近期，工业和信息化部印发《工业互联网企业网络安全分类分级管理指南（试行）》（以下简称《管理指南》）《关于开展工业互联网企业网络安全分类分级管理试点工作的通知》及系列配套文件，正式启动对联网工业企业、平台企业及标识解析企业等工业互联网企业的网络安全分类分级管理试点工作，指导实施“分类施策、分级负责”精细化管理，督促企业落实安全主体责任，提升网络安全防护能力和水平，推动实现工业互联网高质量发展和高水平安全。
《管理指南》将工业互联网企业主要分为应用工业互联网的工业企业（简称联网工业企业）、工业互联网平台企业（简称平台企业）、标识解析企业三类，每一类企业参照行业重要性、企业规模、安全风险程度等因素，将企业网络安全等级由高到低划分为三级、二级、一级。工业互联网企业应当依据工业互联网安全相关标准，落实与自身安全级别相适应的防护措施，自行或委托第三方评测机构开展标准符合性评测和风险评估。《工业互联网平台企业安全防护规范》（以下简称《规范》）作为规范工业互联网平台企业网络安全分类分级管理和安全防护要求的规范文件，围绕“接入层安全、基础设施层安全、平台层安全、应用层安全、安全管理以及物理和环境安全”提出相应安全防护要求，指导平台企业开展自主定级，并落实与自身等级合适的安全防护措施，为工业互联网平台企业提升网络安全防护能力提供指引和参考。在此次分类分级管理试点工作中，平台企业应统一参考《规范》来落实平台安全防护相关措施，这对加强平台企业分类分级安全防护意识与技能、提升平台安全技术手段建设、护航工业互联网健康发展等具有重大意义。
一、工业互联网平台发展蓬勃兴起，加快安全保障能力迫在眉睫
工业互联网作为新一代信息技术与制造业深度融合的产物，是促进传统产业转型升级、实现高质量发展的重要驱动。工业互联网平台是面向制造业数字化、网络化、智能化需求而构建的，基于云平台的海量数据采集、汇聚、分析和服务体系，支持制造资源实现泛在连接、弹性供给、高效配置，是工业互联网发展的核心。近年来，工信部遴选了一批跨行业跨领域、特色专业型工业互联网平台，作为国内工业互联网平台发展的“标杆”，引领国内平台企业，取得了显著的成绩。在去年一年时间内，国内工业互联网平台数、工业设备连接数、工业APP数量呈现爆发式增长，十大双跨平台的平均注册用户数达到140万个，服务工业企业共计超过8万家，覆盖钢铁、石化、能源、电力等10余个重点行业。在平台技术突破方面，形成了“平台+5G”“平台+AI”“平台+区块链”等一批创新解决方案，为工业互联网与新兴技术融合打下了坚实的基础。
随着工业互联网的逐渐深入，工业企业上云上平台已成为大势所趋，工业生产方式的转变使得大量安全问题暴露出来，逐渐成为制约工业互联网发展的关键因素。习总书记多次强调要“统筹发展和安全”，脱离了安全，发展则是空中楼阁。一方面，工业互联网平台是业务交互的桥梁和数据汇聚分析的中心，连接大量工业控制系统和设备，与工业生产和企业经营密切相关。其高复杂性、开放性和异构性加剧其面临的安全风险，一旦平台遭入侵或攻击，将可能造成工业生产停滞，波及范围不仅是单个企业，更可延伸至整个产业生态，对国民经济造成重创，影响社会稳定，甚至对国家安全构成威胁。保障工业互联网平台安全，是保障制造强国与网络强国建设的主要抓手。另一方面，工业互联网平台上承应用生态、下连系统设备，是设计、制造、销售、物流、服务等全生产链各环节实现协同制造的“纽带”，是海量工业数据采集、汇聚、分析和服务的“载体”，是连接设备、软件、产品、工厂、人等工业全要素的“枢纽”。因此，做好工业互联网平台安全保障工作，是确保工业互联网应用生态、工业数据、工业系统设备等安全的重要保证。工业互联网平台作为工业互联网的重要关键，面临着更具挑战的安全风险，加快提升工业互联网平台安全保障能力迫在眉睫。
二、工业互联网平台安全形势复杂严峻，面临的安全风险日渐凸显
根据国家工业信息安全发展研究中心牵头发布的《工业互联网平台安全白皮书（2020）》分析，工业互联网平台在平台边缘计算、云基础设施、云平台服务、工业应用、工业数据等多方面均存在安全威胁。一是工业互联网平台边缘计算层接入设备海量、异构且终端设备资源受限，利用设备跳板攻击、缺乏对海量异构设备的安全感知能力及受限终端设备安全能力薄弱等问题，极易称为攻击突破口。二是工业互联网平台基础设施重度依赖传统云基础设施，存在虚拟化安全隔离、资源越权访问、虚拟机逃逸与提权、镜像篡改、跨虚拟机侧信道攻击等多种传统虚拟化安全风险，且存在第三方云基础设施安全责任边界不清晰等问题。三是工业互联网平台微服务种类繁多，传统安全手段无法满足多样化平台服务的安全要求，现有微服务组件缺乏安全设计、容器安全隔离性弱且缺乏安全检测机制等问题都给平台服务层带来极大安全挑战。四是工业应用层传统安全防护技术应用力度不足，应用安全开发与加固尚不成熟，大量第三方远程运维带来安全隐患。五是工业数据安全防护责任边界模糊，敏感数据标识及保护技术尚待完善，在数据采集、安全传输、处理分析、安全共享、数据销毁等全生命周期流程存在巨大安全风险。
