筑盾工業互聯網安全．護航高質量發展大計

楊建軍

伴隨著互聯網、大數據、人工智能與實體經濟的深度融合，以工業互聯網為典型代表的新一輪科技革命正不斷重構產業發展格局。工業互聯網繼承了傳統互聯網的實體低成本連接、信息高效率流通等特點，同時又在體系結構、傳輸內容、網絡邊緣等方面具有自身特色，承載著助力制造業高質量發展、經濟社會創新發展的新使命，是推動“制造強國”和“網絡強國”建設的關鍵支撐。但同時我們也應清醒地認識到，目前其發展仍處于探索過程中，還有很多不成熟、不完善之處，其中網絡安全問題便是面臨的新挑戰之一。傳統互聯網安全保障體系已難以完全應對新時代需求，亟需從制度機制、技術手段、數據保護和產業發展等方面人手，加快構建涵蓋設備安全、控制安全、網絡安全、平臺安全和數據安全的工業互聯網多層次安全保障體系，為“兩個強國”戰略實施提供堅實保障。

網絡安全保障能力建設迫在眉睫

工業互聯網具有傳統信息系統和工業控制系統的雙重屬性，在其快速發展推進過程中，面臨各種疊加安全風險的威脅。

工業互聯網具有傳統信息系統和工業控制系統的雙重屬性，在其快速發展推進過程中，面臨各種疊加安壘風險的威脅。當前工業互聯網安全保障能力建設還存在一些突出問題，主要表現在：一是工業互聯網安全技術手段不足。早期的工業控制系統在相對獨立的網絡環境下運行，產線規劃只考慮功能性和穩定性，對網絡安全性要求較低。隨著工業設備聯網數量越來越多，通過互聯網對工業控制系統宴施攻擊的可能性越來越高，傳統工業控制系統和新興工業互聯網平臺安壘技術手段不足的短板越來越凸顯。二是工業互聯網安全責任落實尚不夠明確。工業互聯網覆蓋行業廣泛、平臺種類繁多、服務類型豐富、涉及企業眾多，目前尚未完全落實主管部門、平臺企業和工業企業等的責任分工。主管部門應履行安全監督管理職責，平臺企業應明確在工業互聯網安全保障方面的責任和義務，工業企業應明確關鍵設備和數據資產，并在接人平臺前開展安全風險測評。三是工業互聯網安全管理制度缺失。當前我國陸續出臺《關于深化“互聯網+先進制造業”發展工業互聯網的指導意見》《工業互聯網發展行動計劃（2018-2020年）》等文件，為工業互聯網發展提供頂層政策指導，但工業互聯網企業在實際開展平臺安全設計、建設、運維等活動中，仍然存在安全管理活動缺乏統籌規劃、相關部門組織間協調不暢、安全管理制度建設嚴重滯后等問題。四是工業互聯網安全標準體系亟需完善。目前，我國網絡安全標準體系已較為成熟，但針對工業互聯網安全的專門的標準體系尚待完善，已立項研制《信息安全技術工業互聯網平臺安全要求及評估規范》《信息安全技術可編程邏輯控制器（PLC）安全技術要求和測試評價方法》等國家標準，但安全接人、數據保護、平臺防護等關鍵技術、管理標準仍然存在缺失。在面對工業互聯網安全防護和攻擊入侵事件時，工業企業和平臺企業缺乏統一標準要求，無法形成系統、全面的工業互聯網安全保障體系。為實現“制定至少20項亟需的工業互聯網安全標準”的目標，急需加快行標、國標的研制立項工作。

加快構建層次化的安全保障體系

《指導意見》不僅是工業互聯網安全工作的綱領性指引，更是強化安全保障體系建設、各部門協同發力的重要舉措。

日前，工業和信息化部聯合教育部、人力資源和社會保障部、生態環境部、國家衛生健康委員會、應急管理部、國有資產監督管理委員會、國家市場監督管理總局、國家能源局、國防科技工業局等十部委共同印發了《關于加強工業互聯網安全工作的指導意見》（以下簡稱《指導意見》），明確提出了構建工業互聯網安全保障體系的總體要求、主要任務以及保障措施，指出要按照《國務院關于深化“互聯網+先進制造業”發展工業互聯網的指導意見》有關要求，圍繞設備、控制、網絡、平臺、數據安全，落實企業主體責任、政府監管責任，健全制度機制，建設技術手段，促進產業發展，強化人才培育，構建責任清晰、制度健全、技術先進的工業互聯網安全保障體系。《指導意見》不僅是工業互聯網安全工作的綱領性指引，更是強化安全保障體系建設、各部門協同發力的重要舉措，為切實推進當前工業互聯網安全工作指明了方向。

在制度機制方面，我們應加強頂層設計，出臺工業互聯網安全指導性文件，建立健全監督檢查、信息共享和通報、應急處置等工業互聯網安全管理制度，明確企業主體安全責任;建立分類分級管理機制，制定工業互聯網行業企業分類分級指南，對重點企業實施差異化管理;發揮標準規范引導作用，編制工業互聯網安全標準體系建設指南，加快制定設備、平臺、數據等層面亟需的工業互聯網安全標準;針對工業互聯網平臺企業、工業生產企業、工業APP和聯網設備開展安全能力評估和認證，探索構建工業互聯網設備、網絡和平臺的安全評估認證體系。

