工業物聯網（IIoT）是指物聯網（IoT ,Internet of Thing）在工業應用的擴展和使用。IIoT專注於機器對機器（M2M）通訊、大數據以及機器學習(Machine learning,ML)，讓工業運作有更高的效率和可靠性。IIoT涵蓋了整個工業應用，包括了機器人、醫療設備和軟體定義生產流程。
IIoT超越物聯網常見的一般消費者裝置及實體裝置網路互聯。讓它不一樣的是資訊技術（IT）和營運技術（OT）的交叉。OT指的是營運流程和工業控制系統（ICS）的網路，包括人機介面（HMI）、監控和資料採集（SCADA）系統、分散式控制系統（DCS）和可程式化邏輯控制器（PLC）。
IT和OT的融合讓工業在自動化及最佳化方面有了更好的系統整合，並且對供應鍊和物流有了更佳的能見度。使用智慧感應器和制動器加上遠端連線控制可以更輕鬆地監控工業營運（如農業、醫療、製造、運輸和公用事業）的實體基礎設施。
在第四次工業革命（稱為工業4.0）裡，IIoT是網路實體系統和生產流程經由大數據及分析進行轉型不可或缺的部分。來自感應器和其他資料源的即時資料能夠協助工業設備和基礎設施進行決策，提出見解及具體行動。機器可以進一步地接手並自動化先前工業革命無法處理的任務。在更廣泛的背景裡，IIoT對於聯網生態系或環境相關的使用情境來說相當重要，如該如何打造城市成為智慧城市或是該如何讓工廠轉型成智慧工廠。
智慧裝置及機器間不中斷的資料擷取及傳輸為企業帶來許多進步的機會。例如，這些資料可以讓企業找出供應鏈內錯誤或低效的地方並立即加以解決，從而增進營運和財務方面的日常效率。正確地整合IIoT還可以最佳化資產使用和預測故障點，甚至可以自動觸發維護流程。
通過聯網智慧裝置可以讓企業更快地收集且分析更多資料。不僅能夠提高擴展性和效能，還可以讓生產廠房和總部之間沒有距離。整合IIoT可以讓企業更準確地了解自己的營運是如何進行，幫助他們做出明智的業務決策。
採用IIoT有哪些安全考量和挑戰？
IIoT可以徹底改變產業營運方式，但挑戰是要制訂策略來促進數位轉型，並且在增加聯網能力的同時要確保安全性。
擁有營運技術（OT）的企業已經相當擅長處理工安與品管等問題。不過將OT整合進網際網路會讓企業看到更加智慧化及自動化的機器出現，這會帶來一連串新的挑戰，需要更加了解IIoT的內部工作原理。
隨著IIoT的應用，有三個方面需要關注：可用性、擴展性和安全性。可用性和擴展性可能已經是工業營運的第二天性，因為它們已經存在了相當長的一段時間。但將IIoT整合進營運時會讓許多人可能遭遇到安全問題。首先是因為有許多企業仍然在使用舊系統和流程。其中許多已經運作了幾十年而沒有改變，讓採用新技術變得更加複雜。
此外，智慧裝置的增加也導致安全漏洞變多及安全責任的隱憂。IIoT採用者事實上有責任確保其聯網裝置的設定和使用，但設備廠商有義務在推出產品時保護自己的消費者。廠商應該要能夠確保使用者的安全，並在出現安全問題時提供預防措施或補救措施。
隨著這幾年來更多重大資安事件的出現，對網路安全的要求也隨之浮現。讓駭客取得聯網系統的存取權限不僅會讓業務暴露在重大風險，還意味著可能會讓運作關閉。在某種程度上，採用IIoT的企業必須像科技公司一樣地規劃和運作以安全地管理實體和數位組件。
採用者還面臨著結合工業營運與IT的挑戰，需要保護連線和資訊。使用者資料要依照適用的隱私法規進行處理，如歐盟（EU）的通用資料保護法規（GDPR）。雖然收集的資料對裝置和基礎設施的能見度方面有著重要作用，但必須將個人資料與一般日誌資料隔離開來。個人身份資料（PII）等資訊應儲存在加密資料庫中。將未加密的資料與其他相關活動一起儲存在雲端可能意味著會讓企業面臨風險。