白皮书编制组设计了工业互联网平台安全能力评价模型，对我国典型工业互联网平台现有安全能力进行调研，分析结果如下表所示：
表1 典型工业互联网平台安全能力侧重点与薄弱点
立足我国工业互联网平台发展和安全现状，针对平台存在的突出安全问题，亟需从平台安全管理体系、平台接入安全、平台运行安全和平台数据安全等多方面入手，以加快制定出台工业互联网平台安全防护相关指导文件为抓手，着力推动工业互联网平台安全保障能力建设。
三、以企业分类分级管理为引领，积极推动工业互联网平台企业建设安全分级防护体系
2019年，工信部等十部门印发《关于加强工业互联网安全工作的指导意见》，指出支持工业互联网安全科技创新、强化平台安全等相关核心技术研究，要求工业互联网平台的建设、运营单位按照相关标准开展平台建设，在平台上线前进行安全评估，针对边缘层、IaaS层（云基础设施）、平台层（工业PaaS）、应用层（工业SaaS）分层部署安全防护措施。近几年工业互联网创新发展工程共有11个“工业互联网平台企业网络安全综合防护系统”项目支持平台企业建设工业互联网平台企业综合安全防护能力。我国工业互联网平台在设备安全接入、运行安全以及平台数据安全防护能力取得一定成效，相关工作正在逐步推进，但平台的复杂性加剧了其面临的安全风险与挑战，且尚未形成权威统一的针对工业互联网平台企业的安全防护标准。
《管理指南》及配套规范等文件的发布，为政府层面和企业层面开展网络安全差异化管理、平台企业安全分级防护、推动工业互联网企业的安全发展等提供了政策引领与标准指导。从政府层面来看，《规范》是地方指导平台企业进行精细化、差异化分级防护的重要抓手。地方主管部门可依据规范，督促企业落实主体责任，组织本地区工业互联网平台企业开展分级摸底及防护工作，制定本地区重要平台企业清单，开展安全评估核查，指导平台企业分级部署防护措施。从企业层面来看，《规范》是平台企业提升安全防护能力的重要参考。工业互联网平台企业应落实《规范》要求，承担安全主体责任，主动开展安全分级和安全建设等工作，构建符合实际的工业互联网平台安全防护体系，保障平台安全运行。《规范》规定了平台安全防护的范围，包括接入层安全、基础设施层安全、平台层安全、应用层安全等，明确了安全管理以及物理和环境安全要求，提出了基本级和增强级防护办法，企业可根据自身级别采取不同程度的安全防护措施。《规范》的出台为工业互联网平台企业安全防护工作的深化落实提供了有力保障，推动了工业互联网安全建设的进一步发展，重点包括以下几个方面：
一是针对平台不同层次防护对象，实现平台安全指标全覆盖。根据工业互联网平台结构特性，明确安全防护对象，将工业互联网平台企业安全防护范围涵盖至不同层次，包含平台接入层、基础设施层、平台层以及应用层，并规范了安全管理要求、物理和环境安全要求。其中，接入层强调网络框架、边界访问、入侵与审计等安全防范工作；基础设施层重点在于服务器、存储、网络和虚拟化等防范对象；平台层从数据分析服务、微服务组件、平台应用开发环境三方面开展安全建设；应用层主要保障面向各类工业应用场景的业务应用安全；安全管理要求规范制度、机构和人员要求，包含建设与运维等阶段内容；物理和环境安全要求同时提出注意物理访问控制、水电雷击等安全威胁情况的发生。
二是面向平台企业等级差异，聚焦重点提出差异化平台分级防护要求。平台企业定级要素包括企业平台服务行业的网络安全影响程度、平台业务范围、平台业务规模、平台一旦发生网络安全事件的影响程度。为提高工业互联网平台安全防护工作水平，强化平台企业差异化安全防护与管理要求，平台企业可根据自身网络安全等级划分的评定结果，切实分析自身情况自主落实不同级别的安全防护措施，按照基本级防护、增强级防护针对性部署，高效推进平台企业的安全防护工作。其中，增强级防护措施在基本级的要求之外，加深了安全防护工作的行为管理，进一步强调了避免系统直连、阻断非法接入、重要性能监测、加强未知防范等工作的具体落实。
三是全面建立平台安全防护机制，应对平台发展新形势。随着标识解析以及人工智能、区块链、5G、边缘计算等新一代信息技术与工业互联网平台融合应用引发的新型安全威胁不断增多，且不同行业、领域平台间数据交互需求日益增多，数据的攻击面被进一步扩大，工业互联网平台在安全综合防御体系构建、标识解析安全、敏感数据可信交换共享、边缘层设备和系统安全接入、新兴技术安全防护等多方面面临更多新的安全需求与挑战。《规范》的落地应用通过明确平台分类分级方法和安全防护基线要求，让平台企业更清晰的了解自身的安全状态及防护重点，实施差异化的安全防护措施，是应对平台新发展形势下的基础安全保障。同时，依托规范的试点应用，带动产学研用各方联合打造安全可信的工业互联网平台，可支撑工业企业安全上云、放心上云，共建良好的平台安全防护、设备安全接入、数据安全共享等生态体系，加速平台深入工业企业、跨行业跨领域应用进程，促进数字经济和实体经济的融合发展。
作者：郝志强 王冲华 李俊
单位：国家工业信息安全发展研究中心
声明：本文来自工业信息安全产业发展联盟，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
