运营技术

如果没有交通信号灯、大量生产的食物、按一下按钮的能源或容易获得的汽车燃料，生活会是什么样子？

运营技术 (OT) 使所有这些事情发生，并以明显或隐蔽的方式渗透到我们的生活中，自动监控和控制对于手动操作来说太危险、太苛刻或太单调的流程和设备。

OT 被定义为与物理世界交互的技术，包括工业控制系统 (ICS)、监控和数据采集 (SCADA) 以及分布式控制系统 (DCS)。

IT 网络安全传统上关注的是信息机密性、完整性和可用性，而 OT 的优先事项通常是安全性、可靠性和可用性，因为显然存在与 OT 故障或故障相关的物理危险。许多企业都致力于为客户提高 OT 流程效率和可靠性，这通常会增强与企业技术和互联网的连接性。这种融合有可能增加系统漏洞，但可以通过采用健全的风险管理原则来解决，无论底层系统类型如何，这些原则都是相同的。

许多OT环境是关键国家基础设施的一部分，因此它们控制的服务中断可能会引起关注。

如果在部署、操作和维护企业技术时考虑到网络安全，那么组织面临的大多数网络攻击都将是无效的。本指南解释了组织应如何利用企业技术来阻止网络攻击。

我们所说的“企业技术”是指用于运营组织的 IT。这包括：

• 工作人员手中的设备
• 保存和处理信息的系统和服务
• 将它们连接在一起的网络
• 这些操作的方式

这里的建议适用于绝大多数信息。可以进一步增强安全建议，但这样做会增加成本，但几乎没有什么好处。

网络安全企业技术原则

在制定本企业指南时，假定遵循以下原则：

• 企业技术需要明智且务实的安全性来支持  该技术的用户。干扰用户期望与技术交互的方式的安全性是 糟糕的安全性。
• 您做出的有关保护企业技术的决策将基于风险管理，并由正确的治理安排进行验证和执行。
• 提出的任何建议都需要进行调整以满足特定情况，因此应将其视为合理的起点，而不是强制性的清单。
• 一定比例的设备在其部署寿命期间会丢失或被盗；未经授权访问此类设备的人不应能够访问其上存储的信息或该设备可以访问的系统。
• 产品和服务在其生命周期中会发现漏洞；您的方法应确保单个漏洞不会对您组织的安全造成灾难性影响。
• 您的方法不会提供针对零日攻击的完美保护，但它将避免零日攻击造成太大损害，并尽快缓解漏洞。
• 一定比例的网站和应用程序被故意设计来欺骗用户，或损害与他们交互的设备。期望用户提前知道哪些应用程序、附件、链接和服务不安全是不可能成功的。该方法将最大限度地减少此类事件发生的可能性，并最大限度地减少发生时造成的危害。
• 不受信任的网络将被更频繁地使用。随着我们越来越多地使用互联网和移动网络来连接服务，将办公网络视为“物理安全”链接不再有用。该方法将保护在设备和服务之间传输的敏感数据，并保护设备和服务免受基于网络的攻击。
• 网络安全缓解措施并非万无一失；有时攻击者 会 成功。从长远来看，采取措施确保您能够检测到网络攻击何时发生（并了解如何快速从中恢复）将带来好处。

最终用户计算

确保企业技术安全的第一步是选择、配置和操作员工每天使用的设备。

不同的平台（例如 Microsoft Windows 或 Apple iOS）具有不同的安全属性，它们的配置方式也会影响它们提供的安全性。我们的最终用户设备指南 将帮助您了解各种设备的安全属性，并帮助您做出明智的决策。它还包括建议的配置，供您在首次部署设备时采用作为起点。

除了组织提供的设备之外，可能还希望允许员工使用自己的 设备来访问某些企业服务。这称为“自带设备”(BYOD)。如果考虑采用 BYOD，还需要考虑一些额外的事项，这些内容已包含在BYOD 指南中。

联网

网络的功能是将设备连接到服务。作为一般原则，网络不应该被信任。网络应被视为不可信的承载。

为了保护敏感信息，应在设备及其上的应用程序以及我们正在访问的服务之间使用加密。在某些情况下，信任网络可能很有用（例如将数据中心内的遗留服务链接在一起）。使用物理和人员安全控制来提供这种保护。

• 如果需要保护网络上两点之间（例如远程工作设备和企业网络之间，或两个站点之间）传输的所有数据，我们建议使用我们的网络加密指南实施 IPsec  。
• 如果需要保护一个数据流，例如从应用程序到服务的数据流，那么传输层安全性 (TLS) 更合适。
• 点对点企业应用程序可能会使用 TLS，但某些应用程序（例如 IP 语音 (VOIP)）通常更适合使用定制解决方案，例如用于实时媒体加密的MIKEY SAKKE 。

过度依赖特定的网络服务（或提供商）意味着服务问题造成中断的风险更高，其中一些问题可能是由网络安全事件引起的。

企业服务

企业服务是为企业 IT 提供动力的东西；它们是存储您的数据并可供用户进行处理和操作的位置。我们使用该术语来涵盖常见服务，例如电子邮件、文档存储、文件存储、通信服务以及根据组织需求量身定制的业务线服务（例如内部 Web 应用程序、数据库和工作流程系统） 。

可以选择在内部（在您自己的场所）或商业云环境中托管这些服务，或者跨越两者的混合模型。在决定在哪里运行此类服务时，安全性将是众多考虑因素之一。

在内部运行服务意味着可以对其安全的各个方面负责。这可能是可取的，但取决于是否拥有必要的技能资源。使用有能力的云服务提供商意味着您可以从他们的规模和安全知识中受益。选择云服务时，建议根据的云安全原则对其进行评估 ，以确保了解它们将如何帮助保护信息。

安全运营

如果不在设备、网络和服务的整个部署期间维护和增强网络安全性，那么投资于保护设备、网络和服务就没有意义。

重要的是不要将安全视为一次性事件，而是需要持续投资的事情。安全操作描述了保护组织的企业技术免受最新威胁所需的活动，以及对发生的安全事件进行持续监控和管理。

防止常见网络攻击的最重要活动是使您的企业技术保持最新状态，并应用最新的安全补丁。我们的修补指南可以帮助您了解修补的重要性以及如何确定修补的优先级。

安全操作可以在内部运行或由第三方提供。的安全运营指南可以帮助做出此决定，并描述了有效的运营团队应该执行的活动。