工業(yè)互聯(lián)網(wǎng)信息安全的“原生問(wèn)題”

丁海驁

突然爆發(fā)的新冠疫情，從某種程度上，加快了IT技術(shù)進(jìn)入工業(yè)企業(yè)的速度。其中，由于能夠最大程度地以數(shù)字化手段重構(gòu)工業(yè)企業(yè)間的供應(yīng)鏈、價(jià)值鏈和產(chǎn)業(yè)鏈，工業(yè)互聯(lián)網(wǎng)日益成為企業(yè)現(xiàn)階段實(shí)踐數(shù)字化轉(zhuǎn)型的選項(xiàng)。一項(xiàng)由國(guó)家工業(yè)信息安全發(fā)展研究中心所做的研究顯示：到2020年為止，中國(guó)工業(yè)互聯(lián)網(wǎng)平臺(tái)所覆蓋的范圍，已經(jīng)包括原材料、裝備、機(jī)械、消費(fèi)品、電子、交通等多個(gè)行業(yè)和場(chǎng)景，服務(wù)企業(yè)近40萬(wàn)家，重點(diǎn)平臺(tái)連接設(shè)備預(yù)計(jì)超過(guò)3000萬(wàn)臺(tái)套。

利用工業(yè)互聯(lián)網(wǎng)優(yōu)化、改造傳統(tǒng)工業(yè)的業(yè)務(wù)模式和商業(yè)結(jié)構(gòu)，不僅是技術(shù)趨勢(shì)，更是行業(yè)發(fā)展的大勢(shì)所趨。但是如此迅猛的發(fā)展，覆蓋面如此廣泛，實(shí)際上也存在相當(dāng)大的挑戰(zhàn)。

2021年5月7日，美國(guó)大型成品油管道運(yùn)營(yíng)商科洛尼爾管道運(yùn)輸公司遭受了勒索軟件的攻擊，為此關(guān)閉了旗下4條主干成品油管道。受此影響，美國(guó)東部和南部沿岸17個(gè)州和華盛頓特區(qū)實(shí)施區(qū)域緊急狀態(tài)，而且國(guó)際油價(jià)一度波動(dòng)加劇，美國(guó)汽油期貨甚至一度上漲超4%。

雖然事件很快得到解決，但是類似事件的反復(fù)出現(xiàn)，影響越來(lái)越大，波及面越來(lái)越廣，就讓所有的工業(yè)企業(yè)不得不正視一個(gè)問(wèn)題：以往被認(rèn)為只是在互聯(lián)網(wǎng)虛擬世界中存在的黑客、勒索軟件，正在迅速滲透到現(xiàn)實(shí)世界的工廠和企業(yè)，并且已經(jīng)有能力直接威脅工業(yè)企業(yè)正常的業(yè)務(wù)運(yùn)轉(zhuǎn)。因此對(duì)于廣大的、考慮使用或已經(jīng)使用工業(yè)互聯(lián)網(wǎng)平臺(tái)實(shí)踐數(shù)字化轉(zhuǎn)型的工業(yè)企業(yè)而言：一個(gè)值得信賴的網(wǎng)絡(luò)安全策略就顯得尤為重要。

“有的時(shí)候，我們喜歡把處在數(shù)字化轉(zhuǎn)型階段的工業(yè)企業(yè)比作幼兒。那么實(shí)際上，三甲醫(yī)院、兒童醫(yī)院都有能力治療感冒和發(fā)燒，但是當(dāng)孩子感冒發(fā)燒時(shí)，我們依然推薦去兒童醫(yī)院看病，原因是：他們的檢測(cè)方法、治療手段和使用的藥物，是與成人不同的——西門子的工業(yè)互聯(lián)網(wǎng)安全解決方案與其他做工業(yè)安全的IT廠商相比，更針對(duì)工業(yè)的場(chǎng)景，所以雖然表面看起來(lái)都是解決同樣的問(wèn)題，但實(shí)際上內(nèi)在的技術(shù)邏輯和產(chǎn)品特征是不一樣的。”胡建鈞，西門子（中國(guó)）有限公司副總裁兼首席網(wǎng)絡(luò)與信息安全官日前接受采訪時(shí)強(qiáng)調(diào)：雖然在工業(yè)企業(yè)實(shí)踐數(shù)字化轉(zhuǎn)型路徑時(shí)，會(huì)強(qiáng)調(diào)IT與OT的融合，但是在目前這個(gè)“過(guò)渡階段”，傳統(tǒng)IT系統(tǒng)所提供的信息安全解決方案，在很大程度上，是難以滿足工業(yè)企業(yè)對(duì)于工業(yè)互聯(lián)網(wǎng)的信息安全需求的。

