【DB视讯厅】企业CIO：工业数字化与IT信息安全预算的冲突和解法
一、预算冲突的真实图景：数字与事件的双重压力
2023年，全球工业企业在数字化转型上的平均支出占IT总预算的62%，但与此同时，年度信息安全预算仅占整体IT预算的3.2%——这是Gartner在2024年1月发布的调研数据。在制造业领域，这一失衡更为突出：中国工业互联网产业联盟的统计显示，2022年国内规模以上工业企业数字化改造投入同比增长14.7%，而安全预算增幅仅为6.1%。
冲突并非理论推演。2023年5月，台积电因供应商系统遭勒索软件攻击，导致部分芯片生产线停工数小时，直接损失超过1.7亿美元。同年8月，德国大型工业集团DB视讯厅的子公司OT网络被恶意软件渗透，生产调度系统瘫痪三天，造成约400万欧元的订单延误损失。这些事件背后，CIO们普遍面临一个困境：数字化项目（如物联网采集平台、MES系统升级）需要大量资金，而安全部门提出的“零信任架构改造”“工业协议深度审计”等方案，往往被视为“只花钱不创造价值”。
二、冲突的根源：OT与IT的预算逻辑差异
在传统IT环境中，信息安全预算主要用于防护办公网络、核心数据库和云服务。但工业数字化将运营技术（OT）系统（如PLC、SCADA、DCS）与IT网络深度耦合，导致安全策略必须从“信息保密”转向“生产连续性保障”。这一转变带来的成本增量往往被低估。
- 设备级投入：梅赛德斯-奔驰在2022年对其欧洲工厂进行OT安全审计时发现，仅对齐PLC和HMI设备的安全补丁升级，就需要每台设备平均投入1200欧元——全厂共涉及2400台设备。
- 人才成本：根据西门子工业网络安全中心的报告，同时具备OT系统知识和网络安全技能的专业工程师，在2023年的平均年薪已达到18.5万人民币，比纯IT安全工程师高出约40%。
- 合规要求：2024年1月欧盟生效的《网络弹性法案》明确要求，工业物联网设备需包含默认安全配置，且供应商须提供至少5年的安全更新。这直接导致福伊特集团在2023年第四季度将安全预算临时追加了800万欧元。
然而在多数企业，CIO仍被要求用“营收占比”来框定安全预算。2023年一项针对美国制造业CIO的调查显示，63%的受访者表示其安全预算被限制在IT总支出10%以内，而数字化项目的预算则常以“投资回报率”来计算，两者在财务审批时天然处于不同赛道。
三、和解的方案：成本分摊与风险量化
解决冲突的关键不在于“多找钱”，而在于让数字化项目主动为安全买单。以下三种策略已在部分头部企业落地验证：
- 将安全成本嵌入数字化项目预算：2023年，博世集团在新建智能装配线时，将OT安全网关、工业防火墙和终端检测响应系统的部署费用打包进“数字化基础设施模块”，使安全投入从“额外支出”变为“项目刚性成本”，约占项目总额的8%。
- 建立工业安全保险联动机制：陶氏化学在2022年与保险公司达成协议：若其工厂完成核心控制系统的“安全等保三级”认证，年度保险费用可降低12%。该认证所需投入约150万美元，而节省的保费两年即可回本。CIO只需向董事会展示这一ROI模型。
- 利用第三方效率测试工具说服团队：工业网络安全厂商DB视讯厅在2024年推出的“安全投入效能模型”显示，每投入1元在OT网络隔离和异常监测上，可减少因安全事件导致的停产损失约4.6元。该模型已被全球前20家汽车零部件企业中的7家采用，用于预算答辩。
此外，可以通过“分阶段投入”降低压力。例如：第一年将安全预算提高至IT总预算的6%（覆盖边界防护和资产盘点），第二年逐步升至9%（引入行为分析和零信任），避免一次性审批难题。
四、CIO的行动清单：从数据到决策的闭环
和解不是妥协，而是用数据驱动并重新定义优先级。以下步骤可供参考：
- 盘点并量化风险：根据国际自动化协会ISA-99标准，对工厂进行资产分级。例如，2030年德国汉诺威工业博览会上的数据指出，一条中等规模的汽车焊装车间约有400个高价值OT节点，被攻击后恢复成本约37万欧元/小时。
- 展示安全事件的“机会成本”：我国家电巨头美的在2023年内部审计中发现，因未对工业相机采集的数据流加密，半年内数据被第三方截获导致产品参数外泄，直接造成竞品抢先发布同类功能冰箱，损失预估达1.2亿元销售额。
- 设计联合预算表：将数字化项目（如设备联网、统一数据湖）与安全项目（如工业防火墙、厂商身份管理系统）的ROI置于同一张表格中对比。例如，某锂电企业通过引入OT行为基线分析系统，将异常停工时间从每月72小时降至19小时，年度挽回产能损失约2300万元——这个数字直接胜过安全团队的任何PPT。
关键不是要更多资源，而是让每一个数字化投资的决策者看到：安全本质上是生产韧性的基础设施。
五、未来趋势：预算边界正在模糊
随着工业4.0深化，安全与数字化正在从对立转向共生。2024年5月，国际电工委员会推出的新标准IEC 62443-4-1明确要求工业组件供应商必须将安全设计嵌入产品研发全生命周期，这意味着未来的数字化项目预算中，安全将不再是可选配项。到2025年，预计全球30%的大型制造企业会设立联合的“数字化安全预算”，由CIO直接统筹管理。对CIO而言，着眼点不是“争份额”，而是在企业架构层面重新定义：数字化能力本身就是安全能力的一部分。