為工業(yè)互聯(lián)網(wǎng)系上“安全帶”

工業(yè)互聯(lián)網(wǎng)作為賦能制造業(yè)轉(zhuǎn)型升級(jí)的關(guān)鍵支撐，被寫(xiě)入2019年政府工作報(bào)告，迎來(lái)發(fā)展的戰(zhàn)略窗口期。面對(duì)新技術(shù)新業(yè)態(tài)新模式帶來(lái)的新挑戰(zhàn)，如何筑牢工業(yè)互聯(lián)網(wǎng)安全屏障，成為能否實(shí)現(xiàn)安全與發(fā)展雙輪并進(jìn)、保障制造強(qiáng)國(guó)和網(wǎng)絡(luò)強(qiáng)國(guó)建設(shè)、決勝新一輪工業(yè)革命的時(shí)代課題。安全之定位習(xí)近平總書(shū)記指出，安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進(jìn)。《國(guó)務(wù)院關(guān)于深化“互聯(lián)網(wǎng)+先進(jìn)制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導(dǎo)意見(jiàn)》也將“安全”定位于工業(yè)互聯(lián)網(wǎng)的三大功能體系之一，突出強(qiáng)調(diào)了工業(yè)互聯(lián)網(wǎng)安全保障的基礎(chǔ)性、前提性、戰(zhàn)略性地位。離開(kāi)安全談高質(zhì)量發(fā)展是無(wú)源之水、無(wú)本之木。對(duì)于發(fā)展?jié)摿薮蟮墓I(yè)互聯(lián)網(wǎng)而言，抓住了安全，就搶占了市場(chǎng)擴(kuò)張、迭代升級(jí)和完善產(chǎn)業(yè)鏈的先機(jī)，就奠定了生產(chǎn)模式創(chuàng)新、資源配置優(yōu)化和產(chǎn)業(yè)生態(tài)培育的基礎(chǔ)。同時(shí)，工業(yè)互聯(lián)網(wǎng)以平臺(tái)為依托，連接海量設(shè)備和系統(tǒng)，是工業(yè)數(shù)據(jù)采集、匯聚與分析的載體，是連接工業(yè)企業(yè)、設(shè)備供應(yīng)商、服務(wù)商、開(kāi)發(fā)商以及上下游協(xié)作企業(yè)的樞紐，安全防線不容有失。一方面，遭受網(wǎng)絡(luò)攻擊不僅單個(gè)企業(yè)受損，還可延伸至全產(chǎn)業(yè)鏈、全價(jià)值鏈，引發(fā)大規(guī)模物理設(shè)備損壞、生產(chǎn)停滯，影響經(jīng)濟(jì)社會(huì)的穩(wěn)定運(yùn)行。另一方面，工業(yè)生產(chǎn)、設(shè)計(jì)、工藝、經(jīng)營(yíng)管理等敏感信息保護(hù)不當(dāng)將損害企業(yè)核心利益、影響行業(yè)發(fā)展，重要工業(yè)數(shù)據(jù)泄露還將導(dǎo)致國(guó)家利益受損。安全之挑戰(zhàn)工業(yè)互聯(lián)網(wǎng)是繼互聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)后的“第三張網(wǎng)”，由于設(shè)備系統(tǒng)的互聯(lián)、開(kāi)放平臺(tái)的引入以及海量數(shù)據(jù)的交織，打破了工業(yè)控制系統(tǒng)原有的封閉和高可靠環(huán)境，使線上、線下安全風(fēng)險(xiǎn)疊加放大。筑牢工業(yè)控制系統(tǒng)安全(以下簡(jiǎn)稱工控安全)、平臺(tái)安全和數(shù)據(jù)安全三道防線，是保障工業(yè)互聯(lián)網(wǎng)安全的關(guān)鍵環(huán)節(jié)和重要挑戰(zhàn)。(如圖所示)。