基于工業互聯網完善工業企業安全管理體系

楊澤滔

（巨輪智能裝備股份有限公司，廣東揭陽 522000）

0.引言

互聯網的發展極大改變了消費市場，如今正在向工業信息安全領域延伸，升級概念和內涵豐富工業互聯網的功能性。所發生的變化體現在有更豐富的制造資源方式，生產范圍也有所擴大，傳統的生產控制網絡是封閉的，而工業互聯網平臺則是相對開放的，優化生產配置的同時，也能優化資源主體。

1.工業企業安全建設思考

對于工業企業來說，進行安全建設活動要考慮到多方面的因素。這其中包含的3大主要內容有管理部門的期望、生產部門的實際需求、企業治理環境。在全面了解了上述情況后，需要對企業此時所處的安全階段進行評估，在必要的情況下，需要分析同行差距，之后才能著手規劃相應的安全問題。面向工業企業建設互聯網安全管理體系會經歷4個階段。

第一階段是“救火”，就是要先解決業務痛點，在此基礎上還需要做一些基礎的保命工作，使得安全事件發生的可能性能夠有所降低。要能夠快速發現外網入侵的不良情況，并有效修復這樣的安全隱患。可采取的手段包括無線安全；利用VPN實現遠程訪問；通過弱口令進行安全保護；能順利連接的服務器。這一階段通常面臨著重重困難，缺乏人力資源和資金支持，要想轉換防御方法就要購買機器設備，而這往往需要一定的時間，所以只能靠滲透經驗來轉換防御方法的目標，此時就應該按照2/8法則來完成工作。另外，要能夠快速組織團隊，這是安全項目計劃能夠順利完成的重要基礎。

第二階段是實現體系化建設的目標，當過了救火期之后，就能稍微放松一些，在建設安全體系時能更加有序。堡壘機、雙因素、VPN是安全建設的3大要素，第二階段還不能使用互聯網，主要是由于受到開發能力的限制作用，此時的安全設備仍然以商業為主，外加少量自研的安全工具，此時安全運維的工作效率就會有所提高。

第三階段商用系統可能無法較好滿足安全需求，此時就需要使用大量自研工具，比如將安全大數據和APT技術加入其中。

第四階段建設的安全管理體系具有較高的智能化水平，工業安全發展的方向是能實現智能化的檢測，進而有效阻斷安全隱患。

2.工業互聯網企業安全管理體系的本質

最近幾年學術界對工業互聯網的研究一直不曾停歇，并且研究活動是從不同的角度開展。在最近兩年的網絡安全領域著名會議中，與工業互聯網安全相關的話題就有物聯網安全LOT、安全影響物理世界、信息安全物理系統。與此同時工業界也越來越關注工業互聯網安全問題。在建設工業互聯網企業安全體系的工作中，要對工業互聯網和工控安全有深刻的理解，同時也要明確工業互聯網與消費互聯網安全之間的區別。就工業信息安全而言，概念和內涵都在不斷發生變化和升級，這主要有3方面的表現，第一，資源的接入方式和范圍都在不斷發生變化，開始時的生產控制網絡是封閉的，而工業互聯網平臺則是相對開放的[1]。第二，工業生產數據的流向有一定的改變，傳統模式下，這些數據是流向工業企業本地，或者是流向一些孤立的業務系統，而有了工業互聯網安全體系之后，這些數據會流向外部的云端平臺。第三，優化主體也有所改變，不僅工業企業自身得到優化，工業互聯網平臺的配置也得到了優化。就工控系統的安全而言，主要屬性仍然是傳統的制造業，而工業互聯網則有多重屬性，這其中就有制造業屬性和互聯網屬性。工業互聯網不同于傳統的消費互聯網，傳統的消費互聯網只有比較少的網絡層級，而工業互聯網則有比較完善的基于TCP/工P通信協議的安全機制，而且有能力容忍一定的網絡時延。工業互聯網的運行系統對保密性和完整性有較高的要求，能有效抵御網絡攻擊，減少經濟損失。

3.基于工業互聯網完善工業企業安全管理體系的辦法

3.1 將安全責任賦予具體的人

傳統工業企業采用的控制方法表現出的明顯特征是科層化和集中式。人是一種非常關鍵的生產要素，具有一定的決定性作用。可以說工業企業管理就是人與人之間的對話，也是人與機器之間的對話。五大管理要素包括計劃、組織、協調、控制、激勵，每一項管理要素都圍繞人展開。從管理流程的角度進行分析，企業所執行的管理活動以產品的生命周期為中心，具體的管理工作涉及到產品研發、產品設計、產品制造和產品的質量檢驗。這些管理工作每一項都離不開人的參與，安全生產管理也同樣如此，可以說抓住了人就抓住了管理的關鍵。對工業企業的安全管理體系加以完善，應推行負責人為核心的安全生產責任制，做好安全生產屬地、部門的管理工作，將安全責任落實到具體的人身上。

3.2 管控工業生產全過程的安全風險

工業生產有了互聯網的支持，發生了質的改變。在傳統的工業生產活動中，人需要與機器對話，而在工業互聯網時代，主要是機器與機器的對話，甚至機器還能實現自我管理。生產設備不僅能實現獨立運行，而且還能實現相互控制，生產設備包括的內容有設施設備、原料、零配件。也就是說有了工業互聯網的支持，傳統的工業生產方式徹底發生了變化。另外工業領域的智能化水平在不斷提高，工業機器人所發揮的作用更為重要，越來越多的人工會被機器人所代替。工業生產的核心也會發生變化，此時的生產核心將變為機器相互之間的通信、機器的自我組織以及機器的自動化生產。當工業生產方式發生變化，安全工作也將徹底轉變，對人的依賴將會明顯減少。此時的安全責任也將發生變化，不再是傳統的“人化”，而是轉向“物化”。對機器和設備采取的安全管理措施會借助工業互聯網的各種衍生技術，有效管控工業生產全過程的安全風險。

3.3 明確不同的責任主體

2020年12月，工業和信息化部針對工業互聯網企業網絡安全發布了分級指南，明確劃分了工業互聯網企業的類別，共有3種，分別是對工業互聯網有使用需求的工業企業、提供工業互聯網平臺的企業、運用工業互聯網基礎設施的企業。提出這3大類型企業的目的是梳理工業互聯網安全要素，這3種不同類型的企業代表了3種不同的責任主體。這有助于劃分工業互聯網所涉及到的安全問題，共有6大類，分別是控制操作、設備本身、網絡環境、標識解析、運營平臺、數據信息。工業互聯網的數據主要來源于設備的運行和設備的控制，同時這也是工業互聯網保障的主要內容[2]。標識解析涉及到基礎設施與平臺的連接；與平臺提供企業的連接；與工業企業的連接。安全平臺的建設位置是工業互聯網的云端，與大量的工業設備相連接，同時也存儲著大量的工業數據，對保證工業互聯網的安全起到關鍵作用。三大類型的工業互聯網企業能共享所產生的數據，能有效管控的安全問題有對數據的采集、傳遞、存儲以及使用。

4.結語

基于工業互聯網完善工業企業安全管理體系，應當做到將安全責任賦予具體的人，管控工業生產全過程的安全風險，明確不同的責任主體。使得工業互聯網能夠進一步提高工業制造的水平，將人要承擔的安全生產責任轉移到機器上，有效完善工業企業安全管理體系。