圍繞物聯網的主要問題之一是技術碎片化，隨著IIoT擴展就不能免於不同標準、協定和架構的共存。IIoT系統內的不同用途，如訊息佇列遙測傳輸（MQTT）和受限制應用協定（CoAP）等標準和協定可能會妨礙IIoT系統的交互操作性。
IIoT系統有哪些風險？
許多IIoT相關的安全問題都源於缺乏基本的安全措施。暴露端口、不充分的身份驗證作法和過時的應用程式等安全漏洞導致風險的出現。讓這些設備直接連上網際網路會帶來更多潛在風險。
企業可能因為網路犯罪及惡意軟體感染而已經對IT系統崩潰可能造成的業務影響相當熟悉。但IT和OT的融合帶來了新的重大風險因素：惡意威脅可能在現實世界對一般人造成影響。
不安全的IIoT系統可能導致營運中斷和金錢損失，以及其他可怕的後果。更多聯網環境意味著更多安全風險，例如：
- 可被利用來攻擊系統的軟體漏洞。
- 可被公開搜尋的聯網設備和系統。
- 駭客攻擊、針對性攻擊和資料外洩等惡意活動。
- 系統被操縱可能導致操作中斷（如產品召回）或流程破壞（如生產線停擺）。
- 系統故障可能導致裝置和實體設施損壞或讓操作人員受傷。
- 通過IT環境入侵的OT系統遭受勒索攻擊。
通過IT環境危害OT系統的一個知名例子是2015年12月針對烏克蘭電網的網路攻擊，駭客能夠感染IT基礎設施來關閉重要系統而讓數千戶家庭因此停電。
新IT/OT環境的基本安全參考架構
企業該如何確保IIoT安全？
雖然推動營運生產力對IIoT系統來說很重要，但安全性也該被視為一樣的重要。將OT環境連到網際網路，透過眾多感應器及聯網裝置所產生的即時資料讓企業更容易達成目標。但如果沒有做好網路安全防護可能會讓其效益被減弱。這是始於安全的設計及內建安全性的作法該進入的地方。
擁有資安監控中心（SOC）對主動監控和防範影響聯網環境的各種威脅來說很重要。這集中的單位讓企業監督可能遇到的大量警報並實現快速回應。SOC對需要有更好的安全狀態能見度及持續分析能力的設施來說尤其有幫助。SOC團隊目標是偵測資安事件或任何異常活動，能夠在入侵事件發生前立即解決問題。這種方法可以解決舊系統、低系統能見度和緩慢回應時間所可能造成的問題。有了SOC，就可以優先排序警報，也可以最佳化威脅關聯能力來讓企業能夠同時管理IT和OT。
但威脅環境和工業基礎設施的變化需要組織調整保護措施來應對可能遇到的新或未知威脅。IIoT採用者可以將目標放在建立專門團隊來解決OT環境內的資安問題，因為這是個專門的領域。如果希望能夠發展IT/OT的融合，那麼企業首要先考慮的是招募能夠理解不同類型威脅並採取快速行動來減輕攻擊影響的資安專家。
對IIoT環境的不同層級建構完善的保護措施能夠讓企業安全地進行營運。這些安全層包括設備、網路和雲端。
設備層通常包括從不同製造商和服務商購入的IIoT設備和應用程式。IIoT採用者應該要知道自己的製造商和服務商如何傳輸和儲存資料。如果出現安全問題，製造商和服務商也應該要主動通知企業該注意的事情。
在網路部分，有收集來自設備資料的閘道。這裡是組織需要部署新世代入侵防禦系統（IPS）的地方，好監控和偵測潛在攻擊。閘道這裡通常還有一個控制中心來向不同設備發出命令。控制中心是組織必須加強防護來避免遭受惡意軟體感染或駭客入侵的最關鍵地方。
最後，在雲端部分，廠商應該部署對伺服器的安全防護來減少駭客利用伺服器和所儲存資料的風險。這再次強調了組織在法規上必須負責保護資料。
因此要保護好IIoT系統，需要時時在線的威脅防禦以及從閘道到端點的點對點保護，能夠提供：
- 對惡意軟體感染的定期監控和偵測。
- 對異常狀況更佳的威脅能見度和早期偵測。
- 主動預防IT和OT間的威脅和攻擊。
- 防護資料傳輸。
- 新世代IPS來防止漏洞攻擊。
- 跨資料中心和雲端的伺服器和應用程式保護。
請訪問我們威脅情報中心的物聯網專區來取得更多IIoT相關的內容，包括威脅和攻擊情景的探討、領先思考以及其他安全見解。