（工業(yè)互聯(lián)網(wǎng)安全要素）(一)工控安全工控安全是指接入工業(yè)互聯(lián)網(wǎng)平臺(tái)的工業(yè)生產(chǎn)設(shè)備、主機(jī)設(shè)備、通信設(shè)備、智能終端設(shè)備的安全，生產(chǎn)過(guò)程中的協(xié)議、控制裝置、控制軟件的安全，及其生產(chǎn)控制網(wǎng)、數(shù)據(jù)采集網(wǎng)、企業(yè)管理網(wǎng)等的安全，在工業(yè)互聯(lián)網(wǎng)開(kāi)放、互聯(lián)的環(huán)境下，工業(yè)控制系統(tǒng)設(shè)備漏洞易被利用，病毒、木馬侵入等工控安全問(wèn)題更為突出。(二)平臺(tái)安全平臺(tái)安全是指工業(yè)云基礎(chǔ)設(shè)施(IaaS)、操作系統(tǒng)(工業(yè)PaaS)、應(yīng)用服務(wù)(工業(yè)APP)的安全。由于平臺(tái)用戶類型復(fù)雜、應(yīng)用和微服務(wù)數(shù)量大、種類多、平臺(tái)面臨攻擊路徑多、攻擊手段多樣、防護(hù)難度大等安全挑戰(zhàn)。(三)數(shù)據(jù)安全數(shù)據(jù)安全是指工業(yè)互聯(lián)網(wǎng)運(yùn)行中收集和產(chǎn)生的各類數(shù)據(jù)資源的安全。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)體量大、種類多、流動(dòng)方向和傳遞路徑較為復(fù)雜，且不同領(lǐng)域?qū)?shù)據(jù)保護(hù)和利用存在較大差異，因此數(shù)據(jù)安全存在責(zé)任主體邊界模糊、事件追蹤溯源困難、分類分級(jí)保護(hù)難度大等問(wèn)題。安全之動(dòng)向縱觀全球，盡管政產(chǎn)學(xué)研各界在工業(yè)互聯(lián)網(wǎng)安全方面的努力方興未艾，但聚焦工業(yè)互聯(lián)網(wǎng)安全體系建設(shè)及安全要素的思路可謂不謀而合，為實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)的安全發(fā)展指明了方向。(一)聚焦安全體系建設(shè)近年來(lái)，具有行業(yè)號(hào)召力的產(chǎn)業(yè)聯(lián)盟、大型企業(yè)等高度重視工業(yè)互聯(lián)網(wǎng)安全體系建設(shè)。美國(guó)工業(yè)互聯(lián)網(wǎng)聯(lián)盟(IIC)出臺(tái)《工業(yè)互聯(lián)網(wǎng)參考體系架構(gòu)》《工業(yè)物聯(lián)網(wǎng)安全框架》，梳理安全保障需求，分析典型安全問(wèn)題，并提供安全解決方案。德國(guó)工業(yè)4.0平臺(tái)發(fā)布《工業(yè)4.0參考架構(gòu)模型》，提出分層安全管理思路。GE推出工業(yè)互聯(lián)網(wǎng)基礎(chǔ)設(shè)施安全計(jì)劃，建議建立整體有效的安全機(jī)制。我國(guó)工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟(AII)于2016年發(fā)布《工業(yè)互聯(lián)網(wǎng)體系架構(gòu)(版本1.0)》，明確設(shè)備、控制、應(yīng)用、網(wǎng)絡(luò)、數(shù)據(jù)五大安全防護(hù)對(duì)象，2018年發(fā)布《工業(yè)互聯(lián)網(wǎng)安全框架白皮書(shū)》，指導(dǎo)工業(yè)互聯(lián)網(wǎng)企業(yè)應(yīng)對(duì)新型網(wǎng)絡(luò)風(fēng)險(xiǎn)。