淺談工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)
2021-01-26
來(lái)源:關(guān)鍵基礎(chǔ)設(shè)施安全應(yīng)急響應(yīng)中心
一、引言
數(shù)據(jù)是國(guó)家基礎(chǔ)性戰(zhàn)略資源,是數(shù)字經(jīng)濟(jì)的基石,,對(duì)生產(chǎn),、流通、分配和消費(fèi)產(chǎn)生深遠(yuǎn)影響,。2020年4月,中共中央、國(guó)務(wù)院印發(fā)《關(guān)于構(gòu)建更加完善的要素市場(chǎng)化配置體制機(jī)制的意見》,,正式明確數(shù)據(jù)是和土地、勞動(dòng)力,、資金等并列的生產(chǎn)要素,。安全是發(fā)展的前提,《中華人民共和國(guó)網(wǎng)絡(luò)安全法》,、《促進(jìn)大數(shù)據(jù)發(fā)展行動(dòng)綱要》,、《關(guān)于加強(qiáng)國(guó)家網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化工作的若干意見》、《關(guān)于深化“互聯(lián)網(wǎng)+先進(jìn)制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導(dǎo)意見》,、《加強(qiáng)工業(yè)互聯(lián)網(wǎng)安全工作的指導(dǎo)意見》等一系列法規(guī)及政策文件,,都明確提出了加強(qiáng)數(shù)據(jù)安全的相關(guān)要求。2020年,,《數(shù)據(jù)安全法(征求意見稿)》也正式發(fā)布,,將數(shù)據(jù)安全納入國(guó)家安全觀,更體現(xiàn)了數(shù)據(jù)安全日趨重要的發(fā)展趨勢(shì),。數(shù)據(jù)是工業(yè)互聯(lián)網(wǎng)的“血液”,,加強(qiáng)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)對(duì)于工業(yè)互聯(lián)網(wǎng)的健康發(fā)展至關(guān)重要。
二,、國(guó)內(nèi)外對(duì)于數(shù)據(jù)安全防護(hù)的工作進(jìn)展
面對(duì)日益嚴(yán)峻的數(shù)據(jù)安全威脅,,世界主要國(guó)家持續(xù)加強(qiáng)數(shù)據(jù)安全立法和監(jiān)管。據(jù)統(tǒng)計(jì),,全球已有120多個(gè)國(guó)家和地區(qū)制定了專門的數(shù)據(jù)安全和個(gè)人信息保護(hù)相關(guān)法律法規(guī)及標(biāo)準(zhǔn),。從國(guó)際標(biāo)準(zhǔn)組織和歐美國(guó)家在數(shù)據(jù)安全所做的工作來(lái)看,,國(guó)際電信聯(lián)盟電信標(biāo)準(zhǔn)局(ITU-T)制定了《大數(shù)據(jù)服務(wù)安全指南》、《移動(dòng)互聯(lián)網(wǎng)服務(wù)中大數(shù)據(jù)分析的安全需求與框架》,、《大數(shù)據(jù)基礎(chǔ)設(shè)施及平臺(tái)的安全指南》,、《電信大數(shù)據(jù)生命周期管理安全指南》等多項(xiàng)標(biāo)準(zhǔn)?!洞髷?shù)據(jù)服務(wù)安全指南》規(guī)定了大數(shù)據(jù)平臺(tái)應(yīng)具備的安全服務(wù)能力,。《云服務(wù)客戶數(shù)據(jù)安全指南》規(guī)定了數(shù)據(jù)全生命周期各階段云服務(wù)商應(yīng)具備的安全能力,,《電信大數(shù)據(jù)生命周期管理的安全指南》分析了電信大數(shù)據(jù)生命周期中的安全風(fēng)險(xiǎn)并制定安全準(zhǔn)則,。