信软司王建伟：决胜安全 ——构筑工业互联网平台之盾

李克强总理在2019年政府工作报告中强调“打造工业互联网平台，拓展‘智能+’，为制造业转型升级赋能”。工业互联网平台向上承载应用生态，向下接入海量设备，是工业互联网的核心载体。举一纲而万目张，平台安全日益成为工业互联网安全体系的主心骨，工业互联网健康发展的护卫舰，制造业数字化转型升级的压舱石。

一、工业互联网平台建设步入实践深耕新阶段

近年来，我国工业互联网平台数量取得突破、设备规模显著增长、融合应用日趋成熟、赋能效用逐渐显现，已经从概念普及进入实践深耕阶段，加速向各工业领域渗透融合。

在两化融合基础较好的行业，平台引领着行业创新发展。电子、家电等行业企业基于技术和成本优势，创新平台建设和运行模式，有效解决制约行业发展的关键问题，推动生产向网络化、智能化阶段迈进。在流程型制造行业，平台助力企业提升综合管控能力。钢铁、石化、医药、食品等流程行业企业，基于平台利用大数据、人工智能等新技术手段，为工艺优化和质量管理等提供更精细化的解决方案，提升企业效益。在离散型制造行业，平台推动企业向服务型制造加速转型。机械制造、消费品生产等行业企业，利用平台拓展增值服务，实现从单一产品制造向“产品+服务”的制造模式转变，支撑企业打造可持续竞争优势，获取更大价值空间。

二、安全成为工业互联网平台高质量发展的“定海神针”

随着工业互联网平台建设进入快车道，强化安全能力、提升安全水平已成为护航平台高质量发展的根本保证。

(一)安全是平台稳定运行的命门

工业互联网平台安全是整个工业互联网安全的关键，关系着海量接入的生产设备和控制系统安全、大规模汇聚的工业数据资源安全以及高价值多样化的工业APP安全。工业互联网平台打破了原有工业生产领域系统和设备相对封闭及强调功能性的格局，系统和设备的安全隐患大量暴露，一旦被利用发起攻击，可导致平台运行环境破坏、生产流程中断甚至关键工业设施损毁，严重威胁工业生产稳定运行和公共服务持续供给，甚至威胁财产、人身安全。没有安全保障，平台正常运行都难以维持，更遑论价值实现。

(二)安全是平台价值实现的中枢

工业互联网平台蓬勃发展，数量激增。不同平台的业务规模、技术水平和服务能力良莠不齐，相互之间竞争激烈，提升功能性、体验性和安全性成为平台企业打造自身优势、扩大市场规模的关键抓手，其中安全能力建设是重中之重。由于工业互联网平台连接了虚拟世界和物理世界，实现人、机、料、法、环的统筹调配，可影响企业生产安全，用户企业在选择平台时，将安全性作为首要考虑的因素。同时，平台一旦发生安全事故，轻则可造成平台企业形象和口碑受影响，重则可导致用户资源丧失、利益大幅受损。

(三)安全是平台生态培育的要害

工业互联网平台业态发展已成为新的蓝海，平台企业、IT企业、工业企业、解决方案提供商、安全厂商等纷纷介入，初步构建“云基础设施+终端连接+数据分析+应用服务+安全保障”的产业生态格局，其中安全保障对打造开放价值生态和保持产业健康增长起着重要作用。一方面，安全是发展的前提。平台的工业知识沉淀、数据赋能、资源整合等特性要求上下游产业链紧密协同，安全是各参与方开展战略合作，打造开放、协同、高效、共赢的工业互联网平台生态的基础。另一方面，“无危则安,无缺则全”。我国平台在“工业Know-how”、数据技术、平台架构、共性服务等方面已取得较大进展，但是在安全防护方面存在明显短板，平台专用安全防护设备缺乏，整体安全解决方案尚未成熟，亟需解决安全瓶颈，确保平台生态良性发展。

三、认识工业互联网平台安全面临的“明枪暗箭”

与传统云平台相比，工业互联网平台涉及多个行业领域和多种类型企业，连接业务复杂度高、覆盖设备差异性大，安全边界难界定、安全风险威胁大，主要包括边缘层安全、IaaS层安全、PaaS层安全、SaaS层安全等四个方面。