胡建鈞認(rèn)為，針對(duì)工業(yè)互聯(lián)網(wǎng)的信息安全策略，必須要解決一定的“工業(yè)信息安全的原生問(wèn)題”。

“如煉化企業(yè)、鋼鐵廠，對(duì)生產(chǎn)連續(xù)性要求非常高。如果我們?cè)谵k公室有半個(gè)小時(shí)沒(méi)有辦法收取郵件，可能百分之五六十的同事可以接受；但是對(duì)于連續(xù)化工行業(yè)、高危行業(yè)，或者電廠，可能幾秒鐘都不行。”胡建鈞認(rèn)為，IT系統(tǒng)和OT系統(tǒng)對(duì)于信息安全系統(tǒng)需求的本質(zhì)差異：是兩者的目標(biāo)完全不同，存在基本邏輯的差異。

具體來(lái)說(shuō)，在胡建鈞看來(lái)，IT系統(tǒng)對(duì)于信息安全系統(tǒng)的要求，是機(jī)密性，保障數(shù)據(jù)的安全；而對(duì)于工業(yè)控制系統(tǒng)（OT）而言，其對(duì)于信息安全的首要目標(biāo)，是保證系統(tǒng)的可用性，就是“要確保生產(chǎn)線的持續(xù)運(yùn)轉(zhuǎn)，要保證生產(chǎn)流程的完整性——特別對(duì)于電子設(shè)備或者數(shù)字化設(shè)備，要確保其生產(chǎn)出來(lái)的內(nèi)容是100%正確的，沒(méi)有摻雜后門或其他額外數(shù)據(jù)的?！?/p>

除此之外，胡建鈞也強(qiáng)調(diào)，工業(yè)企業(yè)的OT系統(tǒng)本身也存在一些“天然”的特殊性，使得其對(duì)于信息安全系統(tǒng)的需求，與IT系統(tǒng)存在明顯差異。他認(rèn)為，由于OT系統(tǒng)一般設(shè)定的生命周期都更長(zhǎng)，因此在工業(yè)企業(yè)的控制系統(tǒng)當(dāng)中，老舊設(shè)備和系統(tǒng)更多，這些設(shè)備和系統(tǒng)往往不僅自身缺少足夠的計(jì)算性能和存儲(chǔ)空間的冗余設(shè)計(jì)，而且系統(tǒng)多樣性也更復(fù)雜。因此與IT系統(tǒng)相比，OT系統(tǒng)不僅本身很難部署信息安全系統(tǒng)，防病毒能力比較弱，而且還需要所采用的信息安全系統(tǒng)，必須考慮兼容性的問(wèn)題，以滿足不同跨年代設(shè)備的需求。

“工業(yè)信息安全的這些原生問(wèn)題，實(shí)際上就是工業(yè)企業(yè)特有的行業(yè)知識(shí)：這就要求在為工業(yè)企業(yè)提供信息安全解決方案時(shí)，需要對(duì)方案目標(biāo)優(yōu)先級(jí)的理解和選用，做更具有針對(duì)性的選擇和考量?！焙ㄢx舉例說(shuō)，例如信息安全系統(tǒng)中最常見(jiàn)的防病毒功能，IT技術(shù)的“防病毒”采用的是黑名單方式，而OT系統(tǒng)需要采用白名單方式。兩者的區(qū)別在于：黑名單方式是一種“滯后”的解決問(wèn)題的思路，要保證同樣的問(wèn)題不再發(fā)生；而白名單制度則針對(duì)的是保障系統(tǒng)“絕對(duì)安全”的思路，盡最大可能保障OT系統(tǒng)的可用性，兩者解決問(wèn)題的理念是截然不同的。

應(yīng)該說(shuō)，之所以對(duì)工業(yè)互聯(lián)網(wǎng)系統(tǒng)的信息安全系統(tǒng)有這樣的理解和認(rèn)識(shí)，在很大程度上，是因?yàn)槲鏖T子自身不僅同樣是一家工業(yè)企業(yè)，而且其也是目前市場(chǎng)上具有標(biāo)志性的工業(yè)互聯(lián)網(wǎng)解決方案提供商之一。兩重分身的疊加，讓西門子解決工業(yè)互聯(lián)網(wǎng)信息安全解決方案，融入了更多工業(yè)行業(yè)的特殊需求和專業(yè)知識(shí)。

