根據美國工業控制系統網絡緊急應變小組(ICS-CERT)的最新報告顯示，在2009年到2011年間，美國關鍵基礎設施公司報告的網絡安全事件數量出現急劇增加。

在2009年，ICS-CERT僅確定了9起安全事件報告。在2010年，這個數字上升到41起。在2011年，為198起，在這198起事件中，7起事件導致ICS-CERT不得不部署現場事件響應小組，21起其他事件需要獲取高級分析實驗室的遠程分析支持。根據該報告顯示，涉及水利部門的安全事件占所有事件的一半以上，因為這個部門涉及大量面向互聯網的控制系統設備。

Industrial Defender市場營銷副總裁Kim Legelis表示，雖然并不是所有的報告事件都與網絡攻擊有關，但增加的幅度多少有些令人吃驚。

她表示：“雖然關鍵基礎設施網絡安全人員意識到威脅正在不斷升級，但從該報告的數據來看，實際情況比預期的更嚴重。”

總體來看，ICS-CERT在2009年、2010年和2011年間執行了17次現場評估。最常見的網絡入侵攻擊方式是魚叉式網絡釣魚攻擊，占據17次事件中的7次，其余的11起事件涉及“復雜的攻擊方式”，此外，有幾起事件的目標都是數據盜竊。

“沒有直接針對控制系統網絡的入侵攻擊，”該報告指出，“然而，鑒于很多這些企業網絡的互聯性質，一旦攻擊者進入網絡，他們就可能移動到網絡的其他部分，包括控制系統(他們可能破壞關鍵基礎設施操作)等。”

引人關注的是，在17起事件的12起事件中，企業原本可以通過部署安全最佳做法(例如登陸限制和正確配置防火墻)來阻止攻擊，減少安全團隊檢測或者降低攻擊影響的時間。就在上周，ICS-CERT發現，多個使用“默認用戶名和密碼”的系統可以通過互聯網訪問，這些系統包括Echelon i.LON產品，該產品被部署在電機、水泵、閥門、傳感器和其他控制設備中。

根據ICS-CERT表示，在這17起事件中，10個企業原本可以通過使用入口/出口過濾掉已知的不良IP地址或域名來檢測到入侵攻擊。在3起事件中，外部企業已經通知資產所有者存在網絡攻擊或者入侵事件，而在另外兩起事件中，第三方(例如咨詢公司或者集成商)發現了入侵攻擊。

“風險管理和評估仍然是一門藝術，而不是一門科學，”nCircle公司安全研究和開發主管Lamar Bailey表示，“我們需要IT和安全機構之間更多的協作以大幅度提高風險評估的準確性。”

為了應對魚叉式釣魚攻擊，Wombat Security Technologies公司的Norman Sadeh建議公司開發一個安全培訓計劃，例如向員工發送模擬釣魚電子郵件。

“當員工受到模擬釣魚攻擊時，這就創建了一個很好的受教時刻，員工就會非常謙卑地學習相關知識，”Wombat公司首席科學家Sadeh表示，“這個時候應該及時地告訴他們做錯了什么，攻擊者的目標是什么以及如何避免今后發生類似攻擊。”