工业互联网基础 课件 5.1工业互联网安全标准

第五章工业互联网安全《工业互联网基础》/工业互联网系列课程5.1工业互联网安全标准>>《工业互联网基础》目录国内工业互联网安全标准现状02工业互联网安全概述01国外工业互联网安全标准现状03《工业互联网基础》/工业互联网系列课程工业互联网安全共性特征04工业互联网安全是工业互联网的保障，构建满足工业互联网的安全管理体系，提高控制、设备、网络、应用和数据的安全保障能力，快速识别和响应安全威胁，及时处理各种安全风险，建立工业互联网的安全信任环境。实际上，在各种文件和标准中对于工业互联网平台安全、工业云安全、工业物联网安全、工业数据安全、工业控制系统安全等安全概念已经产生了一定的交叉。工业信息安全包含以上所有的安全理念，是一个大的范畴，工业互联网安全是其中的一个子集。如图5.1所示。工业互联网安全概述工业互联网安全定义图5.1工业信息安全工业互联网安全从保障对象上可以分为工业控制安全、现场设备安全、网络安全、平台安全、数据安全五大安全问题。一方面，工业领域信息基础设施成为黑客重点关注和攻击目标，防护压力空前增大。另一方面，相较传统网络安全，工业互联网安全呈现新的特点，进一步增加了安全防护难度。在此背景下，我国应积极加强对工业互联网的安全体系化研究，从安全规划、安全防护、安全运营、安全测评、应急保障等各方面，提出针对性安全解决方案，积极进行技术试点，探究技术可行性，逐步形成可推广、可复制的最佳实践，切实提升我国工业互联网安全技术水平。如图5.2所示。工业互联网安全概述工业互联网安全应用范畴图5.2工业互联网安全保障体系目录国内工业互联网安全标准现状02工业互联网安全概述01国外工业互联网安全标准现状03《工业互联网基础》/工业互联网系列课程工业互联网安全共性特征04国内工业互联网安全标准现状时间发布单位政策名称内容或意义2016年12月国家互联网信息办公室《国家网络空间安全战略》要“采取一切必要措施保护关键信息基础设施及其重要数据不受攻击破坏”。2015年5月19日国家互联网信息办公室《中国制造2025》提出要“加强智能制造工业控制系统网络安全保障能力建设，健全综合保障体系”2017年6月第十二届全国人民代表大会常务委员会第二十四次会议《中华人民共和国网络安全法》提出要求对包括工控系统在内的“可能严重危害国家安全、国计民生、公共利益的关键信息基础设施”实行重点保护2017年11月国务院《国务院关于深化“互联网+先进制造业”发展工业互联网的指导意见》提出以“构建网络、平台、安全三大功能体系，促进行业应用，强化安全保障”为指导思想，以“开放发展，安全可靠”为基本原则，提出“建立工业互联网安全保障体系、提升安全保障能力”的发展目标，部署“强化安全保障”的主要任务，为工业互联网安全保障工作制定了时间表和路线图。2016至2017年工业和信息化部《工业控制系统信息安全防护指南》明确工控安全防护、应急以及能力评估等工作要求，构建了工控安全管理体系，进一步完善了工业信息安全顶层设计《工控系统信息安全事件应急管理工作指南》《工业控制系统信息安全防护能力评估工作管理办法》表5.1国内工业互联网安全标准进展国内工业互联网安全标准现状时间发布单位政策名称内容或意义2018年12月工业互联网联盟《工业互联网安全框架》该框架是构建工业互联网安全体系的重要指南，是我国工业互联网安全顶层设计正式出台的标志，对于我国工业互联网的发展具有重要意义2019年7月工信部、教育部、人力资源和社会保障部等十部门《加强工业互联网安全工作的指导意见》提出筑牢安全，保障发展。到2025年，制度机制健全完善，技术手段能力显著提升，安全产业形成规模，基本建立起较为完备可靠的工业互联网安全保障体系。2019年12月国家工业信息安全发展研究中心《工业信息安全标准化白皮书（2019版）》提出工业信息安全标准体系框架2021年12月9日工业互联网产业联盟、工业信息安全产业发展联盟、工业和信息化部商用密码应用推进标准工作组《工业互联网安全标准体系（2021年）》工业互联网安全标准体系包括分类分级安全防护、安全管理、安全应用服务等3个类别、16个细分领域以及76个具体方向，为切实发挥标准规范引领作用，加快建立网络安全分类分级管理制度，强化工业互联网企业安全防护能力，推动网络安全产业高质量发展具有重要支撑作用。