近年來，隨著工業互聯網的快速發展，傳統工業控制系統從“封閉孤島”走向“互聯互通”。效率提升的同時，互聯網的安全威脅也隨之滲透入工業領域。面對可以直達作業現場的網絡攻擊，構建工業互聯網安全保障體系迫在眉睫。

近日，工業和信息化部聯合教育部、人力資源社會保障部、生態環境部、衛生健康委員會、應急管理部、國有資產監督管理委員會、國家市場監管總局、國家能源局、國防科技工業局等十部委共同印發了《加強工業互聯網安全工作的指導意見》(以下簡稱《安全指導意見》)，明確了構建工業互聯網安全保障體系的主要任務。

《安全指導意見》)明確到2020年底，工業互聯網安全保障體系初步建立。到2025年，制度機制健全完善，技術手段能力顯著提升，安全產業形成規模，基本建立起較為完備可靠的工業互聯網安全保障體系。

《安全指導意見》為我國工業互聯網安全設定了非常具體的總體目標，將全面提升我國工業互聯網創新發展的安全保障能力和服務水平，促進工業互聯網高質量發展。

自上而下逐層推進 建立安全評價體系

目前，我國的工業企業高度重視工業互聯網安全建設，也樂意在安全方面進行投入。但目前的現狀是企業對自身安全狀況了解不透徹，無法得到適合自身的解決方案。對此，復雜網絡系統安全保障技術教育部工程研究中心主任姚羽指出，構建工業互聯網安全管理體系需要自上而下逐層推進，通過構建涵蓋工業全系統的安全防護體系，打造滿足工業需求的安全技術體系和相應管理機制，識別和抵御來自內外部的安全威脅，化解各種安全風險，是工業互聯網可靠運行，實現工業智能化的安全可信保障。

當下，5G網絡建設如火如荼，IPv6部署全面推進，在與工業實體經濟結合的過程當中，除了各相關企業之間的配合，還需要跨行業之間的融合。除了保障自身安全之外，還需要對各個接口都進行評估，以保證整體的運行安全。姚羽指出，開展工業互聯網安全評估認證，需要摸索一個合適的安全評價體系。針對當前缺乏工業互聯網安全檢測評估標準的問題，需要通過對工業互聯網安全現狀、安全需求和攻防技術的深入調研，全面分析工業互聯網可能存在的安全隱患，確定工業互聯網安全審查和檢測評估的方向和重點，梳理和細化安全審查和檢測評估內容，編制可量化、可操作的工業互聯網安全審查和檢測評估技術要求和測試評價方法相關標準。

加強技術創新 實現安全防護力自生長

大力發展工業互聯網是我國的一項重要國策，近年來工信部出臺了一系列相關政策和具體行動推動工業互聯網產業的發展，網絡、平臺、安全是工業互聯網的三大體系。其中，網絡是基礎、平臺是核心、安全是保障。在奇安信副總裁左英男看來，要建設好工業互聯網安全保障體系，必須加大研發投入，加強技術創新，提升安全能力，并使安全能力與工業互聯網業務場景充分融合，使工業互聯網具備自適應、自主和自生長的“內生安全”能力。

《安全指導意見》特別把“強化工業互聯網數據安全保護能力”單獨列出，作為主要任務之一，充分說明了數據安全在工業互聯網安全中的重要地位。其實，隨著工業互聯網應用的發展，我們所做的一切安全防護措施，根本目的都是為了保護工業互聯網企業的核心資產——工業大數據。

面對亟待解決的“內生安全”問題，左英男認為，要做到“內生安全”，安全特性必須能夠無縫嵌入工業大數據的軟件技術架構，需要具備自適應安全特性的大數據安全架構。安全自適應具有充分的系統自診斷功能，在遇到安全風險和系統異常時可以及時發現進行告警，同時具備自動化的策略調整和安全修復功能，使得工業大數據系統具備充分的“彈性”，可以關閉部分服務保證關鍵業務的執行。工業大數據的安全防護體系應當是一個運營體系，通過持續的安全運營，不斷提升優化安全策略、提升安全防護能力，實現安全防護能力的自生長。

從外到內、從表到里 多維度協同構建不同行業安全工具集

在以互聯網為主要標志的信息化時代， “互聯網+工業”已成現階段中國工業革命的最優選擇。由于自身技術水平限制，我國很多核心技術以及零配原件都依賴于國外。而其中的通信協議、設計漏洞等問題不被掌握，造成工業生產中的信息很容易被國外非法收集。同時，我國自身研發能力急需提高，人才培養難度也不斷加大，不同行業的安全防護水平也應該區別對待。

中國科學院信息工程研究所研究員孫利民認為，“從外到內、從表到里”地分階段實施是關鍵。應逐漸深入到PLC、工控組態軟件和數控機床等核心元器件的安全，把工控系統的功能安全與信息安全結合起來，實現工業互聯網的內置安全。同時，針對重要基礎設施的攻擊，需要多維度的協同，應加強企業內部、行業、全國甚至全球工控安全態勢的的感知和分析能力，主動監測和被動誘捕相結合地發現網絡攻擊活動情況和未知攻擊樣本特征。

《安全指導意見》要求對重點行業和領域要高度重視重點布局，例如發電行業、電網系統、軍工制造企業、軌道交通、三峽水利等是工業互聯網安全防護的重中之重，對此要如何應對?

孫利民認為，針對多個重要工業互聯網行業，分別構建特定的工業互聯網攻防演練靶場和仿真測試平臺。同時，加強工業互聯網和網絡安全復合型高端人才的培養，建立一批工業互聯網安全重點實驗室。 最后，構建本行業專用安全資源庫和安全工具集，并在行業內培訓和推廣應用的同時，注意安全資源庫自身的安全和防泄漏問題。

《安全指導意見》的實施，預示著我國工業互聯網安全體系建設已經朝著法制化、制度化、專業化的歷史新階段穩步推進，定會激發工業互聯網安全產業的快速發展，將極大提升我國工業互聯網的安全防護水平。