五眼聯(lián)盟發(fā)布智慧城市網(wǎng)絡(luò)安全指南
新發(fā)布的指南題為《智慧城市網(wǎng)絡(luò)安全最佳實(shí)踐》，旨在提升實(shí)施智慧城市技術(shù)的社區(qū)和組織的安全意識(shí)，讓他們認(rèn)識(shí)到這些有益的技術(shù)也可能存在潛在漏洞。這份指南是五眼聯(lián)盟國(guó)家（澳大利亞、加拿大、新西蘭、英國(guó)和美國(guó)）的合作成果，建議考慮建成智慧城市的社區(qū)評(píng)估并緩解智能技術(shù)可能引入的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
智慧城市對(duì)攻擊者的吸引力來(lái)源于該技術(shù)收集和處理的數(shù)據(jù)。由于采用人工智能（AI）系統(tǒng)集成這些數(shù)據(jù)，檢查漏洞的時(shí)候應(yīng)對(duì)此投以特別關(guān)注。
指南主要著眼于三個(gè)方面：安全規(guī)劃與設(shè)計(jì)、主動(dòng)管理供應(yīng)鏈風(fēng)險(xiǎn)，以及運(yùn)營(yíng)韌性。
安全規(guī)劃與設(shè)計(jì)
如果計(jì)劃將智慧城市技術(shù)集成到基礎(chǔ)設(shè)施系統(tǒng)中，社區(qū)必須納入戰(zhàn)略遠(yuǎn)見(jiàn)和主動(dòng)式網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理流程。向老舊系統(tǒng)中集成新技術(shù)時(shí)應(yīng)小心謹(jǐn)慎。智能或聯(lián)網(wǎng)功能必須是設(shè)計(jì)安全的。社區(qū)應(yīng)當(dāng)意識(shí)到，老舊基礎(chǔ)設(shè)施可能需要重新設(shè)計(jì)才能安全部署智慧城市系統(tǒng)。
實(shí)施智慧城市技術(shù)的組織應(yīng)在其整個(gè)網(wǎng)絡(luò)環(huán)境中應(yīng)用最小權(quán)限原則。也就是說(shuō)，應(yīng)當(dāng)審查默認(rèn)及現(xiàn)有配置，并加強(qiáng)供應(yīng)商指導(dǎo)，從而確保硬件和軟件只能訪問(wèn)執(zhí)行其功能所需的系統(tǒng)和數(shù)據(jù)。
這些組織應(yīng)當(dāng)了解其環(huán)境，仔細(xì)管理各子網(wǎng)絡(luò)之間的通信，包括連接基礎(chǔ)設(shè)施系統(tǒng)的新接入子網(wǎng)絡(luò)。
此外，還應(yīng)考慮強(qiáng)制實(shí)施多因素身份驗(yàn)證（MFA），實(shí)現(xiàn)零信任架構(gòu)，安全管理智慧城市資產(chǎn)，提高易受攻擊設(shè)備的安全性，保護(hù)面向互聯(lián)網(wǎng)的服務(wù)，及時(shí)修復(fù)系統(tǒng)和應(yīng)用，審查與部署相關(guān)的法律、安全和隱私風(fēng)險(xiǎn)。
主動(dòng)管理供應(yīng)鏈風(fēng)險(xiǎn)
指南建議，所有參與實(shí)施智慧城市技術(shù)的組織都應(yīng)當(dāng)主動(dòng)管理新技術(shù)的信息與通信技術(shù)（ICT）供應(yīng)鏈，包括支持智慧城市系統(tǒng)實(shí)現(xiàn)的硬件或軟件，以及支持實(shí)施和運(yùn)營(yíng)的服務(wù)提供商。社區(qū)負(fù)責(zé)采購(gòu)的官員還應(yīng)向供應(yīng)商傳達(dá)必要的安全要求，并闡明會(huì)對(duì)違反這些要求的行為作出何種處理。
運(yùn)營(yíng)韌性
負(fù)責(zé)智慧城市項(xiàng)目的組織應(yīng)當(dāng)制定、評(píng)估和維護(hù)關(guān)鍵基礎(chǔ)設(shè)施功能相關(guān)的應(yīng)急手動(dòng)操作規(guī)程，并對(duì)員工進(jìn)行相應(yīng)的培訓(xùn)。應(yīng)急措施中應(yīng)當(dāng)含有斷開連接的計(jì)劃，包括斷開基礎(chǔ)設(shè)施系統(tǒng)間的相互連接，以及斷開基礎(chǔ)設(shè)施與公共互聯(lián)網(wǎng)的連接，讓基礎(chǔ)設(shè)施系統(tǒng)能夠自主運(yùn)行。發(fā)生網(wǎng)絡(luò)安全事件時(shí)，組織應(yīng)當(dāng)準(zhǔn)備好隔離受影響的系統(tǒng)，盡量減少對(duì)其他基礎(chǔ)設(shè)施運(yùn)行的干擾。為此，指南建議進(jìn)行員工培訓(xùn)，讓員工了解如何將受損IT系統(tǒng)與OT隔離開來(lái)，以及如何在必要時(shí)手動(dòng)操作核心功能。
此外，還應(yīng)重視備份的創(chuàng)建、維護(hù)和測(cè)試，包括IT系統(tǒng)記錄和智慧城市網(wǎng)絡(luò)中集成的物理系統(tǒng)的手動(dòng)操作功能。同時(shí)，也建議制定和演練事件響應(yīng)與恢復(fù)計(jì)劃。
該指南是以下各方合作的成果：
• 澳大利亞網(wǎng)絡(luò)安全中心（ACSC）
• 加拿大網(wǎng)絡(luò)安全中心（CCCS）
• 新西蘭國(guó)家網(wǎng)絡(luò)安全中心（NCSC-NZ）
• 英國(guó)國(guó)家網(wǎng)絡(luò)安全中心（NCSC-UK）
• 美國(guó)網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA）、聯(lián)邦調(diào)查局（FBI），以及國(guó)家安全局（NSA）。
指南中寫道：“各組織應(yīng)根據(jù)其具體網(wǎng)絡(luò)安全要求實(shí)施這些最佳實(shí)踐，從而確?；A(chǔ)設(shè)施系統(tǒng)安全運(yùn)行，保護(hù)公民個(gè)人信息，保障敏感政府?dāng)?shù)據(jù)和商業(yè)信息的安全。”
《智慧城市網(wǎng)絡(luò)安全最佳實(shí)踐》
https://www.cyber.gov.au/sites/default/files/2023-04/Joint-guidance-cybersecurity-best-practices-for-smart-cities.pdf
來(lái)源：數(shù)世咨詢
在線咨詢
在線咨詢
0371-63319761