- 关键行业的网络安全保护能源、水务、交通、医疗或金融等重要服务免受日益复杂的网络攻击。
- IT 和 OT 系统的融合，以及对复杂供应链的依赖，扩大了关键基础设施的攻击面。
- 具体的监管框架、网络韧性以及与国家计算机应急响应小组的协调是预防、发现和应对严重事件的关键。
- 人工智能、后量子密码学和零信任模型正在巩固成为未来这些基础设施防御的支柱。
关键领域的网络安全已成为各国政府和企业关注的焦点。这不仅仅是一个技术问题：保护这些基础设施至关重要，它关系到我们家中的电力、自来水、日常经手的资金以及我们所获得的医疗保健。一旦这些系统因网络攻击而瘫痪，问题就不再仅仅是计算机问题，而是会演变成社会、经济乃至地缘政治问题。
在西班牙，数千个设施被视为关键基础设施，一旦遭到破坏，可能对国家造成极其严重的损失。与此同时，网络攻击的数量和复杂程度也在不断增长，其幕后推手包括犯罪集团、国家行为体以及融合了数字和物理元素的混合型攻击。在此背景下，加强这些领域的网络安全已不再是可选项，而是战略要务。
关键基础设施和战略部门指的是什么？
关键基础设施涵盖所有设施、网络、系统、服务和设备——无论是有形的还是虚拟的——它们的故障将直接影响国家的基本运转和公民的日常生活。这包括能源、水、交通、医疗保健、金融、食品、电信和基本公共服务。识别和分类这些脆弱性是确定这些领域措施和资源优先顺序的关键。
西班牙法律，特别是关于保护关键基础设施的第8/2011号法律，区分了两个关键概念：战略基础设施和关键基础设施。所有关键基础设施都是战略性的，但并非所有战略基础设施都会变成关键基础设施。
战略基础设施涵盖一系列支持基本服务的设施和网络，但在某些情况下，这些设施和网络可以被替代或以其他方式弥补。相比之下，当基础设施的运行绝对不可或缺，且在合理的时间范围内没有可行的替代方案时，该基础设施则被视为关键基础设施。
因此，关键基础设施是战略基础设施中一个特别敏感的子集：它的中断会对一项或多项基本服务产生严重影响，从而损害安全、经济或社会福利。
2011年第8号法律及其执行条例将以下行业列为特别脆弱的领域：公共管理、航天、核能和化学工业、水循环、能源、卫生、信息和通信技术、交通运输、食品以及金融和税收系统等。所有这些行业都日益依赖互联的数字系统。
关键基础设施网络安全：概念和范围
应用于关键基础设施的网络安全涵盖一系列旨在保护这些设施免受数字威胁（包括云安全）的政策、技术、流程和组织措施。其主要目标是确保支持关键服务的系统和数据的可用性、完整性和机密性。
这涉及到保护企业信息系统 (IT) 和运营环境 (OT)，其中存在工业控制系统 (ICS)、SCADA、PLC和其他设备，这些设备直接与物理过程交互，例如控制电网、水处理厂、石油管道、炼油厂或铁路系统。
关键行业网络安全的一个关键特征是信息技术（IT）和运营技术（OT）的融合。多年来，二者一直处于孤立状态：业务和数据处理系统在一侧运行，而工业控制系统在另一侧运行，两者通常没有直接的互联网连接。数字化、工业物联网以及对实时监控的需求打破了这些壁垒。
这种融合带来了效率、可视性和集中管理能力，但也带来了新的攻击面。许多OT和IoT设备在设计之初并未考虑强大的安全标准，补丁管理复杂，且生命周期较长。其结果是形成了一个互联互通的生态系统，IT安全漏洞最终可能会影响到之前相互隔离的工业系统。
在此背景下，防御战略旨在防止服务中断、破坏、间谍活动、流程操纵以及信息窃取或劫持，同时保持运营连续性并遵守特定行业的监管和规范要求。
基本服务和日益增长的数字脆弱性
几乎所有现代基本服务都依赖于数字系统：自动化发电厂、智能配电网络、水处理厂、机场、港口、地铁网络、高度互联的医院、自动取款机、网上银行平台和电子税务系统。
这种对技术的依赖带来了一个直接后果：任何严重的网络攻击都会迅速转化为民众切实面临的问题。它不再仅仅是内部的计算机故障；它可能导致社区断电、铁路瘫痪、手术中断，甚至使数百万人无法提取资金。
