截至午盘，今日中证医疗指数上涨3.0%正规股票杠杆平台，中证创新药产业指数上涨2.5%，沪深300医药卫生指数上涨2.5%，中证港股通医药卫生综合指数上涨0.4%。

截至午盘，今日上证科创板50成份指数下跌0.4%，科创100指数下跌0.5%，上证科创板成长指数下跌0.8%。

　　在当今高度数字化与自动化的工业环境中，工业控制系统作为关键基础设施的核心，驱动着从能源生产到制造业等众多领域的运转。OT（Operational Technology，运营技术）一般被定义为用于控制工业过程和基础设施的硬件和软件，传统上，工业控制系统和OT资产在设计时通常与企业网络和互联网保持隔离。然而，随着智能制造和工业4.0的发展，这些系统逐渐连接至更广泛的网络环境，随着IT与OT融合的加速，OT系统正面临前所未有的安全挑战。

　　使用OT系统的工业多为资产密集型行业，这些行业包括能源、公共事业、制造业、医疗保健、交通运输与物流等。因其不仅关乎犯罪分子在攻击后所能获取的利益回报，更与企业运营的稳定性、公共安全的保障程度以及国家安全的整体局势息息相关，OT系统已成为网络攻击的关键目标。因此，深入研究和理解工控安全已成为保障工业可持续发展的关键所在。本文就国内外工控安全态势，工控安全痛点及解决方案展开讨论。

　　工业控制安全事件概览（攻击视角）

　　近年来，全球制造、物流及工业领域频繁遭遇网络攻击。随着网络威胁的不断升级，OT网络安全事件给企业带来了严重的财产损失和声誉损害。在这些攻击行径中，勒索软件已成为最常见的攻击手段之一，尤其是在通过IT系统横向蔓延至OT环境时，给OT环境的业务连续性和数据的可用性带来了极大的挑战。一些对老旧系统/设备高度依赖的企业，在现代网络安全防护体系尚无法完全覆盖这些老旧设施的困境下，俨然成为勒索软件团伙和黑客组织的重点攻击目标。

　　勒索软件攻击 - 按行业分布

　　此外，许多跨国企业依赖全球复杂的供应链，攻击者往往通过供应链漏洞渗透至企业内部系统，以此绕过企业设置的防护措施。

　　随着IIoT（工业物联网）、云计算、智能工厂等新技术的驱动下，OT的网络攻击路径进一步增加，尽管“物理隔离”被广泛用于OT网络的安全防护，但实践证明这是日益增长的企业智能化、自动化的需求与“物理隔离”的安全控制措施之间的矛盾。随着企业工业智能化、自动化程度的发展，面临威胁的攻击面也随之增大。

　　国内工业控制安全法规概览

　　工控安全事关经济发展、社会稳定和国家安全，国内监管机构对此高度重视。工信部早在2016年发布了《工业控制系统网络安全防护指南》，要求工业企业依据指南开展自我风险评估与风险管理。指南不仅为工业企业提供了安全防护的具体依据，同时也成为工信部或其他监管单位不定期对相关企业进行现场检查的重要参考标准。

　　《工业控制系统网络安全防护指南》作为工信部发布的重要规范文件，旨在为工业企业提供全面的网络安全指导。指南明确了工控系统的安全框架，包括风险评估、安全策略制定、技术防护措施和安全运营要求，并细化了工业控制网络的分区隔离、访问控制、监控审计等具体技术规范。2024年，工信部对该指南进行了修订，新增了上云安全和数据安全的相关要求，并从安全管理、技术防护、安全运营三个角度进一步界定了工控安全的防护标准。

　　另外，工信部在2024年11月发布了《工业和信息化领域数据安全事件应急预案（试行）》，提出了工业企业应对数据安全事件的能力建设，提供了事件分级、分类和处置的详细指引。指南特别强调应急响应的及时性和高效性，要求企业建立实践报告机制和应急预案，并定期开展实战演练，以提升对突发安全事件的响应能力。同时，明确企业需要与监管机构紧密协作，确保重大事件能够迅速、有效的处理，减少事件造成的影响和损失。

　　当前工业控制安全面临的严峻挑战

　　针对当前行业中观察到企业和市场面临的OT安全挑战，下文列举了部分以供参考。

　　老旧系统与安全更新缺失

　　当前，众多正在运行的OT系统已经设计有数十年，其设计与安装时期处于网络威胁尚未大规模涌现的阶段。这类系统普遍缺失必要的安全功能，并且在更新补丁时面临缺少厂商提供的安全补丁或OT系统和承载的操作系统安全补丁或安全操作版本不兼容的问题。这类问题普遍适用于OT生产相关的SCADA、MES等系统以及PLC、RTU等硬件设备中。

