Fortinet：OT網絡安全風險分配高層比例上升
網絡保安方案供應商Fortinet近日發布《2025年營運技術與網絡安全現況報告》。報告揭示了營運技術(OT)網絡安全的最新態勢，為應對日益嚴峻的IT/OT威脅情勢提供了改進方向。報告不僅分析了影響OT組織的關鍵趨勢，更為IT和OT安全團隊提供了保護其網宇實體系統的最佳實踐方案。
企業將OT網絡風險責任分配給高層管理增多
Fortinet產品和解決方案高級副總裁Nirav Shah表示：「Fortinet第七期《營運技術與網絡安全現況報告》顯示，各企業越來越重視OT安全。將OT風險責任分配給高階管理層的現象顯著增多，自評OT安全成熟度提升的企業數量也有所增長。伴隨這些趨勢，我們看到在優先部署OT安全措施的企業中受入侵影響的程度正在降低。從高層到各級員工，都必須致力保護關鍵的OT系統，並分配必要的資源來守護其營運安全。」
全球調研的主要洞察：
- OT安全責任比率在高層中持續提升：全球企業計劃將網絡安全整合至首席資訊安全總監(CISO)或其他高管職責之下的趨勢顯著增加。隨著責任逐漸轉移至高層領導，OT安全已成為董事會關注的核心議題。目前，對OT網絡安全決策具有最大影響力的內部高階主管中，最常見的角色已轉為CISO或CSO，且其影響力正以明顯幅度擴大。如今，超過一半(52%)的組織表示OT是由CISO或CSO負責，相較於2022年的16%大幅上升。對於所有C-Suite角色，負責OT的比例已飆升至95%。此外，計劃在未來12個月內將OT網絡安全納入CISO職責範圍的企業數量已從60%增加至80%。
- OT網絡安全成熟度直接影響入侵影響程度：根據企業自評，OT安全成熟度在今年取得顯著進展。在最基礎的層級中，有26%的組織表示已建立可視性並實施區隔機制，相較前一年的20%有明顯提升。最多企業表示，其OT安全成熟度目前已達到「存取控管與使用者行為分析（Profiling）」的階段。我們觀察到資安成熟度與遭受攻擊之間存在明顯的關聯。那些自評成熟度較高(Level 0–4)的組織，遭受攻擊的次數較少，亦能更有效應對如釣魚等低複雜度的網絡攻擊。值得注意的是，一些戰術如「進階持續性威脅(APT)」與OT惡意程式(OT Malware)難以偵測，而資安成熟度較低的組織，往往缺乏必要的防護解決方案來判斷其是否存在。整體而言，儘管近半數組織仍遭遇資安衝擊，但入侵事件對組織的影響正持續下降，尤其在造成營收損失的營運中斷事件比例已從52%降至42%。
- 採用資安最佳實務的成效顯著：除了資安成熟度影響入侵事件的衝擊程度外，導入資安最佳實務(如落實基本資安衛生、員工教育與資安意識訓練)也確實產生實質效益，其中包含商務電子郵件詐騙(BEC)案例的大幅下降。其他最佳實務還包括導入威脅情資(自2024年以來提升了49%)以及整合供應商。報告指出OT裝置供應商的數量明顯下降，這反映出企業資安成熟度與營運效率的提升。有78%的組織表示，目前僅與一至四間 OT供應商合作，顯示多數企業已將供應商整合並納入其資安最佳實務策略中。資安供應商整合亦被視為資安成熟度的一項指標，這也與Fortinet客戶透過OT Security Platform的實際使用經驗一致。透過統一網絡與遠端OT場域的安全架構，企業得以提升可視性並降低資安風險，相較於傳統平面網絡，網絡攻擊事件減少高達93%。此外，Fortinet提供的簡化型解決方案，亦帶來高達7倍的效能提升，有效縮短事件分類與系統建置的時間。
最佳實踐
Fortinet的《2025年營運技術與網絡安全現況報告》提供可行的洞察建議，幫助組織加強其安全防護態勢。企業可透過採取以下最佳實踐方案來應對OT安全挑戰：
- 建立OT設備的可視性與補償控制措施：組織需清楚掌握OT網絡中所有裝置，並為關鍵或易受攻擊的設備，量身打造保護性補償控制措施。透過具備協定識別能力的網絡政策、系統間互動分析與端點監控等功能，可有效協助偵測並預防資產被攻擊與入侵。
- 部署網絡分段：降低入侵風險需要強化的OT環境，在所有存取點實施嚴格的網絡政策管控。這種具防禦性的 OT架構應從打造網絡區域或分段著手。ISA/IEC 62443 等標準明確要求透過分段，以在OT與IT網絡間，以及OT系統彼此之間實施控管。安全團隊應評估整體複雜性，並採用具有集中管理功能的平台。
- 將OT納入資安營運(SecOps)與事件應變規劃：企業應朝向 IT-OT整合的SecOps發展。為實現此目標，OT需成為 SecOps 與事件應變計畫中的一項重要考量，主要原因包括OT與IT環境在裝置類型與關鍵作業風險上的差異。此方向的一項關鍵步驟是建立涵蓋OT環境的應變手冊（playbook）。這類進階的準備措施將促進IT、OT及生產團隊之間的協作，以更充分評估網絡與營運風險。同時也能確保CISO對OT有適當的認知、優先順序、預算與人力資源分配。
- 採用平台化架構以建構整體資安體系：為了因應迅速演變的OT威脅與日益擴大的攻擊面，許多組織從各間廠商部署了多種資安解決方案，導致資安架構過於複雜，降低了可視性，並使資源有限的資安團隊負擔加重。採用平台化安全架構有助於組織整合與簡化現有系統。一個健全的平台可針對IT與OT環境的特定需求，提供整合性的解決方案，提升整體資安效能，並集中管理以增強效率。同時也可作為自動化威脅回應的基礎。
- 採用OT專屬威脅情報與安全服務： OT安全仰賴即時的風險意識與對潛在威脅的精準分析。平台化的安全架構也應導入AI驅動的威脅情報以即時抵禦最新的威脅、變種攻擊及潛在暴露風險。企業應確保其威脅情報與內容來源中，包含有針對OT的資訊與支援，以提供更具針對性的防禦功能。