我以某种方式涉足石油和天然气行业已经超过三十五年了。长期的工作使我有机会亲眼目睹这个市场和技术的惊人变化，其中既有繁荣也有萧条，既有新油气田的发现，也有探明油气储量所采用的技术发明。我见证了井下仪器的出现，可以指示压力、体积等各种指标，也看到过新的增产技术，能够抽出每一盎司的油气。

我的经验使我认识到，我们目前正处于油气行业的重大技术变革之中，但是随之而来的还有网络安全风险，实际上，这种风险一直在不断增加。本博客文章将探讨当今的石油生产商如何利用新的传感器技术来提高效率和降低成本，并研究如何缓解相关的安全风险。

从“敏锐的耳朵”到传感器技术

石油生产商的主要目标是确保油井盈利，而技术在油井的运营中发挥着重要的作用。曾经，现场服务人员要靠敏锐的耳朵来听出轴承故障的异响，而现在，本地嵌入式传感器已经取而代之。智能传感器和SCADA系统可以帮助石油公司监控和报告各种运营情况。这些传感器能够检测出早期的变化，并将整个设施的关键数据转发给设备管理员，或者发送至数千英里之外的远程控制室。直到最近，远程监控的成本仍然很高，但LTE和类似蜂窝技术的创新（基于太阳能和蓄电池技术）使得传感器能够远距离有效发送信息。智能传感器经过编程，还可以在出现问题时发送数据，从而大大降低运营成本。

石油生产商综合利用这些新的技术对系统进行调整，以远程监控油井现场的安全、流程和健康保障。这将使他们从被动变为主动，不仅有利于现场的运营，而且还可以减少对某些油井服务的需求。全天候工作的传感器可以检测异常活动，从而取代随机手工检查。这样最终可以节省资金并确保油井盈利。许多石油公司正在将这些功能引入他们的网络，但潜在的网络风险也随之而来。

应对关键基础设施的网络威胁

油气行业是一个国家关键基础设施的重要组成部分，而网络安全则是大多数油气公司面临的首要问题。针对关键基础设施、众多子行业以及相关部门的网络攻击，有可能给企业和公民造成灾难性的影响。此外，它还有可能产生级联效应或多米诺效应：如果一个子行业崩溃，那么其他子行业也都会跟着崩溃。

对于企业而言，抵御这些不断发展和变化的网络攻击可谓至关重要。由于存在固有的安全漏洞，油气行业的物联网设备遭受着越来越多的勒索软件攻击。这反过来也证明，新的传感器必须能够保障安全。除了索取金钱的传统攻击之外，还有一种特洛伊木马型的恶意软件攻击，此类软件时而收集信息、时而休眠，以免被发现。一旦收集到足够的信息，黑客就可以接管运营控制权。油气设施一旦发生这种事情，其后果简直令人难以想象。恶意行为人还有可能触发错误的警报，提示某台机器发生了故障。如果未经验证而采取了错误的响应措施，那么其损害甚至有可能超过实际的事件。

实施额外的安全层

传感器警报的验证可以通过其他传感器来实现。在这个方面，有两种类型的传感器目前发展很快，即：视频摄像机和热成像摄像机。它们可以判断传感器的警报是否正确，从而验证事件是否真实发生。实时远程监控可以增加一层安全保护，尤其是在油气公司面临严峻形势的时候。石油价格的波动已经导致有人值守运营场所的减少，现在更多的是依靠工作人员偶尔巡视这些生产现场。

黑客是机会主义者，他们希望利用现有流程的漏洞。除了验证之外，高级传感器制造商还增加了更多其他的保护层，并将寻求第三方网络安全合作伙伴来帮助加强自己的防御能力。因此，当我们考虑网络攻击的相关风险时，供应链尽职调查从未变得如此重要。

评估供应链

油气生产商应超越新技术带来的运营收益，而重点关注供应链企业网络安全的成熟度，以保护自己的投资免受潜在攻击。关键的行业采用脆弱的解决方案，不仅会给企业带来可怕的后果，而且还会给社会带来极其严重的后果。由于各国都有赖于这些关键基础设施，因此其影响将会十分广泛。从企业的角度来看，成功的网络攻击可能对自己的品牌声誉、股价和盈利能力产生负面影响，甚至导致运营中断和监管罚款。

企业对其供应链合作伙伴进行评估，采用的方法必须超越技术本身带来的运营收益。整个评估过程需要考虑的领域，应该是合作伙伴能够证明其内部成熟度的现有流程和策略，例如ISO27001。如果他们无法证明自己正在采取的措施能够保护自己免受网络攻击，那么他们又如何能够保护自己的客户呢？

在技术方面，他们有哪些功能和工具来减轻其产品成为攻击根源的风险？例如，签名固件和安全启动之类的功能可以确保设备在部署之前没有损坏。该技术是否遵循“设计安全，默认安全”的原则，也就是说开箱即启用所有的安全设置？他们是否有辅助措施帮助设备入网？他们如何支持技术的全生命周期管理？今天安全并不意味着明天就会安全。他们供应的设备是否可以有效地主动管理固件更新？IT策略认可固件更新比厂商的硬件保修更具价值，特别是在考虑预期的使用期限和固件过期带来的风险时。

随着石油和天然气行业进入一个全新的技术时代，技术合作伙伴的角色将变得更加举足轻重。他们提供的解决方案将有助于该行业提高效率和降低成本，尤其是从远程监控的角度来看。但是，对这些企业进行细致的网络安全评估非常重要，在采购过程中应予以优先考虑。根据我的经验，如果旨在改善业务运营和提高盈利能力的技术导致用户系统受损，那将会是一场灾难。如果我们承认每个企业的实力与其最薄弱环节一样弱小，那么我们就必须确保将网络安全纳入评估流程，而不是事后才予以补救。唯有如此，油气企业才能够充分利用新兴的技术解决方案。

欲进一步了解安讯士如何提供三层网络保护，请点击这里。

三层保护