- 關鍵產業的網路安全保護能源、水務、交通、醫療或金融等重要服務免受日益複雜的網路攻擊。
- IT 和 OT 系統的整合，以及對複雜供應鏈的依賴，擴大了關鍵基礎設施的攻擊面。
- 具體的監管框架、網路韌性以及與國家電腦緊急應變小組的協調是預防、發現和應對嚴重事件的關鍵。
- 人工智慧、後量子密碼學和零信任模型正在鞏固成為未來這些基礎設施防禦的支柱。
關鍵領域的網路安全已成為各國政府和企業關注的焦點。這不僅僅是一個技術問題：保護這些基礎設施至關重要，它關係到我們家中的電力、自來水、日常經手的資金以及我們所獲得的醫療保健。一旦這些系統因網路攻擊而癱瘓，問題就不再只是電腦問題，而是演變成社會、經濟甚至地緣政治問題。
在西班牙，數千個設施被視為關鍵基礎設施，一旦遭到破壞，可能對國家造成極為嚴重的損失。同時，網路攻擊的數量和複雜程度也在不斷增長，其幕後推手包括犯罪集團、國家行為體以及融合了數位和實體元素的混合型攻擊。在此背景下，加強這些領域的網路安全已不再是可選項，而是戰略要務。
關鍵基礎設施和戰略部門指的是什麼？
關鍵基礎設施涵蓋所有設施、網路、系統、服務和設備——無論是有形的還是虛擬的——它們的故障將直接影響國家的基本運作和公民的日常生活。這包括能源、水、交通、醫療保健、金融、食品、電信和基本公共服務。識別和分類這些脆弱性是確定這些領域措施和資源優先順序的關鍵。
西班牙法律，特別是關於保護關鍵基礎設施的第8/2011號法律，區分了兩個關鍵概念：戰略基礎設施和關鍵基礎設施。所有關鍵基礎設施都是策略性的，但並非所有策略基礎設施都會變成關鍵基礎設施。
戰略基礎設施涵蓋一系列支援基本服務的設施和網絡，但在某些情況下，這些設施和網路可以被取代或以其他方式彌補。相較之下，當基礎設施的運作絕對不可或缺，且在合理的時間範圍內沒有可行的替代方案時，該基礎設施則被視為關鍵基礎設施。
因此，關鍵基礎設施是戰略基礎設施中一個特別敏感的子集：它的中斷會對一項或多項基本服務產生嚴重影響，從而損害安全、經濟或社會福利。
2011年第8號法律及其執行條例將以下行業列為特別脆弱的領域：公共管理、航太、核能和化學工業、水循環、能源、衛生、資訊和通訊技術、交通運輸、食品以及金融和稅收系統等。所有這些行業都日益依賴互聯的數位系統。
關鍵基礎設施網路安全：概念與範圍
應用於關鍵基礎設施的網路安全涵蓋一系列旨在保護這些設施免受數位威脅（包括雲端安全）的政策、技術、流程和組織措施。其主要目標是確保支援關鍵服務的系統和資料的可用性、完整性和機密性。
這涉及保護企業資訊系統 (IT) 和營運環境 (OT)，其中存在工業控制系統 (ICS)、SCADA、PLC和其他設備，這些設備直接與實體流程交互，例如控制電網、水處理廠、石油管道、煉油廠或鐵路系統。
關鍵產業網路安全的一個關鍵特徵是資訊科技（IT）和營運技術（OT）的融合。多年來，二者一直處於孤立狀態：業務和數據處理系統在一側運行，而工業控制系統在另一側運行，兩者通常沒有直接的互聯網連接。數位化、工業物聯網以及對即時監控的需求打破了這些障礙。
這種融合帶來了效率、視覺性和集中管理能力，但也帶來了新的攻擊面。許多OT和IoT設備在設計之初並未考慮強大的安全標準，修補程式管理複雜，且生命週期較長。其結果是形成了一個互聯互通的生態系統，IT安全漏洞最終可能會影響到先前相互隔離的工業系統。
在此背景下，防禦策略旨在防止服務中斷、破壞、間諜活動、流程操縱以及資訊竊取或劫持，同時保持營運連續性並遵守特定行業的監管和規範要求。
基本服務和日益增長的數位脆弱性
幾乎所有現代基本服務都依賴數位系統：自動化發電廠、智慧配電網路、水處理廠、機場、港口、地鐵網路、高度互聯的醫院、自動櫃員機、網路銀行平台和電子稅務系統。
這種對科技的依賴帶來了一個直接後果：任何嚴重的網路攻擊都會迅速轉化為民眾實際面臨的問題。它不再只是內部的電腦故障；它可能導致社區斷電、鐵路癱瘓、手術中斷，甚至使數百萬人無法提取資金。
