展开抓取的正文（本地存档，已排版）
引言
联邦调查局（FBI）与网络安全和基础设施安全局（CISA）——以下简称“编写机构”——发布了本事实说明，旨在强调关键基础设施实体在与第三方工业控制系统（ICS）集成商合作时，为降低风险并减少漏洞应考虑的要点。
ICS 是一个统称，指用于监控和自动化物理过程的硬件和软件集成网络，涵盖专用控制系统和设备，例如数据采集与监视控制系统（SCADA）系统和可编程逻辑控制器（PLC）。第三方集成商为 ICS 提供各类服务，包括控制系统设计、安装、运营数据分析、设备支持与服务以及日常运营控制。
关键基础设施的所有者和运营商在授予第三方 ICS 集成商对工业进程的高级别访问权或控制权时应保持谨慎，确保应用最小权限原则（PoLP）。在运营技术（OT）环境中实施 PoLP 意味着仅授予用户、流程和系统执行其指定任务所需的最低访问权限，不多不少。PoLP 旨在保护所有者和运营商。若不采纳此类原则（如 PoLP），可能会使所有者和运营商面临恶意网络行为者的威胁，这些行为者试图破坏关键基础设施，甚至可能提供敏感访问路径供行为者利用，从而对设备和关键功能造成干扰性和破坏性影响。
关键基础设施的所有者和运营商应落实本事实说明中的建议，与集成商合作，确保建立安全的实践和框架，以降低恶意行为者利用第三方访问权限破坏关键基础设施运营环境的风险。
风险与利用示例
与 IT 系统类似，在关键基础设施中使用第三方 ICS 集成商可能会无意中向客户环境引入安全问题，原因是暴露了未针对客户安全要求进行预配置的系统和服务。依赖第三方集成商进行系统设计的关键基础设施所有者和运营商面临供应链风险，如果集成商与所有者及运营商未能共同执行明确的系统组件安全采购和处理要求。此外，在美国境外运营并托管数据的第三方集成商可能带来额外风险，因为他们可能受不同的数据存储和管理法律约束，而这些法律无法满足美国关键基础设施实体的安全需求。
根据 FBI 的技术分析，2025 年 3 月至 4 月期间，恶意外国网络行为者入侵了一家美国工业自动化解决方案公司的网络，该公司为工业客户（包括电力公用事业和交通实体）提供系统集成、工程咨询和 SCADA 编程等服务。在网络活动期间，威胁行为者搜索了包括“客户”和"SCADA"在内的术语，并创建了九个 .zip 文件，包含约 800 个文件，疑似用于窃取数据，其中包括客户 SCADA 信息、ICS 设备详情和其他图纸。恶意网络行为者可以利用窃取的信息随后对运营环境发动破坏性攻击，从而干扰关键服务。
风险评估建议
关键基础设施的所有者和运营商在考虑将第三方集成商引入其网络和运营时，应基于对向系统提供敏感访问权限所带来的组织风险的深刻理解，做出知情决策。
组织应定期开展风险评估，以评估涉及工业系统访问的合同，确定其对组织数据自主权和流程控制的影响。风险评估应解决由集成商设备引入的硬件和软件供应链漏洞，以及这些设备和其关联网络的 IT 与 OT 安全。在考虑实施外国拥有的集成商时，关键基础设施的所有者和运营商还应在风险评估中包含地缘政治考量，例如关键基础设施实体可能如何直接或间接受到地缘政治气候的影响而成为目标。
关键基础设施的所有者和运营商在进行风险评估时应考虑以下问题，以在与第三方 ICS 集成商合作时保障其运营系统的安全：
集成商存储或可访问哪些组织数据？
关键基础设施网络设计、设备规格、日志和其他数据都可能成为恶意网络行为者的有用信息。在评估启用集成商存储或访问此类数据的风险时，应考虑恶意网络行为者通过集成商网络访问这些数据的潜在可能性。
数据存储在何处？
如果集成商为外国所有，应考虑公用事业数据是存储在美国境内还是国际范围内。如果数据存储在国际上，该国的法律可能对其进行管辖并适用，即使集成商是美国子公司也是如此。
集成商是否拥有远程访问权限以提供运营支持？
如果集成商可以远程访问组织的 ICS 网络，则存在恶意网络行为者可能入侵集成商网络并横向移动到公用事业网络以控制系统权限的风险。在评估这些潜在访问点对组织网络构成的风险时，应考虑组织远程连接的安全性。
如果集成商遭到入侵，组织能否独立运行？
建立冗余机制并具备在集成商受损时恢复系统且无需依赖其进行运营的能力（尤其是针对关键运营流程），可以在集成商遭入侵时降低风险。操作员应维护所有用于操作设备的软件的离线安全备份，以协助系统恢复。
降低风险的推荐措施
制定机构建议关键基础设施的所有者和运营商采取以下步骤，以降低使用第三方工业控制系统（ICS）集成商所带来的风险：
- 在合同和服务协议中包含网络安全和供应链网络安全要求。 在准备服务协议时，应包含以下领域的要求：
- 数据存储位置、信息保护协议以及对 ICS 数据和设计文档的保护；
- 远程访问能力；
- 集成商网络安全计划的基础内容；
- 变更管理和补丁管理政策；
- 为部署组件采取的安全措施（例如，更改默认密码、禁用未使用的端口）；
- 列出拥有系统访问权限的授权人员；
- 在必要时启用本地工程支持流程，并限制所需的集成商干预。
- 评估具有外部互联网暴露的设备。 组织应与集成商合作，了解设备托管位置，并通过将设备从面向公众的互联网断开连接来最小化暴露风险。
- 监控和记录远程访问活动。 确保集成商通过您可以监控的路径访问设备。如果可能，使用按需远程访问功能，以便操作员能够主动允许远程访问。
- 要求提供集成商提供的所有软件和硬件清单，以及关于其如何连接到您的基础设施以及如何更新的文档。
- 演练程序并保持手动操作能力，同时考虑到第三方在环境中的角色以及恢复程序。
资源
- 有关资产清单的指导，请参阅 CISA 的 OT 网络安全基础：所有者和运营商的资产清单指南。
- 有关软件物料清单（SBOM）的更多信息，请参阅 CISA 的 2026 年软件物料清单（SBOM）最低要素。
- 有关供应链风险管理的指导，请参阅通信部门协调委员会（CSCC）和 IT 部门协调委员会（SCC）的 供应商、产品和服务威胁评估报告（包括人工智能风险及缓解措施），以及 NIST 的 网络安全供应链风险管理。
- 有关 ICS 网络威胁的更多信息和资源，请访问 工业控制系统 以获取网络安全公告及其他网络安全指导和最佳实践。