淺析我國工業互聯網安全相關法律體系建設面臨的挑戰

肖洢柟，洪 晟

(北京航空航天大學 網絡空間安全學院，北京100083)

0 引言

“工業互聯網”的概念于2012年由通用電氣董事長伊斯梅爾提出。工業互聯網的本質是通過網絡將生產銷售過程中的各個環節連接在一起，關聯不同地區的設備和系統，繼而推動工業體系智能化發展。從網絡、平臺和安全三個角度看，網絡是工業互聯網各要素互聯的基礎，平臺是工業互聯網匯集分析數據的核心，安全是工業互聯網正常運作的保障[1]。新一代信息技術與工業經濟深度融合過程中催生的工業互聯網，驅動著經濟社會的數字化轉型，是第四次工業革命發展的基礎[2]。

世界各國都非常關注工業互聯網推動傳統工業制造變革以及提升未來產業競爭力的潛力[3]。然而，傳統的網絡安全防護手段和安全框架無法滿足高速發展下的工業互聯網安全需求。我國34%的聯網工業設備存在高危漏洞，僅2019年上半年就有高達5 151萬起嗅探事件發生[4]。國外工業互聯網方面的安全事件也屢見不鮮。以色列水利設施的SCADA系統曾多次遭受網絡攻擊。伊朗重要港口調節船只、卡車、貨車流通的計算機系統遭到攻擊，致使港口發生嚴重混亂。類似的事件還有許多。工業互聯網安全法律保障體系建設還有待改進。2018年，習近平總書記在全國網絡安全和信息化工作會議上指出，要“加強信息基礎設施網絡安全防護”[5]。2020年，工信部發布了《關于工業大數據發展的指導意見》，從宏觀和微觀兩個層面布置多項重點任務，涉及數據匯聚、共享、應用等六個方面，針對我國工業大數據現存主要問題對癥下藥，補齊短板[6]。由此可見提升工業互聯網安全框架的安全保障能力，完善相關法律體系建設迫在眉睫。

本文簡要介紹了國內和國外工業互聯網安全框架[7-11]，對比分析了兩者的異同點[7，12-18]，并結合工業互聯網目前存在的問題[12，19-24]，提出完善相應安全法律體系建設的建議。

1 工業互聯網安全框架

工業互聯網安全框架作為工業互聯網安全體系的頂層設計和實施綱要，從全局的視角，對保障工業企業安全生產、發展進行統籌規劃，為基層部署、實施安全防護措施提供思路，進而促進工業企業系統性安全防護能力提升[7]。工業互聯網的誕生使得網絡安全威脅不再局限于傳統的信息安全，而是擴展到工業生產安全、人身安全、城市安全甚至影響到國家安全[8]。提升工業互聯網安全保障是穩定發展現代化工業的必要條件。

1.1 傳統網絡安全框架

傳統的網絡安全框架包括OSI安全體系結構、P2DR模型、IATF、IEC62443等。根據系統對安全的需求，OSI安全體系結構定義了5類安全服務，不同協議層需要提供不同安全服務，采取不同安全機制，達到保障資源安全的目的，該模型指導著安全標準的設計，并提供了通用的術語平臺[9]。作為動態網絡安全模型的雛形，P2DR為之后動態模型的研究發展奠定堅實基礎，在策略的指導下通過防護、檢測和響應三個階段實現閉環控制[9-10]，但P2DR模型存在忽略了人員流動、人員素質及策略貫徹的不穩定性等內在的變化因素。IATF強調從邊界的角度劃分信息系統，從在端系統、邊界系統、網絡系統以及支撐系統四方面入手，形成了對網絡系統的縱深防御，最大限度降低安全風險，保障系統安全[11]。IEC62443針對工業生產活動中涉及到不同利益相關者，提出不同安全要求，其中根據抵御威脅的能力將控制系統按等級劃分成相對封閉的區域，通過管道實現區域之間的數據通信[9]。

然而，以上模型除P2DR外，僅采取了靜態安全防護措施，而沒有部署主動的安全防護措施，對入侵行為無法實時動態監測，對系統中的漏洞無法及時檢查更新，無法滿足當前工業互聯網的安全需求[9]。

1.2 國外工業互聯網安全框架

美國在“國家先進制造戰略計劃”中將工業互聯網列為確保國家優勢的重要手段，對工業互聯網安全高度重視。2016年，美國工業互聯網聯盟發布工業互聯網安全框架1.0版本，定義了3個層次、6個安全功能。安全功能中底層的安全模型策略和中層的數據保護支撐著頂層的4個核心功能，分別是端點保護、通信與連接保護、安全監控與分析、安全配置管理。同時框架明確將信息安全、功能安全、可靠性、彈性和隱私安全定義成為工業互聯網提供安全可信環境的五大關鍵要素。該框架側重于安全實施，通過分層確定了各層需要提供的安全服務，為工業互聯網框架的深入研究與實施提供了理論指導[9]。

