当地时间1月13日，美国国家安全局（NSA）网站消息，NSA与网络安全和基础设施安全局（CISA）、联邦调查局（FBI）、能源部、环境保护署（EPA）等多家国内外机构联合发布了一份《按需安全：运营技术所有者和运营商在选择数字产品时应优先考虑的事项》指南。该指南旨在帮助运营技术（OT）所有者和运营商在选择工业自动化和控制系统等OT产品时，优先考虑关键安全要素，并向制造商提出具体问题。许多OT产品在设计或开发时缺乏安全性，存在弱身份验证、共享软件漏洞、日志记录有限、默认设置和凭据等弱点，使其成为网络攻击的目标。
指南建议OT所有者和运营商选择具备以下关键安全要素的产品：配置管理、登录基线产品、开放标准与所有权、数据保护、默认安全、安全通信、安全控制、强身份验证、威胁建模、漏洞处理和升级工具。NSA网络安全主管Dave Luber表示，该指南不仅帮助关键系统所有者和运营商确保OT采购生命周期的安全，还向制造商传递了在产品中建立更具弹性和灵活性的网络安全基础的重要性。
该指南是对2023年4月发布的《改变网络安全风险平衡：安全设计软件的原则和方法》的补充，进一步强调了OT产品在关键基础设施中的安全需求。参与发布的国际合作伙伴包括澳大利亚网络安全中心、加拿大网络安全中心、欧盟委员会、德国联邦信息安全办公室、荷兰国家网络安全中心、新西兰国家网络安全中心和英国国家网络安全中心。
《指南》的发布，体现了美国政府对OT网络安全近年来推行的一贯立场。
一是强调安全设计原则
买家在选择OT产品时，应确保制造商在产品设计和开发中融入安全设计原则（Secure by Design）。制造商应承担客户安全结果的责任，拥抱透明度和问责制，并在设计决策的早期阶段整合网络安全，以确保产品从源头具备安全性。
二是强调关键安全要素
买家应检查产品是否包含配置管理、登录基线产品、开放标准与所有权、数据保护、默认安全、安全通信、安全控制、强身份验证、威胁建模、漏洞处理和升级工具等关键安全要素。这些要素没有优先级顺序，但买家应确保制造商熟悉安全设计原则并遵循国际自动化协会（ISA）62443标准。
三是加强制造商的责任
制造商应通过发布路线图展示其如何采用安全设计实践，以增强产品的安全性和透明度。买家可以通过这些路线图评估制造商是否真正将安全设计原则融入产品开发中。
四是着力对齐现有标准
该指南与现有网络安全标准一致，包括NIST 800-213a（工业物联网）、NIST 800-82（OT安全）以及ISA/IEC 62443-4-2和62443-3-3（工业自动化控制系统的网络安全功能）。此外，该指南还符合《网络弹性法案》（CRA）的技术中立和目标导向方法。
五是试图引导采购决策
关键基础设施组织通过优先采购符合这些安全要素的产品，可以缓解当前和新兴的网络威胁，并逐步淘汰传统环境。此举还将向制造商传递明确信号，推动其提供符合安全设计原则的产品，从而提升整个供应链的安全性。
六是夯实长期网络安全基础
制造商通过实施这些安全要素，可以在产品中建立弹性和灵活的网络安全基础，为OT所有者和运营商提供长期支持。这种基础不仅能够应对当前威胁，还能适应未来网络安全环境的变化。
七是满足多方合规要求
买家在采购数字系统时，还需考虑法规要求，例如欧盟的NIS2指令。确保所购产品符合适用的法律义务，并具备必要的法规合规标志，以避免法律风险并满足行业监管要求。
点赞关注，后台获取《指南》中文和英文版本！
参考资源
1、https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4027075/nsa-and-others-publish-guidance-for-secure-ot-product-selection/
2、https://media.defense.gov/2025/Jan/13/2003626906/-1/-1/0/JOINT-GUIDE-SECURE-BY-DEMAND-PRIORITY-CONSIDERATIONS-OT-OWNERS-OPERATORS.PDF
