何小龍副主任:凝聚共識 加強合作 共同推進工業互聯網安全能力建設

2018-03-05 11:02:00
轉貼
2297

國家工業信息安全發展研究中心(工信部電子一所)副主任何小龍近日在工業互聯網安全論壇上發表演講表示,工業互聯網是以工業實體泛在的互聯為基礎,通過系統構建網絡、平臺、安全三大功能體系,將工業、生產、制造與互聯網、云計算、大數據、人工智能等新一代信息技術深度融合,是實現工業設計、制造、管理、銷售、流通等全生命周期的數字化、網絡化、智能化的關鍵信息基礎設施,也是推進制造強國、網絡強國和數字強國建設的重要基礎。工業互聯網的安全已經成為護航經濟發展和社會穩定、維護國家安全的重要基礎和前提,它的重要性日益凸現。安全是發展的前提,發展是安全的保障,沒有安全的保障,工業互聯網可以說寸步難行。隨著兩化融合和智能制造戰略的深入,現在越來越多的工業系統暴露在互聯網上,涉及的領域從離散控制到集中控制都有,這些系統一旦漏洞被攻擊,遠程操作可能就引起災難性的后果。本文根據現場演講速記稿整理,未經本人審閱——

何小龍副主任:各位領導,各位專家,各位來賓和企業代表,大家下午好!非常高興能代表國家工業信息安全發展研究中心參加此次“工業互聯網安全論壇”,為貫徹十九大報告的精神,國務院11月19日印發了《關于“互聯網+先進制造業”發展工業互聯網安全發展的指導意見》,這是我們這次工業互聯網安全論壇的主題。這個文件提出將工業互聯網安全的防護和保障提升到與功能建設同等重要的定位,并在文件里強調要建立覆蓋設備安全、控制安全、網絡安全、平臺安全和數據安全的工業互聯網多層次的安全保障體系,這也為我們工業互聯網安全防護工作做些研究指明了方向。今天和大家一塊兒交流一下對工業互聯網的粗淺認識和我們中心目前正在做的幾項工作。     

 一、對工業互聯網的認識

 

       什么是工業互聯網?我們是這么理解的,是以工業實體泛在的互聯為基礎,通過系統構建網絡、平臺、安全三大功能體系,將工業、生產、制造與互聯網、云計算、大數據、人工智能等新一代信息技術深度融合,是實現工業設計、制造、管理、銷售、流通等全生命周期的數字化、網絡化、智能化的關鍵信息基礎設施,也是推進制造強國、網絡強國和數字強國建設的重要基礎。

       安全包括數據安全、平臺安全、網絡安全、工控安全和設備安全。工業互聯網安全保障體系目前急需突破的是標識解析系統安全、工業互聯網平臺安全、工業控制系統安全、工業大數據安全等相關核心技術,要推動攻擊防護、漏洞挖掘、入侵發現、態勢感知、安全審計、可信芯片等安全產品的研發,來構建與我們工業互聯網發展相匹配的技術保障能力。我們中心下一步將開展這方面的研究,同時想依托于國家工業信息發展聯盟和中國工業技術軟件聯盟等相關單位來搭建、構建工業互聯網設備、網絡和平臺的安全評估認證體系,開展相關的安全能力評價和認證,引領工業互聯網安全能力的不斷提升。    

 二、工業互聯網安全的重要性

 

       工業互聯網的安全已經成為護航經濟發展和社會穩定,維護國家安全的重要基礎和前提,它的重要性日益凸現,習近平總書記在去年的4·19網絡座談會工作時提出來,安全是發展的前提,發展是安全的保障,沒有安全的保障,工業互聯網可以說寸步難行。隨著兩化融合和智能制造戰略的深入,現在越來越多的工業系統暴露在互聯網上,涉及的領域從離散控制到集中控制都有,這些系統一旦漏洞被攻擊,遠程操作可能就引起災難性的后果。

我們常見的工業互聯網應用場景,包括智能制造、智能化生產、網絡化協同、個性化定制和服務化延伸。其中服務化延伸和個性化定制是天然就和互聯網融合起來的,網絡化的協同也是通過互聯網連接在一起來促進協同制造。智能化生產分成兩種情況,一種是直接和互聯網連接的,另一種是不直接連接到互聯網,但通過監控要部網絡連接到企業的互聯網連接到企業的互聯網,這四種典型應用場景是通過各種渠道連接在一起,并最終連接到互聯網上。因此,這些工業系統最終也間接地暴露在互聯網上。應該說從工業互聯網發展趨勢來看,這種暴露會從常態化到標準化。隨著工業互聯網的發展,工控系統連接到互聯網,這種常態會形成標準,工業互聯網隨著開放性的增大一定會越來越開放,問題暴露度會越來越高,風險會越來越多,對工控安全的要求也會越來越高。

