物聯網網絡信息安全生態體系構建新論

劉志誠

（高新興科技集團股份有限公司，廣東廣州 510507）

1 引言

物聯網希望通過萬物互聯實現物理社會與信息化社會的無縫對接，概念不斷延伸和發展，日益成為信息科技第三次革命的核心理念，IPv6使設備的唯一地址容量具備了萬物互聯的基礎，5G等網絡和通信技術的進步，使大容量實時數據的采集和傳輸成為可能；邊緣計算技術等嵌入式終端計算能力的提升，使物聯網的邊緣具備高速計算能力，滿足實時計算指令的控制和執行；云計算和大數據平臺，對流量數據、實時數據的處理能力成冪次規律發展，為物聯網的規模突破限制提供了可能；區塊鏈的分布式共識機制，對跨組織的終端設備、計算資源、應用服務間的鏈接、共享提供了依據；人工智能在機器學習、深度學習算法的發展過程中，在前期的沉寂之后再次進入人類視野，這種海量數據的處置和建模能力為物聯網應用的爆發提供了能量。物聯網在上述技術的推動下，勢必會在可以預見的周期內爆發式增長，推動人類科技的繁榮，改變人類的工作與生活。

物聯網的發展顛覆了傳統信息技術的邊界，帶來了信息技術處理能力和復雜度的高速增長。物聯網在改變人類工作、生活方式的同時，也在改變傳統企業和組織的商業或公共服務的運作模式。物聯網信息資產的歸屬，物聯網業務系統鏈接、交互的結構，信息的產生、傳輸、處理、分享、銷毀的生命周期的管理流程發生了巨大的變化，從單一的信息流變為復雜多變的綜合信息流。相對于傳統的信息系統，因物聯網覆蓋的范圍，對人類影響的程度，業務和技術的復雜性，帶來網絡信息安全方面的挑戰更大，網絡信息安全影響的范圍已經超出信息的泄露，完整性破壞，可用性受損的CIA（機密性、完整性、可用性）范疇。例如，數據采集終端會帶來臟數據，對數據資源進行污染，從而影響人工智能算法的建模和決策，帶來系統的失效和誤判。自動化處置指令終端接受錯誤和惡意的指令，會帶來機器損壞、人類生命受損等影響巨大的社會安全事故。傳統的網絡信息安全防御的模式，通過業務全產業鏈和信息全生命周期的安全措施實施以企業為中心或以業務為中心建立縱深防御機制。面對巨大的挑戰，物聯網業務產業鏈的環境、應用場景、信息化資產的產權和動態調整的復雜性，使傳統單一、靜態的安全機制很難建設并發揮作用。

物聯網支撐技術的進步，業務模式的革新，勢必帶來安全體系的變革，本文通過對物聯網的特征，對網絡信息安全體系構建的影響進行分析，給出構建物聯網網絡信息安全生態體系的建議。

2 物聯網特征分析

2.1 物聯網使信息化轉變為數據化

物聯網使人類從信息化時代到數據化時代，信息化時代受制于信息技術的處理能力制約，信息化系統主要通過領域專家建模建立業務數據模型，根據數據模型設計信息化系統，從而構建集約化的信息化體系，這樣的信息系統受領域專家的能力制約，未必是最優化的信息處理機制。物聯網時代，通過海量傳感器的部署，大量實時流量數據的采集和傳輸存儲，結合人工智能的機器學習、深度學習的發展，自動化建模成為可能，通過自動發現領域業務模型，建立最優化的信息處理機制是未來的發展趨勢。因此，人類從信息化時代過渡到數據化時代，提升了人類信息化水平，改變了未來的業務模式。

2.2 物聯網突破物理與虛擬世界的邊界

物聯網使突破物理世界與虛擬世界成為可能，人類的思維作為虛擬世界的存在，人類對物理世界的改造依賴于物理世界的工具，虛擬世界與物理世界的交互存在工具邊界的限制。通過傳感器實現物理世界數據的采集，通過控制器實現虛擬世界信息對物理世界的控制，小到納米機器人，大到自動駕駛、無人機、特種機器人、工業互聯網，人類物理世界與虛擬世界的邊界，正在不斷的被物聯網所突破與改寫。