　　缺乏有效的资产管理

　　由于OT资产的种类繁多、结构复杂，且常分布在多个地理位置，导致许多企业未能建立完整的资产清单，无法实时且全面地掌握OT资产的分布、运行状态和安全状况。这样的信息盲区将导致企业难以全面且准确的评估OT资产风险，也无法及时发现并修复漏洞。例如，一些企业的关键设备已经运行多年，但未被纳入监控范围，成为潜在的安全隐患。此外，随着IoT设备和工业5G的普及，此类OT资产的动态变化性进一步增加了可视化管理的难度，使得风险暴露面不断扩大。

　　互联性与复杂性

　　随着OT与IT网络之间的互联态势以及新兴工业云，IoT设备，工业5G的运用催生出愈加复杂的网络结构，在这种态势下任意一方的安全失陷都可能影响到另一方。例如，IT系统中的某一漏洞可能被攻击者利用，并以此为跳板获取OT系统的访问权限。同样，暴露在外的OT系统中的安全薄弱环节亦可能成为攻击者侵入IT系统的切入点。随着远程运维，工业云，工业5G等解决方案的运用，OT资产通过各种不同的通信方式与本地互联或被外部访问，这样复杂的互联网通信和访问加大了OT环境的暴露面和潜在攻击的影响范围。

　　内部威胁

　　内部威胁始终是OT安全领域中不容忽视的重大风险源。在生产环境内，终端的USB权限无法被有效管制是常见现象，潜在原因包括管理服务端不能触达、终端由设备供应商提供因而缺乏配置权限等多种因素。这样的现状会造成带有恶意文件的可移动存储设备可直接接入终端，或终端的数据防泄漏措施无法进行。同时，由于OT环境内缺乏日志监控分析手段而只能依赖日志审计甚至缺乏相关日志审计，加之内部人员天然拥有系统合法访问权，部分异常行为往往很难被第一时间发现。

　　OT安全专业人才短缺

　　OT安全工作要求从业者熟练掌握工业控制系统架构、工控协议并理解工业信息安全防护策略与应对措施。由于IT安全和工业信息安全的知识维度和所需技能不尽相同，很多企业现有的IT安全人员不能完全满足其工业信息安全的需求。这种人才短缺的困境导致这些企业在事前无法及时、有效的评估OT安全风险，在面对OT安全事件时，无法及时、有效地做出响应与处置。

　　工业控制环境的安全实践

　　OT安全作为工业运营的关键保障，需要结合多个方面的安全机制与控制措施。以下从管理和技术两个维度列举一些OT安全治理的实践以供参考。

　　管理维度

　　企业组织架构和政策框架层面，企业建议明确工控安全责任人或组织，以确保OT安全相关法规与企业内部政策要求得以落地实施。此外，由于IT安全政策不能满足OT安全的管理需求，建议企业制定符合当前企业业务和未来发展计划的OT安全政策框架。

　　人员配置和教育层面，建议配置专职的OT安全人员以支持日常的OT安全运营工作，并促进OT安全组织与IT安全组织间的交流协作。此外，建议对OT安全负有责任的员工根据其不同的责任与职责，定期进行OT安全的培训。

　　技术维度

　　网络架构层面，建议企业基于深度防御的理念，参照行业认可的工控网络架构（如普渡模型）来设计或改进企业的工控网络架构，对不同层级和功能的网络进行分区并对网络内关键区域或资产进行额外保护。同时，限制外部对OT网络环境的访问，反之同理。当应对复杂的网络环境和工控通信时，可考虑使用工业防火墙网闸、工控零信任等解决方案。

　　工业控制系统网络架构普渡模型（Purdue Model）

　　访问控制层面，建议基于角色的访问控制则根据员工岗位和职责，精确分配其可操作的资源权限，防止权限滥用和越权访问，例如操作员仅能操作特定生产环节相关的控制系统，而无法其他系统或设备的访问权限。

　　灾备与应急响应层面，建议对生产涉及的工业控制系统，PLC程序，工作站软件，工业数据等进行周期备份与重大变更后的备份。并定期对备份文件进行有效性检查以及定期进行恢复测试。同时，建议对OT安全各个场景预设应急响应预案，并定期进行培训、演练以确保员工对于应急响应预案的熟悉度和应对措施的有效性。

　　普华永道OT安全服务案例

　　普华永道为制造，汽车，医药，能源等行业客户提供了多年的工业控制安全咨询服务，下面以一医药行业制药厂为例，帮助他们加强工业控制系统安全以巩固生产安全，保障企业效益。基于前期与相关人员沟通，该工厂有以下具体需求：

　　需检查生产环境中是否存在OT安全风险点

　　需检测OT环境中是否存在脆弱设备

　　需检测OT环境中是否存在高危连接

　　需识别工厂内物理安全相关OT风险

　　为了解决这些问题，普华永道团队采用了OT网络流量分析检测的技术手段，对该工厂网络和工厂物理环境进行了全面检查。通过梳理生产业务流程和深度分析OT网络连接，成功识别出该工厂OT安全相关的高风险情形并提供了优化建议。

