GDRP

製造工廠慢慢變成儀測和連網環境，以IIoT為認知製造的核心元件，轉型成網路實體系統(圖1)。由嵌入實體資產中的IIoT 裝置和感應器提供有關這些系統功能的資料。資料經過分析後，企業便能更加瞭解其製造作業，帶來新的商機及營運機會。 圖1　IIoT技術是推動智慧化製造的基石。 電子業力求加強網路安全 製造作業是電子業價值鏈中最昂貴的部分之一。雖然IIoT能提供洞察見解，但是暴露於潛在網路攻擊和多方面損害的風險仍會增加。攻擊者會趁機利用每一端點當作新的未授權入侵點，無論是由網路駭客、競爭對手、從事企業間諜活動的國家/地區，還是心懷不滿的員工所致，一旦受到攻擊，損失就會以迅雷不及掩耳的速度排山倒海而來，風險可能包括設備故障、關鍵資料遺失以及公司聲譽受損，甚至人身傷害或失去性命。 IIoT技術可以大大提高營運效率，但是如果沒有好好保護，還是會暴露潛在的新攻擊面並成為資安目標。每台新機器一連接到其他IIoT裝置就會變成「系統的一份子」。像5G這類技術擴充，提供了攜帶大量資料所需的基礎架構，就有可能增加IIoT技術的使用率。 不過，這也會擴大攻擊面。從高價值資產或服務、雲端中的關鍵工作負載、網路實體系統中的程序控制子系統，再到關鍵業務和營運資料等等，幾乎任何事物都有可能變成攻擊弱點。想想看一家電子製造商使用安全儀表系統(SIS)控制器，從工業設備讀取資料來協助確認機器是否運作正常。若這些系統遭到入侵，有可能會造成實體損壞並中斷作業進行。事實上，2017年12月Triton/Trisis惡意軟體曾被用來對付大型電氣公司Triconex/Tricon安全系統韌體中的零時差漏洞。這導致緊急保護系統出現故障(圖2)，不僅會損失資產，網路本身也會面臨風險。   圖2　對工業控制系統(ICS)的攻擊。 組織所需的功能不僅要保護資產和網路，還要保護整個IIoT生態系統。而在發生資料外洩時快速有效應變的能力也是同樣重要。各行各業都必須設法因應變本加厲的IIoT威脅。 為了能更瞭解IIoT安全風險和影響，IBM商業價值研究院(IBV)與Oxford Economics合作訪問700名高階主管。他們分別代表了18個國家/地區700家的能源和工業公司，其中269家是電子業，這些公司都在工廠實施了IIoT。 即時設備監控和預測性維護就是兩種最普遍的應用，分別占65%和58%(圖3)。機器和程序自動化也是常見的應用，分別有45%和43%的比例在使用IIoT技術來自動化執行機器和工作流程。 圖3　IIoT技術在電子工廠和裝配線中的五大應用。 電子公司意識到網路安全風險，並設法相應地管理其安全支出(圖4)，但是他們卻不甚清楚IIoT網路安全對於保護今後業務免於IIoT威脅所必備的綜合能力(技能、控制、實務和保護等技術)。 圖4　IIoT網路安全風險對照安全支出因素。 公司在迅速採用新技術時，若沒有優先考慮適當的網路安全保護措施，就會讓自己陷入重大風險： 1.暴露機密資料：受訪高層主管將此評為風險最高，68%已強烈意識到敏感或機密資料(例如客戶和員工資料、供應商/合作夥伴智慧財產與合約)暴露，對公司成長影響甚鉅，例如損失收入、投資、率先上市的優勢，以及在競爭對手或仿冒者夾攻下流失業績。 2.企業聲譽受損和喪失大眾信心：根據60%高階主管表示，安全資料外洩對電子公司形象和聲譽造成的打擊，影響甚鉅，包括品牌的信用和信賴喪失，企業和客戶關係也會遭到無法挽回的傷害。 3.蓄意破壞導致生產中斷：45%受訪高層主管表示，此類風險可能會大幅造成實體設備受損，致使工廠從業人員受傷。