Fortinet：93%的OT企业组织过去12个月曾被入侵

Fortinet公布《2022 OT资安与网路安全现况调查报告》（2022 State of Operational Technology and Cybersecurity Report），报告显示，93%的营运科技（Operational Technology，OT）企业组织在过去12个月中至少被入侵一次，更有近八成（78%）的受访者表示，过去一年内曾经历三次甚至更高频率的资安事件，较2021年增加15%。OT业者面临的常见入侵手法包括恶意软体（44%）、网路钓鱼（41%）、骇客入侵（39%）与行动装置的资安漏洞（37%）等。

左起Fortinet北亚区技术总监 刘乙、北亚区总经理 陈鸿翔、台湾区总经理 吴章铭

Fortinet 台湾区总经理吴章铭表示：「随着全球疫情逐渐缓和，台湾过去几年于智慧制造的耕耘即将斩获成果，其中OT业者的资安防护能力将会是台湾迈向智慧制造全新时代的关键。根据工研院2021年的调查，200人以上制造业的资安发展阻力中，前三大挑战分别是内部技术能量不足、公司对于资安投资报酬率缺乏了解，以及内部员工缺乏资安意识，这也与Fortinet今年全球OT和网路安全报告的结果不谋而合。OT安全已引起了企业领导层的注意，然而组织内缺乏的安全性设计的可程式逻辑控制器 (Programmable Logic Controller；PLC)、持续面临的资安攻击、缺乏可视化的OT活动，以及不断增加的OT连网数量，都是企业现正面对的严酷挑战。这也是为何将OT与IT的融合至关重要。」

Fortinet《2022 OT与网路安全现况调查报告》的四大发现包括：

一、OT活动可视化程度低，安全性风险陡增：Fortinet报告显示，97%的全球组织认为OT在其整体安全风险中扮演着重要角色。然而，今年仅有13%的受访组织实现所有OT活动的可视化，且仅有52%的组织能够从安全营运中心（Security Operation Center，SOC）中追踪所有OT活动。报告也指出，缺乏集中的可视化会导致组织的OT安全风险增加、安全性降低。

二、OT资安入侵事件会大幅影响企业生产力，重则危及整体维运：Fortinet报告发现，93%的OT组织在过去12个月内至少经历过一次入侵，78%的组织则有遭受超过三次的入侵。由于这些入侵事件，近50% 的组织营运面临中断，不仅大幅影响生产力，其中还有90%的入侵事件需要数小时或更长时间才能恢复服务。此外，三分之一的受访者也认为，因资安入侵事件导致的资料外泄、财产损失、合规性质疑，甚至是品牌价值也将受到影响。

三、企业内的OT 安全权责不明，仅15%表示应由资安长负责：根据Fortinet的报告，OT安全管理主要由总监或经理等人员负责，如工厂营运总监或制造营运部经理。只有15%的受访者表示资安长（Chief Information Security Officer，CISO）需对其组织的OT安全负责，较去年下降2%。今年有高达33%的受访者表示，网路工程总裁应对OT安全负责，其次为营运科技总监或网路安全经理（25%）、资讯长（19%）、技术长（6%）与营运长（1%）。

四、OT安全成熟度逐步提升，但许多组织中仍然存在安全漏洞：当被问及其组织的OT安全状况的成熟度时，只有21%的组织达到了第4级，意即组织可落实协调（Orchestration）与自动化（Automation）。值得注意的是，与其他地区相比，拉丁美洲和亚太地区达到4级的比例更高，超过70%的组织拥有成熟OT安全维运的水准。与此同时，这些组织在使用多种OT安全工具时也面临挑战，进而使他们在OT安全程度方面形成差距。该报告发现，绝大多数组织使用2至8个不同供应商提供的工业设备，并且有同时100到10,000个设备同时运行，增加维运的复杂度。

企业高层开始重视OT的重要性

Fortinet《2022 OT与网路安全现况调查报告》的报告中显示，随着OT系统渐渐成为网路犯罪份子的目标，企业的高层领导者（C-level leaders）也开始意识到保护OT环境以分散组织风险的重要性。工业系统已成为一个重要的风险因素，主因为这些OT环境原本与IT和企业网路呈现实体隔离（air-gapped）状态，但现在OT与IT这两个基础设施正普遍走向整合。在工业系统随时随地皆可连网的时代，组织的攻击面（Attack Surface，攻击面）也会随之增加，因而促使全面保护其工业控制系统（Industrial Control System，ICS）的行动应运而生，同时强化监控和资料搜集系统（Supervisory Control And Data Acquisition，SCADA）的需求。

克服OT安全挑战的最佳实践

Fortinet的《2022 OT资安与网路安全现况调查报告》提出解决OT系统漏洞并加强其整体安全状态的方法，包含：

‧建立零信任安全存取，防止资料外泄：越来越多的工业系统具备连网的能力，零信任的应用解决方案可确保没有适当凭证和存取权的使用者、设备或应用程式，接触到公司内重要的数位资产。为了推进OT安全工作，零信任的应用可以进一步抵御内部和外部的威胁。

‧落实OT 活动的集中可视化：集中且端到端的OT可视化组织强化安全的关键。根据Fortinet的报告，过去一年有6%的模范组织没有任何OT资安入侵事件，而他们集中可视化的完成度是曾有入侵事件的同行的三倍以上。

‧整合资安工具和不同供应商的工业设备，完整OT安全防护网：为降低管理的复杂度，并达到所有OT活动的可视化，组织们应力求在与最少的供应商合作的情况下整合OT和IT技术，以减少攻击面、改善安全性。

‧布署网路存取控制功能（Network Access Control，NAC）：过去一年中，较少受到资安入侵的组织多数都拥有「以角色为基础之存取控制功能（Role-based NAC）」，确保只有经过授权的「个人」才能存取富有重要数位资产的特定系统。

Fortinet 安全织网全方位保护OT环境

Fortinet十多年来持续保护能源、国防、制造、食品和运输等关键基础设施领域的OT环境。透过Fortinet 安全织网（Fortinet Security Fabric），企业可将安全性设计应用至复杂的基础架构中，借由其高效率、不中断的特性来确保OT 环境合规且持续受到保护。