2.3 物聯網改變人類生活模式與商業模式

物聯網改變了人類信息獲取和應用的模式，物聯網改變的是人類生活的模式，人類的衣食住行的行為模式，不斷地被顛覆與改變，物聯網在可穿戴設備等醫療領域、自動駕駛，智能家居、智能家電等領域，已經在改變人類的生活方式。物聯網同時也改變了企業的產品和服務的運作模式，產品的生產、存儲、銷售、維護通過產品追溯系統可以對產品進行全生命周期的跟蹤與管理，精細化的數據采集分析，為定制化生產與制造，為產品質量的分析和處理，提供了依據。精細化、定制化、數字化生產與服務，對企業的生產、服務模式，面臨著顛覆式的變革。物聯網的上述特征，已經革命性的深入到人類生存生活的諸多環節，對人類的影響會進一步深入到人類生命的每個細節。

3 物聯網網絡信息安全需求分析

3.1 傳統網絡信息安全需求的繼承

網絡信息安全從要素來看，包含身份，應用和數據，身份是信息化模型中交互實體的唯一標識和認證體系，應用是信息化信息流轉的邏輯，數據是信息化信息運作的原料與結果。身份、應用、數據在信息化系統所在環境的保障機制，是網絡信息安全體系的核心，這個環境主要包含終端、網絡和后臺系統。目前網絡信息安全體系建設過程中有一系列的方法論模型支撐建立起保障體系，包含縱深防御機制、生命周期理論、WPDRCC模型、攻防為中心的理論等。

3.2 網絡信息安全發展的新趨勢

隨著物聯網、大數據、人工智能、云計算、區塊鏈等技術的發展，應用這些技術增強網絡信息安全保障體系建設，提升未知風險與威脅的分析預測與自動化處置的趨勢比較明顯。從發展趨勢背后的思路來看，對信息資產安全屬性進行標準化管理的安全資產希望通過量化解決規模化的復雜性問題，通過分布式合作共享機制實現威脅情報共享是希望通過協同與共享實現安全產業的命運共同體；通過日志和流量大數據的采集利用人工智能機器學習和深度學習算法實現對未知威脅關聯分析的態勢感知，期望數據驅動算法產生智慧來洞察實現未卜先知的能力；結合開發運維一體化技術，利用自動化腳本實現安全運維常態化的安全運營，達到生命周期閉環安全保障體系，是目前網絡信息安全領域不斷演進的創新機制。

3.3 物聯網對網絡新系安全的新挑戰

物聯網網絡信息安全體系建設，既不是照搬傳統的網絡信息安全體系建設，也不是憑空重新設計一套網絡信息安全體系，是對傳統的網絡信息安全體系的傳承與發展。既要看到在網絡信息安全要素、模型、趨勢層面的一致性，又要關注物聯網安全運營面臨的技術挑戰與運營挑戰。

在技術層面，首先要考慮物聯網終端在不同場景下傳感器和控制器處理能力面對的限制，不同的傳感器、芯片、終端，網絡帶寬，控制器與自動化等處理能力均需要做細化的分析與處理。其次，要考慮在技術和運營層面面對的復雜度，物聯網的應用場景微觀到具體醫療健康的個人系統，宏觀到工業互聯網、智慧城市等龐雜體系，終端的種類、操作系統、數量體系的龐大遠超互聯網背景的PC時代和智能手機時代。同樣，為了解決各類場景不同，物聯網業務的網絡的協議也存在非常大的區別和非常多的種類。隨著物聯網模式的發展，已部署終端在不同物聯網應用間的分享，不同物聯網應用之間的組合構建成新的服務與以及服務之間的交互，進一步提升了物聯網業務實現的復雜程度。同時，云計算和邊緣計算以及開放能力平臺的建設和普及，涉及到不同產權主體間的商業服務，對物聯網計算環境的復雜度同樣存在較大的影響。

從安全運營的角度來看，除了上述提到的復雜度的影響，還要考慮構建網絡信息安全體系的能力困境，如何做到物聯網網絡信息安全整體體系每個控制措施的專業化，如何實現不同安全措施之間的有效組合形成體系化，如何把相關安全產品的能力整合實現面向業務的安全服務，都是建設安全能力的巨大挑戰，同時，也要考慮跨組織、跨業務、跨體系的各種設備與安全體系的兼容性，安全措施與物聯網業務體系的互通性。