網路攻擊者可能會入侵公司工業系統並操縱網路基礎架構，這樣一來，入侵就能竄改機器軟體程式或監督控制與資料蒐集系統(SCADA)。 4.智慧財產(IP)遭竊：智慧財產是未來成長的關鍵。像是工程計畫和專屬製造程序等商業機密都是競爭優勢的來源。有40%電子公司認為智慧財產(IP)遭竊可能會對未來成長造成影響，一次小小的入侵就會讓產品設計智慧財產(IP)陷入風險。 5.違反法規要求：「一般資料保護規範(GDPR)」於2018年5月生效，加上治理產品與生產程序的環境法，增加了法規暴露和風險。38%受訪高層主管非常擔心違反規定造成的潛在影響，例如可能導致巨額罰款的違規行為。雖然GDPR會保障個人資料，但也需要注重實際營運政策，例如排放、能源使用、可回收性和資產/廢棄物處置。 從支出角度來看，61%受訪電子業表示，他們主要是為了保護機密資料才會花錢設置IIoT網路安全機制，超過50%受訪者主要也是為了減少安全事件、事故和資料外洩才這麼做。 確保工業聯網安全　早期領導者率先動作 調查發現有一群早期領導者已經採取措施在保護IIoT環境。所謂早期領導者是指各行各業中受訪的公司，包括電子業。受訪的700家公司中有76家屬於早期領導者，其中36家都是電子公司，此一族群係依照以下三項指標評比為表現一流的前25%企業。 雖然早期領導者離真正保護環境還有一段距離，但是他們確實比其他公司更精準地掌握了IIoT部署和連網工業控制系統(ICS)的安全需求。47%受訪者制定了正式的網路安全計畫，以便建立、管理及更新所需的 IIoT 網路安全工具、程序和技能，而其他電子公司僅占13%(圖5)。   圖5　瞭解IIoT網路安全和採用正式的網路安全計畫。 早期領導者在業務和作業流程中整合IIoT網路安全方面也表現出更高的成熟度，有99%不僅僅只是投資該領域(圖6)。有20%的早期領導者已優化了IIoT網路安全功能並看到了效益，其他電子公司則占6%。早期領導者各自使用網路安全解決方案來保護資料和裝置，並使用自動化與認知技術來偵測和回應以下三個領域的安全威脅(圖7)，分別為保護整個IIoT生態系統的資料、在整個生命週期保護裝置，使安全系統保持最新狀態，以及運用自動化與認知智慧增強偵測和回應。 圖6　IIoT網路安全整合成熟度。   圖7　早期領導者各自差異。 在保護整個IIoT生態系統的資料方面，電子供應鏈共享大量機密資料和智慧財產，如果遭到暴露或是遭竊，那麼公司、供應鏈及合作夥伴的未來事業都會陷入風險。值得注意的是，33%的早期領導者與14%的其他電子公司已領先實施特定的網路安全解決方案。 而在整個生命週期保護裝置，使安全系統保持最新狀態方面，未受保護的感應器和裝置會使營運技術(IT-OT)IIoT的網路遭到攻擊，對實體和財務造成不堪設想的後果。37%的早期領導者已領先保護他們的IIoT裝置，其他電子公司則占23%。 至於運用自動化與認知智慧增強偵測和回應，則是因應保護和預防無法解決所有問題，請備好系統以偵測資料外洩並減輕損害。傳統偵測系統可以解決已知的攻擊和威脅傳染媒介與漏洞。而人工智慧(AI)、機器學習和進階行為分析等認知能力，則有助於因應未來可能出現和遭到利用的「未知狀況」。28%的早期領導者已領先實施這些綜合實務，其他電子公司則占19%。 運用九大基本實務降低安全風險 早期領導者應用了風險型和規範型的安全方法，著重於九大特定實務(圖8)。   圖8　早期領導者採用各自不同的安全實務。 保護IIoT生態系統資料 電子公司最大的IIoT相關風險就是機密資料暴露。