工業(yè)互聯(lián)網(wǎng)信息安全的“原生問題”

丁海驁

突然爆發(fā)的新冠疫情，從某種程度上，加快了IT技術(shù)進(jìn)入工業(yè)企業(yè)的速度。其中，由于能夠最大程度地以數(shù)字化手段重構(gòu)工業(yè)企業(yè)間的供應(yīng)鏈、價值鏈和產(chǎn)業(yè)鏈，工業(yè)互聯(lián)網(wǎng)日益成為企業(yè)現(xiàn)階段實踐數(shù)字化轉(zhuǎn)型的選項。一項由國家工業(yè)信息安全發(fā)展研究中心所做的研究顯示：到2020年為止，中國工業(yè)互聯(lián)網(wǎng)平臺所覆蓋的范圍，已經(jīng)包括原材料、裝備、機(jī)械、消費品、電子、交通等多個行業(yè)和場景，服務(wù)企業(yè)近40萬家，重點平臺連接設(shè)備預(yù)計超過3000萬臺套。

利用工業(yè)互聯(lián)網(wǎng)優(yōu)化、改造傳統(tǒng)工業(yè)的業(yè)務(wù)模式和商業(yè)結(jié)構(gòu)，不僅是技術(shù)趨勢，更是行業(yè)發(fā)展的大勢所趨。但是如此迅猛的發(fā)展，覆蓋面如此廣泛，實際上也存在相當(dāng)大的挑戰(zhàn)。

2021年5月7日，美國大型成品油管道運營商科洛尼爾管道運輸公司遭受了勒索軟件的攻擊，為此關(guān)閉了旗下4條主干成品油管道。受此影響，美國東部和南部沿岸17個州和華盛頓特區(qū)實施區(qū)域緊急狀態(tài)，而且國際油價一度波動加劇，美國汽油期貨甚至一度上漲超4%。

雖然事件很快得到解決，但是類似事件的反復(fù)出現(xiàn)，影響越來越大，波及面越來越廣，就讓所有的工業(yè)企業(yè)不得不正視一個問題：以往被認(rèn)為只是在互聯(lián)網(wǎng)虛擬世界中存在的黑客、勒索軟件，正在迅速滲透到現(xiàn)實世界的工廠和企業(yè)，并且已經(jīng)有能力直接威脅工業(yè)企業(yè)正常的業(yè)務(wù)運轉(zhuǎn)。因此對于廣大的、考慮使用或已經(jīng)使用工業(yè)互聯(lián)網(wǎng)平臺實踐數(shù)字化轉(zhuǎn)型的工業(yè)企業(yè)而言：一個值得信賴的網(wǎng)絡(luò)安全策略就顯得尤為重要。

“有的時候，我們喜歡把處在數(shù)字化轉(zhuǎn)型階段的工業(yè)企業(yè)比作幼兒。那么實際上，三甲醫(yī)院、兒童醫(yī)院都有能力治療感冒和發(fā)燒，但是當(dāng)孩子感冒發(fā)燒時，我們依然推薦去兒童醫(yī)院看病，原因是：他們的檢測方法、治療手段和使用的藥物，是與成人不同的——西門子的工業(yè)互聯(lián)網(wǎng)安全解決方案與其他做工業(yè)安全的IT廠商相比，更針對工業(yè)的場景，所以雖然表面看起來都是解決同樣的問題，但實際上內(nèi)在的技術(shù)邏輯和產(chǎn)品特征是不一樣的。”胡建鈞，西門子（中國）有限公司副總裁兼首席網(wǎng)絡(luò)與信息安全官日前接受采訪時強調(diào)：雖然在工業(yè)企業(yè)實踐數(shù)字化轉(zhuǎn)型路徑時，會強調(diào)IT與OT的融合，但是在目前這個“過渡階段”，傳統(tǒng)IT系統(tǒng)所提供的信息安全解決方案，在很大程度上，是難以滿足工業(yè)企業(yè)對于工業(yè)互聯(lián)網(wǎng)的信息安全需求的。

