构建制造业的网络弹性文化（英）

在制造业中建立网络弹性文化 WHITEPAPERMAY20 图片：中途，盖蒂图片社 Contents 1在制造业中优先考虑网络弹性4 1.1 1.2 1.3 2迈向网络弹性制造业：10 发现挑战 2.1 2.2 2.3对停机时间和延长的操作敏感性12 生态系统依赖关系 2.4 2.5 3指导原则15 3.1 3.2 3.3 免责声明本文档由 世界经济论坛是对项目，见解领域或互动的贡献 。此处表达的发现，解释和结论是世界经济论坛促进和认可的合作过程的结果，但其结果不一定代表世界经济论坛的观点，也不是其成员、合作伙伴或其他利益攸关方的整体观点。 ©2024世界经济论坛。保留所有权利。本出版物的任何部分不得以任何形式或任何方式复制或传播，包括影印和记录，或通过任何信息存储和检索系统。 五月2024 在制造业中建立网络弹性文化 执行摘要 制造业在一个复杂的生态系统中运作，其特征是各种站点 ，广泛的供应链和相互连接的网络。这个生态系统依赖于众多的供应商，供应商和合作伙伴。 在过去的十年中，制造业经历了快速的数字化转型，这促进了增长，效率和盈利能力。这种趋势还使该行业面临广泛的网络威胁，使其成为网络攻击的最目标-在过去三年中， 制造业占所有网络事件的四分之一。 在达沃斯世界经济论坛2023年年会上，商界领袖强调theneedtoaddresssecurityrisksformanufacturingattheecosystemlevel,thuskick-startedtheCyberResilenceinManufacturinginitiative.LeedbytheCentreforCybersecurityandtheCentreforAdvancedManufacturingandSupplyChinsattheForum,thisinitiativehas 汇集了来自整个制造生态系统的30多名代表。目的是就如何发展网络弹性文化制定可行的指导。 通过与行业领导者以及标准制定和监管机构进行广泛的研究和磋商， 制造业计划强调了在制造业生态系统中发展网络弹性文化的五个主要挑战。 针对这些问题，该计划还制定了三项指导原则，以支持制造业和供应链领导者建立普遍的战略，在其组织中发展网络弹性文化： 1.将网络弹性作为业务优先事项：将网络弹性嵌入到组织的DNA或基础结构中，从领导层到车间。 2.通过设计提高网络弹性：将网络安全集成到人员、流程和资产中。 3.参与和管理生态系统：通过确定关键利益相关者，建立可信赖的合作伙伴关系，管理第三方风险并提高安全意识。 这三个原则是相互关联和相互支持的，适用于任何制造业和地区。每个原则都有额外的指导，与关键考虑因素进行了定义 ，并与现实世界的制造用例进行了补充，以促进采用和有效实施。 本文提出的剧本是一个务实的框架，使企业能够应对战略 、组织、运营、技术和监管挑战，并将培养一种强大的网络弹性文化， 有效地对抗当前和未来的威胁。 1 在制造业中优先考虑网络弹性 制造业是网络攻击最主要的行业之一，中断对全球经济产生严重影响。 1.1为什么网络弹性对制造业至关重要 制造业是一个全球性和多样化的部门，对社会和全球经济至关重要。它涵盖各种行业，如消费品，电子，汽车，能源，医疗保健，食品和饮料，重工业以及石油和天然气。 在过去的十年中，该行业的数字化转型加速，不断投资于创新和新兴技术，如数字孪生，机器人，生成人工智能 （GenAI），云计算和工业物联网（IIoT）。1虽然这种渐进的数字化促进了增长、效率和盈利能力，但它也将工业和运营技术(OT)与数字世界联系起来，使该行业面临网络威胁。 从传统的空气间隙系统到hyperconnectedenvironments 此外，低收入和高收入组织之间的投资差异加剧了这些挑战。2与整个供应链（包括通常技术含量较低的中小型企业）的数据交换的增加增加了这种风险。 