Fortinet發(fā)布《2023年OT與網(wǎng)路資安現(xiàn)況調(diào)查報告》（2023 State of Operational Technology and Cybersecurity Report）。報告針對臺灣及全球570位營運技術(shù)（OT）專業(yè)人員進(jìn)行調(diào)查，結(jié)果顯示，盡管仰賴OT的產(chǎn)業(yè)整體防護能量有所提升，但多數(shù)的企業(yè)組織仍在過去12個月內(nèi)遭到駭客入侵。值得注意的是，高達(dá)九成五的OT組織預(yù)計在未來12個月內(nèi)將安全管理工作交由資安長（CISO）負(fù)責(zé)，讓資安管理的權(quán)責(zé)劃分更加明確清楚。
 |
| Fortinet報告：75%的OT企業(yè)組織過去12個月內(nèi)曾遭駭客入侵 |
Fortinet臺灣區(qū)總經(jīng)理吳章銘表示：「在臺灣，制造業(yè)等仰賴OT的產(chǎn)業(yè)近年來不僅在工業(yè)4.0時代與智慧工廠的推動下快速轉(zhuǎn)型，更持續(xù)於全球半導(dǎo)體等重點供應(yīng)鏈扮演要角，這也意味著業(yè)者是否具備足夠的資安韌性，將成為臺灣強化產(chǎn)業(yè)競爭力的核心關(guān)鍵。Fortinet的最新調(diào)查顯示，雖然OT企業(yè)組織的資安防護已初見成效，但仍有不少改善空間。因此，建議IT與資安團隊?wèi)?yīng)增加對OT環(huán)境的熟悉度，并采取多項措施來強化防御能量，像是導(dǎo)入零信任機制、加強資安意識培訓(xùn)、采用整合與自動化的網(wǎng)路安全平臺等，以化解駭客威脅帶來的資安危機。」
Fortinet《2023年OT與網(wǎng)路資安現(xiàn)況調(diào)查報告》的四大發(fā)現(xiàn)包括：
一、駭客威脅持續(xù)猖獗，多數(shù)OT組織仍成網(wǎng)路犯罪者重點攻擊目標(biāo)
隨著IT與OT環(huán)境邁向高度整合，企業(yè)組織皆致力於強化資安防護，以應(yīng)對日益嚴(yán)峻的駭客威脅。然而，F(xiàn)ortinet調(diào)查顯示，雖然過去12個月內(nèi)未曾經(jīng)歷任何網(wǎng)路安全攻擊的企業(yè)較去年成長近兩成，但仍有高達(dá)七成五的OT組織表示，至少遭到駭客入侵一次。此外，利用惡意軟體（56%）及網(wǎng)路釣魚（49%）所發(fā)動的入侵行動，持續(xù)成為OT環(huán)境最常見的資安事件類型，更有超過三成的組織表示，曾在過去12個月內(nèi)淪為勒索軟體的攻擊對象。
二、OT組織高估自身資安成熟度，精準(zhǔn)掌握內(nèi)部安全防御能量成挑戰(zhàn)
除了成為駭客鎖定的重點攻擊目標(biāo)，針對智慧制造系統(tǒng)、關(guān)鍵基礎(chǔ)設(shè)施等OT場域資安成熟度的自我評估，也是企業(yè)組織近來面臨的困境之一。Fortinet報告發(fā)現(xiàn)，僅有約一成的OT組織認(rèn)為內(nèi)部的安全防護成熟度是屬於「高度成熟」的第4級，較去年減少7%，顯示OT專業(yè)人員的資安意識與整體思維有所提升，并運用更加精準(zhǔn)有效的工具來掌握自身的安全防御能量。在此同時，逾三成（32%）的OT組織指出，當(dāng)資安攻擊事件發(fā)生時，IT和OT系統(tǒng)皆會受到影響，相比去年增長超過一成。
三、近八成OT組織擁有逾百臺智慧連網(wǎng)裝置，資安風(fēng)險與威脅更甚以往
Fortinet數(shù)據(jù)顯示，近八成企業(yè)組織的OT環(huán)境內(nèi)設(shè)有逾百臺具備IP連網(wǎng)功能的OT機臺與設(shè)備，凸顯日益擴大的受攻擊面與網(wǎng)路威脅，對於資安防護團隊而言，是相當(dāng)艱鉅的挑戰(zhàn)。此外，有超過四分之三的OT專業(yè)人員表示，部署網(wǎng)路安全解決方案有助於強化營運生產(chǎn)力，尤其是提升效率（67%）及靈活性（68%）等方面。
