工業互聯網安全建設的探討

◆楊鴻深

工業互聯網安全建設的探討

◆楊鴻深

（山西省數字化轉型促進中心 山西 030002）

工業互聯網的發展帶來不同于傳統信息系統的安全挑戰，本文從工業互聯網平臺、網絡、數據特點分析出發，以政府管理部門和企業的角度，從政策規范、標準制定、架構設計等各方面提出新的建設思路。

工業互聯網；安全；建設

伴隨著新一代信息技術與工業領域加速滲透融合，工業企業經歷了從單臺制造、機電一體化、產供銷信息化、MES、ERP等數字化的多個關鍵階段，部分企業工業轉型征途已進入智能化時代。近幾年，物聯網、5G技術飛速發展，推動按需制造、社會化協作為目標的工業互聯網成為行業方向和焦點。

工業互聯網核心是工業數據的流動價值。工業互聯網應用新一代信息通信技術，建設連接工業全要素全產業鏈的網絡，實現海量工業數據的實時采集、廣泛流轉和精準分析，支撐業務科學決策，高效配置制造資源，推動上下游產業聯動。工業互聯網平臺提供數據存儲、管理、呈現、分析、建模及應用開發環境，匯聚生產制造企業、產業鏈上下游以及第三方設計開發單位。工業互聯網的健康發展，對我國制造業數字化轉型升級，提升國際競爭力極具戰略意義，將極大賦能產業融合和經濟結構優化，提升資源配置效率，助推我國從制造業大國向制造業強國邁進。

工業互聯網網絡基礎、平臺中樞、數據要素的安全保障要求更高，是需要更加體系化、系統化、全局化推進的復雜系統工程。工業互聯網平臺為數據提供自由流轉支撐，是鏈接工業全要素、全產業鏈的樞紐，是推動制造資源高效配置的核心。平臺通過網絡擴展上至互聯網、移動互聯，下至生產控制層PLC、RTU工控網絡。應用覆蓋客戶、管理層、市場、生產制造多個環節。節點部署可以集中云計算、私有云、邊緣計算等多個邊界，其網絡安全要求超出傳統信息系統的框架范圍。傳統網絡信息安全體系已積累豐富的管理建設經驗，相關物理環境、主機、網絡、數據、應用、云平臺安全等維度基礎要求明確，各類標準、監管有法可依。但在面對連接廣泛、參與方眾多、數據權屬復雜的工業互聯網，業界各方都在摸索階段。亟須創新適應時代發展規律的系統化新理論和新方法，相關部門需要未雨綢繆，抓緊研究制定工業互聯網安全發展戰略規劃，構建行之有效的體系架構和方法機制，加強對工業互聯網安全發展的戰略指導、制度設計、政策支撐，為工業互聯網的健康發展營造良好的條件。

面對機遇和挑戰，需要對工業互聯網平臺的安全建設增加新維度、提高新視角、提出新要求：

1 基于時間敏感的微服務結構——邊緣計算安全設計新維度

工業互聯網的數據采集結構是為了更廣連接、更低時延、更大流量和更好控制，在靠近生產設備的數據采集源頭會產生大量的數據，數據如果都上傳到云端進行處理，會對云端造成巨大的壓力。為分擔中心云節點的壓力，在數據采集層需要部署邊緣計算節點，節點可以負責一定范圍內的數據計算和存儲工作。

大多數的數據并不是一次性數據，那些經過處理的數據仍需要從邊緣節點匯聚集中到云平臺，云計算做大數據分析挖掘、數據共享，同時進行算法模型的訓練和升級，升級后的算法推送到前端，使前端設備更新和升級，完成自主學習閉環。這些數據同時也有備份的需要，當邊緣計算過程中出現意外情況，存儲在云端的數據也不會丟失。

系統開發的初始階段，為了驗證效果，容易把精力放在應用操作的實現上，而忽視安全性問題。后來再想要實施安全措施的時候，就會發生成本方面的問題所導致的措施做得不到位的情況。邊緣計算節點和生產單元的數據采集設備一般在不易變動的車間環境下運行，一旦把這樣的設備連接到網絡，就會面臨想象不到的安全風險，因此需要從設計階段就著手推進安全性設計。

邊緣計算客戶端越智能，越容易受到惡意軟件感染和安全漏洞攻擊，同時邊緣節點具有工控網絡協議的安全隱患，網絡拓撲中位置更低，擁有更小的網絡延遲，反應性更強。相比較云平臺的構成單位—數據中心，邊緣節點數量龐大、地域分布廣泛。由于計算資源有限，現有數據安全保護方法并不能完全適用于邊緣計算架構，諸如賬號密碼等敏感資料安全存儲、微服務安全通訊，都需要尋求新的解決思路。

