在辦公室、車間及工廠里持續(xù)著一種討論。由于信息技術(shù)與運營技術(shù)兩個團隊間彼此很難理解對方的安全問題，這種討論也許會導(dǎo)致兩個團隊間彼此對峙。

難道所有的計算機與處理系統(tǒng)不都是一樣的嗎?

答案是：絕對不是!正如SANS協(xié)會工控系統(tǒng)安全技術(shù)總監(jiān)Tim Conway在與《計算機工程》雜志2013年8月的一次訪談中所指出的：

當(dāng)你接受IT背景的人，并將他們帶入工控系統(tǒng)環(huán)境時，運營方會不理解他們?yōu)楹卧诖耍鳬T方則對特定控制環(huán)境的需求缺乏理解。

隨著基于TCP/IP、以太網(wǎng)、Linux及Windows的系統(tǒng)進入到了工控系統(tǒng)及數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)網(wǎng)絡(luò)中，運營技術(shù)面臨IT安全挑戰(zhàn)。

IT/OT整合

絕大多數(shù)安全高管對信息技術(shù)范疇有著很好的理解;本質(zhì)來說，IT是業(yè)務(wù)的關(guān)鍵基礎(chǔ)—它保持信息流動、email服務(wù)運轉(zhuǎn)、數(shù)據(jù)庫被填充。運營技術(shù)(OT)是新近提出的術(shù)語。它涉及工控系統(tǒng)，保持電廠運轉(zhuǎn)，管理工廠生產(chǎn)線，根本來說，為實現(xiàn)制造、運輸、能源生產(chǎn)等工業(yè)目標(biāo)而進行協(xié)作。根據(jù)技術(shù)咨詢公司 Gartner 定義，OT 由軟、硬件組成，通過直接監(jiān)控和/或控制企業(yè)中的物理設(shè)備、流程或事件，從而檢測或產(chǎn)生變更。

為了更好理解這些細微差別，讓我們看看IT與OT系統(tǒng)管理員間的差異。IT部門工作在業(yè)務(wù)的”企業(yè)側(cè)”，通常向上匯報給***信息官。IT技術(shù)人員和工程師一般工作于Windows工作站與服務(wù)器、email系統(tǒng)以及企業(yè)資源規(guī)劃系統(tǒng)之上。OT技術(shù)人員則工作在運營或生產(chǎn)管理團隊下。他們專注于工業(yè)系統(tǒng)設(shè)備的平滑作業(yè)，如可編程邏輯控制器;壓力、溫度與水平傳感器;閥與電機控制器等等。

歷史上，OT系統(tǒng)及組件為不聯(lián)網(wǎng)的獨立設(shè)備，它們歷來都與業(yè)務(wù)的企業(yè)或IT側(cè)隔離。或者，即使這些設(shè)備存在任何"計算機化"，通常也是運行專有協(xié)議，使用專用軟、硬件。然而隨著時間推移，IT 能力被引入到了現(xiàn)有的物理和 OT 系統(tǒng)中;例如，用于電動機和蒸汽引擎的傳統(tǒng)機械調(diào)速器已經(jīng)被嵌入式數(shù)字控件所替換。

IT/OT本質(zhì)差異

用于生產(chǎn)的舊式工業(yè)控制系統(tǒng)正開始被類IT系統(tǒng)的OT系統(tǒng)所取代，但IT與OT間仍存在本質(zhì)差異。美國國家標(biāo)準(zhǔn)和技術(shù)協(xié)會(NIST)SP 800-82《工控系統(tǒng)安全指南》(修訂版1)中列出了其中一張較優(yōu)的對比表，它易于理解。第25頁中這張表匯總了IT與OT系統(tǒng)間的本質(zhì)差異，且補充了一些附加觀點。#p#

NIST安全對比：IT系統(tǒng)與工控系統(tǒng)

源：NIST SP 800-82《工控系統(tǒng)安全指南》，修訂版1

正如NIST這張對比表所示，IT與OT間仍然存在顯著差異，而且這些差距會產(chǎn)生諸多問題，涉及操作實踐、軟件修補、系統(tǒng)升級以及其他安全與網(wǎng)絡(luò)功能。

修補IT系統(tǒng)相當(dāng)簡單，且實質(zhì)已成為IT員工的日常工作。他們例行處理微軟月度”星期二補丁”，持續(xù)進行軟件缺陷修復(fù)。由于工業(yè)系統(tǒng)是系統(tǒng)性的，微小變更都可能產(chǎn)生巨大影響，所以O(shè)T工程師會先攢著這些補丁，等到車間或工廠的下一個停電期時，才會針對受影響系統(tǒng)安裝這些修復(fù)包：一個簡單的補丁包及重啟在此是不容許的。工業(yè)系統(tǒng)也許還運行較老版本的嵌入式Windows系統(tǒng)，這對于許多IT部門意味著安全風(fēng)險，這是由于生產(chǎn)系統(tǒng)并不遵循IT環(huán)境中常見的較短升級周期所致。

