6月26日，世界四大会计事务所之一的德勤发布了针对石油和天然气行业网络安全的调查报告—《保护联网能源储备—上游石油与天然气行业网络安全问题》，其中深度揭秘了石油与天然气行业面临的网络安全威胁以及应对重点。
还等什么，跟着绿盟去一探究竟吧！
网络威胁险象环生
石油天然气行业虽然规模庞大，网络安全成熟度却相对较低，企业针对安全问题的战略投资也很有限。可能在传统的目光看来，这个行业不太像网络攻击的靶子。但是随着网络攻击的演进，攻击方式愈发高级，攻击愈发高频，攻击者的目标从原来的个人过渡到企业，攻击的目的也由原来单纯的炫技变为如今的盈利。再加上如今物联网的飞速发展，摆在石油天然气等能源企业面前的网络风险是与日俱增。
在过去的一年中，美国接近四分之三的石油与天然气企业曾遭受过至少一次的网络攻击，这一数据使得能源行业成为工业领域中第二易受攻击的目标。越来越对的网络攻击瞄准了石油与天然气行业中的工业控制系统，对员工安全、企业名誉、运营维护以及环境等一系列因素造成了严重的威胁。攻击手段层出不穷，包括且不限于：用间谍软件窃取投标数据，用恶意软件扰乱生产控制系统，或者用拒绝服务（DoS）阻断控制系统中的信息流动。更别说攻击者发动对这个行业的联合攻击了。例如2014年欧洲，网络攻击者就利用钓鱼战术和先进的特洛伊木马程序发动了针对50个石油和天然气企业的联合攻击。
从企业IT架构剖析网络安全风险点
下图是石油天然气企业典型IT/OT架构图
从图中，我们可以总结出架构中的网络安全风险点如下：
物联网（IoT）的价值与挑战
石油与天然气行业拥有着由众多向量所共同构成的庞大网络攻击面。单一企业所存储的敏感数据量即可达到PB级别，其需要利用数十万块处理器对石油与天然气开采环境进行模拟，同时将分析结果与世界各地成千上万家负责生产及维护钻井控制系统的供应商及合作伙伴进行共享。在这样的背景之下，一次攻击活动即可能造成数百万美元损失，并导致环境甚至人类生命面临严重风险。
利用物联网的能力可以对数据进行创建、沟通、聚合、分析以及行动（见下图）。这些阶段通过传感器、无线网络以及分析和自动化工具层层推进。同时，在这么一个复杂的生态系统中，每个阶段又极有可能导致安全隐患。
下图表示了上游石油与天然气产业的物联网和网络成熟度：
何处着手：分析安全漏洞以优化网络安全投资
石油与天然气上游产业中安全漏洞的优先级排序由如下因素决定：
- 攻击面（供应商的数量、用户数量、接口数量、工业控制系统的数量和种类……）
- 数据的模式和流程（物理的、数字的、单向的、双向的、多向的……）
- 现有的安全形势以及控制手段
遭受网络攻击后产生的影响的大小则和下列因素产生的直接和间接成本有关：
- 健康
- 环境
- 安全事件
- 业务中断
- 合规问题
- 名誉损害
- 知识产权盗窃
根据以上维度的测算，我们对石油和天然气上游产业的三个不同阶段（勘探，开发和生产）进行了细致分析，得到了下图：
从图中可以发现，生产阶段是网络威胁最严重的阶段，主要是由于遗留资产过多，这些资产多不具备安全措施，且经过了多年的修补和翻新。
对报告具体内容感兴趣的小伙伴可以戳下面的链接下载，仔细研读。
DUP_Protecting-the-connected-barrels
报告分析到这，可以看出能源行业面临的网络安全问题已经迫在眉睫、刻不容缓了。企业该如何应对呢？
声 明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于绿盟科技
北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。
如果您需要了解更多内容，可以
加入QQ群：570982169
直接询问：010-68438880