近期案例凸显了我们面临的脆弱性。 2021年爱尔兰医疗系统遭受勒索软件攻击，导致临床系统瘫痪，预约和治疗被迫取消数小时，造成运营混乱，危及患者安全。其他国家也发生过类似事件，影响了医院、供应链和燃料网络。这些事件需要专业的数字取证分析，才能了解其影响范围并恢复运营。
在西班牙，数据显示，影响战略行业组织的事件显著增加。仅一年内，遭受系统未经授权访问的实体比例就跃升了20多个百分点，这表明数字风险正在加速增长，亟需进行关键的更新和持续的强化。
这一切都解释了为什么保护关键基础设施已成为国家和企业安全的优先事项，以及为什么欧洲和国家监管框架正在被大力推广，旨在加强其韧性。
关键行业和基础设施面临的主要网络威胁
关键基础设施面临的威胁形势日益复杂。它包括以牟取经济利益为目的的网络犯罪活动、国家支持的网络间谍和破坏行动、黑客行动主义攻击，以及拥有合法访问权限的个人的人为错误或信任违约。
其中一种特别值得关注的威胁类型是高级持续性威胁 (APT)。这类威胁持续时间长、目标明确且组织严密，通常与情报机构或国家支持的组织有关。它们通常分几个阶段展开：首先，攻击者利用网络漏洞或复杂的网络钓鱼手段入侵网络；其次，攻击者横向移动并提升权限；最后，窃取敏感信息或准备实施破坏活动。
多项分析表明，针对关键基础设施的攻击中，很大一部分都出于经济动机，例如敲诈勒索、窃取知识产权或进行欺诈。其中最活跃的组织包括：APT28（Fancy Bear），该组织经常与俄罗斯利益相关；Mustang Panda，该组织与源自中国、在欧洲和其他地区发起的攻击活动有关；以及APT34（OILRIG），该组织专注于中东能源领域。
与此同时，勒索软件已成为关键行业面临的最具破坏性的威胁之一。在这些攻击中，系统会被加密或锁定，直到支付赎金为止，而且通常伴随着敏感数据泄露的威胁。2021 年的 Colonial Pipeline 攻击就是一个典型的例子，该攻击导致美国部分地区的燃料供应中断，并造成加油站排长队和供应问题。
出于地缘政治动机的破坏和间谍活动也有所增加。能源、交通和医疗保健行业的运营商成为旨在破坏稳定、施加压力或仅仅是为了获取战略信息的攻击目标。影响伊朗纳坦兹核设施离心机的“震网”（Stuxnet）事件，仍然是专门针对破坏物理工业流程而设计的恶意软件研究最为深入的案例之一。
另一个重要的风险因素是内部威胁。这些威胁并非总是来自恶意员工；许多安全漏洞源于内部员工或供应商的失误、缺乏培训、密码管理不善或安全策略执行不力。
供应链又增加了一层复杂性。关键基础设施依赖于由制造商、集成商、维护公司、软件提供商和云服务提供商组成的网络。攻击者可以利用其中最薄弱的环节——例如，被篡改的更新、不安全的预配置设备或存在不良实践的供应商——从而无需直接攻击关键运营商的系统即可获得访问权限。
交通运输业完美地体现了这种风险，在一些国家报告中，该行业的事故占比很高。对铁路或机场运营商，或其技术供应商的攻击可能会产生连锁反应：线路中断、货物滞留在港口或物流枢纽、库存短缺以及重大经济损失。
此外，混合攻击日益普遍，它将网络行动与物理事件相结合，以放大其影响。2015年乌克兰部分地区因电力公司遭受网络攻击而停电，以及无人机在斯堪的纳维亚机场上空盘旋，迫使当局出于安全考虑关闭空域，这些都体现了数字世界和物理世界是如何相互交织的。
监管框架、韧性和事件响应
关键基础设施的防御依赖于一套特定的监管和组织框架，该框架融合了国家立法、欧盟指令和技术标准。在西班牙，前述第8/2011号法律将保护该基础设施免受威胁作为其首要目标，通过实施涵盖物理安全和逻辑安全的综合措施来实现。制定政策和标准，例如多用户和多租户环境的相关政策和标准，是该框架的重要组成部分。
网络韧性是关键概念之一，指的是在不损失或仅造成有限损失的情况下，预测、抵御、适应并从突发事件中恢复的能力。具体保护计划 (SPP) 属于这一框架，涵盖风险分析、技术和组织安全措施，以及在发生突发事件时采取的明确行动方案。