       目前,暴露在工業互聯網安全的隱患應該說是非常多的,這樣的事件也是頻次很高,影響范圍也比較大,這里列舉的是2010-2017年,從震網病毒、烏克蘭電網攻擊事件、包括去年的WannaCry軟件等等,使得核工業、電力、石化、公共交通等重要軌道基礎設施遭到了嚴重的影響,也給工業互聯網發展帶來嚴峻的考驗。

       工業互聯網遭受攻擊的威脅是非常大的,包括對國家安全穩定的影響,像我們的鋼鐵、石化、重要的生產領域、航天、交通領域的工業互聯網如果被攻擊將會引起工廠的起火爆炸、交通癱瘓等威脅國家安全穩定的惡性事件。去年美國國家航空航天局NASA內部IT人員給設備打沒有經過安全測試的補丁,導致它整個硬件設備宕機,引起火災。工業互聯網如果遭受攻擊,引起的經濟損失也是非常大的。美國劍橋大學風險研究中心和英國勞合社共同研究發布,如果美國電網遭到攻擊的話,對它經濟損失的評估大概2000多億美金,極端情況下可超過1萬億美元,這個損失不能以數字來計算。對老百姓的影響也是非常大的,供電、貢稅、供熱、供氣等領域的工業系統一旦被攻擊,將嚴重影響到人民的日常生活。

       近年來,黨中央、國務院及其社會高度重視工控,從法律、法規、戰略規劃和標準規范等多層次做出了一系列的工作部署,黨的十九大報告提出,要加快建設制造強國,加快發展先進制造業,推動互聯網、大數據、人工智能和實體經濟的深度融合。同時也提出來,健全國家安全體系,加強國家安全法制保障,提高防范和抵制安全風險能力。工業互聯網是國家互聯網安全的一個重要組成部分,也是我國數字經濟繁榮發展的重要保障。

       去年6月1號實施了《中華人民共和國網絡安全法》。2016年,發布了“國家網絡空間安全戰略”、《國務院關于深化制造業與互聯網融合發展指導意見》、“中國制造2025”等文件里對工業互聯網安全保障都提出了明確和具體的要求。

       工業互聯網平臺的安全,工業企業與平臺互聯網安全的責任,目前難以界定。一方面,平臺的管理、運行的主體與工業數據安全的責任主體不同,沒有辦法簡單地采取傳統的誰主管、誰負責,誰運營誰負責的原則和直接界定,就難以有效地督促平臺的提供商來對我們工業數據采取有效的安全防護措施;另一方面,虛擬化平臺技術加大了工業數據的保護難度,工業互聯網平臺中多個客戶共享這種計算和存儲的資源,虛擬機之間的隔離防護容易受到攻擊,跨虛擬機的非授權訪問風險也會非常突出。

       第二,工業控制系統安全作為國家的關鍵基礎設施重要組成部分,很容易成為國家之間網絡對抗的重點攻擊對象以及有黑客組織攻擊的目標。工業控制系統的安全,一方面我們現在生產控制的設備和數字化制造工具,控制軟件組態和工業主機設備,工業通信協議,以及外圍輔助設施等工業軟硬件設備存在著大量的安全漏洞,極易被攻擊利用。根據美國US-CERT發布的數據,2016年報道的工控漏洞187個,絕大部分漏洞都存在于能源、關鍵制造、水務等網絡安全防護薄弱的環節,工控漏洞的安全威脅十分嚴重。我國工業控制系統的自主水平非常低,大部分核心設備都是以國外為主,面臨著嚴峻的安全方面的挑戰,我國大部分工業控制系統日常維護和設備修理很多也依賴于國外,這就留了很多的后門,有被國外機構操控的風險,也為我國工業控制系統安全防護帶來了重要的挑戰。

       第三,工業大數據安全問題。工業互聯網數據種類繁多,保護需求也多樣,數據流動的方向和路徑也是非常復雜,研究、設計、數據內部生產管理的數據,操作控制數據以及企業外部的數據等等,都可以分布在大數據平臺,也可以分布在用戶端,也可以分布在生產終端,也可以分布在設計的服務器等多種設施上,依托單點、離散傳統數據保護措施難以保護工業互聯網中流動的工業數據安全。

       針對工業互聯網這三個的問題,我們研究中心也在繼續做相關的研究和探索。    

 三、國家工信安全中心職能定位

 

