2024网络安全重要趋势：能源及天然资源行业

转型赋能 能源行业包括电力和公用事业、油气、天然资源和化工等子行业。这些子行业的运营模式以及与客户和供应商互动的方式正在经历重大转变。在能源密集型行业（如制造、科技和汽车）中，企业也在同步转型，进一步加剧了能源行业面临的复杂形势。 能源已经融入当今社会生活的方方面面。为适应不断变化的世界格局，能源行业正在重构其价值链，努力打破能源行业只局限于加油和供电的刻板印象。 无论是石油钻机上的阀门还是发电厂的计量设备，它们所连接的控制网络和系统均处于“永久运行”的状态，从而产生了永久的安全风险，并重新定义了整个能源行业的攻击面。 能源行业当下的重心是通过可再生能源和清洁能源，尤其是二者的整合以及数字化来推动能源转型。 本文探讨了对能源及天然资源行业至关重要的网络安全考虑因素和主要措施，概述了网络威胁不断演变的格局，并提供了深刻洞察，旨在帮助能源企业网络安全和业务负责人员在未来一年里高效履职。 这种转型不单影响着能源行业。事实上，从信息技术和运营技术的角度来看，全球经济的各行各业都因此经历着巨大转变。 司法管辖区的在多数情况下，不同国家、地区和司法管辖区制定了不同的网络安全监管框架。某些法规复杂性 更注重方法的统一性，例如《网络与信息安全指令》（NIS2）尝试在欧盟推广一致的实务方法，而其他某些地区则更强调因地制宜，导致对法规的诠释存在差异。因此，能源行业的监管合规形势愈加复杂。能源企业既要遵守全球或地区标准，又要满足当地规定。 电网稳定性和随着能源行业的全球互联水平不断提升，相关网络威胁的攻击面也在不断增加。各种系统新增攻击面 和网络的跨国整合为网络犯罪分子提供了更多切入点，对互联跨境能源网络的电网稳定性造成了威胁。 网络跨越边界网络威胁不受地缘政治边界的限制。一个国家遭受的网络攻击很容易影响另一个国家的关 键基础设施。在这种情况下，通常难以协调应对措施并对网络攻击进行归因。 尽管协作和信息共享能有效确保网络安全，但跨国界共享敏感信息所涉及的监管、法律、政治和竞争问题，可能会阻碍威胁情报共享。 能源及天然资源行业中的商业/经济活动容易受政治利益、议程和效应的影响。地缘政治局势紧张往往会导致网络威胁增加，尤其是针对关键基础设施的网络威胁。作为一个关键基础设施行业，能源行业是网络破坏分子和国家支持的行为者的主要攻击目标，对供应链和终端消费者均可能产生影响。 能源行业的全球化性质为网络安全的国际协作提供了契机。在全球范围分享威胁情报、行业最佳实践和经验教训可以增强能源企业的整体安全态势。 全球化可以推动能源行业建立网络安全的国际标准和最佳实践。此外，规范的规章制度可以简化网络安全措施的跨供应链和跨边界实施。 跨境合作可以促进开发先进网络安全解决方案，从而惠及整个能源行业。 通过全球通信网络，事件响应团队可进行实时合作，从而快速就网络威胁作出更有效的应对措施，最大程度降低网络攻击对关键基础设施的不良影响。 供应链的复杂性能源及天然资源行业的全球化性质增强了其对复杂供应链的依赖性。在能源行业这个由多和依赖性 层次利益相关方、供应商和技术提供商组成的生态系统中，想要清楚了解和控制各方近乎奢望，从而极大地增加了网络风险。 能源企业通常依赖新旧交融的信息技术（IT）和运营技术（OT）。互联网技术的采用加剧了这一复杂性，随之而来的是更多的相互依赖关系和潜在漏洞。运营技术系统通常比信息技术系统具有更长的使用寿命和生命周期，并且相对于新技术而言，旧技术的安全性往往更低。对于企业而言，整合各种技术体系（即新旧技术体系）和相应的安全措施，虽然是底线，但极具挑战，并会因数字化的加剧而愈加难以实现。 在整个供应链中，运营商和供应商在网络安全成熟度方面的差异，可能会对整个供应链产生级联影响，从而形成薄弱环节。为此企业需要依赖第三方尽职调查—网络安全性较低的供应链合作伙伴也会影响企业的安全态势。在生态系统中跟踪所有供应商和合作伙伴的网络安全态势及措施可能十分困难。 在不断发展的能源市场中，向绿色能源转型和客户需求的不断演变均要求企业拥抱数字化和创新。