保駕“新基建”加強工業互聯網安全檢查

近年來，國家決策層提出加快新型基礎設施建設。“新基建”主要指以5G、人工智能、工業互聯網等為代表的新型基礎設施，本質上是信息數字化的基礎設施，支撐傳統產業向網絡化、數字化、智能化方向發展的信息基礎設施。“新基建”包括新一輪的網絡建設以及數據信息相關服務，如大數據中心、云計算中心。“新基建”以信息化為重心，信息和網絡的安全保障，將成為我國“新基建”的核心所在。

工業互聯網作為“新基建”的重要內容，是以互聯網為代表的新一代信息技術與工業系統深度融合形成的新領域、新平臺和新模式，本質是用數據+模型為企業提供服務，以機器、原材料、控制系統、信息系統、產品以及人之間的網絡互聯為基礎，通過對工業數據的全面深度感知、實時傳輸交換、快速計算處理和高級建模分析，實現智能控制、運營優化和生產組織方式變革。我國已經將工業互聯網作為重要基礎設施，為工業智能化提供支撐。2017年，國家出臺工業互聯網頂層規劃；2019年，工業互聯網被寫入《政府工作報告》，工業互聯網逐漸進入實質性落地階段。

“新基建”將有力推動工業互聯網快速發展，其安全問題應該是重中之重。2020年2月，工信部公布年度工業互聯網試點示范項目，網絡、平臺、安全三個層面共81個項目。總體來看，5G、平臺、安全將是工業互聯網行業未來最重要的三大方向。2020年3月，工信部發布了《關于推動工業互聯網加快發展的通知》，明確加快新型基礎設施建設，改造升級工業互聯網內外網絡，促進企業上云上平臺，推動企業加快工業設備聯網上云、業務系統云化遷移，同時要求加快健全安全保障體系，完善安全技術監測體系，以及健全安全工作機制，完善企業安全信息通報處置和檢查檢測機制，對典型平臺、工業企業開展現場檢查和遠程檢測，督促指導企業提升安全水平，對工業APP開展檢測分析，增強APP安全性。

工業互聯網具有開放、互聯、跨域、融合等特點，這是工業互聯網的獨特優勢，也是工業互聯網發展的一個重要前提和基礎。特別是與互聯網相連后，既面臨來自互聯網的外部威脅，又與工業生產等內部安全問題相互交織，屬于融合發展網絡安全新威脅。加強對工業互聯網的網絡安全監管，威脅監測、遠程檢測和現場檢查等常態化安全監管工作應同步進行。

從網絡安全角度看，工業互聯網面臨多種安全挑戰。

一是安全管理的挑戰。隨著我國網絡安全法不斷落實，各個行業都在建設行業內關鍵信息基礎設施，對國計民生產生重大影響。企業規模差距很大，存在大量中小規模的工業企業。很多企業存在重生產、輕安全的老思想，對網絡安全不夠重視，投入不足，管理不完善，人員配備不齊。工業企業與電信運營商和互聯網企業相比，對網絡更加不熟悉，現場人員主要是生產人員，網絡安全意識低、網絡技能差。

二是應用場景豐富，網絡安全威脅多樣。工業企業覆蓋面廣，除了計算機、通信等傳統IT行業，還包括鐵路和航天等運輸設備制造業、汽車制造業、通用設備制造業、電器機械和器材、輕工業、土木工程等范圍廣泛的行業，覆蓋生產行業的方方面面，各個行業都有不同的工業互聯網應用場景。工業互聯網使工業生產企業的對外網絡交互大大增加，5G等新通信技術賦能工業互聯網，也極大豐富了工業互聯網應用場景，同時也導致工業互聯網網絡結構和邊界復雜，引入大量新的安全風險。如在網絡隔離方面，邊緣計算的隔離檢查不足，缺乏合理的控制策略等。

三是數據安全問題凸顯。一方面企業對數據資產的管理經驗不足，在5G等新技術加持下，企業產生的數據量會極大地增加，在以往的挑戰還沒有充分解決的情況下，數據管理成為新的挑戰。此外，由于網絡化及上云，人工智能、數據分析等融合發展，使消費端和生產端的聯系從所未有的緊密，企業與外界的數據流通較以往更加頻繁，但很多企業在數據安全防護方面沒有做好充分的準備。

防范風險，安全先行，為確保工業互聯網相關企業做好網絡安全工作，建議主管部門進一步加強對工業互聯網的安全監督檢查，從現場檢查、遠程檢測等方面入手，建議重點關注以下要點。

一是強化網絡安全管理。網絡安全重在管理，對網絡安全管理監督檢查以現場檢查為主，輔以監管平臺信息收集和企業相關情況報送。主要注重企業是否具有完備的網絡安全管理體系，是否建立了統一的安全管理機構，明確安全主體責任，是否明確了相關崗位職責，是否配備了足夠的安全人員，是否制定了完備的安全制度體系，是否按規定落實各項管理制度等方面。

二是加強安全防護。安全防護需要技術措施和管理并重，既要技術措施到位，又要日常運維管理嚴格落地。對安全防護的監督檢查，可以通過現場檢查和常態化遠程檢測相結合的方式，重點包括生產設備安全、生產過程控制安全、網絡安全、平臺和應用安全等方面。檢查內容包括防護設備是否到位，安全策略是否完備，運營維護是否嚴密，是否存在安全漏洞等。

三是確保數據安全。工業互聯網連接生產、流通、消費各環節，促進數據流動，必須采取措施確保數據安全。對工業互聯網數據安全監督檢查必須持續進行。重點內容包括數據安全管理制度的完善和落實，數據資產的梳理和數據分級分類；數據收集、處理、存儲、共享、銷毀等全生命周期的安全防護措施；個人信息保護措施；數據出境安全評估等。