制造业生态系统中连通性和数据透明度的激增扩大了该行业的曝光率，使其连续三年成为网络攻击最具针对性的行业，占 25.7％，3勒索软件占这些攻击的71%。4鉴于现代供应链的复杂性，中断 沿着制造过程可以有系统范围的级联效应，超出任何单一实体的控制。 制造和供应链的固有复杂性要求采取整体方法来减轻网络风险。在组织的DNA中嵌入网络弹性文化至关重要。 Figure1 制造业生态系统 上游供应商 入站运输 ect s 制造商 出站运输 下游消费者 在制造业中建立网络弹性文化5 唯一来源的第3 层 s 第三方物流 s 单源 tier2u 合同制造 供应商 服务提供商 出站运输 下游消费者 来源：改编自Gartner。 在制造业中建立网络弹性文化6 信息安全数据和系统的防病毒保护 网络安全能够保护或防御网络空间的使用免受网络攻击 制造业的网络弹性... ……是预测、防范、抵御任何影响制造运营的网络相关事件并从中恢复的能力。 Figure2 制造业中网络威胁的增加需要网络弹性的发展 1999 地球是连接的通过互联网 2010s 云计算 2020s 物联网，智能和自治系统，人工智能,大数据 未来 人工智能和超越... 数字连接 数字自动化和人工智能 2000年代 移动灵活性 2015s 网络攻击的增加 2020s 工业4.0 网络攻击的增长 网络复原时间表 来源：西门子和世界经济论坛 1.2 制造业的主要网络风险 网络攻击不仅会破坏企业和供应链，抵消 数字化，但也会导致财务，生产力，声誉甚至物理损害。实际上，2022年OT的网络攻击中有近57％造成了现实世界的物理后果，包括生产和装载中断，火灾损坏设备以及使车间工人面临风险的事故。5 网络攻击的数量逐年激增，基于勒索的攻击仍然是突出的类型。62023年，勒索软件支付达到了前所未有的11亿美元。7仅在2023年，针对工业基础设施的勒索软件攻击数量就翻了一番。 对供应链和制造运营构成重大威胁。 勒索软件仍然是制造商最关心的问题，40%的制造业网络弹性调查受访者8排名第一。根据最近的研究，对工业组织的勒索软件攻击增加了近50% 2023年，71%的攻击针对制造商。9 制造组织对勒索软件攻击提出了一个有吸引力的目标，因为他们对停机时间的容忍度低，而且他们的相对较低 与其他部门相比，网络成熟度的水平。此外，这些行业经常在网络弹性方面投资不足，主要是由于与重新设计生产线和升级设备相关的大量成本。10 在制造组织面临的重大风险中，社会工程和网络钓鱼被列为总体上第二大最突出的网络威胁，34%的调查受访者确定了这两个风险。紧随其后的是，供应链攻击确保了第三个位置。内部威胁和拒绝服务攻击在整体网络威胁层次结构中排名较低。 然而，来自健康和医疗保健行业的受访者将内部威胁列为第二大最受关注的网络威胁，与勒索软件一起，供应链攻击位居榜首。同样，来自食品和饮料行业的参与者也强调了内部威胁是首要问题，其次是社会工程和勒索软件。 为了获得数字化的好处，制造业必须做好准备，应对日益增长的威胁，并具备网络弹性。 在制造业中建立网络弹性文化7 Figure3 制造业面临的五大网络风险 1勒索软件 一种攻击，威胁行为者控制目标的资产，对其进行加密并索要赎金以换取资产的可用性。攻击者可能会破坏知识产权（IP）信息，访问受害者的数据并阻止属于制造商或其关键第三方的关键系统，从而破坏日常业务活动。 2社会工程攻击 通过从人为错误或行为中受益来利用人们访问信息或服务。它利用操纵来欺骗受害者泄露敏感信息。常见的方法包括网络钓鱼、鱼叉式网络钓鱼和其他策略，如诱饵和恐吓软件。 3供应链攻击 关注组织与供应商之间的互动和联系。攻击者利用服务提供商的漏洞来访问或破坏制造组织。攻击技术包括:恶意软件感染、社会工程、暴力攻击、利用软件漏洞或配置漏洞、物理攻击和伪造。 4内部威胁攻击 利用内部人员对组织的授权访问或了解来损害该组织。