向董事会解释OT零信任：CISO的90天沟通与行动方案

背景：OT零信任不再是可选项

2021年Colonial Pipeline勒索软件事件后，美国运输安全管理局（TSA）相继发布多项安全指令，明确要求管道运营商实施网络分段与零信任架构。与此同时，NERC CIP-013等标准也在供应链安全方面提出类似要求。然而，许多企业在面对监管审查时，往往口头承诺“已实现零信任”，实则缺乏实质性部署——尤其是在OT与物联网（IoT）融合的关键边界。

CISA发布的《将零信任原则适配到运营技术》指南（IC3/2026/260429）指出，零信任在OT环境中需要差异化实施。NIST SP 800-07《零信任架构》虽适用于所有网络，但其设计初衷更偏向IT环境。OT系统要求7x24小时运行，老旧设备众多，且对延迟和可用性极为敏感，使得“显式验证、最小权限、假设受损”等原则难以直接套用。

问题：董事会真正关注什么？

当董事会或审计部门追问“我们实现零信任了吗？”时，CISO面临一个两难：要么给出模糊的肯定答案，要么列出大量技术细节让决策者困惑。真正有效的沟通方式，是将零信任重新定义为一系列可验证的安全控制原则，而非抽象架构。

例如，可以向董事会解释：“每个用户和系统都必须证明身份并说明访问需求——这就是零信任的核心，而我们正在关键入口点部署相应的认证、授权与日志审计能力。”同时，重点应放在IT与OT的交汇点：跳板机、历史数据连接、远程访问路径以及跨域身份存储。这些正是监管机构（如TSA、NERC）反复强调的控制点。

技术与风险分析

攻击面与利用链 OT环境中的攻击往往沿着IT/OT边界渗透：攻击者先通过钓鱼邮件入侵IT网络，然后利用VPN或供应商远程访问通道横向移动到OT网络。一旦进入，老旧设备缺乏补丁、分段不严、监控缺失，攻击者可轻易破坏生产流程。

受影响资产 包括压缩机站、控制室、可编程逻辑控制器（PLC）、历史数据服务器、远程终端单元（RTU）等。这些资产的共同特点是：必须稳定运行，无法频繁重启或打补丁。

风险等级 - 运营风险：停止服务导致收入损失和基础设施受损。 - 合规风险：违反TSA指令或NERC标准可能面临罚款和运营限制。 - 财务风险：勒索软件赎金、恢复成本、保险费率上升。 - 品牌风险：关键基础设施遭遇攻击将严重损害公众信任。

企业影响分析

对于拥有OT环境的企业（如能源、制造、水务），零信任缺失的直接后果是安全事件应急处置成本激增。以管道运营商为例，一次为期六天的停产可能造成数亿美元损失，并触发国会听证。此外，第三方供应商远程接入是常见薄弱环节——CISA屡次警告，许多攻击始于供应商未保护的RDP连接。

从合规视角看，TSA Directive 2021-02C要求运营商每年提交安全计划，并在发生重大变更后更新。NERC CIP-013则要求供应商管理纳入供应链风险考量。无法证明零信任进展的企业，可能面临监管升级或吊销运营许可证。

行业趋势观察

• 零信任在OT中的讨论已从“是否可行”转向“如何实施”。行业正形成共识：
• 从IT/OT融合点入手：跳板机、远程访问、跨域身份系统是最高优先级的控制点。
• 厂商远程接入收紧：强制多因素认证（MFA）、代理访问和会话审计。
• 简化成熟度度量：采用“治理-保护-检测-响应”框架，关注高风险资产覆盖率。

这不是孤立事件，而是全球关键基础设施安全升级的缩影。美国、欧盟（NIS2）和澳大利亚均加强对OT安全的监管。零信任正从IT理念演变为OT合规刚需。

防御与应对建议：90天行动计划

第1-30天：盘点IT/OT边界的资产与身份 - 与OT工程师合作识别高影响资产（运营、安全、合规维度）。 - 映射所有能触达OT网络的用户和通道（内部特权、供应商VPN、云接口）。 - 按风险、影响和暴露度对身份和连接分类。 - 输出：一张清晰的“关键OT资产、入口点和相关身份”的视图。

第31-60天：遏制供应商远程访问，获取早期胜利 - 强制所有远程OT会话使用代理方案并启用MFA。 - 关闭不再使用的供应商RDP连接。 - 对第三方活动进行独立监控与日志记录。 - 参照TSA和NERC CIP-013要求，建立供应商访问控制策略。

第61-90天：构建简易成熟度记分卡与叙事 - 与安全及OT团队协商，确定适合组织的指标（如“高影响OT资产中已实施分段策略的比例”、“高风险远程访问路径中已启用MFA和代理的比例”）。 - 将指标归入“治理”“保护”“检测与响应”三个主题。 - 为每个主题定义“当前状态”和“下季度目标”。 - 输出：一份可向董事会展示的进度卡，清晰说明当前零信任应用水平、三个月内完成的改进以及剩余差距。

SecurityPost Insight

零信任在OT中的落地不需要一次性推翻现有架构。正如本文作者所强调的，一份每季度更新的90天计划，远比承诺“全面实现零信任”更具说服力。

CISO的核心挑战在于：如何将安全语言转化为业务语言。通过聚焦IT/OT边界、身份映射和供应商控制，并利用监管要求作为驱动，CISO可以在不中断运营的情况下，逐步提升安全韧性。未来，随着AI驱动的威胁检测和自动化响应成熟，OT零信任将更加智能，但基础始终是清晰的身份和访问控制。企业应从现在开始，用可度量的行动代替模糊的愿景。