与此同时，新技术的采用也引发了人们对所涉网络安全问题的关注。 透明度和协作在管理与第三方供应商相关的网络安全风险（包括评估其安全实践）方面，能源企业可能 面临挑战。但在这种相互依赖关系的推动下，企业迫切需要提升供应商的网络安全透明度和协作水平。提升安全态势和措施、数据泄露和漏洞的透明度，有利于营造一种文化氛围，鼓励相关人员积极识别薄弱环节，并提出集体解决方案，从而使消除供应链薄弱环节成为可能。 能源行业利益相关方的合作形式还可以包括共享威胁情报和最佳实践。这将有利于改进集体的网络威胁防御措施。 在供应链中引入新技术可以提高运营效率，并提高企业的可见性和监控能力。据此，企业可以降低网络安全风险，并提高事件识别和恢复能力，从而强化供应链的安全性。 能源企业深谙在交付关键服务时保持高水平的运营和韧性的重要性，任何中断都可能产生重大影响。企业必须深刻认识到，网络攻击的目标不仅是企业的信息技术基础设施，还包括企业整体业务运营及其所处的行业环境。为保持网络韧性，企业需要转变思维，积极培养新能力并制定新的安全措施。 能源、电力、储能和可再生能源等基础设施行业的环境最为复杂，并对社会和经济活动发展起着举足轻重的作用。未能充分了解所有系统的功能、互连性和依赖性可能会阻碍企业在构筑韧性方面的进展。 能源及天然资源企业对第三方、第四方甚至第五方供应链合作伙伴的严重依赖，使得提升事件恢复力和总体韧性尤其困难。 威胁态势的愈演愈烈要求能源企业不断评估和更新其防御和应对计划，以有效应对不断演变升级的威胁。 保持客户的信任是能源行业安全专业人士的重要职责。网络安全事件不仅会导致企业运营中断，还会削弱客户对企业的信心。为了管理网络安全事件对客户信任和企业声誉的影响，企业需要采取积极、透明的网络安全策略。 为保持韧性，企业需要更为全面地理解和管理风险，其中不仅涉及网络安全威胁，还包括可能干扰运营的其他各种因素。这种全面的方法有助于企业转变思维，并识别更广泛的风险。 对威胁态势演变、技术进步和商业环境变化的适应和响应能力是企业具备韧性的标志。据此，能源企业能够在新挑战出现之前迅速调整和启用新的网络安全和运营策略和能力，例如采取更加完善的检测和监控措施。 落实韧性举措，通常需要与其他行业的合作伙伴进行协作。建立强有力的伙伴关系，并跨行业共享信息，可增强集体的防御和应对能力。 采用以韧性为中心的方法，有助于企业在确保遵守网络安全法规的同时，满足与业务连续性、灾难恢复和综合风险管理相关的更广泛的合规要求。 能源行业的网络安全现状 总体而言，能源行业因其重要性以及与其他行业的关联性，一直是网络犯罪分子频繁攻击的目标。 许多关键基础设施企业还设立或强化了安全运营中心（SOC）和网络安全事件响应小组（CIRT），以监测和应对潜在的安全事件，最大限度地减少损失并迅速恢复运营。 例如，最近一次油气管道袭击事件对多个行业造成严重干扰，导致供应短缺、价格上涨和供应链中断等问题。该袭击事件还导致依赖油气基础设施的其他行业（如航空业）发生停运和服务中断，因为油气管道是航空燃料的主要来源之一。 我们建议能源及天然资源企业将技术、培训、应对能力、信息共享和恢复计划相结合，从多个层次来管理网络安全。 这一事件暴露了关键基础设施的弱点，并引发了公众对能源行业总体韧性的担忧。因此，许多能源企业面临着增加网络安全投资，加强漏洞评估和渗透测试的压力，以识别薄弱环节并修复任何安全漏洞。 另一值得注意的考虑事项是，人工智能的兴起比预期的更为迅猛。人工智能对能源及天然资源行业而言是一把双刃剑，我们将在另一篇文章中对此进行深入探讨。 网络安全专业人士的首要任务 确保建立完善的网络治理和风险管理制度 制定资产清单和管理措施，包括 信息技术（IT）和运营技术（OT），以监控、控制和保护关键资产 构建网络防御能力：记录、培训、准备、评估、不断完善 实施供应链/第三方风险管理计划 拥抱创新，并在必要时测试和采用新技术 将监管要求转化为提升网络安全能力的契机 转变思维，拥抱新想法、新策略和新运营模式