       我們中心原來叫工業與信息化部電子科學情報研究所,今年1月份,工信部依托原單位建設國家工業信息安全發展研究中心,中心定位于支撐我國工業領域的信息安全國家級研究和推進機構,中心的職責主要是從事工業信息化領域的政策研究和工業安全領域的技術研發、風險監測預警和檢查評估、產業促進等方面的工作。我們中心的職能擴展為國家工業信息安全為重點研究領域。   

       目前,中心已經建成了工業控制系統在線安全監測平臺,工業控制系統與產品綜合監測平臺,工業安全信息共享平臺等關鍵平臺及其系統,建有工控安全領域的國家級質檢中心,叫國家工業控制系統和產品安全質量監督檢驗中心,以及工業信息安全感知與評估,工信部重點實驗室。工業信息安全能力建設目前已經取得一定的成績,已經開展相關的工作。

       在工信部信軟司的指導下,我們中心前期開展了一系列的工作,主要包括以下幾方面:

       1、牽頭編制《工業控制系統信息安全防護指南》、《工業控制系統信息安全保障行動計劃》、《關于促進工業信息安全產業發展的指導意見》《工業控制系統信息安全應急管理工作指南》。

       2、開展《工業控制系統信息安全防護指南》宣貫培訓工作,以及落實這項防護指南相關的工作。

       3、開展全國范圍內的工業控制系統信息安全檢查。

       4、開展工業控制系統試點評估工作。

       5、加強工業信息安全態勢和風險通報工作。

       6、承擔了編制工作控制系統信息安全應急工作指南,同時也承擔了重大活動的公共安全保障工作,進一步加強工控系統信息安全的應急管理工作。

       7、我們促進工業控制系統產業發展,今年6月份,在工信部的指導下,我們聯合企事業單位,現在200多會員共同發起成立國家信息安全產業聯盟,來促進這個產業的健康發展。

       目前,中心正在開展三大工程和四個平臺的建設。

       三大工程:工業互聯網安全體系建設工程、工業互聯網安全技術和產品研發攻關工程、工業互聯網安全保障支撐平臺建設工程。

       四個平臺:國家工業互聯網監測預警與態勢感知平臺、國家工業互聯網縱深防御多層次管理平臺、國家工業互聯網安全測試驗證平臺、國家工業互聯網安全信息共享平臺及應急資源庫。

       工業互聯網安全的工作責任重大,任務艱巨,推動工業互聯網安全保障建設任重道遠。當前安全形勢比較嚴峻,我們衷心希望與在座同行業人士一起凝聚共識、加強合作,共同推進工業互聯網安全建設,保障好我們工業互聯網的安全,也希望能為工業互聯網事業開創局面。

       最后,預祝本次論壇取得圓滿成功,謝謝!

文章分類
最新資訊
瑞策咨詢入圍常州市工業互聯網產業生態服務資源池名單(第一批) 2019-12-20 瑞策咨詢入圍常州市工業互聯網產業生態服務資源池名單(第一批)
中華人民共和國物權法 2020-03-19 目錄 第一編 總則     第一章 基本原則     第二章 物權的設立、變更、轉讓和消滅     第一節 不動產登記     第二節 動產交付     第三節...
中華人民共和國擔保法 2020-03-19 第一章 總 則 第一條 為促進資金融通和商品流通,保障債權的實現,發展社會主義市場經濟,制定本法。 第二條 在借貸、買賣、貨物運輸、加工承攬等經濟活動中,債權人需要以擔保方式保障其債權實現的,可以依照本法規定設定擔保。 本法規定的擔保方式為保證、抵押、質押、留置和定金。 第三條 擔?;顒討斪裱降?、自愿、公平、誠實信用的原則。 第四條 第三人為債務人向債權人提供...
中華人民共和國合伙企業法(2006年修訂) 2020-03-19 中華人民共和國主席令 第 五十五 號 《中華人民共和國合伙企業法》已由中華人民共和國第十屆全國人民代表大會常務委員會第二十三次會議于2006年8月27日修訂通過,現將修訂后的《中華人民共和國合伙企業法》公布,自2007年6月1日起施行。       中華人民共和國主席  胡錦濤     ...
中華人民共和國證券投資基金法 2020-03-19 中華人民共和國證券投資基金法  (2003年10月28日第十屆全國人民代表大會常務委員會第五次會議通過 2012年12月28日第十一屆全國人民代表大會常務委員會第三十次會議修訂) 第一章 總 則  第二章 基金管理人  第三章 基金...
{转码词},{转码词1},{转码词2},{转码词3}