經過近 4 年的政策指引，工業互聯網平臺已經融合產業鏈上下游企業走向了市場化，并演變出雙跨平臺引領，垂直平臺百花齊放的局面，其信息安全也出現了三個演進趨勢：面向垂直平臺保障的安全體系 1.0 向產業上下游融合保障的 2.0 體系；面向大數據、人工智能、物聯網等先進技術的安全方案逐步走向落地；此外隨著我國隱私數據法律法規的出臺，隱私合規是工業互聯網信息安全的第三個發展趨勢。本文將以典型工業垂直平臺企業信息安全體系構建的案例，介紹三個趨勢在實際落地的一些實踐過程。
一、工業互聯網平臺發展趨勢
工業互聯網的發展從智能制造政策導向，向2020 年的各行業垂直領域市場導向演變。2015 年國務院先后發布了《中國制造 2025》以及《關于深化制造業與互聯網融合發展的指導意見》，以加快新一代信息技術與制造業深度融合為主線，圍繞制造業與互聯網融合的關鍵環節，促進產業轉型升級。2020 年工信部發布《關于推動工業互聯網加快發展的通知》，首要任務是加快新型基礎設施建設，明確四項工作——改造升級工業互聯網內外網絡、增強完善工業互聯網標識體系、提升工業互聯網平臺核心能力、建設工業互聯網大數據中心，代表了工業互聯網重點發展方向。此外，國家“十四五”依然將工業互聯網定位新基建的戰略發展方向。新基建為工業互聯網基礎設施建設指路，為融合應用做強“數字底座”，賦能制造業轉型升級。其過程中細分出各個垂直行業的特有創新業務模式，以價值鏈導向的業務多形態百花齊放。
二、垂直平臺安全發展趨勢
工業互聯網信息安全保障體系將工業互聯網平臺 1.0 中以網絡、平臺、安全的框架，延伸到工業互聯網平臺安全的全產業鏈保障，更多地面向物聯網安全接入和平臺上下游企業生態數據安全和行業安全擴展。
其中垂直平臺數字化轉型過程的安全保障趨勢，目前初步形成三條落地路徑，一是在垂直行業層面，通過對各種生產要素和資源的連接及優化配置，變革業務流程，形成新的商業模式。工業互聯網安全從企業的信息安全進化成平臺上下游安全管理體系的構建、安全技術能力的構建和安全運營體系的構建。二是企業保障現有業務安全的能力。通過運用物聯網、大數據、人工智能等新技術，提升業務智能化的安全方案能力。三是聚焦垂直平臺隱私數據安全合規，這里包含多層次的體系規則：國家政策、法律法規、部門規章、標準和指南、多部門管理、對個人信息進行全生命周期管理并細化具體規范等。
三、聚焦平臺各方安全訴求，構建多維安全能力
垂直平臺是工業互聯網產業的主力軍，面向垂直平臺的各方用戶的安全訴求逐漸凸顯。目前中國工聯互聯網產業聯盟注冊企業、單位超過 1600 家，其中工業互聯網企業、平臺企業超過 1000家，跨行業跨領域的綜合平臺只有 10%，更多的平臺企業聚焦在垂直領域，并逐漸構建垂直行業領域的產業鏈生態。信息安全的訴求也從傳統 IT 領域的網絡安全逐步過渡到企業信息安全體系構建、平臺隱私數據合規、新技術安全方案落地。平臺的各方對安全的訴求，驅動平臺企業深度剖析安全價值鏈，構建安全可信的數字生態環境。
以眾能聯合數字技術有限公司為例，目前與國內外知名的設備廠商均有戰略合作，機隊規模超 30000 臺，設備總量位居全國前列，在全國 25 個省、4 個直轄市、300 個地級市建有 100 個倉儲物流及服務保障中心，累計服務超過 30000 家客戶，是中國工程設備在線化服務平臺的領先企業。
眾能聯合依托大數據、人工智能、物聯網等先進技術，打造新型智能工業生態和智能化工地場景。在構建面向全產業鏈企業和最終用戶數字化的進程中，眾能聯合構建安全能力的訴求也凸顯出來。
在現實實踐中，我們認為構建工業互聯垂直平臺的多維信息安全能力，需要建立面向平臺企業的信息安全體系，構建面向企業上下游供應鏈和用戶的隱私數據安全合規體系，構建面向平臺用戶的新技術安全能力。
圖1 眾能聯合多維安全體系
