能源基础设施的网络安全：为什么采购需要处于第一线

核心观点与关键数据

数字转型将人工智能（AI）等高度互联系统整合到能源基础设施中，优化了性能和可靠性，但也带来了前所未有的网络安全威胁。缺乏严格安全控制的创新将成为战略负债。

四大技术趋势及其网络安全风险

1. 人工智能与机器学习（AI/ML）

   • 风险：技术结构无法跟上AI的持续发展，存在“影子AI”使用、合规和合同漏洞，以及AI问责制问题。
   • 具体挑战：员工未经授权使用公司数据，合规框架滞后，AI合同条款导致责任转移。

2. IT/OT融合

   • 风险：互联网连接的控制网络扩大了攻击面，远程访问工具存在漏洞，VLAN和防火墙配置不当导致IT-OT恶意软件扩散。
   • 缓解措施：第三方渗透测试、强制遵循NERC CIP或ISA/IEC 62443标准、合同中的风险评估。

3. 远程操作的下一代连接

   • 风险：私有长期演进（PLTE）网络缺乏成熟的威胁监控，卫星链接存在端到端加密和硬编码凭证问题。

4. 云和SaaS采用

   • 风险：依赖外部供应商，共享责任模型可能产生安全漏洞，数据主权和出口能力不足。

五种应对策略

1. 管理第三方风险

   • 措施：嵌入网络安全条款，制定退出计划，包括合同条款（如违规通知、合规要求）、审计权、数据主权和云/SaaS可移植性。
   • 关键点：严格尽职调查，AI模型卫生（数据清理），持续监控和终止权。

2. 战略选择白名单或黑名单策略

   • 白名单：在OT环境中确保仅运行可信应用程序，通过供应商合理化简化管理。
   • 黑名单：在IT和影子AI环境中阻止恶意工具，通过S2C治理防止拼凑式解决方案。

3. 零信任架构（ZTA）

   • 措施：在IT/OT环境中实施ZTA，通过软件组合合理化、合同控制和RFP筛选实现。

4. 事件响应计划（IRP）

   • 关键点：供应商集成防御，IT/OT统一指挥，AI驱动响应。

采购部门的关键作用

• 战略对齐：确保采购决策符合业务目标。
• 供应商基础优化：引入提供更好网络安全和成本效益的合作伙伴。
• 市场情报：整合供应链框架和市场信息。
• 内部协调：促进采购、技术和安全团队之间的协作。

研究结论

能源公司必须通过强化采购流程、实施严格的网络安全策略（如ZTA、白名单/黑名单）和制定完善的IRP，来应对AI/ML、IT/OT融合等新兴技术带来的网络安全风险。采购部门应成为网络安全防御的前沿力量，通过供应商风险管理、合同控制和持续监控，确保技术解决方案的安全性和合规性。