运营技术原则三：识别并分类资产，以支持基于风险的明智决策

原则三：识别并分类资产，以支持基于风险的明智决策。

您的组织应该了解OT系统中每个组件的作用。这对于在您的环境中创建适当且相称的安全控制至关重要。 

对于每项资产，您应该能够定义三个因素：关键性、风险敞口和可用性。

临界性

关键性描述了资产运行对更广泛的运营技术系统的重要性，具体体现在其对以下方面的影响：

• 商业上，故障会导致流程停止还是产量降低？
• 安全问题：故障是否会对人员、设备和/或环境造成伤害或损害？
• 安全性：故障是否会导致系统面临不可接受的风险水平？ 

要全面了解某项资产的关键性，应将其置于整个系统的背景下进行考察。这需要将资产的关键性与有关系统整体连接性的信息结合起来。 

接触

暴露度是指组织内部联网设备的可发现性和可访问性，这可能使其容易受到潜在威胁。这应考虑纵深防御控制措施能为组织安全带来的提升。暴露度应考虑以下几个因素：

• 暴露时间（例如，是全天候 24 小时可访问，还是仅在需要时可访问？）
• 所使用的连接类型（例如，直接连接到公共互联网本质上比专用光纤链路更容易受到攻击）
• 通信流程（例如，系统是否接受入站连接？） 
• 靠近外部网络，例如互联网或远程接入点
• 物理可及性（是否存在未经授权的物理交互机会，例如插入设备或靠近系统） 

可用性

可用性是指授权用户能够及时、可靠地访问数据和信息服务。运营技术可用性应包括：如果某个特定资产不可用，将会损失哪些业务或运营功能。 

对于高度关键的系统，通常会部署高可用性架构，内置冗余机制和自动故障转移系统。这种更广泛的系统可用性可能会降低某些单个资产的可用性要求，从而使其更易于更新和维护。 

需要记录的可用性信息可能包括但不限于：

• 已知停机时间的时间表，例如重复的计划维护窗口
• 高可用性部署，包括其架构以及配对的高可用性设备或服务和/或自动故障转移系统的识别。 
• 系统资产支持滚动部署的能力，即能够在零停机时间内完成更新。

关键性、暴露度和可用性因素应作为最终记录的一部分进行记录，以便您的组织在考虑新的或修订的安全控制措施时能够做出有效的基于风险的决策。例如，考虑运营技术 (OT) 环境中的三种常见资产：安全控制器、防火墙和区域监控与数据采集 (SCADA) 平台。

1. 安全控制器对系统安全至关重要，因此通常设计成与其他资产的网络连接最少。它还需要具备高可用性，以确保流程在运行期间得到保护。 
2. 相比之下，用于外部连接的防火墙位于网络边缘，提供安全远程访问等重要功能。虽然这很有用，但对日常运营而言并非至关重要；然而，它也更容易受到潜在威胁。如果外部数据流对流程至关重要，则通常会将其部署为高可用性防火墙。 
3. 部署在虚拟化平台上的区域性SCADA平台需要与所有OT系统连接，这对业务至关重要。与大多数OT资产相比，它也可能更容易受到外部服务的影响，并可能将数据导出到业务系统。在这种关键情况下，它很可能以高可用性对的形式部署。 

在这种情况下，考虑到防火墙更容易受到威胁，即使它对OT系统的重要性较低，您也可能会优先考虑对其进行更新或维护。由于防火墙位于高可用性系统中，您可以一次更新一个资产，从而避免对运营造成任何影响。出于类似的原因，您可以定期维护SCADA平台，并在维护过程中切换到热备用系统。 

贵组织应采用全面的风险管理框架来指导这些决策，例如英国国家网络安全中心 (NCSC) 的风险管理框架（该框架符合ISO 27001等国际标准，并包含威胁建模和攻击树等关键技术）。请注意，IEC 62443-3-2针对工业自动化和控制系统提供了一些额外的建议。  

概括

您应该对每项资产进行系统评估，并根据其关键性（业务、安全、安保）、在 OT 系统架构中的暴露程度以及任何可用性限制进行分类。记录在案的各项因素应以最终记录的形式呈现，用于支持基于风险的决策，从而为安全控制、维护和更新等决策提供依据。