边缘层安全。由于智能传感器、边缘网关等接入设备计算资源有限，安全水平低下、防护能力薄弱，极易成为攻击者对平台实施入侵或发起大规模网络攻击的“跳板”。边缘层数据采集、转换、传输的过程中，数据被侦听、拦截、篡改、丢失的安全风险高。

IaaS层安全。工业IaaS是虚拟化、资源池化的信息基础设施，面临着虚拟机逃逸、跨虚拟机侧信道攻击、镜像篡改等新型攻击方式的威胁。另外，多数平台企业使用第三方云基础设施服务商提供的IaaS服务，存在数据安全责任边界不清晰等安全问题。

PaaS层安全。通用PaaS平台感染病毒、木马，可造成平台瘫痪、服务中断、数据丢失等严重后果。工业应用开发工具、微服务组件存在漏洞，将影响工业APP的正常开发和使用。工业大数据分析平台汇聚海量工业企业的工艺参数、产能数据等高价值数据，被黑客入侵可能导致敏感信息泄露，威胁平台数据安全。

SaaS层安全。工业APP涉及特定工业场景，功能相对复杂，但由于缺乏安全设计规范，可能存在安全漏洞和缺陷，工业APP漏洞、API通信安全、用户管控、开发者恶意代码植入等应用安全问题更为突出。

四、打造工业互联网平台安全“铜墙铁壁”

2018年，工业和信息化部陆续发布《工业互联网发展行动计划(2018-2020年)》《工业互联网平台建设及推广指南》等文件，多次强调应明确平台安全等防护要求、落实企业安全主体责任。但总体而言，平台安全防护还缺乏统一规范，整体安全解决方案发展滞后，防护效果难以满足平台业务拓展需求。为确保平台高质量发展，亟需从“立标准、强技术、重防护、促管理、建生态”等多方面齐发力，打造工业互联网平台“铜墙铁壁”，提升平台安全能力和水平。

(一)立标准，制定工业互联网平台安全基本依据

构建平台安全标准体系，统筹推进平台安全标准化工作，加快制定平台安全指南，围绕架构、功能、接口、应用、互操作等方面建立安全规则。制定数据安全规范，研制工业数据分类分级指南，围绕平台数据收集、存储、传输、共享等各环节，明确差异化安全机制和策略。积极开展安全标准宣贯，组织安全知识技能培训，提升平台企业安全意识，加快推进相关标准落实。

(二)强技术，构建工业互联网平台安全核心能力

强化核心技术攻关，突破安全芯片、操作系统、服务器等产品的关键核心技术，确保平台基础技术供给能力。加强安全技术研究，强化威胁诱捕、态势感知、协议解析等安全产品研发，完善平台安全技术手段。推进新兴技术应用，探索运用区块链、人工智能等新兴技术，健全平台安全认证、主动防御机制，创新平台安全解决方案。

(三)重防护，提升工业互联网平台安全保障水平

加强国家工业互联网平台安全监测预警能力建设，搭建多级协同联动的态势感知网络，实现对重要平台接入设备、控制系统、运行数据的风险实时监测。鼓励跨行业跨领域工业互联网平台率先应用部署平台侧安全监测系统，感知边缘层、IaaS层、PaaS层和SaaS层等的安全状态，切实提升工业互联网平台安全防护水平。

(四)促管理，落实工业互联网平台企业主体责任

综合考虑平台企业业务特征、价值规模、服务行业重要性等因素，建立平台企业分类指标体系，开展企业分类评定，形成平台企业清单。强化平台企业数据安全管理责任，督促建立数据安全管理制度，规范安全保护要求，确保工业数据完整性、保密性和可用性。

(五)建生态，培育工业互联网平台安全解决方案

分行业、分领域、分地区支持平台安全解决方案试点应用，形成示范效应。依托国家新型工业化产业示范基地(工业信息安全)，调动各方力量打造工业互联网平台相关产业集聚区，培育一批技术实力强、安全水平高、服务质量优、产业整合能力强的龙头企业，构建工业互联网平台安全生态。

作者王建伟系工业和信息化部信息化和软件服务业司副司长