2013年德國工業4.0平臺在漢諾威工業博覽會上正式發布。在工業4.0參考架構(RAMI4.0)中定義了一個三維描述模型，分別從CPS功能視角、價值鏈視角和工業系統視角衡量安全性，并因此串聯起框架中的各結構元素。該框架采用了分層思想，旨在實時保障所屬不同層次的資產在全生命周期中的安全性[9]。

總結分析上述框架，可以得到三個共性：首先根據具體系統和安全需求分類部署對應安全防護措施和對應分類標準；其次安全框架需采用動態安全分析模型，即不僅需要采用防火墻、入侵檢測等靜態安全技術，還應將時間等動態要素引入到模型中；第三需要從技術手段和管理手段出發，雙管齊下，將安全管理機制融入安全模型中，規范工業互聯網參與者的行為，使模型的安全保障能力發揮到最大化[9]。

1.3 國內工業互聯網安全框架

2016年，我國工業互聯網產業聯盟發布了《工業互聯網體系架構(版本1.0)》(下稱：架構1.0)，圍繞設備、控制、網絡、應用、數據五大安全重點，建立工業互聯網安全架構。架構1.0以明確安全防護對象、落實安全防護措施、提升安全防護管理為抓手構筑工業互聯網安全防護體系[7]。工業互聯網安全防護工作的基礎是明確安全防護對象，即明確防護的范圍和方向。架構1.0采用靜態防護與動態防護相結合的安全防護措施，當發生安全事件時，系統能及時響應、處置并恢復還原。安全防護管理將技術融入管理手段中，在技術層面上對面臨的安全威脅和風險進行評估，并提出對應安全策略；在管理層面上通過設定安全目標，制訂管理原則，結合管理方法，搭建完備的管理流程，從管理和技術兩方面入手，全面提升安全防護水平，保障安全防護措施的實施[7]。架構1.0的三個防護視角相互補充，技管結合，部署安全防護措施、協同安全防護管理共同保護防護對象，形成一個多維立體的防護體系[7]。

對比分析美國IISF1.0版本和中國的架構1.0，雖然前者從功能角度出發，后者從工業互聯網安全實施角度出發，呈現視角有所差異，但設計的思路是一致的。兩者都采用技術與管理手段相結合的方式，全面持續提升工業互聯網安全防護能力。

2019年，我國《工業互聯網體系架構(版本2.0)》發布，在繼承架構1.0核心理念、要素和功能體系的基礎上，從業務、功能、實施三個視圖重新定義了工業互聯網的參考體系架構。架構2.0較架構1.0提供了一套可供企業開展實踐的方法論，從戰略層面為企業開展工業互聯網實踐指明方向，并結合規?；瘧眯枨髮δ芗軜嬤M行升級和完善，提出更易于企業應用部署的實施框架[12]。為防范針對工業互聯網的網絡攻擊，維持工業互聯網有序健康發展，架構2.0統籌考慮工業互聯網在信息、功能與物理三方面的安全。在架構2.0中，安全實施框架包括邊緣安全防護系統、企業安全防護系統、企業安全綜合管理平臺、行業安全平臺及國家級安全平臺，體現了工業互聯網安全功能在“設備、邊緣、企業、產業”的層層遞進，全方位保障工業互聯網的安全實施[12]。

2 工業互聯網安全相關法規

工業互聯網連接著大量的設備和系統，擁有企業、個人信息和重要的相關數據[13]。這些信息涉及大量個人信息、商業信息乃至國家機密的數據，使得網絡攻擊從公共互聯網向重要領域工業互聯網轉移[14]。工業互聯網逐漸成為國家級網絡空間安全對抗的新重點。

面對不斷升級的攻擊方式，為營造健康工業互聯網發展環境，各國高度重視，積極采取行動。2014年，美國發布《國家網絡安全保護法案》，從法律層面上鼓勵社會、企業積極開展對關鍵基礎設施信息共享、標準制定、技術隊伍建設和教育培訓等方向的研究[15]。美國時任總統特朗普在2017年簽署的《增強聯邦政府網絡與關鍵基礎設施網絡安全》行政令提出要明確各機構職權，通過市場透明度提高關鍵基礎設施的網絡安全防護水平[15-16]。歐盟2016年通過的《網絡和信息系統安全指令》規定了網絡運營者與參與者在關鍵基礎設施遭遇安全風險時的義務,以方便更好地應對處置相關網絡攻擊[15]。

