随着OT系统持续与IT网络集成，例如引入基于互联网的通信协议（如MQTT）以及现有的数据传输协议（如WebMI的HTTPS、CsCAN和Modbus），攻击面也不断扩大，并引入了新的攻击载体。这就需要一套更强有力的网络安全措施来降低风险。Horner爱尔兰公司网络安全工程师Séan Mackey建议，以下措施可以帮助控制工程师更好地保护其OT环境：
1. 了解环境：首先要彻底了解OT基础设施，包括工业控制系统、监控和数据采集系统（SCADA）、可编程逻辑控制器（PLC）和其它互连的设备。通过记录资产、网络架构、协议和通信路径等组件来识别可能的漏洞。
2. 风险评估和资产清单：进行彻底的风险评估，以确定关键资产和潜在漏洞。制定资产清单，根据关键程度对系统进行分类，并评估相关风险。根据此评估确定安全措施的优先级。
3. 网络分割：实施稳健的网络分割，如空气间隙、防火墙以过滤和跟踪流量，以及关键系统隔离以将关键OT资产与非关键系统和外部网络隔离。通过将漏洞或攻击包含在特定的网段中来限制其影响，并减少攻击面。
4. 访问控制和身份验证：实施强有力的访问控制和验证机制，以限制对OT系统未经授权的访问。应实施多因素身份验证、基于角色的访问控制和最低权限原则，以确保只有授权人员才能访问关键系统。
5. 补丁管理：开发并实施严格的补丁管理流程，以使OT系统针对已知漏洞保持最新状态。这包括与PLC/HMI的任何漏洞修复相关的固件和软件更新。根据关键程度对修补程序进行优先级排序。
6. 网络监控和入侵检测：部署强大的网络监控工具和入侵检测系统（IDS），实时检测和响应异常活动。监控网络流量、系统日志和行为模式，以及时识别潜在威胁或安全漏洞。
7. 端点安全：与对上述工业设备所采取的措施一样，对同一网络中的类似设备实施端点保护解决方案，如防火墙、防病毒软件和入侵预防系统，保护您的工业设备免受恶意软件和未经授权的访问。
8. 加密：数据在传输和静止时都应加密，以防止未经授权的拦截或篡改。为网络通信实施强大的加密协议，如传输层安全性（TLS），特别是在行业内大量使用MQTT的情况下使用X.509证书，并加密存储在OT设备上的敏感数据。
9. 事件响应计划：制定全面的事件响应计划，概述检测、控制和缓解网络安全事件的程序。定义角色和责任，建立通信协议，并定期进行演习，以确保为网络攻击做好准备。
10. 员工培训和意识：对OT人员进行网络安全最佳实践培训，包括识别网络钓鱼企图、识别可疑活动和应对安全事件。培养网络安全意识文化，使员工能够积极参与OT系统的安全保护。
11. 供应商风险管理：评估和管理与提供OT组件或服务的第三方供应商和供应商相关的网络安全风险。制定合同协议，同时规定安全要求并定期审计供应商。
12. 合规性和监管要求：掌握与OT网络安全相关的行业特定法规和合规标准，如NIST SP 800-82和ISA/IEC 62443。确保OT系统遵守这些要求，以避免法律和监管影响，并最大限度地减少因网络安全实施不力而导致的OT违规的可能性。