近期案例凸顯了我們面臨的脆弱性。 2021年愛爾蘭醫療系統遭受勒索軟體攻擊，導致臨床系統癱瘓，預約和治療被迫取消數小時，造成營運混亂，危及病人安全。其他國家也發生過類似事件，影響了醫院、供應鏈和燃料網路。這些事件需要專業的數位鑑識分析，才能了解其影響範圍並恢復營運。
在西班牙，數據顯示，影響戰略產業組織的事件顯著增加。僅一年內，遭受系統未經授權存取的實體比例就躍升了20多個百分點，這表明數位風險正在加速成長，亟需進行關鍵的更新和持續的強化。
這一切都解釋了為什麼保護關鍵基礎設施已成為國家和企業安全的優先事項，以及為什麼歐洲和國家監管框架正在被大力推廣，旨在加強其韌性。
關鍵產業和基礎設施面臨的主要網路威脅
關鍵基礎設施面臨的威脅情勢日益複雜。它包括以牟取經濟利益為目的的網路犯罪活動、國家支持的網路間諜和破壞行動、駭客行動主義攻擊，以及擁有合法存取權限的個人的人為錯誤或信任違約。
其中一個特別值得關注的威脅類型是高階持續性威脅 (APT)。這類威脅持續時間長、目標明確且組織嚴密，通常與情報機構或國家支持的組織有關。它們通常分幾個階段展開：首先，攻擊者利用網路漏洞或複雜的網路釣魚手段入侵網路；其次，攻擊者橫向移動並提升權限；最後，竊取敏感資訊或準備實施破壞活動。
多項分析表明，針對關鍵基礎設施的攻擊中，很大一部分都出於經濟動機，例如敲詐勒索、竊取智慧財產權或進行詐欺。其中最活躍的組織包括：APT28（Fancy Bear），該組織經常與俄羅斯利益相關；Mustang Panda，該組織與源自中國、在歐洲和其他地區發起的攻擊活動有關；以及APT34（OILRIG），該組織專注於中東能源領域。
同時，勒索軟體已成為關鍵產業面臨的最具破壞性的威脅之一。在這些攻擊中，系統會被加密或鎖定，直到支付贖金為止，通常伴隨著敏感資料外洩的威脅。 2021 年的 Colonial Pipeline 攻擊就是一個典型的例子，導緻美國部分地區的燃料供應中斷，並造成加油站排長隊和供應問題。
出於地緣政治動機的破壞和間諜活動也有所增加。能源、交通和醫療保健產業的營運商成為旨在破壞穩定、施加壓力或僅僅是為了獲取策略資訊的攻擊目標。影響伊朗納坦茲核設施離心機的「震網」（Stuxnet）事件，仍然是專門針對破壞物理工業流程而設計的惡意軟體研究最為深入的案例之一。
另一個重要的風險因素是內部威脅。這些威脅並非總是來自惡意員工；許多安全漏洞源自於內部員工或供應商的失誤、缺乏訓練、密碼管理不善或安全策略執行不力。
供應鏈又增加了一層複雜性。關鍵基礎設施依賴由製造商、整合商、維護公司、軟體供應商和雲端服務供應商組成的網路。攻擊者可以利用其中最薄弱的環節——例如，被篡改的更新、不安全的預先配置設備或存在不良實踐的供應商——從而無需直接攻擊關鍵運營商的系統即可獲得訪問權限。
交通運輸業完美地體現了這種風險，在一些國家報告中，該行業的事故佔比很高。對鐵路或機場營運商，或其技術供應商的攻擊可能會產生連鎖反應：線路中斷、貨物滯留在港口或物流樞紐、庫存短缺以及重大經濟損失。
此外，混合攻擊日益普遍，它將網路行動與實體事件結合，以放大其影響。 2015年烏克蘭部分地區因電力公司遭受網路攻擊而停電，以及無人機在斯堪的納維亞機場上空盤旋，迫使當局出於安全考慮關閉空域，這些都體現了數位世界和物理世界是如何相互交織的。
監管框架、韌性與事件回應
關鍵基礎設施的防禦取決於一套特定的監管和組織框架，該框架融合了國家立法、歐盟指令和技術標準。在西班牙，前述第8/2011號法律將保護該基礎設施免受威脅作為其首要目標，透過實施涵蓋實體安全和邏輯安全的綜合措施來實現。制定政策和標準，例如多用戶和多租戶環境的相關政策和標準，是該框架的重要組成部分。
網路韌性是關鍵概念之一，指的是在不損失或僅造成有限損失的情況下，預測、抵抗、適應並從突發事件中恢復的能力。具體保護計畫 (SPP) 屬於此框架，涵蓋風險分析、技術和組織安全措施，以及在發生突發事件時採取的明確行動方案。