在欧洲层面，2022年通过的《关键实体韧性指令》（CER）强化了降低脆弱性、提高严重事件（包括混合攻击）后恢复能力的目标。该指令要求成员国和关键实体采取具体措施，加强安全、风险管理和事件报告。
在西班牙，INCIBE-CERT（INCIBE网络安全事件响应中心）是国家网络安全事件管理参考中心。它提供7x24小时全年无休的服务，发布漏洞和威胁警报，并协调公共和私营机构的技术响应。
当事件影响到私营部门的关键运营商时，应对措施将与内政部的网络安全协调办公室 (OCC)进行协调，该办公室充当安全部队和各相关机构之间的联络点。
通过先进的监控技术对系统进行持续监控，可以近乎实时地检测异常行为。INCIBE-CERT 和其他专业中心利用来自多个传感器和报告的汇总情报源，制定早期预警并通知可能受影响的组织；日志分析是这一过程中不可或缺的一部分。
实际上，大多数关键运营商会将安全运营中心 (SOC) 与事件响应团队 (CSIRT) 结合起来，以符合监管义务并与官方报告和协调渠道连接。
关键技术策略：分段、监控和访问控制
在关键基础设施领域，仅仅安装防病毒软件和防火墙是不够的。必须部署分层安全架构，以最大限度地降低潜在安全漏洞的影响并遏制攻击者。
网络分段是最广泛应用的技术之一。它将网络环境划分为多个独立的区域或网段，并在网段之间设置访问控制和流量过滤。这样一来，即使攻击者设法访问了某个节点，也很难在网络的其他部分自由移动。
在工业环境中，普渡模型（Purdue model ）非常普遍，它将系统划分为不同的层级，从现场和控制设备到企业网络。在这些层级之间，会建立工业非军事区（IDZ）、防火墙、代理服务器和其他控制措施，以防止最敏感的运营技术（OT）系统直接暴露于企业网络或互联网。
在此基础上，许多组织更进一步，采用微隔离技术，例如在应用程序或工作流级别进行更精细的控制。这种策略对于难以修补的遗留系统等关键基础设施尤为有效，因为它可以最大限度地减少其他隔离段可访问的区域。
监控和早期检测完善了整个防御体系。各组织正在部署持续监控工具、入侵检测和防御系统 (IDS/IPS)、网络流量分析以及用户和实体行为分析 (UEBA) 解决方案，这些解决方案能够识别出传统基于特征码的控制措施无法检测到的异常模式。
人工智能正开始在这些安全运营中心发挥主导作用，它能够检测OT 和 IT 系统正常行为中的细微偏差，关联大量数据中的事件，并生成更准确的警报，从而减少噪音和误报的数量。
最后，强大的访问控制（包括多因素身份验证、严格的权限管理、职责分离和全面的活动日志记录）对于最大限度地降低与内部用户、服务帐户和远程供应商访问相关的风险至关重要，同时在系统和服务器上采取良好的安全措施也必不可少。
人为因素、安全文化和协作
许多严重事件表明，最薄弱的环节仍然是人为因素。点击钓鱼邮件、重复使用密码、使用未加密的笔记本电脑或对特权访问管理不善，都可能为攻击打开方便之门，最终影响关键服务。
因此，除了技术之外，管理关键基础设施的组织还需要为其所有员工（包括管理人员、技术人员、工厂员工和支持团队）提供完善的培训和意识提升计划。这不仅仅是偶尔开设课程，而是要建立真正的安全文化。
这包括将网络安全风险管理融入业务流程和日常运营中，明确职责，定期审查政策和程序，并鼓励举报任何可疑行为，而不必担心遭到报复。
内部各部门（包括IT、OT、运营、法务、合规和人力资源部门）之间的协作也至关重要。过去，信息技术团队和工业工厂管理人员几乎各自为政，但数字化融合要求他们进行协调一致的风险管理。
在关键领域，与公共机构和监管机构的合作同样重要。一些监管框架要求在特定时限内报告事件，共享威胁信息，并与各部委、安全部队或专门机构协调行动计划。
这种联合努力可以提高整个生态系统的保护水平，因为有关一家公司检测到的攻击的信息可以用来防止同一行业或相关基础设施中的其他组织发生事件。