首先，構建平臺產業鏈上下游企業的隱私數據合規體系，以解決安全可信問題。在個人數據保護層面，工業 App 的人、機、物的連接是產業上下游協同，提高效率的手段，App 符合安全隱私設計要求是監管趨勢，工業 App 開發要聚焦個人信息保護，通過安全咨詢和安全建設滿足監管要求。這里幾個關鍵安全合規點需要明確。1. 公開用戶授權收集使用個人信息的規則，需要清晰的用戶協議，單列隱私政策并完整說明收集的信息類型等情況。2. 僅收集必要范圍內個人信息，對業務功能讀取用戶通話記錄、短信內容，收集用戶通訊錄、位置信息，使用用戶設備麥克風、攝像頭等權限最小使用。3. 賬號注銷和信息刪除應提供路徑。此外還應杜絕不授權就不允許使用 App、強制使用定向推送功能、私自共享第三方、頻繁申請權限等行為。App的個人信息保護合規僅是企業需要關注的其中一個部分，對于沒有開發 App 但仍從事網絡貿易、提供網絡服務等接觸、收集個人信息的企業，亦需進行個人信息保護合規。在個人信息合規過程中，企業還需從企業的內部規程、個人信息收集、儲存、處理等角度進行合規關注。
在企業數據合規層面，2019 年 5 月，最新發布的《信息安全技術信息系統安全等級保護基本要求》（GB/T 22239-2019） 將工業控制系統納入等級保護對象范圍中。《工業互聯網企業網絡安全分類分級指南（試行）》則是在等級保護標準的基礎上，面向具有工業互聯網屬性的企業，對安全要求進行深化。與等級保護三級的安全要求相對比，《工業數據分類分級指南（試行）》中的三級在等級保護的基礎上提出了更具有企業特色的要求：一是組織管理要求。除建立健全網絡安全責任、管理機構、管理制度建設外，明確提出“確保安全投入”，對企業在網絡安全方面的投入提出細化要求，以保證網絡安全建設的資金來源；二是安全防護要求。明確要求三級企業應建立工業互聯網的安全監測平臺，這就對企業提出了更高的技術要求，企業在建立網絡安全技術防護措施和安全管理措施的基礎上，還需同步建設企業上層的具有工業網絡安全狀態監測、工業安全事件分析、工控安全態勢感知等能力的工業互聯網安全監測平臺，定期通報工業互聯網安全風險，從而確保企業能夠實時了解自身的工業網絡安全態勢，及時解決存在的安全問題，降低整體安全風險。三是風險評估要求。企業每年需要進行一次網絡安全風險評估與審計，保障安全威脅識別和風險消除機制，通過PDCA 螺旋上升的安全保障機制動態優化和提升安全水平。
其次，解決平臺安全的問題。對眾能聯合來說，垂直平臺首先是產業網絡化協同，在不同企業之間、不同的生產鏈和供應鏈之間，進行網絡化協同，打造不同領域資源的最佳配置。然后是服務化延伸，不僅向用戶租賃設備，同時還通過收集信息，實現故障檢測、在線維護等服務，達到降低成本、提高效率、提升產品和服務品質、創造新價值四大成效。
基于垂直平臺的使命，在安全保障上必須構建完善的安全管理體系、安全技術能力、安全運營體系。1. 構建完善的信息安全管理體系。信息安全管理方面需要層級公司的協同組織，上傳下達清晰的安全方針目標以及管理目標的落地。在信息安全管理規范和制度建設方面需要持續加強，重新梳理面向企業內外協同機制的安全管理。這里面向工業生產制造、物聯網和業務安全的安全專業人員的培養是一個巨大挑戰，此外平臺企業需要將供應鏈信息安全保障列為重要工作。2. 信息安全技術能力構建需要全面落地。信息安全技術需要從終端安全切入，通過零信任安全體系的建設落地，保障辦公安全。企業內應建立混合云計算環境、網絡安全保障環境，如可以依托原生云安全能力構建企業的安全計算環境，也可以通過集成安全威脅情報、第三方的網絡安全產品進行網絡安全保障，并構建混合云安全管理中心解決面向多云環境的統一安全管理問題。企業還必須投入資源對關鍵數據進行安全加密，從根本解決數據安全問題，同時關注應用開發過程的安全。3. 信息安全運營體系是企業安全運轉的保障。目前面向安全入侵和數據泄露方向，可通過建立企業統一 SIEM 平臺，通過 SOAR 方案構建安全檢測、分析和響應的安全運營平臺，但是這依賴安全技術體系構建的成熟度，企業可以通過簡單任務分解，逐步完善復雜的安全需求。
最后，新技術的運營帶來的安全風險，需要安全解決方案支撐。首先，構建物聯網安全平臺以解決設備接入安全。基于工程機械行業的物聯網平臺可能面臨的信息安全風險，眾能聯合設計了眾能工程機械設備物聯網安全平臺，通過自主研發獲得 4 項專利，技術架構如下圖所示。