在歐洲層面，2022年通過的《關鍵實體韌性指令》（CER）強化了降低脆弱性、提高嚴重事件（包括混合攻擊）後復原能力的目標。該指令要求成員國和關鍵實體採取具體措施，加強安全、風險管理和事件報告。
在西班牙，INCIBE-CERT（INCIBE網路安全事件回應中心）是國家網路安全事件管理參考中心。它提供7x24小時全年無休的服務，發布漏洞和威脅警報，並協調公共和私營機構的技術響應。
當事件影響到私營部門的關鍵營運商時，應對措施將與內政部的網路安全協調辦公室 (OCC)進行協調，該辦公室充當安全部隊和各相關機構之間的聯絡點。
透過先進的監控技術對系統進行持續監控，可以近乎即時地偵測異常行為。 INCIBE-CERT 和其他專業中心利用來自多個感測器和報告的匯總情報來源，制定早期預警並通知可能受影響的組織；日誌分析是這一過程中不可或缺的一部分。
實際上，大多數關鍵營運商會將安全營運中心 (SOC) 與事件回應團隊 (CSIRT) 結合起來，以符合監管義務並與官方報告和協調管道連接。
關鍵技術策略：分段、監控與存取控制
在關鍵基礎設施領域，僅僅安裝防毒軟體和防火牆是不夠的。必須部署分層安全架構，以最大限度地降低潛在安全漏洞的影響並遏制攻擊者。
網路分段是最廣泛應用的技術之一。它將網路環境劃分為多個獨立的區域或網段，並在網段之間設定存取控制和流量過濾。這樣一來，即使攻擊者設法存取了某個節點，也很難在網路的其他部分自由移動。
在工業環境中，普渡模型（Purdue model ）非常普遍，它將系統劃分為不同的層級，從現場和控制設備到企業網路。在這些層級之間，會建立工業非軍事區（IDZ）、防火牆、代理伺服器和其他控制措施，以防止最敏感的營運技術（OT）系統直接暴露於企業網路或網際網路。
在此基礎上，許多組織更進一步，採用微隔離技術，例如在應用程式或工作流程層級進行更精細的控制。這種策略對於難以修補的遺留系統等關鍵基礎設施尤其有效，因為它可以最大限度地減少其他隔離段可訪問的區域。
監控和早期檢測完善了整個防禦體系。各組織正在部署持續監控工具、入侵偵測和防禦系統 (IDS/IPS)、網路流量分析以及使用者和實體行為分析 (UEBA) 解決方案，這些解決方案能夠識別出傳統基於特徵碼的控制措施無法偵測到的異常模式。
人工智慧正開始在這些安全營運中心發揮主導作用，它能夠檢測OT 和 IT 系統正常行為中的細微偏差，關聯大量數據中的事件，並產生更準確的警報，從而減少噪音和誤報的數量。
最後，強大的存取控制（包括多因素身份驗證、嚴格的權限管理、職責分離和全面的活動日誌記錄）對於最大限度地降低與內部用戶、服務帳戶和遠端供應商存取相關的風險至關重要，同時在系統和伺服器上採取良好的安全措施也必不可少。
人為因素、安全文化與協作
許多嚴重事件表明，最薄弱的環節仍然是人為因素。點擊釣魚郵件、重複使用密碼、使用未加密的筆記型電腦或對特權存取管理不善，都可能為攻擊打開方便之門，最終影響關鍵服務。
因此，除了技術之外，管理關鍵基礎設施的組織還需要為其所有員工（包括管理人員、技術人員、工廠員工和支援團隊）提供完善的培訓和意識提升計畫。這不僅僅是偶爾開設課程，而是要建立真正的安全文化。
這包括將網路安全風險管理融入業務流程和日常營運中，明確職責，定期審查政策和程序，並鼓勵舉報任何可疑行為，而不必擔心遭到報復。
內部各部門（包括IT、OT、營運、法務、合規和人力資源部門）之間的協作也至關重要。過去，資訊科技團隊和工業工廠管理人員幾乎各自為政，但數位整合要求他們進行協調一致的風險管理。
在關鍵領域，與公共機構和監管機構的合作同樣重要。一些監管框架要求在特定時限內報告事件，共享威脅訊息，並與各部會、安全部隊或專門機構協調行動計劃。
這種聯合努力可以提高整個生態系統的保護水平，因為有關一家公司檢測到的攻擊的資訊可以用來防止同一行業或相關基礎設施中的其他組織發生事件。