事實上，電子工業發生的各種IIoT 網路安全事故中，包括疑似、未遂和成功入侵等，資料洩漏排名第一，占總數的26%。以下做法有助於解決類似事件。 1.實施IIoT裝置使用者隱私控制：如果使用資料能鏈結到裝置，就可以推斷出有關公司生產和流程機密的資訊。為了解決這個問題，公司應該實施控管措施，讓使用者指定裝置資料的儲存方式，以及與第三方使用和共享資料的方式。在其他情況下，類似的策略也很重要，例如變更擁有權。 2.實施驗證使用者的IIoT鑑別：有兩倍之多的早期領導者(30%對15%)已領先採用這種做法。鑑別IIoT裝置身分的能力非常重要，特別是經常無人看管的IIoT機器對機器(M2M)情境。 3.定義明確的服務水準合約(SLA)以確保安全和隱私：有三倍之多的早期領導者(28%對10%)以這種方式監控和執行安全要求。為了對抗內部攻擊並防止資訊遭到盜用或外洩，就要實施資料存取控管。清楚掌握誰有權存取機密功能或資料，並密切監控和審核這些授權使用者的行為。 時時更新安全系統　 有23%的受訪者表示，電子IIoT部署中最易受攻擊的部分就是平台，而22%受訪者則表示是裝置和感應器。解決此點主要挑戰的四種做法包括： 1.庫存授權和未授權軟體：務必控管驅動IIoT元件的軟體版本、審查與版本相關的威脅並建立安全基準線。這些措施應該還要加上深入瞭解端點的作用與通訊對象。每個端點都要建檔、加到資產庫存中並進行監控。 2.部署內建診斷功能的IIoT裝置：早期領導者都有實施偵測裝置，能發現因元件故障或篡改企圖而引起的故障。IIoT端點經常要在惡劣的環境中運作，且長時間無人為操作。雖然端點的安全和隱私至關重要，但是卻不常在軟硬體中增設加密安全功能。 3.自動掃描連網裝置：持續評估和補救弱點的做法非常重要，但是主動掃描漏洞對ICS網路通訊不利，還會進一步影響產品和系統可用性。如果自動掃描不適用，也可以改用被動監控工具。 4.部署安全強化的裝置硬體與韌體：更換裝置通常成本高昂，而且新版裝置還可能不適用於提升的安全性。公司應該持續執行協調性修補和更新，雖然所要更新的裝置通常每天整天都在執行，還是要克服這種本質上的挑戰。這對不少製造時缺乏安全性的舊版設備尤其重要。 運用自動化與認知智慧增強偵測和回應 保護和預防無法解決所有問題，即使是安全開發和部署的系統也不能保證絕對受到保護。攻擊者不斷會伺機滲透系統，因此必須採用自動化機制來偵測和補救資料外洩。 據44%受訪高階主管表示，保護電子IIoT部署安全的最大挑戰，就是缺乏高技能的網路安全資源。電子公司可以實施AI驅動的自動化調查程序來減少以人工方式偵測威脅。若要有系統地為自訂警示訂定威脅的優先順序，可以定義機密資料與資產、網路分段和雲端服務。採用AI威脅偵測和補救措施共有兩種做法： 1.應用進階行為分析來偵測資料外洩並做出回應：有兩倍之多的早期領導者都在使用機器學習的行為分析。他們能應用企業級 AI支援的威脅偵測，找出異常的使用者活動，並排定風險的優先順序。早期領導者也已領先採用機器學習，自動執行正常行為的調適性模型、追蹤這種正常行為，並標記可能示意有新威脅的異常活動。 2.實施AI技術即時監控安全並做出回應：若能應用資料驅動技術，從外部和內部來源建立即時饋送的威脅情報，就能更快偵測出威脅並進行補救。 綜上所述，IIoT需要融合IT和OT這種能監控和控制實體環境的系統，但是過程相當複雜，且有一定的風險。不過IIoT技術務必要好好保護，否則其直接的營運和財務效益，可能會以整個生態系統的未來為代價。