國(guó)際信息安全標(biāo)準(zhǔn)化分技術(shù)委員會(huì)(SC27)數(shù)據(jù)安全研究組,制定了《信息技術(shù) 大數(shù)據(jù)參考架構(gòu)第4部分:安全與隱私保護(hù)》《大數(shù)據(jù)安全實(shí)施指南》,。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)大數(shù)據(jù)公共工作組,,發(fā)布了《受控非保密信息的安全要求評(píng)估》、《個(gè)人可識(shí)別信息機(jī)密保護(hù)指南》,、《聯(lián)邦信息系統(tǒng)和組織的安全和隱私控制措施》等,。歐盟發(fā)布了著名的《通用數(shù)據(jù)保護(hù)條例(GDPR)》。德國(guó)發(fā)布了《聯(lián)邦數(shù)據(jù)保護(hù)法》,。此外,,美國(guó)利用數(shù)字產(chǎn)業(yè)優(yōu)勢(shì)主導(dǎo)數(shù)據(jù)流向,發(fā)布了《澄清海外合法使用數(shù)據(jù)法案》(CLOUD Act ) ,、《國(guó)家安全與個(gè)人數(shù)據(jù)保護(hù)法提案》(NSPDPA)等構(gòu)建數(shù)據(jù)跨境流動(dòng)與限制政策,,以“長(zhǎng)臂管轄”、“域外效力”等為由干涉他國(guó)數(shù)據(jù)安全監(jiān)管活動(dòng),。
從國(guó)內(nèi)已制定的數(shù)據(jù)安全相關(guān)標(biāo)準(zhǔn)來(lái)看,,主要有《信息安全技術(shù) 大數(shù)據(jù)安全管理指南》、《信息安全技術(shù) 健康醫(yī)療數(shù)據(jù)安全指南》,、《信息安全技術(shù) 大數(shù)據(jù)服務(wù)安全能力要求》,、《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》等?!缎畔踩夹g(shù) 大數(shù)據(jù)安全管理指南》為大數(shù)據(jù)安全管理提供指導(dǎo),,提出了大數(shù)據(jù)安全管理基本原則、基本概念和大數(shù)據(jù)安全風(fēng)險(xiǎn)管理過(guò)程,,明確了大數(shù)據(jù)安全管理角色與責(zé)任,。《信息安全技術(shù) 數(shù)據(jù)安全能力成熟度模型》提出了對(duì)組織機(jī)構(gòu)的數(shù)據(jù)安全能力成熟度的分級(jí)評(píng)估方法,,用來(lái)衡量組織機(jī)構(gòu)的數(shù)據(jù)安全能力,,促進(jìn)組織機(jī)構(gòu)了解并提升自身的數(shù)據(jù)安全水平?!缎畔踩夹g(shù) 健康醫(yī)療數(shù)據(jù)安全指南》提出了健康醫(yī)療領(lǐng)域的信息安全框架,,并給出健康醫(yī)療信息控制者在保護(hù)健康醫(yī)療信息時(shí)可采取的管理和技術(shù)措施,。《信息安全技術(shù) 大數(shù)據(jù)服務(wù)安全能力要求》,、《信息安全技術(shù) 數(shù)據(jù)交易服務(wù)安全要求》分別針對(duì)大數(shù)據(jù)服務(wù),、數(shù)據(jù)交易的情景提出了安全要求。2020年,,由國(guó)家工業(yè)信息安全發(fā)展研究中心牽頭申報(bào)的《工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)指南》被列為全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(TC260)標(biāo)準(zhǔn)重點(diǎn)研究項(xiàng)目,。
三、工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)難點(diǎn)