因此，物理網網絡信息安全體系的建設需要對傳統的網絡信息安全模式進行革命性的創新和變革，才能滿足物聯網發展帶來的物聯網網絡信息安全體系技術挑戰和運營挑戰。

4 物聯網網絡信息安全體系建設解決方案

面對物聯網網絡信息安全體系建設技術和運營層面的挑戰，重點需要解決物聯網業務用戶隱私問題，物聯網業務運營企業的商業機密問題，構建安全能力的專業化、體系化、服務化問題，構建生態安全體系的兼容性和互通性問題。

4.1 智能算法解決隱私問題

用戶在物聯網應用中的隱私問題，需要通過以用戶為中心的隱私數據建模，形成脫敏方案后實現脫敏處理，避免簡單的用戶信息的脫敏導致的用戶信息邏輯推斷導致的數據泄露。基于人工智能的機器學習實現用戶隱私數據建模，需要對用戶數據的全集自動化分析與處理，而這個過程需要以用戶為中心，并且需要保障集中化存儲、分析帶來的數據泄露風險。

4.2 業務與控制數據分離解決商業機密性問題

跨物聯網業務與應用的物聯網采集與控制終端的共享機制，帶來物聯網業務運營企業的商業機密性問題，同質物聯網業務運營企業的商業競爭，物聯網業務運作模式和數據分析，包含大量商業機密，需要避免數據泄露帶來的商業機密泄露風險。因此，需要對終端的管理、控制、運維、安全數據與業務數據分離，通過獨立的第三方通道實現商業機密數據的保護。

4.3 業務與安全解耦解決安全專業化問題

物聯網業務的整體產業鏈決定了物聯網終端產品的生產、部署、運營，物聯網能力平臺的建設、運營，物聯網應用業務的運營分離，產業鏈不同階段可以解決自己階段的網絡信息安全問題，但完整的物聯網業務產業鏈整體的網絡信息安全如何整合以及誰來負最終責任，存在著安全空隙。

因此，物聯網安全勢必分化為物聯網產業鏈的一個關鍵環節，通過物聯網業務與物聯網安全的解耦，由專業的物聯網安全企業解決專業化的安全問題。需要對物聯網業務產業鏈整體網絡信息安全進行體系化的思考場景和需求，從解決單一問題的物聯網安全產品解決方案，到物聯網安全運營服務的解決方案，方能實現物聯網網絡信息安全體系化建設與運營。物聯網網絡信息安全體系需要擺脫傳統的重建設輕運營的模式，重點關注安全體系的應用和運營的完整性、體系化，實現持續服務的能力。

4.4 生態體系協作解決兼容性問題

從單一業務和單一企業的網絡信息安全體系建設模式向物聯網規模化平臺型的網絡信息安全生態體系的建設，需要改變傳統安全企業安全產品單打獨斗，互相設置門檻的競爭思維下的安全業務模式。從相關標準建設，規范化建設出發，協作共贏，實現安全產品的互通，解決兼容性問題。

4.5 創新商業模式實現解決服務運營問題

物聯網網絡信息安全解決方案的復雜性，要求物聯網安全參與企業改變為產品和渠道分離的商業模式。產品模式企業與運營模式企業通過合作共贏，構建物聯網網絡信息安全生態體系。產品型公司重點關注細分的專業領域，通過專業化和產品化努力，建立獨有的優勢。運營型公司關注物聯網網絡信息安全運營能力開放平臺的建設，做好物聯網安全產品型公司與物聯網業務運作鏈參與者之間的橋梁，開放物聯網網絡信息安全應用市場，集成產品型公司的安全產品，通過公正、獨立的第三方運營身份，為用戶、為物聯網終端運營、業務運營、開放能力運營企業與組織提供網絡信息安全服務。

5 結束語

本文結合目前物聯網發展的特征、網絡信息安全發展的趨勢，建議物聯網安全企業做好分工協作，產品型企業關注細分市場，通過專業化、產品化，為物聯網具體網絡信息安全問題提供細節的解決方案，渠道型企業建設公共網絡信息安全服務平臺，承擔商業利益的變現和分配職能，從而實現物聯網網絡信息安全生態體系。

物聯網網絡信息安全生態體系的構建面對物聯網業務產業鏈的技術復雜性和運營復雜性，存在大量待解決的問題，需要在實踐中不斷探索、優化、調整，從而實現最佳的物聯網網絡信息安全生態體系模式。