这种损害可能包括恶意、自满或无意的行为，这些行为会对组织、其数据、人员或设施的完整性、保密性和可用性产生负面影响。 5拒绝服务(DoS)或分布式拒绝服务(DDoS) 通过向目标主机或网络注入流量，直到目标无法响应或只是崩溃为止，可以防止合法用户访问。这可以防止合法用户访问信息系统，设备 ，内部人员或其他网络资源。 在制造业中建立网络弹性文化8 资料来源：制造业网络弹性调查；ENISA威胁格局2023年；11NIST12 1.3 网络攻击的全球影响 由于生产设施遍布全球，每个相互连接的实体都充当生产者和消费者，从而创建了一个容易受到网络威胁影响的复杂网络。因此，对一家公司的网络攻击可能会在整个 整个生态系统，导致代价高昂的后果。13 由此产生的风险具有系统性、传染性，往往超出任何单一实体的理解或控制范围。根据《2024年全球网络安全展望》，54%的组织对其供应链的脆弱性缺乏足够的可见性。此外，41%遭受网络攻击的组织报告称，攻击源于第三方。14 最近的网络事件进一步凸显了此类攻击的巨大财务和运营损失。例如，2024年2月，一家德国电池制造商经历了一次重大的网络攻击，导致五家工厂的生产中断了两个多星期 。152023年，勒索软件 对一家大型半导体行业供应商的攻击导致下个季度估计成本为2.5亿美元。16同样，在2022年，一家著名的汽车制造商被迫暂停14家工厂的生产一天，由于对零部件供应商的网络攻击，估计导致13,000辆汽车的产量损失。17 TheCyberResilenceinManufacturingsurvey(pleaseseetheMethodology)identifiedbusinessdisruptionastheprimaryimpactofnetworkincidents,with60%ofrespondentshighingitssignificants.ThesefindingsallywiththeGlobal 《网络安全展望2024》显示，45%的领导者表示，在网络事件中 ，运营中断是他们最担心的问题。安全问题排在第二位，占35%的受访者，其次是对客户资产的潜在损害。 这些见解强调了网络攻击在 制造业以及迫切需要强有力的网络安全措施来维护其完整性。 Figure4 全球网络攻击的影响 网络犯罪的成本平均每年增加125%，在工业环境中，成功的网络攻击的影响达到473万美元，如果这种增长继续下去 ，预计到2025年全球影响将达到10.5万亿美元 125% 全球网络攻击成本的年度增长 104105 135 124120 $1!039 $473million 数据泄露的平均成本预计到 2025年可能达到10.5万亿美元 35 $122.5 41 $156 67 $268 $374 $410 $527$521$528 12-15% 网络攻击与商业伙伴有关和软件供应链 20152016201720182019 2021 2022 202320242025 济论坛分析。 全球每 2020 重要的数量网络攻击年重大网络攻击的平均成本（百万美元） 资料来源：麦肯锡公司，IBM2023年数据泄露成本报告，世界经 在制造业中建立网络弹性文化9 2 Figure5 迈向网络弹性制造业：揭示挑战 组织挑战被列为抑制网络弹性文化采用的首要维度。Themanufacturingsectoroperateswithinacomplexecosystemfeaturesfeaturebydiversesites,extensivesupplychainandinternectednetworks,whichrelyonnumbersuppliers,vendorsandpartners.Whilethesectorreapsthe制造业挑战的五个关键方面 数字化和新兴技术的好处，它还努力应对五个方面的挑战，每个方面都在实现网络弹性的道路上提出了独特的障碍。 战略在业务优先