OT损失以秒计算，谁来保证IT、OT融合安全？

随着工业互联网和产业数字化的推进，工业企业的IT系统与OT系统在加速融合。2022工业互联网安全发展峰会上，Fortinet中国区技术总监张略告诉记者，在安全策略方面，传统的OT企业目前还存在知识鸿沟，第三方企业正在入场。随着企业OT安全意识的上升，未来市场定会是一个“百舸争流”的局面。

OT安全重要性凸显

Nozomi亚洲业务总监杨锐告诉记者，和IT安全不同，OT安全事故造成产线停摆带来的损失是以秒计算的。工业进入互联网时代，这意味着OT设备逐步“上网”，企业内部工业、管理网络开始与互联网打通，大量网络安全威胁将开始从外网向工业内网延伸，网络攻击直逼生产一线。2021年全球最大肉类加工企业JBS遭到网络攻击，攻击直接影响到全美近四分之一的肉类供应。

在分享自己2019年处理的一则汽车行业OT安全事件时，Fortinet资深安全工程师庄喆皓表示，OT攻击的过程可以分为三个阶段：事前、事中和事后。纵观整个攻击事件，如果将生产线停摆的时间计算在内的话，OT攻击的时间跨度短则一周，长则数月。

自2017年国务院发布《关于深化“互联网+先进制造业”发展工业互联网的指导意见》以来，工业互联网发展不断提速。根据工信部披露的2022上半年数据显示，重点平台的工业设备连接数超过7900万台(套)。另据中国信通院统计数据显示，2021年我国工业互联网产业规模突破万亿元。

IT和OT融合背景下，企业如何从IT安全的逻辑出发解决OT安全问题的重要性凸显。施耐德电气工业自动化与信息安全业务负责人裴渊斗表示，OT安全和IT安全应该采用同样的方法论，从流程、政策、技术几个方面一起入手建立信息安全防护的体系。张略表示，IT和OT之间在可用性、实时性、组件生命周期、补丁更新频率、安全测试承受力以及用户安全意识方面都存在差异。而这些决定了OT安全策略可以从IT安全策略出发，但绝不能完全照搬。

杨锐也看到了两者之间的差异。总体来看，OT安全相较IT安全而言面临着的更高风险。从安全设备的数量来看，IT行业的设备等级是百万级，而OT行业的设备数量级将会是百亿级。设备基数的增加意味着受到攻击风险的提升。“另一方面由于工业生产线的损失是以秒为计算单位的，相比攻击IT，黑客攻击OT设备获得的利润更高”。

随着近年OT攻击事件频发，企业的安全意识开始上升。根据IDC公布的数据，截至2022年，有超过76.9%的企业认为安全政策对于企业使用工业信息安全产品会带来正向影响。但是张略告诉记者，目前我国企业在OT安全方面的意识和国际上一些成熟企业相比还有一定差距。据了解，目前国际上较为成熟的企业在OT安全投入的资金占总产线价值的比例约为5%，而国内企业的数据为1.5%-3%。

第三方“玩家”加入市场

过往，设备的OT安全通常由传统OT设备企业全权负责，不过随着时间的发展，近年来一批类似Fortinet的企业以第三方的身份加入到行业中。对此，张略告诉记者，在安全策略方面，目前传统的OT企业还存在知识鸿沟。“很多企业懂工业但是不懂IT，然而现在大多数的OT攻击都来源于IT网络。在这一点上我觉得擅长IT的第三方企业应该赋能给传统生态。”

作为OT设备企业，杨锐表示，第三方的加入是行业的必然方向。“和IT安全发展历程一样，20年前的IT安全生态是由IT设备企业驱动的，但是如今看来，IT安全行业的垂直细分领域已经很多了，其中有很大一部分是第三方在负责运营。”

数据显示，2021年，在全球OT安全领导厂商中，Cisco（思科）以市场份额18.3%占据第一，Fortinet（飞塔）、Palo Alto Networks（派拓网络）分别以9.5%和7.7%位列第二第三，而老牌OT设备企业Siemens（西门子）仅以6.8%的市场份额位列第四。

另外，据IDC的数据显示，2021年中国工业信息安全市场规模为4.29亿美元，预计到2025年，市场规模将达到13.95亿美元。

杨锐告诉记者，正因未来OT行业的设备数量级将以“百亿”作为量级，所以OT安全所涉及的领域和市场要远比IT安全行业多。在这样的背景下，没有一家服务商能够把所有问题全部解决，全方位合作才是大趋势。“OT设备商需要思考旧的基建该如何接入客户已经组建的网络，新的基建该如何提前布局，在这一过程中，我认为这是一个百舸争流的时代，企业各有各的长处，而最重要的是要帮助客户解决安全风险。”张略说。