为工业互联网系上“安全带”.docx

《为工业互联网系上“安全带”.docx》由会员分享，可在线阅读，更多相关《为工业互联网系上“安全带”.docx（8页珍藏版）》请在第壹文秘上搜索。

1、工业互联网作为赋能制造业转型升级的关键支撑，被写入2019年政府工作报告，迎来发展的战略窗口期。面对新技术新业态新模式带来的新挑战，如何筑牢工业互联网安全屏障，成为能否实现安全与发展双轮并进、保障制造强国和网络强国建设、决胜新一轮工业革命的时代课题。安全之定位习近平总书记指出，安全是发展的前提，发展是安全的保障，安全和发展要同步推进。国务院关于深化互联网+先进制造业发展工业互联网的指导意见也将“安全”定位于工业互联网的三大功能体系之一，突出强调了工业互联网安全保障的基础性、前提性、战略性地位。离开安全谈高质量发展是无源之水、无本之木。对于发展潜力巨大的工业互联网而言，抓住了安全，就抢占了市场犷

2、张、迭代升级和完善产业链的先机，就奠定了生产模式创新、资源配置优化和产业生态培育的基础。同时，工业互联网以平台为依托，连接海量设备和系统，是工业数据采集、汇聚与分析的载体，是连接工业企业、设备供应商、服务商、开发商以及上下游协作企业的枢纽，安全防线不容有失。一方面，遭受网络攻击不仅单个企业受损，还可延伸至全产业链、全价值链，引发大规模物理设备损坏、生产停滞，影响经济社会的稳定运行。另一方面，工业生产、设计、工艺、经营管理等敏感信息保护不当将损害企业核心利益、影响行业发展，重要工业数据泄露还将导致国家利益受损。安全之挑战工业互联网是继互联网、移动互联网后的“第三张网，由于设备系统的互联、开放平台

3、的引入以及海量数据的交织，打破了工业控制系统原有的封闭和高可靠环境，使线上、线下安全风险叠加放大。筑牢工业控制系统安全（以下简称工控安全）、平台安全和数据安全三道防线，是保障工业互联网安全的关键环节和重要挑战。（如图所示）。（工业互联网安全要素）（一）工控安全工控安全是指接入工业互联网平台的工业生产设备、主机设备、通信设备、智能终端设备的安全，生产过程中的协议、控制装置、控制软件的安全，及其生产控制网、数据采集网、企业管理网等的安全，在工业互联网开放、互联的环境下，工业控制系统设备漏洞易被利用，病毒、木马侵入等工控安全问题更为突出。（二）平台安全平台安全是指工业云基础设施（IaaS）、操作系统

4、（工业PaaS）,应用服务（工业APP）的安全。由于平台用户类型复杂、应用和微服务数量大、种类多、平台面临攻击路径多、攻击手段多样、防护难度大等安全挑战。（三）数据安全数据安全是指工业互联网运行中收集和产生的各类数据资源的安全。工业互联网数据体量大、种类多、流动方向和传递路径较为复杂，且不同领域对数据保护和利用存在较大差异，因此数据安全存在责任主体边界模糊、事件追踪溯源困难、分类分级保护难度大等问题。安全之动向纵观全球，尽管政产学研各界在工业互联网安全方面的努力方兴未艾，但聚焦工业互联网安全体系建设及安全要素的思路可谓不谋而合，为实现工业互联网的安全发展指明了方向。（一）聚焦安全体系建设近年来

5、，具有行业号召力的产业联盟、大型企业等高度重视工业互联网安全体系建设。美国工业互联网联盟（II。出台工业互联网参考体系架构工业物联网安全框架，梳理安全保障需求，分析典型安全问题，并提供安全解决方案。德国工业4.0平台发布工业4.0参考架构模型，提出分层安全管理思路。GE推出工业互联网基础设施安全计划，建议建立整体有效的安全机制。我国工业互联网产业联盟（An）于2016年发布工业互联网体系架构（版本1.0），明确设备、控制、应用、网络、数据五大安全防护对象，2018年发布工业互联网安全框架白皮书，指导工业互联网企业应对新型网络风险。工业互联网安全体系、技术体系构建等方面仍需进一步深入研究。（二）