我國也在逐步推進和工業互聯網安全相關的法律、標準。2019年《工業互聯網綜合標準化體系建設指南》發布，為工業互聯網標準體系建設指明方向，該指南涉及設備安全、工控系統安全、數據安全、網絡安全、平臺安全等方面[17]。 同年發布《中華人民共和國密碼法》，該法增加了工業控制系統安全的相關要求，對提升工業互聯網安全保護能力有重要意義[13]。工業和信息化部發布的《工業互聯網企業網絡安全分類分級指南(試行)》提出建立企業分類分級安全管理制度，進一步完善了政府監管與企業責任制相結合的安全管理體系，為企業開展工業互聯網安全工作提供了指引[18]。我國工業互聯網產業政策體系不斷向前推進，2019～2020年我國工業互聯網相關政策進展如表1所示。

表1 2019～2020年我國工業互聯網相關政策

3 工業互聯網中存在的風險

當前，我國工業系統安全保障體系建設已經較為完備，但是面對日益多樣化、復雜化的各類攻擊方式，目前采用的工業互聯網安全保障體系還不夠完善[19]。工業互聯網安全的范疇包含工業互聯網平臺安全、網絡安全、工業控制系統安全等。以工控系統為例，根據國家信息安全漏洞共享平臺工控漏洞子庫CNVD的數據，我國2015～2020年新增工控系統漏洞數量及等級分布如表2所示。從2017～2020年，高、中危漏洞爆發次數明顯增漲，我國《工業互聯網體系架構(版本2.0)》2019年才發布實施，仍存在不少問題有待解決。

表2 2015～2020年新增工控系統漏洞數量及等級分布(個)

3.1 新技術的安全性面臨考驗

大數據技術、5G、人工智能和邊緣計算等新技術為工業互聯網中帶來充沛活力的同時，也帶來了許多安全隱患。大數據技術在工業互聯網平臺中的廣泛應用使得平臺上的用戶數據、企業生產資料、商業秘密等敏感信息存在泄露隱患，工業大數據應用存在安全風險[12]。在5G環境中進行延時邊緣計算時，由于數據傳輸效率更快且數據會在傳輸的同時完成處理，為了完成邊緣計算指令，系統會弱化系統安全保護[20]。5G網絡可以兼容工業互聯網中使用的各種軟件系統，但網絡環境需要具有良好的開放性，這種需求可能會導致端口容易受到外部網絡的干擾[20]。工業網絡協議數量眾多，其中大量工業通信協議是私有的、不對外公開的，其安全性無法得到保障，可能會導致非法訪問程序進入工業互聯網環境中[21]。

3.2 現存缺陷種類多樣，對安全防護能力提出挑戰

當前我國工業行業使用的重要關鍵設備和基礎軟件絕大多數來自國外[15]，同時，基于傳統工業的我國工業互聯網設備重效率、輕安全，通過犧牲安全性來換取穩定性。出于對產品效率和空間的考量，工控系統和設備的設計人員將有限的計算資源和存儲空間大部分用于性能的提高，使得設備無法支持高級復雜的安全防護策略，很難確保系統和設備的安全使用[19]。此外，許多工廠內部沒有部署安全保障設施，缺乏針對設備操作者的網絡安全意識培訓和操作流程的規范[19]。大部分工業互聯網相關企業缺少對網絡安全風險的認識，導致在發展中忽視安全的影響。業內缺少專業機構、網絡安全企業、網絡安全產品服務的信息渠道和有效支持，工業企業網絡安全風險意識、監測和應急處置等網絡安防能力普遍不足[19]。2018年,工業和信息化部網絡安全管理局委托相關專業機構對20余家典型工業企業、工業互聯網平臺企業安全檢查評估時就發現了2 000多個安全威脅[22]。

3.3 安全責任界定和安全監管難度大

傳統的工業系統與攻擊者存在著物理隔絕，除非身處工廠內部否則遠程的攻擊者很難實施攻擊。然而，這種封閉的環境逐漸被工業互聯網替代，工業互聯網將原本獨立存在的設備、系統和人員連接在一起的同時，也使得風險不再孤立。工業互聯網互聯互通的特點使得在面對攻擊時系統會更加脆弱，容易形成鏈式反應，可能會造成嚴重的后果。工業互聯網的安全性遵循木桶原理，風險鏈上的短板可能會引起整個工業互聯網生態的變化[23]。工業互聯網業務和數據在系統層、監管層、應用層等多個層級間流轉，安全責任主體涉及工業企業、設備供應商、平臺運營商等[24]。發生安全事件后，很難確定故障位置，明確責任歸屬。