邊緣側是融合網絡、計算、存儲、應用核心能力的開放平臺，就近提供邊緣智能服務，滿足敏捷連接、實時業務、數據優化、應用智能、安全與隱私保護等多方面的關鍵需求。邊緣計算的分布式架構增加了攻擊向量的維度，服務訪問的安全控制要求更高。其信息安全的自身特點需要對感知層上傳的以及從其他異構網絡接收的數據進行處理（異構網絡數據處理本身就是個難題），將處理后的數據考慮進行加密和認證，并將已加密和認證的數據上傳至上一層。邊緣計算節點和采集點的設備繁雜，主要是各種制式的無線傳輸設備，且普遍要求體積小、功耗低、效率高，由于上述原因，這一層的密碼算法，包括認證算法、加密算法、Hash算法、隨機數生成算法等等均應采用既要保證足夠強度、又必須是輕量級的密碼算法。同時，這一層設備的嵌入式系統設計和實現也具有相當難度。

2 多方數據資源共享交換的安全保障新視角

重視工業互聯網全產業鏈數據資源的私有性和安全保障，發揮工業數據流動的市場價值，就要保護數據主體權利不受損害。產業鏈的數據整合要設計生態體系的價值互利機制，針對跨行業跨領域綜合型平臺、面向重點行業和區域的特色型平臺和面向特定技術領域的專業型平臺，在開展大數據、人工智能的深度應用同時，完善監管體系，明確數字版權新興領域等方面規則，考慮通過市場價值分享來避免數據權屬爭議。處理信息和重要數據的目的應當合法、具體、明確，以約定的目標、范圍和方式使用數據，在推動“挖掘機指數”、“空壓機指數”等新型經濟運行指標創新的前提下，要考慮不影響數據主體所有權的情況下交易數據的使用權。

工業互聯網建設中不涉及敏感或秘密領域的工業數據。當關聯數據增加或數據量發生變化時，這些數據將會變得敏感或秘密，就需要進行信息安全保護。如礦產資源類的工業互聯網應用，其傳感器網絡提取到的地質、開采量、污染等等方面的數據，當數據由少量變為海量、靜態變為動態、離散變為連續、孤立變為關聯、模糊變為精確、局部變為全局時，數據的密級則發生重大變化，數據已經具有很高的分析、綜合和預測價值，是一種重要的資產，至少是商業秘密，部分數據更是國家的重要秘密和戰略資源。

3 工業互聯網平臺建設的頂層安全機制新要求

傳統信息系統的數據中心架構目前正逐步向云計算方向遷移，其信息安全保護措施（諸如網絡防火墻、入侵檢測、統一安全網關、VPN、網絡審計、服務器加固和防病毒、操作系統加固、終端審計和防病毒等等）均有一定的技術經驗積累，相關管理水平相對成熟，但構建在物聯網、5G技術、大數據基礎上的工業互聯網安全建設內容又進一步延伸，主管部門需要未雨綢繆，盡早系統化建立安全技術防護標準體系。完善工業互聯網的安全生產感知、監測、預警、處置及評估體系，建設匯聚安全漏洞、惡意代碼、勒索病毒等信息的國家工業互聯網安全漏洞庫、工具集，開展PLC、RTU等重要工控設備、工業互聯網平臺、工業APP動態安全檢測評估工作。完善涵蓋工業協議、設備指紋、IP/域名、標識解析系統等基礎資源庫，為推進工業互聯網深入開展打好基礎。

建立企業網絡安全主體責任制，督促企業完善網絡安全管理體系。實施工業互聯網企業網絡安全分類分級管理制度，明確企業安全責任要求和標準規范。滿足逐級負責的監督管理要求，建立屬地重點聯網工業企業清單和重要數據保護目錄。加強企業自身網絡安全技術保障能力，利用人工智能、大數據技術強化態勢分析，完善事件通報，健全監測預警、信息共享、協同處置等閉環工作機制，打造多方聯動、運行高效的技術服務保障體系。

工業互聯網如同個人計算機和互聯網的變革一樣，關系著國計民生的眾多領域，極大提高企業生產、溝通和協作的效率，人民生活將充分體會科學技術發展帶來的舒適和便捷。各級主管部門和企業在聚焦工業互聯網系統的同時，應高度重視安全建設，持續關注網絡安全動態，提高安全防范意識，提升管理水平，引領企業進入感知世界、認識世界、改造世界的智能化新階段。