2025年ICS/OT安全现状调查报告

核心观点与关键数据

• 事件高发且破坏性大： 22% 的受访者遭遇了网络安全事件，其中 50% 来自未经授权的外部访问和/或勒索软件（38%）。40% 的事件导致运营中断，近 20% 需要一个月以上时间来修复。
• 检测改善但恢复滞后： 近 50% 的事件在最初的 24 小时内被发现，超过 65% 的检测到控制差距在前 24 小时内得到解决，但补救措施平均仍需数天才能实现，其中 22% 需要两到七天来恢复，19% 需要超过一个月，3% 需要超过一年。
• 规则推动成熟化： 58% 的受访者表示至少有一个设施需要满足强制性的网络安全合规要求。受影响的合规计划主要影响设施少于 10 个的组织，其中近 40% 可能存在来自审计或自我报告的违规行为。
• 威胁情报带来回报： 67% 的受访者以某种形式利用威胁情报，另外 16% 计划在未来一年内使用它。利用 ICS 专用威胁情报的组织在网络安全事件中继续展现出更快的检测、遏制和修复能力。
• 远程访问仍然是主要风险： 未经授权的外部访问占所有事件的半数，但只有 13% 的组织完全实施了诸如会话记录或 ICS/OT 感知访问等高级控制措施。
• 准备情况不均衡： 仅有 14% 的受访者感到完全准备好应对新兴威胁，但那些在演习中包含一线技术人员的人报告称准备充分的几率几乎高出 1.7 倍。
• 投资势头明显： 资产可见性、威胁检测和安全的远程访问在 2025 年的部署和 2026-2027 年的计划投资中占据主导地位。

研究结论与行业下一步行动

• 提升 ICS/OT 安全覆盖范围： 采用基于风险和威胁信息的 ICS/OT 安全控制方法，并将今天的渐进式改进转化为明天的韧性。
• 扩大参与范围： 防范工作不能仅限于安全团队，现场技术人员、工程师和行政管理人员都需要在威胁意识训练中扮演积极作用。
• 利用监管作为跳板： 合规要求不应被视为上限，而应将其视为加强检测、响应和文化融合的基准。
• 从检测转向韧性： 通过备份、故障转移和网络安全工程来投资于更快速、更安全的恢复。
• 扩大参与范围： 防范工作不能仅限于安全团队，现场技术人员、工程师和行政管理人员都需要在威胁意识训练中扮演积极作用。
• 利用监管作为跳板： 合规要求不应被视为上限，而应将其视为加强检测、响应和文化融合的基准。
• 从检测转向韧性： 通过备份、故障转移和网络安全工程来投资于更快速、更安全的恢复。