在技術手段方面，應加快建設國家、省、企業三級協同的工業互聯網安全技術保障體系，包括國家工業互聯網安全技術保障平臺、安全基礎資源庫和安全測試驗證環境等共性支撐基礎，提升工業互聯網安全綜臺管理和保障能力;針對標識解析系統、工業互聯網平臺、工業控制系統、工業大數據等方面的安全需求，要加強攻擊防護、漏洞挖掘、態勢感知、安全審計、可信芯片等關鍵技術及安全產品的研發攻關力度，強化設備、控制系統、網絡設施、平臺和工業APP等安全保障，建立與產業發展相匹配的核心安全技術能力。

在數據保護方面，應規劃建立工業互聯網壘產業鏈數據安全管理體系，明確數據收集、存儲、處理、轉移、刪除等壘生命周期各環節的安全保護要求，提升企業在數據防竊密、防篡改和數據備份等方面的安全防護能力，鼓勵商用密碼應用于工業互聯網數據保護工作;建立工業互聯網數據分級分類管理制度，形成數據流動管理機制，明確數據留存、數據泄露通報要求，加強工業互聯網重要數據安全監測和管理，有效提升工業整體性數據安全能力，在實踐中逐步形成健全的數據安全保護體系。

在產業發展方面，應整合行業資源，依托國家級、省級網絡安全產業園等形式，發揮市場主體作用，打造產學研用協同創新發展平臺，培育一批具有核心競爭力的工業互聯網安全企業，形成工業互聯網安全對外展示和市場服務能力。針對汽車、電子、航空航天、船舶、能源等重點領域，研發創新實用的安全產品并形成整體安全解決方案，組織開展工業互聯網安全試點示范，遴選優秀安全解決方案和最佳實踐，并加以應用推廣，提升行業整體安全保障服務能力。

全面落實工業互聯網安全各項任務部署

建議從“放管服”改革、標準化服務、保障措施落實、明確安全責任等方面綜合施策，加快提升我國工業互聯網安全保障能力水平。

根據《指導意見》的總體部署要求，結合當前我國工業互聯網安全現狀，建議從“放管服”改革、標準化服務、保障措施落實、明確安全責任、強化人才培養等方面綜合施策，加快提升我國工業互聯網安全保障能力水平：

一是落實“放管服”改革，激發企業自主安全意識，去行政化管理，以標準化服務提供安全保障。深刻總結網絡安全監管行政命令模式的不足與弊端，切實以深化“放管服”改革思想為實踐指導，激發企業做好工業互聯網安全工作的自主意識，圍繞工業互聯網的安全防護、檢測、響應、恢復、預警、追蹤、測評、認定等實際市場需求，建設完善管理機制，形成對應的技術標準、實施指南、示范案例，為產業界提供包括標識解析系統安全、終端安全、邊界安全、平臺安全、數據安全、工業云安全在內的標準化、體系化服務支撐。

二是強化網絡安全保障“全國一盤棋”的整體觀思想認識，落實保障措施及安全責任，力戒“形式主義”防護。借鑒傳統互聯網安壘治理經驗，統籌好生態環境、衛生健康、能源、國防科工、應急管理等部門職責分工，在各行業、各領域、各地區內各司其職、協同配合，做好指導與監管工作，各級監督檢查要能夠真正發現問題、查清問題，切實幫助企業進行整改，提升安全保障硬實力;同時，企業自身要提升思想認識，切實將工業互聯網安全防護措施部署到位，將安全責任合理的落實到人，優化安全管理結構及技術方案，避免安全防護手段流于“形式化”“走過場”。

三是加快從建設規劃、運維保障、監督檢查三個方面同步強化人才培養工作，實現安全工作“提質增效”。在網絡安全領域，我國一直面臨專業人才總量不足、高端復合型人才嚴重匱乏的局面，無法滿足市場實際需求。工業互聯網的安全建設規劃、運營后的安全運維保障、主管部門的依法依規安全監管都要靠八去執行，可見網絡安全人才培養的數量和質量直接關系到工業互聯網安全工作的實施效果。為此應加大網絡安全專業高校普及培養工作，以產教融合、校企合作、安全演練、安全競賽等更多樣化的形式為專業人才培養提速，同時要適時打造高端專家智庫，共同為工業互聯網安全工作出謀劃策、保駕護航。

百度近期宣布戰略投資大連東軟控股有限公司（以下簡稱“東軟控股”），投資金額總計14.43億元，雙方達成戰略合作伙伴關系，將在智能城市、智能教育、智能醫療等關鍵領域推進產業智能化變革，同時，百度CTO王海峰將出任東軟控股董事。而在此前的3月1日，百度宣布以5.5億元收購漢得信息5.26%的股權，兩家達成戰略協議，共同拓展工業制造、金融、教育、醫療等領域的機會，具體落地的是百度2B的核心業務——百度ABC智能云。百度為何注資東軟、漢得？東軟、漢得之后，百度還有可能再投資誰？未來百度的2B之路會怎么走？