　　在技术实施过程中，团队通过配置网络传感器，连接网络交换机的SPAN（Switched Port Analyzer）端口，被动捕获生产环境中的网络流量。这种方法，可以实时捕获网络流量，并且数据包是单方向传播，不会对生产环境的设备或网络产生任何干扰。其具体优势在于：

　　安全性：镜像的流量为只读状态，检测设备无法直接修改网络流量，可确保客户生产环境的完整性和安全性。

　　零干扰：SPAN端口只复制流量，不改变原有的网络架构，因此不会影响设备的正常运行或数据的传输。

　　全面性：通过配置SPAN端口可实现捕获整个OT网络环境中的流量，为后续分析提供全面、真实的数据支持。

　　在项目过程中，普华永道团队采用工控安全检测工具与人工分析相结合的方式，成功帮助该公司识别了未统计的OT资产、工控设备高危漏洞、高风险工控协议以及不合理的网络划分等问题。业界主流的工控安全检测工具包括Claroty, Nozomi, Microsoft Defender for IoT, Tenable OT Security等，他们大多提供类似的检测功能帮助企业识别OT环境里的网络威胁和风险。

　　资产识别与发现

　　借助工控安全检测工具对OT网络流量分析与扫描，实现工厂内OT设备的发现和映射，建立全面的资产清单。这一过程实现了设备的识别和分类，为该公司梳理了清晰的OT资产分布情况，提升了资产可见性和风险管理能力。此外，普华永道团队根据该公司当前OT资产分布情况提出了对应的优化建议。

　　示例图源：微软

　　异常行为检查

　　根据网络传感器收集到的网络流量，工控安全检测工具能自动识别其是否有安全威胁和漏洞，并产生告警。另外检测工具也能对PCAP（Packet Capture）流量包进行深入分析，识别并验证了包括设备漏洞、高危连接、脆弱协议使用以及异常网络流量等异常行为，确认了可能对生产安全造成威胁的网络风险。

　　网络划分与风险评估

　　使用工控安全检测工具对该公司网络现状进行深度评估，发现了不合理的网段划分以及OT设备允许远程访问等潜在问题。利用工具及人工梳理了防火墙访问控制策略并结合该公司的业务需求与整改难点，提出了切实可行的网络划分优化方案。

　　示例图源：微软

　　无线网络扫描

　　利用无线分析工具对工厂包括生产车间、仓库、办公室在内的区域进行无线网络扫描，识别了所有通过802.11x广播的无线网络，分析安全设置及加密强度，并通过与相关责任人沟通识别潜在的脆弱无线网络连接。

　　本项目实现了对该公司OT环境的全面诊断，帮助其评估了在OT资产管理、风险识别和异常行为响应等多方面的潜在风险，为其未来的安全运营提供了重要参考。

　　普华永道OT安全服务

　　普华永道致力于为客户提供专业的OT安全解决方案，确保关键基础设施的安全和稳定运行。我们的IoT/OT安全框架满足业界相关的最佳实践（NIST SP800-82，ISA/IEC 62443 等），同时结合我们安全团队在工控安全领域的多年经验积累，帮忙不少企业在制造，汽车，医药，能源等行业，改进其OT环境的安全性与防护能力。

　　策略与治理服务

　　定义OT网络风险治理策略，梳理OT环境的整体安全目标。制定适用于企业的安全治理框架，并定制OT网络威胁监测和应对措施，提升企业具备识别和应对网络攻击事件的能力。

　　资产现状梳理

　　协助企业梳理OT资产现状并评估OT资产的运行状态，建立全面的资产台账以确保企业对其OT资产管理的完整性。

　　全面分析企业OT资产与网络连接现状，包括访问权限、通信方式及潜在漏洞等，深入评估OT资产与网络连接的潜在风险并划分风险等级，提高企业对OT资产的安全管控能力。

　　OT安全技术与成熟度评估

　　评估OT安全网络架构，检查网络分区、访问控制和物理安全等方面存在的潜在风险并深入分析潜在风险来源与传播路径。

　　根据评估结果为企业提供定制化的OT网络架构优化方案，包括网络分区设计、访问控制机制等。

　　产品技术评审与测试服务

　　开展渗透测试和产品安全评估，识别设备、系统和网络中的潜在漏洞。

　　提供配置审查，验证设备和系统是否符合安全标准，并提出改进建议。

　　检查与响应服务

　　提供持续的网络威胁监测与响应服务，帮助企业及时发现并处置异常行为。

　　开展漏洞扫描、数据包分析及溯源服务，支持企业快速定位安全事件的根因并采取修复措施。

　　开展模拟攻击与防御演练正规股票杠杆平台，帮助企业提升应急响应能力并优化安全运营流程。

• 正规股票杠杆平台