核心观点与关键数据
数字转型将人工智能(AI)等高度互联系统整合到能源基础设施中,优化了性能和可靠性,但也带来了前所未有的网络安全威胁。缺乏严格安全控制的创新将成为战略负债。
四大技术趋势及其网络安全风险
-
人工智能与机器学习(AI/ML)
- 风险:技术结构无法跟上AI的持续发展,存在“影子AI”使用、合规和合同漏洞,以及AI问责制问题。
- 具体挑战:员工未经授权使用公司数据,合规框架滞后,AI合同条款导致责任转移。
-
IT/OT融合
- 风险:互联网连接的控制网络扩大了攻击面,远程访问工具存在漏洞,VLAN和防火墙配置不当导致IT-OT恶意软件扩散。
- 缓解措施:第三方渗透测试、强制遵循NERC CIP或ISA/IEC 62443标准、合同中的风险评估。
-
远程操作的下一代连接
- 风险:私有长期演进(PLTE)网络缺乏成熟的威胁监控,卫星链接存在端到端加密和硬编码凭证问题。
-
云和SaaS采用
- 风险:依赖外部供应商,共享责任模型可能产生安全漏洞,数据主权和出口能力不足。
五种应对策略
-
管理第三方风险
- 措施:嵌入网络安全条款,制定退出计划,包括合同条款(如违规通知、合规要求)、审计权、数据主权和云/SaaS可移植性。
- 关键点:严格尽职调查,AI模型卫生(数据清理),持续监控和终止权。
-
战略选择白名单或黑名单策略
- 白名单:在OT环境中确保仅运行可信应用程序,通过供应商合理化简化管理。
- 黑名单:在IT和影子AI环境中阻止恶意工具,通过S2C治理防止拼凑式解决方案。
-
零信任架构(ZTA)
- 措施:在IT/OT环境中实施ZTA,通过软件组合合理化、合同控制和RFP筛选实现。
-
事件响应计划(IRP)
- 关键点:供应商集成防御,IT/OT统一指挥,AI驱动响应。
采购部门的关键作用
- 战略对齐:确保采购决策符合业务目标。
- 供应商基础优化:引入提供更好网络安全和成本效益的合作伙伴。
- 市场情报:整合供应链框架和市场信息。
- 内部协调:促进采购、技术和安全团队之间的协作。
研究结论
能源公司必须通过强化采购流程、实施严格的网络安全策略(如ZTA、白名单/黑名单)和制定完善的IRP,来应对AI/ML、IT/OT融合等新兴技术带来的网络安全风险。采购部门应成为网络安全防御的前沿力量,通过供应商风险管理、合同控制和持续监控,确保技术解决方案的安全性和合规性。