一個穩(wěn)定的物理結(jié)構(gòu)需要至少三根支撐，工業(yè)網(wǎng)絡(luò)安全也需要三根“支柱”作為有效網(wǎng)絡(luò)安全的基礎(chǔ)控制工程網(wǎng)版權(quán)所有，這三根支柱就是技術(shù)、政策和法規(guī)、還有人。

分層網(wǎng)絡(luò)

第一根支柱是技術(shù)，安全技術(shù)也是最容易識別和量化的，因此也是組織網(wǎng)絡(luò)安全工作的主要關(guān)注點。然而，盡管技術(shù)非常重要，它也并不就比其他兩根支柱更加不可或缺。安全技術(shù)管理用戶和系統(tǒng)的授權(quán)、接入控制、防火墻、病毒保護軟件、數(shù)據(jù)加密、網(wǎng)關(guān)、入侵檢測系統(tǒng)、網(wǎng)絡(luò)聯(lián)機控制系統(tǒng)和網(wǎng)絡(luò)安全。

基于技術(shù)的網(wǎng)絡(luò)安全系統(tǒng)就像門上的鎖和建筑物內(nèi)的移動探測器。它們可以提供對于非專業(yè)攻擊的保護，但是如果是專業(yè)攻擊，任何技術(shù)都無法防范。最近，美國國土安全部的專家在一些會議上展示了侵入控制系統(tǒng)是多么的容易。這些被侵入的系統(tǒng)實際上也擁有配置完好的防火墻，有多層密碼保護，并且有網(wǎng)絡(luò)接入控制的侵入探測系統(tǒng)。這些仿真的入侵顯示，需要實施多種技術(shù)才能構(gòu)建有效的網(wǎng)絡(luò)安全工業(yè)系統(tǒng)。

有效的政策

第二根支柱就是一系列現(xiàn)有制定完好的政策和法規(guī)。政策和法規(guī)確定了如何以一種有效的方式應(yīng)用技術(shù)安全解決方案。它們可以按照配置的要求將知識封裝起來，還可以評價你的網(wǎng)絡(luò)安全系統(tǒng)。所謂的政策和法規(guī)首先是定義制定總體安全政策的依據(jù)，以及應(yīng)用到其他政策和法規(guī)的風險成本規(guī)則。安全政策不需要定義使用的技術(shù)。技術(shù)解決方案可以改變，但是政策應(yīng)該定義出實施所有技術(shù)的具體要求。政策和法規(guī)應(yīng)該針對具體的安全組織、資產(chǎn)管理、接入控制、事故管理、商業(yè)持續(xù)計劃、合規(guī)管理、供應(yīng)商選擇、安全系統(tǒng)維護和通訊管理方式進行設(shè)計。

安全培訓(xùn)

第三根支柱則是經(jīng)過培訓(xùn)和激勵的人員。如果沒有合適的人員支持的話，即便是最好的技術(shù)、政策和法規(guī)也不能形成有效的安全系統(tǒng)。您的員工必須要受過安全技術(shù)和安全程序方面的教育。安全程序方面的教育成本一般比較低，可以集成到公司其他的有關(guān)安全和法規(guī)方面的培訓(xùn)一起。而安全技術(shù)方面的教育一般需要借助外部培訓(xùn)，因此比較昂貴，但是如果技術(shù)必須要合理安裝和使用的話，這項工作又是必不可少的。沒有經(jīng)過培訓(xùn)的工作人員安裝和維護技術(shù)解決方案，就很容易出現(xiàn)安全錯覺。除此之外，即便是受過最良好教育的人員也必須要進行激勵，讓他們正確地執(zhí)行政策和法規(guī)。激勵是要讓人們理解系統(tǒng)的效果以及政策和法規(guī)的制定初衷。還有一點非常重要，就是要讓員工了解，注意力不集中和松懈的操作都可能會對他們的公司、工作乃至社會造成非常惡劣的影響。激勵還包括對政策和法規(guī)進行補充，讓員工提出改進安全政策和法規(guī)的建議。

工業(yè)網(wǎng)絡(luò)安全系統(tǒng)必須建立一個穩(wěn)定的技術(shù)平臺、政策和法規(guī)以及人員基礎(chǔ)之上。如果有一個元素缺失，系統(tǒng)的性能就會受到削弱，并且容易受到攻擊，給安全、企業(yè)、工作和社會帶來嚴重的后果。