胡建鈞認(rèn)為，針對工業(yè)互聯(lián)網(wǎng)的信息安全策略，必須要解決一定的“工業(yè)信息安全的原生問題”。

“如煉化企業(yè)、鋼鐵廠，對生產(chǎn)連續(xù)性要求非常高。如果我們在辦公室有半個小時沒有辦法收取郵件，可能百分之五六十的同事可以接受；但是對于連續(xù)化工行業(yè)、高危行業(yè)，或者電廠，可能幾秒鐘都不行。”胡建鈞認(rèn)為，IT系統(tǒng)和OT系統(tǒng)對于信息安全系統(tǒng)需求的本質(zhì)差異：是兩者的目標(biāo)完全不同，存在基本邏輯的差異。

具體來說，在胡建鈞看來，IT系統(tǒng)對于信息安全系統(tǒng)的要求，是機(jī)密性，保障數(shù)據(jù)的安全；而對于工業(yè)控制系統(tǒng)（OT）而言，其對于信息安全的首要目標(biāo)，是保證系統(tǒng)的可用性，就是“要確保生產(chǎn)線的持續(xù)運轉(zhuǎn)，要保證生產(chǎn)流程的完整性——特別對于電子設(shè)備或者數(shù)字化設(shè)備，要確保其生產(chǎn)出來的內(nèi)容是100%正確的，沒有摻雜后門或其他額外數(shù)據(jù)的。”

除此之外，胡建鈞也強調(diào)，工業(yè)企業(yè)的OT系統(tǒng)本身也存在一些“天然”的特殊性，使得其對于信息安全系統(tǒng)的需求，與IT系統(tǒng)存在明顯差異。他認(rèn)為，由于OT系統(tǒng)一般設(shè)定的生命周期都更長，因此在工業(yè)企業(yè)的控制系統(tǒng)當(dāng)中，老舊設(shè)備和系統(tǒng)更多，這些設(shè)備和系統(tǒng)往往不僅自身缺少足夠的計算性能和存儲空間的冗余設(shè)計，而且系統(tǒng)多樣性也更復(fù)雜。因此與IT系統(tǒng)相比，OT系統(tǒng)不僅本身很難部署信息安全系統(tǒng)，防病毒能力比較弱，而且還需要所采用的信息安全系統(tǒng)，必須考慮兼容性的問題，以滿足不同跨年代設(shè)備的需求。

“工業(yè)信息安全的這些原生問題，實際上就是工業(yè)企業(yè)特有的行業(yè)知識：這就要求在為工業(yè)企業(yè)提供信息安全解決方案時，需要對方案目標(biāo)優(yōu)先級的理解和選用，做更具有針對性的選擇和考量。”胡建鈞舉例說，例如信息安全系統(tǒng)中最常見的防病毒功能，IT技術(shù)的“防病毒”采用的是黑名單方式，而OT系統(tǒng)需要采用白名單方式。兩者的區(qū)別在于：黑名單方式是一種“滯后”的解決問題的思路，要保證同樣的問題不再發(fā)生；而白名單制度則針對的是保障系統(tǒng)“絕對安全”的思路，盡最大可能保障OT系統(tǒng)的可用性，兩者解決問題的理念是截然不同的。

應(yīng)該說，之所以對工業(yè)互聯(lián)網(wǎng)系統(tǒng)的信息安全系統(tǒng)有這樣的理解和認(rèn)識，在很大程度上，是因為西門子自身不僅同樣是一家工業(yè)企業(yè)，而且其也是目前市場上具有標(biāo)志性的工業(yè)互聯(lián)網(wǎng)解決方案提供商之一。兩重分身的疊加，讓西門子解決工業(yè)互聯(lián)網(wǎng)信息安全解決方案，融入了更多工業(yè)行業(yè)的特殊需求和專業(yè)知識。