工業(yè)互聯(lián)網(wǎng)安全體系、技術(shù)體系構(gòu)建等方面仍需進(jìn)一步深入研究。(二)聚焦工控安全美國(guó)、德國(guó)等發(fā)達(dá)國(guó)家以工控安全為切入點(diǎn)，加強(qiáng)工業(yè)互聯(lián)網(wǎng)設(shè)備安全與控制安全。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)發(fā)布《制造業(yè)與工業(yè)控制系統(tǒng)安全保障能力評(píng)估(草案)》《制造業(yè)網(wǎng)絡(luò)安全框架簡(jiǎn)介》《保障制造業(yè)工業(yè)控制系統(tǒng)安全：行為異常監(jiān)測(cè)(草案)》，指導(dǎo)企業(yè)開(kāi)展設(shè)備防護(hù)和系統(tǒng)評(píng)估，做好風(fēng)險(xiǎn)管理。德國(guó)工業(yè)4.0平臺(tái)發(fā)布《工業(yè)4.0中的IT安全》，指導(dǎo)工業(yè)企業(yè)加強(qiáng)設(shè)備、系統(tǒng)安全等管理。我國(guó)通過(guò)法律法規(guī)、政策文件等對(duì)工控安全提出了一系列安全要求?！吨腥A人民共和國(guó)網(wǎng)絡(luò)安全法》中，規(guī)范了網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品測(cè)試認(rèn)證工作?！豆I(yè)控制系統(tǒng)信息安全防護(hù)指南》對(duì)工業(yè)企業(yè)提出11條安全防護(hù)要求?！豆I(yè)控制系統(tǒng)信息安全行動(dòng)計(jì)劃(2018-2020年)》部署了安全管理、態(tài)勢(shì)感知、安全防護(hù)、應(yīng)急處置、產(chǎn)業(yè)發(fā)展五大能力提升行動(dòng)。工控安全政策體系、標(biāo)準(zhǔn)體系、工作體系、技術(shù)體系等初步構(gòu)建。(三)聚焦平臺(tái)安全國(guó)外大型平臺(tái)企業(yè)積極推進(jìn)安全建設(shè)。GE在2016年發(fā)布的《Predix：工業(yè)互聯(lián)網(wǎng)平臺(tái)》報(bào)告中，描述了從隔離用戶環(huán)境、操作系統(tǒng)安全等方面加強(qiáng)工業(yè)互聯(lián)網(wǎng)平臺(tái)安全。PTC在ThingWorx平臺(tái)采用端到端的安全策略，加強(qiáng)網(wǎng)絡(luò)應(yīng)用程序、用戶和數(shù)據(jù)安全防護(hù)。ABBAbility平臺(tái)與微軟合作，通過(guò)安全基線、代碼審計(jì)保證平臺(tái)設(shè)計(jì)開(kāi)發(fā)過(guò)程中的網(wǎng)絡(luò)安全，并與安全研究機(jī)構(gòu)合作對(duì)平臺(tái)開(kāi)展測(cè)試、評(píng)估和驗(yàn)證，提高平臺(tái)安全水平。我國(guó)在《工業(yè)互聯(lián)網(wǎng)發(fā)展行動(dòng)計(jì)劃(2018-2020年)》《工業(yè)互聯(lián)網(wǎng)平臺(tái)建設(shè)及推廣指南》等文件中，多次強(qiáng)調(diào)應(yīng)明確平臺(tái)安全防護(hù)要求、落實(shí)企業(yè)安全主體責(zé)任?！豆I(yè)互聯(lián)網(wǎng)平臺(tái)安全要求及評(píng)估規(guī)范》國(guó)家標(biāo)準(zhǔn)也已立項(xiàng)研究。