新挑战：人工智能、自动化数据和量子计算
当前的数字革命既带来了新的防御工具，也带来了新的攻击途径。人工智能、高级自动化以及在不久的将来出现的量子计算，正在从根本上改变关键领域对网络安全的理解。
一方面，防御性人工智能可以分析海量的运营和安全数据，实时检测异常模式，并触发自动响应，例如隔离受损节点、重新配置网络或动态调整访问策略。
生成式人工智能可以帮助综合有关威胁的信息并制定复杂的检测规则，而代理式人工智能能够在预定义的框架内规划和执行自主行动，以在发生事件时维持服务的连续性。
然而，这些能力也被用于攻击。攻击者已经开始利用人工智能优化网络钓鱼活动、生成更具规避性的恶意软件、发现漏洞，并在复杂的网络中自动进行横向移动。此外，关键基础设施使用的人工智能模型本身也可能成为攻击目标：攻击训练数据、篡改算法、注入恶意数据或篡改结果都可能导致自动化流程中出现错误决策。
因此，保护人工智能系统需要采取具体措施：确保训练数据的完整性和机密性，监控模型推理和输出以检测异常情况，建立对开发和部署环境的严格访问控制，并不断审查模型是否存在篡改。
与此同时，量子计算在中长期内也构成了一项根本性的挑战。许多目前使用的加密算法都可能被足够强大的量子计算机破解。尽管目前还没有能够破解生产环境中标准加密技术的通用设备，但各种预测表明，这种风险将在未来一二十年内出现。
这种观点催生了“先收集后解密”的策略：攻击者今天存储加密数据，期望在量子技术成熟后能够解密。对于处理敏感、长期信息的关键基础设施而言，这种方法构成了相当大的风险。
为此，人们对后量子密码学的兴趣日益浓厚。后量子密码学是一套旨在抵御未来量子计算机攻击的加密和签名算法。许多组织已经开始评估并规划向这些系统的迁移，他们也意识到这并非一朝一夕就能完成的转型。
这些技术变革也推动了更动态的安全模型，例如基于行为的微隔离，它会根据上下文不断调整过滤策略；或者零信任方法，它假定默认情况下没有任何连接是可信的，并且需要不断验证身份和上下文，即使在内部网络本身也是如此。
关键领域的安全能力和应用案例
为了使上述所有措施切实有效，关键基础设施必须建立一套完善的安全能力体系。其中最重要的能力之一是实现跨运营技术 (OT) 和信息技术 (IT) 环境的统一可视性，包括清晰的资产清单、依赖关系图和集中式监控。
这种可视性构成了实时威胁检测能力的基础，并由事件关联系统、流量分析、入侵检测以及日益先进的行为分析提供支持。这使得识别未经授权的访问、异常使用模式、与命令和控制域的通信以及权限提升尝试成为可能。
同样重要的是自动响应功能，它能够在检测到严重事件时无需人工干预即可采取应对措施：设备隔离、账户封锁、紧急分段、配置回滚等。在分秒必争的环境中，这种速度至关重要。
例如，在能源领域，许多公司已经部署了专用的运营技术安全中心（OT SOC），将监控数据采集系统（SCADA）与工业网络流量分析相结合。这些中心能够及早发现对控制系统的未经授权访问，从而成功阻止了旨在破坏电力供应的恶意攻击。
在交通运输领域，尤其是在航空和铁路领域，保护信号、交通控制和通信系统至关重要。通过将系统划分为多个高安全区域，并仅通过严格控制的网关进行连接，可以有效防止企业网络入侵影响管理客运和安全的操作系统。
与此同时，医疗保健行业正面临越来越大的压力，因为健康数据在黑市上尤其值钱。医院和医疗网络正致力于加强员工防范网络钓鱼和勒索软件的培训，并部署端到端加密技术保护患者信息，同时制定备份和恢复计划，以便快速恢复医疗记录和诊断系统。
在所有这些领域，先进技术、成熟的风险管理流程和尽职尽责的人员的结合，决定了基础设施是脆弱的还是能够在最严重的网络攻击情况下抵御、恢复并继续提供基本服务的。
目前的现实表明，关键领域的网络安全保护不能再被视为一次性项目或仅仅是监管要求：它需要一种持续的、多维度的和协调的战略，将技术、流程、人员和公私合作结合起来，以保护支撑我们社会运转的支柱。
