運營技術

如果沒有交通信號燈、大量生產的食物、按一下按鈕的能源或容易獲得的汽車燃料，生活會是什么樣子？

運營技術 (OT) 使所有這些事情發生，并以明顯或隱蔽的方式滲透到我們的生活中，自動監控和控制對于手動操作來說太危險、太苛刻或太單調的流程和設備。

OT 被定義為與物理世界交互的技術，包括工業控制系統 (ICS)、監控和數據采集 (SCADA) 以及分布式控制系統 (DCS)。

IT 網絡安全傳統上關注的是信息機密性、完整性和可用性，而 OT 的優先事項通常是安全性、可靠性和可用性，因為顯然存在與 OT 故障或故障相關的物理危險。許多企業都致力于為客戶提高 OT 流程效率和可靠性，這通常會增強與企業技術和互聯網的連接性。這種融合有可能增加系統漏洞，但可以通過采用健全的風險管理原則來解決，無論底層系統類型如何，這些原則都是相同的。

許多OT環境是關鍵國家基礎設施的一部分，因此它們控制的服務中斷可能會引起關注。

如果在部署、操作和維護企業技術時考慮到網絡安全，那么組織面臨的大多數網絡攻擊都將是無效的。本指南解釋了組織應如何利用企業技術來阻止網絡攻擊。

我們所說的“企業技術”是指用于運營組織的 IT。這包括：

• 工作人員手中的設備
• 保存和處理信息的系統和服務
• 將它們連接在一起的網絡
• 這些操作的方式

這里的建議適用于絕大多數信息?？梢赃M一步增強安全建議，但這樣做會增加成本，但幾乎沒有什么好處。

網絡安全企業技術原則

在制定本企業指南時，假定遵循以下原則：

• 企業技術需要明智且務實的安全性來支持  該技術的用戶。干擾用戶期望與技術交互的方式的安全性是 糟糕的安全性。
• 您做出的有關保護企業技術的決策將基于風險管理，并由正確的治理安排進行驗證和執行。
• 提出的任何建議都需要進行調整以滿足特定情況，因此應將其視為合理的起點，而不是強制性的清單。
• 一定比例的設備在其部署壽命期間會丟失或被盜；未經授權訪問此類設備的人不應能夠訪問其上存儲的信息或該設備可以訪問的系統。
• 產品和服務在其生命周期中會發現漏洞；您的方法應確保單個漏洞不會對您組織的安全造成災難性影響。
• 您的方法不會提供針對零日攻擊的完美保護，但它將避免零日攻擊造成太大損害，并盡快緩解漏洞。
• 一定比例的網站和應用程序被故意設計來欺騙用戶，或損害與他們交互的設備。期望用戶提前知道哪些應用程序、附件、鏈接和服務不安全是不可能成功的。該方法將最大限度地減少此類事件發生的可能性，并最大限度地減少發生時造成的危害。
• 不受信任的網絡將被更頻繁地使用。隨著我們越來越多地使用互聯網和移動網絡來連接服務，將辦公網絡視為“物理安全”鏈接不再有用。該方法將保護在設備和服務之間傳輸的敏感數據，并保護設備和服務免受基于網絡的攻擊。
• 網絡安全緩解措施并非萬無一失；有時攻擊者 會 成功。從長遠來看，采取措施確保您能夠檢測到網絡攻擊何時發生（并了解如何快速從中恢復）將帶來好處。

最終用戶計算

確保企業技術安全的第一步是選擇、配置和操作員工每天使用的設備。

不同的平臺（例如 Microsoft Windows 或 Apple iOS）具有不同的安全屬性，它們的配置方式也會影響它們提供的安全性。我們的最終用戶設備指南 將幫助您了解各種設備的安全屬性，并幫助您做出明智的決策。它還包括建議的配置，供您在首次部署設備時采用作為起點。

除了組織提供的設備之外，可能還希望允許員工使用自己的 設備來訪問某些企業服務。這稱為“自帶設備”(BYOD)。如果考慮采用 BYOD，還需要考慮一些額外的事項，這些內容已包含在BYOD 指南中。

聯網

網絡的功能是將設備連接到服務。作為一般原則，網絡不應該被信任。網絡應被視為不可信的承載。

為了保護敏感信息，應在設備及其上的應用程序以及我們正在訪問的服務之間使用加密。在某些情況下，信任網絡可能很有用（例如將數據中心內的遺留服務鏈接在一起）。使用物理和人員安全控制來提供這種保護。

• 如果需要保護網絡上兩點之間（例如遠程工作設備和企業網絡之間，或兩個站點之間）傳輸的所有數據，我們建議使用我們的網絡加密指南實施 IPsec  。
• 如果需要保護一個數據流，例如從應用程序到服務的數據流，那么傳輸層安全性 (TLS) 更合適。
• 點對點企業應用程序可能會使用 TLS，但某些應用程序（例如 IP 語音 (VOIP)）通常更適合使用定制解決方案，例如用于實時媒體加密的MIKEY SAKKE 。

過度依賴特定的網絡服務（或提供商）意味著服務問題造成中斷的風險更高，其中一些問題可能是由網絡安全事件引起的。

企業服務

企業服務是為企業 IT 提供動力的東西；它們是存儲您的數據并可供用戶進行處理和操作的位置。我們使用該術語來涵蓋常見服務，例如電子郵件、文檔存儲、文件存儲、通信服務以及根據組織需求量身定制的業務線服務（例如內部 Web 應用程序、數據庫和工作流程系統） 。

可以選擇在內部（在您自己的場所）或商業云環境中托管這些服務，或者跨越兩者的混合模型。在決定在哪里運行此類服務時，安全性將是眾多考慮因素之一。

在內部運行服務意味著可以對其安全的各個方面負責。這可能是可取的，但取決于是否擁有必要的技能資源。使用有能力的云服務提供商意味著您可以從他們的規模和安全知識中受益。選擇云服務時，建議根據的云安全原則對其進行評估 ，以確保了解它們將如何幫助保護信息。

安全運營

如果不在設備、網絡和服務的整個部署期間維護和增強網絡安全性，那么投資于保護設備、網絡和服務就沒有意義。

重要的是不要將安全視為一次性事件，而是需要持續投資的事情。安全操作描述了保護組織的企業技術免受最新威脅所需的活動，以及對發生的安全事件進行持續監控和管理。

防止常見網絡攻擊的最重要活動是使您的企業技術保持最新狀態，并應用最新的安全補丁。我們的修補指南可以幫助您了解修補的重要性以及如何確定修補的優先級。

安全操作可以在內部運行或由第三方提供。的安全運營指南可以幫助做出此決定，并描述了有效的運營團隊應該執行的活動。