隨著云計(jì)算,、物聯(lián)網(wǎng),、移動(dòng)通信等新一代信息技術(shù)的廣泛應(yīng)用,泛在互聯(lián),、平臺(tái)匯聚,、智能發(fā)展等制造業(yè)新特征日益凸顯。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)常態(tài)化呈現(xiàn)規(guī)?;a(chǎn)生,、海量集中、頻繁流動(dòng)交互等特點(diǎn),,工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)已成為提升企業(yè)生產(chǎn)力、競(jìng)爭(zhēng)力,、創(chuàng)新力的關(guān)鍵要素,,保障工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全的重要性愈發(fā)突出。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)具有很高的商業(yè)價(jià)值,,關(guān)系企業(yè)的生產(chǎn)經(jīng)營(yíng),,一旦遭到泄露或篡改,將可能影響生產(chǎn)經(jīng)營(yíng)安全,、國(guó)計(jì)民生甚至國(guó)家安全,。然而,工業(yè)企業(yè)類型多樣,,工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)更是海量多態(tài),,給數(shù)據(jù)安全防護(hù)帶來(lái)了困難和挑戰(zhàn)。
?。?1 ) 采集階段識(shí)別解析難,。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)分布在海量設(shè)備、系統(tǒng)之中,。不僅數(shù)據(jù)孤島現(xiàn)象嚴(yán)重,,各廠家數(shù)據(jù)接口規(guī)范不統(tǒng)一,而且各廠商多采用自家的私有協(xié)議,,工業(yè)協(xié)議多樣且大多封閉,,導(dǎo)致數(shù)據(jù)難識(shí)別,、難解析;
?。?2 ) 傳輸階段監(jiān)測(cè)溯源難,。工業(yè)互聯(lián)網(wǎng)場(chǎng)景涉及云計(jì)算、大數(shù)據(jù),、人工智能等多種技術(shù)的應(yīng)用,,且工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)在工廠外流動(dòng)更加復(fù)雜多元。大流量,、虛擬化等環(huán)境下難以有效捕捉追溯敏感數(shù)據(jù)和安全威脅,;
( 3 ) 存儲(chǔ)階段分類分級(jí)難,。存儲(chǔ)階段極易形成數(shù)據(jù)的匯聚,,需要根據(jù)數(shù)據(jù)的類別和等級(jí)采用劃分區(qū)域、設(shè)置訪問(wèn)權(quán)限,、加密存儲(chǔ)等多種手段,。然而工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)形態(tài)多樣、格式復(fù)雜,,使得數(shù)據(jù)分類分級(jí)管理與防護(hù)難度大,;
( 4 ) 使用階段可信共享難,。對(duì)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)進(jìn)行分析利用是發(fā)展工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)作為生產(chǎn)要素的重要途徑,,然而數(shù)據(jù)權(quán)責(zé)難定、安全可信賦能難等阻礙數(shù)據(jù)有序安全共享,。例如,,海量智能電表數(shù)據(jù)中的家庭數(shù)據(jù),其數(shù)據(jù)產(chǎn)權(quán)是為家庭所擁有還是部署了智能電表的供電公司所擁有,?根據(jù)《網(wǎng)絡(luò)安全法》,,供電公司需對(duì)所采集的家庭數(shù)據(jù)負(fù)保護(hù)責(zé)任,大量家庭隱私數(shù)據(jù)泄露追究供電公司責(zé)任,,但如供電公司將家庭數(shù)據(jù)提供給了第三方或自身進(jìn)行利用產(chǎn)生了收益,,家庭可不可以共享一部分收益?