廠房聯(lián)網(wǎng)

涉及IT環(huán)境及工控系統(tǒng)兩者的變化正在醞釀中。隨著老化的生產(chǎn)系統(tǒng)堅實服務(wù)15年后最終退役，更多的工控系統(tǒng)正變得以TCP-IP為中心。這些較新的組件與運營計劃更多類似于它們的IT表親。

勞動力和技能也正不斷演變：許多曾管理舊式 HMI 設(shè)備(采用專有軟件及觸摸屏)的工控系統(tǒng)技術(shù)人員正退休或離開勞動力市場。更年輕、受訓(xùn)于TCP/IP的技術(shù)人員進入OT崗位，找到經(jīng)驗豐富的運營人員則很困難。隨著IT安全和OT兩個團隊間的詞匯逐漸一致，這次人員更換可能有助于潤滑來自兩個孤立團隊間的阻力。

安全高管及管理層需要意識到IT與OT間的差異之處，并管理好建立安全網(wǎng)絡(luò)環(huán)境的預(yù)期。正如Gartner在其《OT技術(shù)成熟度》2012報告中所述：有大量機會對IT與OT進行整合，但這在短期內(nèi)并不容易獲得。

IT與OT間的文化融合尚需耐心。了解這種差異的高管層需要采取行動以促進IT安全團隊與OT團隊間的對話，從而避免兩者的組織邊界爭議。

高管需要認(rèn)識到，IT與OT兩者所采用的安全策略、實踐及步驟均存在差異。OT負(fù)責(zé)實時的高系統(tǒng)可用性，而IT專注于保護復(fù)雜的數(shù)據(jù)環(huán)境。許多信息安全專家擅長于IT安全，但并不擅長工控系統(tǒng)安全。目前，SANS協(xié)會正發(fā)起一項工控系統(tǒng)及網(wǎng)絡(luò)安全認(rèn)證計劃，該計劃包括培訓(xùn)以及全球工業(yè)網(wǎng)絡(luò)安全專業(yè)認(rèn)證。

一家主要消費品制造商的CISO認(rèn)識到了這種差異。他設(shè)立了一個工控安全經(jīng)理崗位，其不僅專注在OT安全問題，還要幫助兩個群體進行對話。當(dāng)兩個團隊一起工作在舊式系統(tǒng)并朝著更為”IT中心”控制的方向變化時，這位工控安全經(jīng)理尤其重要。

安全和風(fēng)險專家必須仔細審視那些在IT治理、采購、配置管理等領(lǐng)域已經(jīng)正常運轉(zhuǎn)的流程與步驟。為避免日后IT與OT間的爭議，運營組織必須融入到治理流程與對話中。而且，兩個群體的高管需要認(rèn)識到IT系統(tǒng)與OT系統(tǒng)間的體系結(jié)構(gòu)差異，并致力進行整體規(guī)劃和實施計劃，幫助所有團隊專注于業(yè)務(wù)結(jié)果，而非技術(shù)之爭。

***，Belden***技術(shù)官兼Tofino安全創(chuàng)始人Eric Byres，推薦了下述措施以消除IT安全與OT間的分歧：

· 年度員工調(diào)查，用于衡量IT安全與OT的合作程度，審視資源使用情況、信任問題、沖突、目標(biāo)與目的的清晰程度;

· 跨部門培訓(xùn)，不僅提供兩類技術(shù)培訓(xùn)，還支持有望促進合作與溝通的價值觀與行為。

· 跨職能團隊，從IT與OT視角共同開發(fā)政策、標(biāo)準(zhǔn)及項目。

· 越過墻，鼓勵I(lǐng)T安全和OT兩個團隊相互影響，并相互有設(shè)身處地的意愿。安全和運維管理團隊采取一致行動，支撐搭建這座”橋梁”。

大處著眼 小處著手

花時間審視”快速點擊”及未開發(fā)項目的機會，比如新建一家工廠，帶著IT安全及OT團隊一起為項目努力。***，我們要認(rèn)識到兩個各自為政的技術(shù)團隊進行協(xié)同尚需時間。但是，當(dāng)IT和OT員工看到安全高管層參與進來并為此努力，此舉將提高士氣并迅速推進合作。