2017年-德勤全球_An_integrated_approach_to_combat_cyber_risk_16页_1mb

报告摘要

油气行业网络安全挑战与应对策略总结

核心内容

随着机器人技术、数字化和物联网（IoT）的快速发展，油气行业正经历一场深刻的转型。然而，这也带来了新的网络安全风险，威胁着生产安全和企业运营。本文旨在帮助油气企业理解这些风险，并建立一个统一、全面的网络安全体系。

主要观点

网络安全的重要性提升：过去，工业控制系统（ICS）主要关注安全性和可靠性，但随着物联网的普及，网络安全已成为一个不可忽视的重要议题。
风险来源多样化：网络安全威胁不仅来自外部，也包括内部人员、竞争对手和恶意软件。这些威胁可能导致生产中断、环境灾难、财务损失，甚至危及生命。
IT与工程文化的融合：实现网络安全需要IT与工程团队的协同合作，两者在技术理解和业务需求上存在差异，必须通过统一的网络安全计划加以解决。
成熟度评估是关键起点：企业需要对现有的网络安全控制措施进行评估，了解其成熟度，并据此制定改进计划。
构建统一的网络安全计划：计划应涵盖安全、警觉和韧性三个方面，确保系统在面对攻击时能够有效应对。
治理与人才管理：明确的治理结构和清晰的职责划分是实施网络安全计划的基础，同时，还需关注人才管理，为ICS安全团队提供清晰的职业发展路径。

关键信息

1. 网络安全风险影响的各个环节

上游（Exploration & Production）：
- 场景1：商业敏感数据被窃取（如储量性能和井数据），风险为损害运营商在特定区域的竞争力。
- 场景2：关键井控和安全设备超出正常操作参数或完全关闭，风险为生产中断、经济损失和安全事件。
中游（Midstream）：
- 场景1：未经授权访问和篡改管道系统，风险为爆炸、泄漏、环境污染和人员伤亡。
- 场景2：监控被干扰或中断，风险为系统停机调查，导致货物延误和经济损失。
下游（Refining & Marketing）：
- 场景1：库存数据被盗，风险为无法履行业务承诺和品牌受损。
- 场景2：操作控制被中断或篡改，风险为不安全操作条件、停机和收入损失。

2. 网络安全挑战

系统设计初衷不同：ICS最初设计为孤立系统，如今却因数字化和联网而面临新的安全威胁。
行为因素影响安全：缺乏安全意识可能导致员工无意中引入恶意软件，同时，员工对系统安全的重视程度不足也增加了风险。
第三方风险：承包商和供应商可能成为攻击入口，因此需要严格管理其访问权限和安全实践。

3. 成熟度评估

评估目标：了解现有控制措施的成熟度，识别需要改进的领域。
评估方法：使用如Deloitte网络安全成熟度模型等框架，结合企业具体情况分析。
建议成熟度：建议企业将网络安全成熟度提升至4级以上，目前整体处于2.5级。

4. 建立统一的网络安全计划

安全（Secure）：通过自动化控制和监控防止系统被攻击，确保关键资产的安全。
警觉（Vigilant）：持续监控，识别潜在威胁，并通过模拟和演练提升响应能力。
韧性（Resilient）：制定应对计划，确保在发生攻击后能够快速检测、响应和恢复。

5. 实施关键控制措施

安全意识培训：提高所有员工对网络安全的认识和应对能力。
访问控制：确保ICS组件（硬件、软件、网络）的安全访问，通过身份和权限管理控制。
网络与系统安全：限制和保护ICS环境中的网络访问，防范恶意软件和未授权访问。
便携媒体管理：对进入ICS环境的便携媒体进行严格管控和扫描。
事件响应：制定并定期测试网络安全事件应对流程。

6. 治理与人才管理

明确责任：建立清晰的网络安全治理结构，确保责任到人。
人才发展：为ICS安全人员提供职业发展路径，吸引并留住专业人才。

结论

网络安全已成为油气行业不可或缺的一部分。企业必须采取系统性的方法，从成熟度评估开始，建立统一的网络安全计划，确保在数字化转型中保护生产安全和企业利益。随着网络攻击的频率和复杂性增加，提升网络安全准备度已成为当务之急。

联系方式

如需进一步了解网络安全成熟度评估，可联系以下Deloitte专家：

Paul Zonneveld
Global Energy & Resources Risk Advisory Leader, Deloitte Canada
电话：+1 403 503 1356
邮箱：pzonneveld@deloitte.ca
Andrew Slaughter
Executive Director, Deloitte Center for Energy Solutions, Deloitte US
电话：+1 713 982 3526
邮箱：anslaughter@deloitte.com
Anton Botes
Global Leader - Oil & Gas, Deloitte Touche Tohmatsu Limited
电话：+27 11 806 5197
邮箱：abotes@deloitte.co.za
Rajeev Chopra
Global Leader - Energy & Resources, Deloitte Touche Tohmatsu Limited
电话：+442070072933
邮箱：rchopra@deloitte.co.uk
Steve Livingston
National Power & Utilities Risk Advisory Leader, Deloitte US
电话：+1 206 716 7539
邮箱：slivingston@deloitte.com
Dina Kamal
National Energy & Resources Risk Advisory Leader, Deloitte Canada
电话：+1 416 775 7414
邮箱：dkamal@deloitte.ca
Ramsey Hajj
Risk Advisory Senior Manager, Deloitte US
电话：+1 561 962 7843
邮箱：rhajj@deloitte.com
Amir Belkhelladi
Risk Advisory Partner, Deloitte Canada
电话：+1 514 393 7035
邮箱：abelkhelladi@deloitte.ca
Marko Van Zwam
Risk Advisory Partner, Deloitte Netherlands
电话：+31 88 288 0890
邮箱：MvanZwam@deloitte.nl
Tiaan van Schalkwyk
Risk Advisory Associate Director, Deloitte Africa
电话：+27118065167
邮箱：tvanschalkwyk@deloitte.co.za
Charles Hosner
Risk Advisory Partner, Deloitte UK
电话：+44 20 7007 2827
邮箱：chosner@deloitte.co.uk
Rob Hayes
Risk Advisory Director, Deloitte UK
电话：+442070072606
邮箱：Rjhayes@deloitte.co.uk

Deloitte
Deloitte refers to one or more of Deloitte Touche Tohmatsu Limited (DTTL), a UK private company limited by guarantee, its network of member firms, and their related entities. DTTL and each of its member firms are legally separate and independent entities. DTTL does not provide services to clients.
了解更多，请访问 www.deloitte.com/about。

展开完整摘要