“在中國，西門子是第一家獲得信息安全服務(wù)資質(zhì)的跨國公司，當(dāng)時是2006年。此后，在2017年，我們獲得了國家網(wǎng)絡(luò)安全保護(hù)三級認(rèn)證， 2019年獲得基于33008標(biāo)準(zhǔn)的工業(yè)控制產(chǎn)品安全的認(rèn)證，成為第一家獲得全套PLC產(chǎn)品安全認(rèn)證的工業(yè)企業(yè)。2020年，西門子中國又獲得ISO/IEC 27001的資質(zhì)牌照，以及信息安全風(fēng)險評估/ 應(yīng)急處理服務(wù)資質(zhì)，這使得西門子成為第一家能夠提供專業(yè)安全服務(wù)（包括安全風(fēng)險評估服務(wù)、安全事件應(yīng)急響應(yīng)和處理服務(wù)）的在華跨國企業(yè)。”西門子中國，是胡建鈞的第一個供職的公司，自2005年從北京大學(xué)計算機(jī)專業(yè)碩士畢業(yè)入職西門子以來，胡建鈞親歷了曾經(jīng)的電信業(yè)務(wù)從2G到移動互聯(lián)網(wǎng)的轉(zhuǎn)型，以及傳統(tǒng)自動化業(yè)務(wù)到的數(shù)字化及工業(yè)互聯(lián)網(wǎng)轉(zhuǎn)型，見證了網(wǎng)絡(luò)與信息安全蓬勃的發(fā)展歷程。

在接受采訪當(dāng)天，胡建鈞也重點談到了西門子關(guān)于工業(yè)互聯(lián)網(wǎng)信息安全的“縱深防御安全理念”、評估-實施-管理的“三步走”實施戰(zhàn)略，以及全面安全態(tài)勢感知系統(tǒng)OSA的構(gòu)成。

“OSA是一個相對復(fù)雜的系統(tǒng)。”胡建鈞介紹說：OSA首先通過探針獲取OT系統(tǒng)中的關(guān)鍵數(shù)據(jù)資源，并把它建模化、可視化。進(jìn)而，通過系統(tǒng)提供的基于AI的中央大腦，結(jié)合系統(tǒng)的安全威脅情報、操作日志等進(jìn)行綜合分析，為工業(yè)企業(yè)提供多視角、多角度、多尺度的網(wǎng)絡(luò)安全態(tài)勢，從而實現(xiàn)企業(yè)對于工業(yè)互聯(lián)網(wǎng)使用狀況的及時了解，從而幫助企業(yè)實現(xiàn)安全應(yīng)用工業(yè)互聯(lián)網(wǎng)的目的。“從身份上講，西門子是一家工業(yè)企業(yè)，所以我們對工業(yè)企業(yè)客戶的需求，能夠感同身受。同時，由于西門子在信息安全方面深耕多年，加上西門子在全球和中國擁有多家數(shù)字化工廠，所以我們提供的解決方案也是經(jīng)實踐驗證過的。”胡建鈞說。

寫在最后

應(yīng)用工業(yè)互聯(lián)網(wǎng)實踐數(shù)字化轉(zhuǎn)型，對于工業(yè)企業(yè)而言，就相當(dāng)于為數(shù)據(jù)打開了一扇自由流動的門，為發(fā)掘數(shù)據(jù)的價值提供了一個有效的工具；但與此同時，對于身居陰暗角落的居心不良者而言，缺乏信息安全措施的應(yīng)用，無異于稚子懷金過市。在采訪過程中，胡建鈞反復(fù)強調(diào)：在目前工業(yè)企業(yè)尋求通過應(yīng)用工業(yè)互聯(lián)網(wǎng)實踐數(shù)字化轉(zhuǎn)型的過程中，一定要將對工業(yè)互聯(lián)網(wǎng)的應(yīng)用與對信息安全系統(tǒng)的部署配合起來，從規(guī)劃階段就對兩者進(jìn)行協(xié)同考慮，從最初就將信息安全納入到整個數(shù)字化轉(zhuǎn)型的體系當(dāng)中，從而讓整個過程都更加有保障。