不過，當(dāng)解決方案的類型與數(shù)量逐漸增加，企業(yè)如何在高度融合的IT及OT環(huán)境，落實統(tǒng)一的安全防護策略與措施，也變得愈發(fā)困難。而OT環(huán)境系統(tǒng)逐漸老化的問題，更是讓資安人員面臨的風(fēng)險加劇，超過七成的組織指出，其工業(yè)控制系統(tǒng)（ICS）的平均使用時長已達(dá)6至10年。
四、近全數(shù)OT組織安全管理工作將交棒資安長，以明確權(quán)責(zé)劃分強化資安治理成熟度
面對資安人才與相關(guān)技能的缺乏，以及資安專業(yè)人員招募不易的重大挑戰(zhàn)，多數(shù)的OT企業(yè)組織仍將「資訊安全」列為優(yōu)先項目。根據(jù)Fortinet調(diào)查，將近全數(shù)（95%）的企業(yè)計畫在未來12個月內(nèi)將OT場域的安全管理工作交由資安長負(fù)責(zé)，以取代過去主掌相關(guān)業(yè)務(wù)的營運主管或團隊。除此之外，企業(yè)內(nèi)部的OT資安管理人員現(xiàn)在也多半改由IT高階安全主管來擔(dān)任，而非產(chǎn)品管理部門，顯示OT企業(yè)組織資安策略的核心決策權(quán)，正在從營運團隊轉(zhuǎn)移至其他部門領(lǐng)導(dǎo)者，且多數(shù)皆是交棒給資安長或安全長（CSO）。
零信任架構(gòu)、資安意識培訓(xùn)、整合與自動化網(wǎng)路安全平臺三管齊下，打造全方位OT資安防護網(wǎng)
當(dāng)OT產(chǎn)業(yè)進(jìn)入工業(yè)4.0 與智慧制造的全新階段，如何建立全方位的資安防御策略，并確保關(guān)鍵供應(yīng)鏈營運不中斷，成為臺灣不論規(guī)模大小的企業(yè)近年來在OT資安防護面臨的重要課題。面對與日俱增的資安風(fēng)險，F(xiàn)ortinet建議企業(yè)組織應(yīng)善用「零信任（Zero Trust）」機制，以落實完整的數(shù)位資產(chǎn)盤點與分割，并藉由持續(xù)性的驗證，確保只有獲得信任的使用者、設(shè)備或應(yīng)用程式得以存取內(nèi)部的關(guān)鍵機敏資訊。
在導(dǎo)入零信任架構(gòu)的同時，企業(yè)組織也應(yīng)當(dāng)透過網(wǎng)路安全培訓(xùn)與認(rèn)證，提升員工與營運團隊的防御思維，更可以開設(shè)基礎(chǔ)的資安意識訓(xùn)練課程，讓遠(yuǎn)距辦公的工作者及身處相同網(wǎng)路環(huán)境的家人，從安全防護弱點進(jìn)化為企業(yè)組織最強大的防線。
資安技術(shù)部署方面，F(xiàn)ortinet則建議企業(yè)組織建立高整合性與自動化的OT網(wǎng)路安全平臺，并與擁有廣泛解決方案組合的供應(yīng)商合作。藉由 OT 安全營運中心（SOC）等解決方案，完成從基本的資產(chǎn)管理、網(wǎng)路分段到進(jìn)階的威脅回應(yīng)，助企業(yè)資安長在IT與OT環(huán)境高度融合的環(huán)境下，輕松簡化資安防御復(fù)雜度。而企業(yè)組織亦可透過網(wǎng)路存取控制（NAC），保護連線至企業(yè)網(wǎng)路的各項關(guān)鍵數(shù)位資產(chǎn)，包含工業(yè)控制系統(tǒng)、資料搜集與監(jiān)控系統(tǒng)（SCADA）、物聯(lián)網(wǎng)（IoT）裝置及自攜設(shè)備（BYOD）等，進(jìn)而為OT環(huán)境提供持續(xù)且完整的可視性、控制與自動回應(yīng)，全面守護企業(yè)網(wǎng)路安全。
