网络安全系列：立即着手规划，做好智能应急响应
赛莱默正在与世界各地的客户合作，帮助他们建立弹性网络，包括加强网络安全保护。在接下来的几个月里，赛莱默的专家们将就水务运营商和用户最关心的问题以及加强网络安全的策略，谈谈他们自己的见解。在本文中，赛莱默产品安全副总裁兼主管Clay Carter分享了应急响应方面的最佳实践，以及如何在突发事件出现之前，及早做出最有效的响应。
世界各地的水务运营商和用户都在加倍投入先进技术，以应对日益严峻的挑战，例如水资源缺乏、用水成本和对气候变化的适应能力。赛莱默认为，加强网络安全保护与扩展这些解决方案要“两手一起抓”。
我们不断调整自身的工作方式，以最大限度地利用数字技术，网络安全自然是重中之重。在赛莱默，我们认为这不单单是一个公司或一个职能部门的责任，更是需要真正的团队合作，公用事业单位、工业和其他企业，以及解决方案和服务提供商与集成商都要参与进来。
最近备受瞩目的网络安全事件让人们意识到必须立即围绕弹性建设战略展开对话，但水务行业还有更多事情要做。
2021年4月，水务部门协调委员会(WSCC)对美国公用事业单位进行了一次调查。结果显示，其中38%的单位分配给信息技术(IT)网络安全的预算不到1%。44%的单位分配给运营技术(OT)安全的预算也不到1%。由此可见，虽然网络安全是头等大事，但很多人并未真正采取行动。我们必须要化被动为主动，积极地去管理风险，重视弹性网络的建设。
制定应急响应计划，刻不容缓
管理网络风险的第一步就是制定计划，列出持续监控并防范网络安全威胁所涉及的利益相关者和主动加强网络安全的措施范围。这些措施包括：举办培训，提高对公用事业单位和流程所面临的威胁的认识，加强网络安全防护；主动监控资产和流程；根据供应商指南及时更新系统；并为日后的恢复工作做好充分准备。
应对网络安全风险，“没有如果，只有早晚”，提前规划是最有效的策略。赛莱默团队正在与客户密切合作，帮助他们在突发事件出现之前，早早地开始规划，同时也会综合考虑各方利益相关者的意见。
我们建议水务运营商在规划时参考以下指导原则：
- 制定一项具有可操作性的计划，确保员工理解并深入参与这项计划。WSCC在调查中发现，51%的公用事业单位认为需要针对水务行业的专业人士展开专门的培训和宣传活动。随着日益互联的集成化解决方案的不断普及，我们需要让团队掌握相关知识，了解潜在风险、降低这些风险的策略，以及每位利益相关者在其中扮演的具体角色。首先要决定由组织里的谁来参与制定计划并持续落实。尽早并经常让他们参与进来，加强团队的凝聚力和协作。
- 不要单打独斗。知道在什么时候向谁寻求帮助。建立应对网络风险的抵御能力需要大家的共同努力。为了更好地支持应急规划和响应，可以考虑借助组织外部的资源。47%的公用事业单位表示需要技术援助、建议、评估或其他方面的支持。要借力整个合作伙伴生态系统，充分运用行业协会、合作伙伴和固定服务提供商的专业知识。
如今，供水和污水OT网络的运营商可以从外部获取应急响应服务，从而减轻公用事业单位在这项工作上的负担。例如，在赛莱默，我们与全球网络安全解决方案提供商Dragos合作，通过外部应急响应服务来保障客户的网络安全。通过这种方式，我们可以为客户提供规划和响应的全面支持，包括制定信息管理策略（以确保日志记录和备份足以满足必要响应的需求）、在出现网络威胁事件时快速响应以收集取证、诊断问题并迅速让OT网络恢复到安全运营环境。
- 加强能力建设，有效降低风险。虽然WSCC调查的公用事业单位中有超过一半（57%）表示他们有应对网络安全的风险管理计划，但每年只有四分之一（23%）会执行网络安全风险评估。建立流程，落实这些防范措施，提高整个组织对网络安全的认识并建立问责制。
以协作的方式，或借助整个生态系统的力量来加强网络安全，这意味着每个参与者都能够管理所专注领域的风险。例如，产品制造商专注于产品安全（如组件加固）和安全部署指导，集成商专注于实施安全部署（如安全网络架构）并提供评估指导，运营商专注于持续的安全维护（如运营弹性）和有效的应急响应。生态系统中的每个参与者都发挥自己的优势，以取得最佳结果并持续改进。
通过主动的、融合各方资源的规划，以及对管理网络风险的持续关注，我们可以及早防范网络威胁。“天时地利人和”——让我们抓住机会，将网络安全作为我们行业转型的一个关键要素。
欲详细了解我们加强产品网络安全的方法或联系我们的安全团队，请访问http://xylem.com/security。
Clay Carter是全球水技术领导者赛莱默的产品安全副总裁。Clay领导着一个全球团队，其中包括业务部门产品安全负责人、安全架构师和工程师，以及一个产品安全事件应急响应团队。他于2019年5月加入赛莱默，在此之前，他就职于通用电气公司，工作范围涉及多个行业，包括医疗保健、可再生能源、航空、发电和运输。除了效力赛莱默外，Clay还在国际自动化协会全球网络安全联盟(ISA Global Cybersecurity Alliance)顾问委员会任职，并且曾是S4、RSA和SecureWorld会议的演讲嘉宾。