队行动。如果团队成员使用不同的策略和措施，将难以取得成功。

供应链和第三方风险是主要威胁

40%的受访者表示，供应链/第三方访问网络是三个主要安全风险之一。然而，只有46%的受访者表示他们的公司采用运营技术的第三方访问策略。

Navista公司信息安全经理Robert Lynch说：“一些首席信息安全官可能盲目自信，因为即使他们已经遭受网络攻击，他们还没有发现这一点。黑客可能长期存在，所以这种自信是危险的。”

Skybox Security公司研究实验室威胁情报负责人Sivan Nir说：“我们的威胁情报调查表明，与2020年上半年相比，今年运营技术中的新漏洞增加了46%。尽管漏洞和最近的网络攻击事件有所增加，但许多安全团队并未将运营技术安全纳入企业优先事项。令人惊讶的发现之一是，一些安全团队否认他们易受攻击。他们相信当前的基础设施是安全的，但这将导致采取的运营技术的安全措施不足。”