“在中國(guó)，西門子是第一家獲得信息安全服務(wù)資質(zhì)的跨國(guó)公司，當(dāng)時(shí)是2006年。此后，在2017年，我們獲得了國(guó)家網(wǎng)絡(luò)安全保護(hù)三級(jí)認(rèn)證， 2019年獲得基于33008標(biāo)準(zhǔn)的工業(yè)控制產(chǎn)品安全的認(rèn)證，成為第一家獲得全套PLC產(chǎn)品安全認(rèn)證的工業(yè)企業(yè)。2020年，西門子中國(guó)又獲得ISO/IEC 27001的資質(zhì)牌照，以及信息安全風(fēng)險(xiǎn)評(píng)估/ 應(yīng)急處理服務(wù)資質(zhì)，這使得西門子成為第一家能夠提供專業(yè)安全服務(wù)（包括安全風(fēng)險(xiǎn)評(píng)估服務(wù)、安全事件應(yīng)急響應(yīng)和處理服務(wù)）的在華跨國(guó)企業(yè)?！蔽鏖T子中國(guó)，是胡建鈞的第一個(gè)供職的公司，自2005年從北京大學(xué)計(jì)算機(jī)專業(yè)碩士畢業(yè)入職西門子以來(lái)，胡建鈞親歷了曾經(jīng)的電信業(yè)務(wù)從2G到移動(dòng)互聯(lián)網(wǎng)的轉(zhuǎn)型，以及傳統(tǒng)自動(dòng)化業(yè)務(wù)到的數(shù)字化及工業(yè)互聯(lián)網(wǎng)轉(zhuǎn)型，見(jiàn)證了網(wǎng)絡(luò)與信息安全蓬勃的發(fā)展歷程。

在接受采訪當(dāng)天，胡建鈞也重點(diǎn)談到了西門子關(guān)于工業(yè)互聯(lián)網(wǎng)信息安全的“縱深防御安全理念”、評(píng)估-實(shí)施-管理的“三步走”實(shí)施戰(zhàn)略，以及全面安全態(tài)勢(shì)感知系統(tǒng)OSA的構(gòu)成。

“OSA是一個(gè)相對(duì)復(fù)雜的系統(tǒng)?！焙ㄢx介紹說(shuō)：OSA首先通過(guò)探針獲取OT系統(tǒng)中的關(guān)鍵數(shù)據(jù)資源，并把它建模化、可視化。進(jìn)而，通過(guò)系統(tǒng)提供的基于AI的中央大腦，結(jié)合系統(tǒng)的安全威脅情報(bào)、操作日志等進(jìn)行綜合分析，為工業(yè)企業(yè)提供多視角、多角度、多尺度的網(wǎng)絡(luò)安全態(tài)勢(shì)，從而實(shí)現(xiàn)企業(yè)對(duì)于工業(yè)互聯(lián)網(wǎng)使用狀況的及時(shí)了解，從而幫助企業(yè)實(shí)現(xiàn)安全應(yīng)用工業(yè)互聯(lián)網(wǎng)的目的?！皬纳矸萆现v，西門子是一家工業(yè)企業(yè)，所以我們對(duì)工業(yè)企業(yè)客戶的需求，能夠感同身受。同時(shí)，由于西門子在信息安全方面深耕多年，加上西門子在全球和中國(guó)擁有多家數(shù)字化工廠，所以我們提供的解決方案也是經(jīng)實(shí)踐驗(yàn)證過(guò)的?！焙ㄢx說(shuō)。

寫在最后

應(yīng)用工業(yè)互聯(lián)網(wǎng)實(shí)踐數(shù)字化轉(zhuǎn)型，對(duì)于工業(yè)企業(yè)而言，就相當(dāng)于為數(shù)據(jù)打開(kāi)了一扇自由流動(dòng)的門，為發(fā)掘數(shù)據(jù)的價(jià)值提供了一個(gè)有效的工具；但與此同時(shí)，對(duì)于身居陰暗角落的居心不良者而言，缺乏信息安全措施的應(yīng)用，無(wú)異于稚子懷金過(guò)市。在采訪過(guò)程中，胡建鈞反復(fù)強(qiáng)調(diào)：在目前工業(yè)企業(yè)尋求通過(guò)應(yīng)用工業(yè)互聯(lián)網(wǎng)實(shí)踐數(shù)字化轉(zhuǎn)型的過(guò)程中，一定要將對(duì)工業(yè)互聯(lián)網(wǎng)的應(yīng)用與對(duì)信息安全系統(tǒng)的部署配合起來(lái)，從規(guī)劃階段就對(duì)兩者進(jìn)行協(xié)同考慮，從最初就將信息安全納入到整個(gè)數(shù)字化轉(zhuǎn)型的體系當(dāng)中，從而讓整個(gè)過(guò)程都更加有保障。