4 法律體系建設對策及建議

針對上述工業互聯網中存在的安全風險需要加強相關法律、制度和規范方面的建設。

4.1 加強隱私和數據保護

對于隱私及數據保護問題，建議建立工業企業設備分級分類制度，針對敏感工業內容，建立設備審查制度，保障設備使用、生產安全；建議立法規范工業信息數據分級，定義數據安全流向，對工業信息數據的使用劃分權限，保障工業信息數據的真實性、保密性、完整性、可追溯性及脫敏后的可共享性；建議增加關鍵人員審查制度，明確責任主體邊界，保障工業隱私和實現數據保護。

4.2 提高安全防護能力建設

建議依照工業生產內容的敏感程度對工業互聯網設備安全性設立分級標準，鼓勵工業企業提高設備安全性。在安全策略的指導下根據不同安全需求和工作內容層次化管理，做好安全域的劃分，定期進行相應攻防測試，提升應急響應能力，最大程度降級安全風險，保障系統安全。加強對核心技術、關鍵基礎設施設備的開發，擺脫技術依賴，搭建我國自主研發的工業互聯網體系。

4.3 培養技術型人才增強后備力量

加強工業互聯網安全人才培養，增強后備技術力量，對工業互聯網安全人才和互聯網安全服務公司開展相關認證，為工業互聯網提供安全、可信的維護和技術支持。建議規范工控系統操作規范和要求，設立應急響應處置標準，定期對關鍵人員進行培訓檢查。依法落實企業主體責任，劃分工業互聯網安全責任部門，明確各部門責任人，建立網絡安全事件報告和問責機制。

4.4 增強對風險的實時監測管控

建議建立測評系統，根據不同平臺安全需求建立風險分析框架，對工業生產的全生命周期進行動態跟蹤，找出可能存在的風險點，并提出針對性的保護措施。重點突破風險鏈上短板，降低風險間互相觸發的連鎖性，對各個環節進行切片隔離管理，提升整體安全保障能力。經過認證和測評后的平臺、人員方可加入相應的工業互聯網體系。建議由科研院所主導，協同業內企業及有關部門盡快搭建國家級工業互聯網風險動態監測平臺，逐步提高工業網絡安全公共服務能力，并提供一套可應用于實踐的風險處理標準化模板。建議對國內外各類引發安全事件的漏洞隱患總結分析、風險預測，完善我國工業互聯網漏洞庫等安全基礎資源庫，提高工業互聯網安全性。

4.5 多方管理增強取證能力

建議推進政府協同社會多方主體共同治理，通過政府監管、行業自律、企業管理等方式達到保障工業互聯網安全的目的。建議從政府層面強化工業互聯網后臺留存取證制度建設，對接入工業互聯網中的設備、系統和人員進行認證，并對系統的操作日志、流量數據、異常事件和服務器維護情況等關鍵信息進行全量留存。建議從行業層面加強錄音錄像證據的采集，便于相關部門在發生涉及違法違規網絡安全事件后進行調查取證，明確行為實施者、責任承擔者。建議工業企業對重要應用系統和數據庫進行定期備份。當受到攻擊或操作失誤后能夠及時恢復系統，并實現對攻擊行為、違法行為再現，降低數據丟失可能造成的風險和損失，為之后研究分析漏洞、攻擊方式提供途徑。

4.6 針對新技術設定標準規范

建議完善工業用戶安全機制，強化身份認證管理。依據《中華人民共和國密碼法》和信息安全等級保護，強化加密技術在工業互聯網中的應用，普及強口令在關鍵基礎設施的落實。針對各類私有工業通信協議進行安全性分析，并建立統一的安全標準，規范工業互聯網中應用的協議種類。

5 結論

提高工業互聯網中的安全性，要采用技術手段和管理手段相結合的辦法。首先是根據發生的安全事件和經驗不斷完善工業互聯網安全框架及相關法律體系建設，從錯誤中汲取養分，努力減少未來發生危險的可能性，提升工業信息安全技術能力。其次，需要用法律的手段來規范和完善工業互聯網中的行為，提高工業互聯網從業者的安全意識，使工業互聯網中每一環節都能定位到責任人。

2019年，我國十部門印發了《加強工業互聯網安全工作的指導意見》提出了七項主要任務和四項保障措施，明確指出了指導思想、基本原則和總體目標。這份指導意見為之后工業互聯網安全的發展指明了方向，但具體落實到實際中的辦法還需要人們不斷摸索。工業互聯網安全相應的法律法規體系建設也有待完善。