表5.2国内工业互联网安全标准进展国内工业互联网安全标准现状图5.3工业互联网安全标准总体框架目录国内工业互联网安全标准现状02工业互联网安全概述01国外工业互联网安全标准现状03《工业互联网基础》/工业互联网系列课程工业互联网安全共性特征04国外工业互联网安全标准现状美国有很好的互联网发展背景，在工业互联网安全方面重视也比较早，目前处于世界领先水平，他们不仅仅是围绕工业，还包括能源、车联网、智慧城市等，工业互联网联盟（IIC）是美国牵头的产业推进平台，用于开展工业互联网安全标准和行业实践研究。2016年9月19日，美国工业互联网联盟（IIC）正式发布工业互联网安全框架（IISF）1.0版本，拟通过该框架的发布为工业互联网安全研究与实施提供理论指导。顶层包括端点保护、通信&连接保护、安全监测&分析以及安全配置管理四个功能，为工业互联网中的终端设备及设备之间的通信提供保护，对用于这些设备与通信的安全防护机制进行配置，并监测工业互联网运行过程中出现的安全风险。在四个功能之下是一个通用的数据保护层，对这四个功能中产生的数据提供保护。在最下层是覆盖整个工业互联网的安全模型与策略，它将上述五个功能紧密结合起来，实现端到端的安全防护。总的来看，美国IISF聚焦于IT安全，侧重于安全实施，明确了具体的安全措施，对于工业互联网安全框架的设计具有很好的借鉴意义。美国国外工业互联网安全标准现状欧盟各国工业互联网安全相关标准以关键基础设施安全为重心。作为工业化领先全球的德国，为应对产业变革和智能化带来的挑战，强调ICT技术和工业本身的结合，提出了工业4.0战略，利用物联网、AI等技术，将生产、制造和销售过程数据化、智能化，实现个性化的产品供应，从而提高资源配置效率。德国工业4.0注重安全实施，由网络安全组牵头出版了《工业4.0安全指南》、《跨企业安全通信》、《安全身份标识》等一系列指导性文件，指导企业加强安全防护。德国虽然从多个角度对安全提出了要求，但是并未形成成熟的安全体系框架。但安全作为新的商业模式的推动者，在工业4.0参考架构（RAMI4.0）中起到了承载和连接所有结构元素的骨架作用。德国国外工业互联网安全标准现状德国RAMI4.0中，从CPS（“Cyber-PhysicalSystems”，网络物理系统）功能视角、全生命周期价值链视角和全层级工业系统视角三个视角构建了工业4.0参考架构。从CPS功能视角看，安全应用于所有不同层次，因此安全风险必须做整体考虑；从全生命周期价值链视角看，对象的所有者必须考虑全生命周期的安全性；从全层级工业系统视角看，需要对所有资产进行安全风险分析，并对资产所有者提供实时保护措施。德国RAMI4.0采用了分层的基本安全管理思路，侧重于防护对象的管理。在工业互联网安全框架的设计过程中可借鉴这一思路，并且从实施的角度将管理与技术相结合，更好地指导工业互联网企业部署安全实施。德国目录国内工业互联网安全标准现状02工业互联网安全概述01国外工业互联网安全标准现状03《工业互联网基础》/工业互联网系列课程工业互联网安全共性特征04工业互联网安全共性特征通过对以上相关安全框架的分析，总结出以下几个方面的共性特征，在工业互联网安全框架的设计中值得思考与借鉴。相关安全框架中大多都体现出分类别部署安全防护措施的思想。例如在OSI安全体系结构中根据网络层次的不同部署相应的安全防护措施，IATF、IEC62443通过划分不同的功能域来部署相应的安全防护措施，美国IISF与德国工业4.0框架中则根据资产类型的不同分别阐述其安全防护措施。工业互联网安全框架在设计时可根据防护对象的不同部署针对性的安全防护措施，更好地发挥安全防护措施的防护效果。分类别部署安全防护措施工业互联网安全共性特征美国IISF及德国工业4.0框架中均强调对安全风险进行持续的监测与响应，充分说明相对安全观已成为目前安全界的共识