四,、工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)思路
根據(jù)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)需求,,設(shè)計(jì)了工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)框架,如圖1所示,。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)要同時(shí)加強(qiáng)安全管理和技術(shù)防護(hù),。其中,安全管理方面包括制度,、機(jī)構(gòu),、人員,、設(shè)備、供應(yīng)鏈等安全管理,,以及分類分級(jí),、安全監(jiān)測(cè)、風(fēng)險(xiǎn)管理,、檢查評(píng)估,、應(yīng)急管理等工作。
圖1 工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)框架
技術(shù)防護(hù)方面包括從系統(tǒng)安全角度加強(qiáng)數(shù)據(jù)安全,,主要措施有邊界防護(hù),、入侵檢測(cè)、身份鑒別,、訪問(wèn)控制和安全審計(jì),;另一方面的技術(shù)防護(hù)是指分類分級(jí)防護(hù),針對(duì)不同類別,、級(jí)別的數(shù)據(jù)實(shí)施差異化防護(hù)措施,。
在分類施策方面,主要是要根據(jù)不同類別工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)的特征,,有針對(duì)性地提出工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)分類防護(hù)要求,,解決適應(yīng)各類數(shù)據(jù)合規(guī)性、保密性,、完整性,、可用性、可追溯性等需求下的差異化安全防護(hù)問(wèn)題,。如研發(fā)設(shè)計(jì)數(shù)據(jù)的保密性更突出,生產(chǎn)制造數(shù)據(jù)的實(shí)時(shí)性,、穩(wěn)定性等要求更強(qiáng),,經(jīng)營(yíng)管理數(shù)據(jù)的安全交換共享需求更大,應(yīng)用服務(wù)數(shù)據(jù)的上云安全,、大數(shù)據(jù)安全,、用戶隱私保護(hù)等要求更高。
在分級(jí)定措方面,,需要圍繞數(shù)據(jù)全生命周期,,重點(diǎn)針對(duì)不同安全級(jí)別的數(shù)據(jù)安全防護(hù)需求,明確差異化的數(shù)據(jù)分級(jí)安全防護(hù)要求,。按照《工業(yè)數(shù)據(jù)分類分級(jí)指南》,、《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》等政策標(biāo)準(zhǔn)要求,可將工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)分為一,、二,、三共三個(gè)級(jí)別,,其中三級(jí)數(shù)據(jù)的安全防護(hù)要求最高。分級(jí)防護(hù)主要是從數(shù)據(jù)采集,、傳輸,、存儲(chǔ)、處理,、交換共享與公開披露,、歸檔與銷毀等全生命周期各階段提出安全防護(hù)措施,每一階段都有對(duì)應(yīng)的細(xì)化防護(hù)要求,,如圖2所示,。采集階段需要采取采集協(xié)商安全策略、采集安全控制,、外部數(shù)據(jù)源鑒別,、源數(shù)據(jù)安全檢測(cè)、數(shù)據(jù)質(zhì)量安全評(píng)估等安全措施,,傳輸階段需采取傳輸安全規(guī)范,、單向數(shù)據(jù)傳輸、加密傳輸,、安全協(xié)議或?qū)S面溌穫鬏?、?shù)據(jù)流量識(shí)別、數(shù)據(jù)安全遷移等安全措施,,存儲(chǔ)階段需采取存儲(chǔ)環(huán)境安全,、分類分級(jí)存儲(chǔ)、加密存儲(chǔ),、數(shù)據(jù)災(zāi)備等安全措施,,處理階段需要采取數(shù)據(jù)交換共享規(guī)則、數(shù)據(jù)公開披露規(guī)則,、數(shù)據(jù)溯源,、數(shù)據(jù)脫敏等,歸檔與銷毀階段需要采取數(shù)據(jù)歸檔處置,、數(shù)據(jù)銷毀處置,、存儲(chǔ)介質(zhì)銷毀處置等安全措施。
圖2 數(shù)據(jù)全生命周期安全防護(hù)導(dǎo)圖
五,、結(jié)束語(yǔ)
在數(shù)字經(jīng)濟(jì)時(shí)代,,企業(yè)紛紛加快數(shù)字化轉(zhuǎn)型,工業(yè)互聯(lián)網(wǎng)快速發(fā)展,,給后疫情時(shí)代帶來(lái)新的經(jīng)濟(jì)增長(zhǎng)活力,。數(shù)據(jù)是工業(yè)互聯(lián)網(wǎng)的“血液”,數(shù)據(jù)安全對(duì)于工業(yè)互聯(lián)網(wǎng)發(fā)展至關(guān)重要。在設(shè)備安全,、系統(tǒng)安全之上加強(qiáng)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù),,需要研究工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)特征,有針對(duì)性地采取安全措施,。然而,,針對(duì)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)的技術(shù)手段卻還相對(duì)缺乏,管理措施尚未嚴(yán)格,,數(shù)據(jù)安全尚在路上,。