國(guó)內(nèi)平臺(tái)企業(yè)普遍認(rèn)為，在平臺(tái)建設(shè)過(guò)程中同步考慮了安全設(shè)計(jì)，但由于工業(yè)互聯(lián)網(wǎng)安全標(biāo)準(zhǔn)體系尚未建立，安全防護(hù)、APP檢測(cè)等缺乏依據(jù)，整體安全解決方案還不成熟，平臺(tái)用戶對(duì)平臺(tái)安全防護(hù)信心不足，已成為制約平臺(tái)發(fā)展的重要因素。(四)聚焦數(shù)據(jù)安全工業(yè)互聯(lián)網(wǎng)相關(guān)企業(yè)一致認(rèn)為數(shù)據(jù)貫穿于工業(yè)互聯(lián)網(wǎng)各環(huán)節(jié)，是基礎(chǔ)性戰(zhàn)略資源，保障數(shù)據(jù)的完整性、保密性、可用性是工業(yè)互聯(lián)網(wǎng)發(fā)展的重要前提。國(guó)外大型平臺(tái)企業(yè)紛紛加快數(shù)據(jù)安全布局，GE將數(shù)據(jù)存儲(chǔ)在獨(dú)立的云空間中，確保用戶生產(chǎn)數(shù)據(jù)不發(fā)生泄露。美國(guó)IIC發(fā)布《商業(yè)視角下的工業(yè)互聯(lián)網(wǎng)安全概況》，關(guān)注數(shù)據(jù)管理和云中的數(shù)據(jù)保護(hù)。德國(guó)機(jī)械及制造商協(xié)會(huì)發(fā)布《數(shù)據(jù)保護(hù)和工業(yè)4.0》，提出工業(yè)4.0環(huán)境下數(shù)據(jù)保護(hù)安全基線。我國(guó)工業(yè)互聯(lián)網(wǎng)平臺(tái)IaaS層發(fā)展成熟度較高，基礎(chǔ)設(shè)施相對(duì)完善，在數(shù)據(jù)安全方面已具備較為完備的安全解決方案。工業(yè)互聯(lián)網(wǎng)平臺(tái)PaaS層對(duì)工業(yè)數(shù)據(jù)的保護(hù)主要依賴于傳統(tǒng)的用戶鑒權(quán)管理，數(shù)據(jù)加密存儲(chǔ)和安全傳輸能力亟待增強(qiáng)。工業(yè)APP開(kāi)發(fā)周期短，迭代頻繁，對(duì)數(shù)據(jù)安全考慮不足。工業(yè)企業(yè)連接平臺(tái)后未及時(shí)升級(jí)防護(hù)措施，數(shù)據(jù)保護(hù)意識(shí)薄弱。安全之未來(lái)習(xí)近平總書(shū)記強(qiáng)調(diào)，網(wǎng)絡(luò)安全工作要因勢(shì)而謀、應(yīng)勢(shì)而動(dòng)、順勢(shì)而為。面對(duì)日益復(fù)雜的工業(yè)互聯(lián)網(wǎng)安全挑戰(zhàn)，亟需以總體國(guó)家安全觀為指引，以落實(shí)企業(yè)主體責(zé)任為關(guān)鍵，緊緊圍繞工業(yè)互聯(lián)網(wǎng)安全發(fā)展需求，多維度持續(xù)發(fā)力，加快形成與工業(yè)互聯(lián)網(wǎng)發(fā)展相匹配的安全保障能力。工控安全層面，在已有工作基礎(chǔ)上，深入實(shí)施《工業(yè)控制系統(tǒng)信息安全行動(dòng)計(jì)劃(2018-2020年)》，有序推動(dòng)工控安全態(tài)勢(shì)感知等能力建設(shè)，以創(chuàng)建國(guó)家新型工業(yè)化產(chǎn)業(yè)示范基地(工業(yè)信息安全)、支持關(guān)鍵工業(yè)控制系統(tǒng)產(chǎn)品的研發(fā)及產(chǎn)業(yè)化應(yīng)用為抓手，提升工業(yè)控制系統(tǒng)本質(zhì)安全水平。平臺(tái)安全層面，督促平臺(tái)企業(yè)落實(shí)安全主體責(zé)任，圍繞平臺(tái)安全特征及虛擬化安全防護(hù)需求，在平臺(tái)建設(shè)初期，同步規(guī)劃、部署和運(yùn)行安全解決方案。明確平臺(tái)安全管