6、聚焦工控安全美国、德国等发达国家以工控安全为切入点，加强工业互联网设备安全与控制安全。美国国家标准与技术研究所（NlST）发布制造业与工业控制系统安全保障能力评估（草案）制造业网络安全框架简介保障制造业工业控制系统安全：行为异常监测（草案），指导企业开展设备防护和系统评估，做好风险管理。德国工业4.0平台发布工业4.0中的IT安全，指导工业企业加强设备、系统安全等管理。我国通过法律法规、政策文件等对工控安全提出了一系列安全要求。中华人民共和国网络安全法中，规范了网络关键设备和网络安全专用产品测试认证工作。工业控制系统信息安全防护指南对工业企业提出11条安全防护要求。工业控制系统信息安全行动计划

7、（2018-2020年）部署了安全管理、态势感知、安全防护、应急处置、产业发展五大能力提升行动。工控安全政策体系、标准体系、工作体系、技术体系等初步构建。（三）聚焦平台安全国外大型平台企业积极推进安全建设。GE在2016年发布的Predix:工业互联网平台报告中，描述了从隔离用户环境、操作系统安全等方面加强工业互联网平台安全。PTC在ThingWorx平台采用端到端的安全策略，加强网络应用程序、用户和数据安全防护。ABBAbiIity平台与微软合作，通过安全基线、代码审计保证平台设计开发过程中的网络安全，并与安全研究机构合作对平台开展测试、评估和验证，提高平台安全水平。我国在工业互联网发展行动

8、计划（2018-2020年）工业互联网平台建设及推广指南等文件中，多次强调应明确平台安全防护要求、落实企业安全主体责任。工业互联网平台安全要求及评估规范国家标准也已立项研究。国内平台企业普遍认为，在平台建设过程中同步考虑了安全设计，但由于工业互联网安全标准体系尚未建立，安全防护、APP检测等缺乏依据，整体安全解决方案还不成熟，平台用户对平台安全防护信心不足，已成为制约平台发展的重要因素。（四）聚焦数据安全工业互联网相关企业一致认为数据贯穿于工业互联网各环节，是基础性战略资源，保障数据的完整性、保密性、可用性是工业互联网发展的重要前提。国外大型平台企业纷纷加快数据安全布局，GE将数据存储在独立的

9、云空间中，确保用户生产数据不发生泄露。美国HC发布商业视角下的工业互联网安全概况，关注数据管理和云中的数据保护。德国机械及制造商协会发布数据保护和工业4.0，提出工业4.0环境下数据保护安全基线。我国工业互联网平台IaaS层发展成熟度较高，基础设施相对完善，在数据安全方面已具备较为完备的安全解决方案。工业互联网平台PaaS层对工业数据的保护主要依赖于传统的用户鉴权管理，数据加密存储和安全传输能力亟待增强。工业APP开发周期短，迭代频繁，对数据安全考虑不足。工业企业连接平台后未及时升级防护措施，数据保护意识薄弱。安全之未来习近平总书记强调，网络安全工作要因势而谋、应势而动、顺势而为。面对日益复杂

10、的工业互联网安全挑战，亟需以总体国家安全观为指引，以落实企业主体责任为关键，紧紧围绕工业互联网安全发展需求，多维度持续发力，加快形成与工业互联网发展相匹配的安全保障能力。工控安全层面，在已有工作基础上，深入实施工业控制系统信息安全行动计划（2018-2020年），有序推动工控安全态势感知等能力建设，以创建国家新型工业化产业示范基地（工业信息安全）、支持关键工业控制系统产品的研发及产业化应用为抓手，提升工业控制系统本质安全水平。平台安全层面，督促平台企业落实安全主体责任，围绕平台安全特征及虚拟化安全防护需求，在平台建设初期，同步规划、部署和运行安全解决方案。明确平台安全管理责任人，建立健全平台安全运行管理体系，构建事前预警、事中控制、事后消减、评估反馈的制度闭环。数据安全层面，强化数据治理能力，建立数据能力成熟度标准体系，推动贯标和评估工作。需求侧以工业企业、平台企业为突破口，实施工业数据分类分级安全防护，提高数据管理成熟度。供给侧以平台企业、大数据服务企业为主体，提升数据服务质量。