圖2 工程機械設備物聯網安全平臺技術架構
物聯網安全平臺以密碼技術作為安全基石、以 PKI 數字證書技術標識物聯網各端身份、以專用密碼硬件設備/安全芯片為密鑰、數字證書安全存儲和密碼運算安全執行的載體，形成基于密碼技術的工程機械設備物聯網平臺的信息安全防護體系。平臺主要實現以下功能：
身份標識 : 采用 PKI/CA 系統頒發的數字證書作為系統中智能終端、物聯網平臺和用戶的身份標識。
身份鑒別：身份認證機制基于 PKI/CA 數字證書認證體系，采用數字證書作為整個系統中所有實體（平臺、智能終端、用戶）的身份標識。
數據安全傳輸：使用密碼硬件設備、安全芯片對終端和平臺之間傳輸的重要數據進行加密處理。
數據安全存儲：使用密碼硬件設備對平臺上的重要數據和用戶敏感信息進行加密存儲。
在實際應用中，工程機械設備物聯網安全平臺的平臺側部署身份認證系統、云簽名驗簽密碼機，實現平臺基于數字證書對用戶和智能終端的統一身份認證，只有合法的用戶和智能終端才可接入平臺，平臺側即服務端的證書在身份認證系統中進行管理。此外，部署云密碼機實現用戶敏感信息的安全存儲，加密密鑰的安全性由密碼機自身保護。通過給用戶管理終端相關管理人員發放 USB KEY，實現基于數字證書的身份認證。對于 App 用戶，則將密碼模塊以 SDK 的形成集成到 App 中，通過身份認證系統向第三方 CA 申請標識用戶身份的數字證書，且證書在SDK 中進行管理。用戶管理終端和平臺之間的數據安全傳輸，則通過 VPN 進行鏈路層的保護。IoT 智能終端集成 SE（加密芯片），且隨機數生成、公私鑰對、 CSR 生成、私鑰安全存儲、簽名驗簽和加解密等密碼運算由 SE 完成，智能終端中集成證書應用SDK，完成智能終端和 SE 之間的密碼應用接口調用，實現基于數字證書的設備安全認證以及與平臺之間的數據安全傳輸。
此外，作為平臺用戶視角，還要關注構建平臺的大數據安全。一是海量多源異構數據的聚合計算。工業數據包括設備實時傳感器數據、企業運營數據等，具有體量大、種類多、來源廣、結構差異大、多品類差異大等特征。工業數據的多源性擴大了數據的攻擊面，工業數據的異構性增加了海量數據解析和分析的難度。因此，需要針對工業數據來源多樣、類型不統一、質量要求高等特點，突破多源異構工業數據的安全解析技術，協同不同設備廠商實現多源異構數據匯聚利用與數據保護。二是大規模數據的細粒度訪問控制。垂直行業應用場景中，由于最終用戶的需求不同，要求不同的用戶僅能訪問自己所涉及業務范圍內的數據。面對海量工業數據，現有基于用戶身份或角色的訪問控制策略難以細粒度控制數據授權范圍，亟需垂直平臺大規模數據的用戶訪問控制策略，加強工業互聯網平臺數據的安全管理和審計。三是共享的工業數據中包含大量敏感信息。工業數據包括研發產品設計、開發測試、系統設備資產信息、控制信息、設備運行狀態、系統日志、物流、產品售后服務等產品全生命周期各環節所產生的各類數據，其中往往包含平臺用戶企業的商業機密信息。平臺上數據的流通與共享將擴大數據安全管理的范圍，增加數據安全防護的難度和數據攻擊事件分析的復雜度，需要針對數據濫用、隱私泄露等威脅進行安全防護。
四、垂直平臺作為安全的紐帶， 需要聯合各方共筑信息安全
工業互聯網垂直平臺在構建多維信息安全體系時，需要聯合接入企業和用戶共同推動。國家層面持續規范和完善相關政策制定、標準研制等工作，明確平臺安全防護要求和安全評估規范，對平臺安全工作開展總體指導。平臺企業通過技術和管理手段，完成平臺應用組件、產品和功能的開發，提供技術和服務支持，確保平臺具備國家及行業標準規定的安全防護水平；同時每年做安全風險評估，動態改進安全方案，持續加強安全投入，包括平臺安全認證、檢查評估、安全審計及平臺安全事件的監測、預警、響應和恢復等，建立安全事件報告和問責機制。平臺使用方應根據業務需要，對工業互聯網平臺提出具體的安全需求，并在使用過程中遵守平臺業務的安全規范，進行安全配置管理，避免在使用過程中為平臺帶來安全威脅。