水务公司：帮助建立网络韧性的六个重点领域

2. 您是否有能力管理可能影响关键运营的安全事件？

当今的网络安全生态系统正在增加对水务公司攻击的复杂性和有效性 — 其中一些正在努力适应快速变化的威胁环境。例如，2021年2月，佛罗里达州的一家水务公司遭遇重大网络事件。网络攻击者能够进入水处理设施系统，试图向供水系统加入具危险性的添加剂。如果成功，这可能会影响近15,000名居民的生活。

这起事件突显出，行业不能再抱着侥幸的心态处理网络安全问题。相反，公用事业公司必须通过制定事件响应(IR)计划来应对不断变化的环境，其中包括细粒度的威胁驱动手册，以更好地分析、检测和遏制威胁；必要时让第三方参与；并在对运营连续性影响有限的情况下从网络安全攻击中恢复。

3. 您准备好采用融合方法，交付IT和OT网络安全服务了吗？

IT、IIoT和OT领域的融合度越来越高，安全责任越来越模糊，在水务公司等实物资产密集型企业中尤为如此。不断提高的连通性和机器对机器交互的商业价值创造了对可信、有韧性和可靠环境的日益增长的需求，以支持机器人、自动化和数字化上游运营服务，如智能电表。

IT／OT融合增强网络安全韧性的方法并不是一个新概念，但由于多种原因，包括普遍存在的技术技能短缺和企业文化阻力等问题，水务公司仍在为此苦苦挣扎。

融合的一个共同起点可能是建立一个IT和OT安全运营中心。这将提供一个共同的操作平台，有助于持续监控和分析企业的IT和OT安全状况，并促成一套人员、流程和技术实践，帮助检测和响应网络安全事件。

4. 您能适应不断变化的监管吗？

随着技术转型且继续影响全球范围内的水务公司，管理该行业企业的网络安全法规也将继续顺应不断变化的环境。

除了上述强调的美国和欧盟立法外，2020年12月，澳大利亚政府发布了《2020年安全立法修正案(pdf)（关键基础设施）法案》的征求意见稿（《法案》）。《法案》旨在修订2018年关键基础设施安全法案，实施一个增强的框架，提高澳大利亚关键基础设施的安全性和韧性。在目前的状态下，《法案》涵盖水务公司的多项义务，例如：(i)制定并遵守关键基础设施风险管理计划；(ii)必须向相关英联邦机构报告某些类型的网络安全事件；(iii)对于国家重要资产，与澳大利亚信号局(ASD)合作开展网络安全演习。

水务公司面临的挑战将是需要以低成本、高效率找到符合所有这些法规的机制。2021年安永全球信息安全调查(GISS)显示 ，55%的电力和公用事业受访者同意，在未来几年内，监管将变得更加分散且管理起来更加耗时。

5. 自新冠疫情暴发以来，您如何应对增加的第三方风险和远程工作？

长期以来，水务公司一直与多个第三方合作，将运营工作外包给外部承包商，有时会搞不清楚哪个供应商负责某个特定的基础设施。随着该行业形成合作，建立知识和技能库，以更好地为客户服务并加速创新，对第三方的使用正在增加。这带来了巨大的好处，但也放大了风险，特别是由于疫情，远程工作变得更加普遍，这种情况更是如此。

对于包括水务公司在内的许多组织而言，第三方风险管理(TPRM)流程并没有跟上威胁级别提升的速度。安永最近的一项调查(pdf)发现，虽然64%的公司表示最近的数据泄露或损失是由第三方造成的，但只有34%的公司重新评估了第三方的固有风险状况。40%的公司仍在使用手动流程来验证第三方的风险状况。

该行业保持竞争力所需的创新依赖于与多元化供应商的合作，因此解决方案并不是避免与第三方合作。相反，企业应增强第三方风险管理能力，并要求供应商对其控制的稳健性提供独立鉴证，包括通过服务企业控制报告。

6. 您是否有设计安全的方法，采用颠覆性技术？

包括物联网、智能水表、分析和人工智能在内的先进技术使该行业能够在改善效率和节省成本的同时提高绩效，但面对突出的网络安全威胁也暴露出了巨大的脆弱性。

尽管该行业的一些公司迅速采用了颠覆性技术，但许多公司却忽视了随之而来的不利的网络安全后果。这使它们面临新的风险，包括导致数据泄露的黑客攻击、通过窃听侵犯隐私，甚至是技术故障导致水质风险或完全关闭运营的风险。

随着该行业开始采用技术创新，安全应事前防范，而不是事后补救。安全第一的方法，将网络安全韧性融入到所有新系统实施的设计和架构中，然后在投入使用之前对其进行彻底测试，帮助公司降低颠覆性技术可能给运营环境带来的风险。

立足当下，充分利用未来的机会

鉴于全球许多监管机构可能会对网络安全提出更严格的要求，因此该行业必须立即采取行动，确保做好抵御攻击的准备，并展示出韧性。强有力的网络安全战略应设定优先级，考虑到所有关键IT和OT资产，分配足够的资源来管理它们，并建立有效事件响应的敏捷性。它应能适应不断变化的监管，并确保第三方风险管理在第三方的使用增加和进行远程工作时能够应对。