能源公司將其NIST CSF評級提升一倍

缺乏可見性和投資報酬率指標

一家擁有多元資產組合的綜合型能源公司已大幅提升其IT資安防護水準，現正著手在OT環境中達成同等程度的強化。

該公司的執行長與財務長希望能清楚看到資安支出所帶來的具體投資報酬，而非僅依賴零散事例或入侵追蹤作為評估依據。該組織採取「縱深防禦」策略，並選擇NIST資安框架(CSF)作為依據，以建立目標狀態剖面並衡量整體進展。

公司透過員工訪談及在OT環境中發放成熟度調查問卷，為NIST CSF建立基準資料，而結果顯示出多項關鍵問題。在資產管理、防護技術、威脅偵測與復原等面向的成熟度評分均偏低。由於對資產與弱點的可見性程度有限，該公司缺乏進行有效決策與推動持續改進所需的基礎數據。

透過Verve Security Center實現合規與可見性

這家綜合型能源公司採用了洛克威爾自動化的全方位 OT 網路安全平台，其內含五個完全整合的模組：

• Asset Manager 負責建立涵蓋作業系統、網路設備及嵌入式OT裝置的完整資產清單
• Platform patch management 用於執行安全的閉環式弱點修補
• Endpoint protection  提供針對工控系統環境設計的防毒與應用程式白名單防護機制
• Backup and restore  採用Dell EMC的 Avamar平台，實現可跨網路擴展、具低頻寬韌性的備份與還原功能
• Reporting 簡化合規報告流程並提升高階主管可見性
  

這些模組共同提供了一個可擴充、集中化的平台，符合NIST CSF架構，讓公司能夠掌握資產狀態、威脅及修復行動。