新挑戰：人工智慧、自動化數據和量子運算
目前的數位革命既帶來了新的防禦工具，也帶來了新的攻擊途徑。人工智慧、高級自動化以及在不久的將來出現的量子運算，正在從根本上改變關鍵領域對網路安全的理解。
一方面，防禦性人工智慧可以分析大量的營運和安全數據，即時偵測異常模式，並觸發自動回應，例如隔離受損節點、重新配置網路或動態調整存取策略。
生成式人工智慧可以幫助綜合有關威脅的資訊並制定複雜的偵測規則，而代理式人工智慧能夠在預先定義的框架內規劃和執行自主行動，以在發生事件時維持服務的連續性。
然而，這些能力也被用於攻擊。攻擊者已經開始利用人工智慧優化網路釣魚活動、產生更具規避性的惡意軟體、發現漏洞，並在複雜的網路中自動進行橫向移動。此外，關鍵基礎設施使用的人工智慧模型本身也可能成為攻擊目標：攻擊訓練資料、篡改演算法、注入惡意資料或篡改結果都可能導致自動化流程中出現錯誤決策。
因此，保護人工智慧系統需要採取具體措施：確保訓練資料的完整性和機密性，監控模型推理和輸出以檢測異常情況，建立對開發和部署環境的嚴格存取控制，並不斷審查模型是否存在篡改。
同時，量子計算在中長期內也構成了一項根本性的挑戰。許多目前使用的加密演算法都可能被足夠強大的量子電腦破解。儘管目前還沒有能夠破解生產環境中標準加密技術的通用設備，但各種預測表明，這種風險將在未來一二十年內出現。
這種觀點催生了「先收集後解密」的策略：攻擊者今天儲存加密數據，期望在量子技術成熟後能夠解密。對於處理敏感、長期資訊的關鍵基礎設施而言，這種方法構成了相當大的風險。
為此，人們對後量子密碼學的興趣日益濃厚。後量子密碼學是一套旨在抵禦未來量子電腦攻擊的加密和簽署演算法。許多組織已經開始評估並規劃向這些系統的遷移，他們也意識到這並非一朝一夕就能完成的轉型。
這些技術變革也推動了更動態的安全模型，例如基於行為的微隔離，它會根據上下文不斷調整過濾策略；或者零信任方法，它假定默認情況下沒有任何連接是可信的，並且需要不斷驗證身份和上下文，即使在內部網路本身也是如此。
關鍵領域的安全能力與應用案例
為了使上述所有措施切實有效，關鍵基礎設施必須建立一套完善的安全能力系統。其中最重要的能力之一是實現跨營運技術 (OT) 和資訊科技 (IT) 環境的統一可視性，包括清晰的資產清單、依賴關係圖和集中式監控。
這種可視性構成了即時威脅偵測能力的基礎，並由事件關聯繫統、流量分析、入侵偵測以及日益先進的行為分析提供支援。這使得識別未經授權的存取、異常使用模式、與命令和控制域的通訊以及權限提升嘗試成為可能。
同樣重要的是自動響應功能，它能夠在檢測到嚴重事件時無需人工幹預即可採取應對措施：設備隔離、帳戶封鎖、緊急分段、配置回溯等。在分秒必爭的環境中，這種速度至關重要。
例如，在能源領域，許多公司已經部署了專用的營運技術安全中心（OT SOC），將監控資料擷取系統（SCADA）與工業網路流量分析結合。這些中心能夠及早發現對控制系統的未經授權訪問，從而成功阻止了旨在破壞電力供應的惡意攻擊。
在交通運輸領域，尤其是在航空和鐵路領域，保護號誌、交通控制和通訊系統至關重要。透過將系統劃分為多個高安全區域，並僅透過嚴格控制的網關進行連接，可以有效防止企業網路入侵影響管理客運和安全的作業系統。
與此同時，醫療保健產業正面臨越來越大的壓力，因為健康數據在黑市上尤其有價值。醫院和醫療網路正致力於加強員工防範網路釣魚和勒索軟體的培訓，並部署端到端加密技術保護患者信息，同時制定備份和恢復計劃，以便快速恢復醫療記錄和診斷系統。
在所有這些領域，先進技術、成熟的風險管理流程和盡職盡責的人員的結合，決定了基礎設施是脆弱的還是能夠在最嚴重的網路攻擊情況下抵禦、恢復並繼續提供基本服務的。
目前的現實表明，關鍵領域的網路安全保護不能再被視為一次性專案或只是監管要求：它需要一種持續的、多維度的和協調的策略，將技術、流程、人員和公私合作結合起來，以保護支撐我們社會運作的支柱。
