关键基础设施提供商的最严重的安全漏洞可能是他们的员工。这是两个报告的事件的外带，其中发现与关键能源行业资产的系统有关使用受感染的USB驱动器部署的恶意软件感染。
关键基础设施提供商的最严重的安全漏洞可能是他们的员工。
上周，国土安全部的工业控制系统网络应急响应团队（ICS-Cert）详细说明了直接连接到关键能源行业资产的IT系统的两个单独事件被发现被感染使用受感染的USB驱动器部署的恶意软件，突出显示组织基本安全控制的差距。
[相关:保护SCADA仍然是一件零碎的事情］
在去年，对电网基础架构安全的担忧已经成为恶意软件，如富裕和火焰突出显示重要工业控制系统(ICS)系统中的漏洞。
考虑到保护长时间嵌入的SCADA(监控和数据采集)软件系统的复杂性，我们不难理解为什么基础设施提供商仍在努力加强安全。SCADA最初是为在封闭环境中使用而设计的，现在暴露在互联网上。
然而，最大的障碍不是技术上的困境，而是IT安全和运营管理团队无法有效地合作。
Gartner高级安全分析师Avivah Litan表示，" It安全团队和负责维护工业系统正常运行时间的运营人员之间缺乏凝聚力，实际情况几乎没有改变，这实在令人沮丧。"“这里仍然存在一种组织官僚主义和领土主义的文化，做事没有紧迫感;每个人都要向自己的老板汇报工作，员工们没有被强迫一起工作，尽管所有人都在关注这个问题，但似乎只有少数首席执行官或高管关注这个问题。”
宜天表示，虽然负责保持电子市场的金融服务公司在解决这一问题的情况下取得了重大的提高，以及电信公司和一些高科技制造商，能源行业公司仍然存在问题。
“当然，安全团队和业务工作人员都意识到威胁，但他们没有能够处理它，”LITAN说。“[它]认为它可以收取和申请传统政策，而这些SCADA和其他ICS系统的运营商非常谨慎，允许任何人在他们的环境中进行更改。直到高级管理部队举行这种合作，赢得了”t是主要的收益，即使那么它需要时间。“
不同的帽子，不同的语言
虽然变更已经缓慢到电网部门，但是正在进行安全改进，部分通过北美电力可靠性公司的关键基础设施保护计划等合规性任务，以及来自美国政府的额外规定的电网运营商之间的恐惧。
“市场承认，有必要自动化其异构控制系统管理，并开始大规模项目，以加强安全，合规性和变革管理，”工业防御者的布莱恩奥亨布莱恩奥亨表示，该公司提供网格行业安全需求。
[深度：scada控制安全的未来］
“我们已经目睹了全球的重大转变关键基础设施运营商应对的问题包括不断升级的攻击、不断增加的SCADA系统复杂性和即将到来的监管变革。”
尽管如此，在利维坦安全集团的高级顾问James Aren表示，在IT安全和电网运营人员之间缺乏合作，已经妨碍了彻底改变。
“他们不仅说不同的语言，看待事物的方式也完全不同，”阿伦说。
他说:“一方面，IT安全人员看到ICS和SCADA系统存在的一些基本问题，认为‘我们已经解决这类问题10年了’，并采取一种居高逼人的态度。””另一方面,操作人员,他们中的许多人一直在这个领域,甚至在一个公司多年,如果不是他们的整个职业生涯,他们非常保护这些系统,因为他们知道,即使是运行一个AV扫描可能引发重大问题或中断”。
专家说，虽然业务小组已开始努力遵守NERC CIP，但任务只涉及基本保护，远远不够全面。
鉴于来自华盛顿立法者的缺乏方向，并且电网提供商对任何可能引起成本和威胁生产力的新规则的阻力，阿伦表示可能需要数年时间才能看到可衡量的保护。
他说:“你可能会认为，能源公司应该明白，如果2003年夏季停电发生在2月，这种情况需要立即得到关注，并需要专门的资源，因为人们会被冻死，或者被一氧化碳污染他们的家。”“但是，当你和高管交谈时，你会发现他们显然没有想太多;这并不好笑，但你可以说他们仍处于黑暗中。”
在Scada安全鞋中散步一英里
IDC Energy Insights的高级研究分析师Usman Sindhu表示，针对电网资产的有针对性的Stuxnet攻击的到来，加上NERC CIP，将人们的注意力集中在了现有的问题上。
这位分析师说，除此之外，部署智能电网技术的努力也成为变革的催化剂。
“随着智能电网进一步深入公共领域，IT管理问题变得更加可操作……”信德说。“……由于安全是智能电网可靠性的核心问题，而对于运营人员来说，可靠性就是游戏的名称，突然之间，你会看到cio们更多地谈论集中保护责任。”
IBM能源安全与行业安全主管安迪•波奇曼(Andy Bochman)说，美国国土安全部(Department of Homeland Security)等部门向企业高管提供的有关电网资产威胁的更频繁、更公开的信息共享，也点燃了变革的火花。
“特别是在C型套件的多个成员被驱使到整个组织的风险的电机公用事业中，我们终于看到了一些运动......这是令人鼓舞的，”Bochman说。“因此，即使在解决安全性的情况下，既有经济和运营成本也更全面地解决了安全性，那么从上到上有更多的支持。”
他说:“各个组织仍然不能完全信任彼此，操作人员仍在努力维持稳定、安静的系统，而安全团队想要开始四处奔走，改变现状。”“但在优秀的公司里，他们试图在彼此的世界里生活和呼吸，以帮助促进理解，建立融洽，这是这种文化差距最终将得到解决的地方。”
这篇题为“员工危及关键基础设施安全”的文章最初是由CSO 。