工业互联网 安全总体要求

工业互联网安全总体要求工业互联网安全是支撑工业全要素、全产业链、全价值链互联互通的核心底座，其总体要求需锚定工业场景“功能安全优先、生产连续稳定、数据可信可控”的核心目标，打破传统信息安全与工业生产安全分置管理的壁垒，构建覆盖“端-边-网-云-用-数”全维度、贯穿规划、建设、运行、退役全生命周期、融合技术、管理、运营、协同全主体的纵深防御体系，适配我国工业体系行业差异大、存量设备服役周期长、数字化转型进度不均衡的实际特点，兼顾安全防护强度与生产运行连续性，实现安全与发展的深度融合、动态平衡。在安全体系建设的整体逻辑上，首先要坚持四项核心原则。一是安全与发展同步，生产与防护协同。正确处理安全防护和生产运行的关系，坚决避免“重发展轻安全”和“过度防护阻碍生产”两种极端倾向，所有安全措施的部署必须以不影响工业生产的实时性、可靠性、连续性为前提。据工业领域公开运行数据统计，百万吨级乙烯生产线非计划停机1小时直接经济损失超50万元，省级电网核心调度系统中断10分钟可造成超亿元的经济损失并引发大面积民生影响，因此安全防护策略的制定必须贴合生产工艺实际，防护设备必须满足工业场景的电磁兼容、宽温宽湿、平均无故障运行时间不低于10万小时等工业级要求，安全策略调整必须避开核心生产时段，建立安全措施上线前的工艺影响测试机制，确保防护动作不触发生产中断、不影响功能安全。二是分域分级防护，动态精准适配。针对离散制造、流程工业、公共服务类工业场景的差异，以及不同企业、不同生产环节的重要程度，对照网络安全等级保护2.0、工业控制系统信息安全防护相关标准要求，开展安全防护对象的分级分类，针对核心生产环节、重要数据资源部署更高强度的防护措施，避免“一刀切”的防护模式。针对存量服役设备占比高、协议异构性强的特点，支持通过代理、适配、加固等兼容方式实现防护覆盖，不强制要求企业更换服役期内的稳定运行设备；针对新建工业互联网项目，严格落实安全设施“三同时”要求，做到安全设施与主体工程同时设计、同时施工、同时投入使用。据工信部2024年发布的工业互联网发展中期评估数据，截至2023年底，我国重点行业骨干企业工业互联网平台普及率达43.8%，累计连接工业设备超8600万台套，不同行业的数字化水平差异较大，其中石化、电力等流程行业的数字化率超60%，而部分轻工、零部件加工等离散制造行业的数字化率不足20%，防护要求必须匹配行业实际进度，避免脱离实际的高标准增加企业不必要负担。三是技管深度融合，全员责任覆盖。摒弃“仅靠技术产品就能解决所有安全问题”的错误认知，构建技术防护与管理制度相互支撑的防护体系，将安全责任落实到从企业负责人到一线操作员工的所有岗位，覆盖所有内外部人员、所有操作环节。据国家网络安全通报中心2023年工控安全事件统计，全年处置的1200余起涉及工业企业的网络安全事件中，62%的事件直接成因是人员操作不规范、管理制度缺位，包括弱口令未整改、违规私搭外联通道、随意使用私人U盘接入生产网、运维账号权限过大等，这类问题无法单纯靠技术产品彻底解决，必须通过制度约束、人员培训、流程管控实现闭环管理。四是自主可控为先，开放兼容并重。持续提升工业互联网核心装备、系统、平台、安全产品的自主可控水平，逐步降低高端PLC、DCS、工业软件等核心环节的对外依赖，从供应链源头阻断后门、断供等安全风险。截至2023年底，我国电力行业300MW以上机组DCS系统自主可控率已达58%，高端PLC自主化率提升至32%，为核心环节安全防护奠定了基础。在推进自主可控替代的过程中，要建立平滑过渡机制，做好存量系统与自主产品的兼容适配，避免因替代过程影响生产稳定，同时保持开放合作，积极吸收借鉴全球工业互联网安全的先进技术经验，构建兼容并蓄的安全生态。在具体的技术防护维度，首先要筑牢设备层的安全底线，因为工业设备是工业生产的核心执行单元，也是攻击渗透的最终落点。所有接入工业互联网的工业设备，包括现场传感器、执行器、PLC、RTU、CNC数控机床、工业机器人、AGV、边缘网关、现场服务器等，必须具备唯一可校验的身份标识，支持国密算法的身份认证机制，严禁匿名设备接入工业网络；针对存量老旧设备，特别是服役超过10年、不支持内置安全模块、采用串口等非IP通信方式的传感器、执行器、控制器，不得因无法直接部署安全功能就纳入防护盲区，要通过外置工业安全代理、协议转换网关、物理接口管控等方式实现身份核验、流量监测、访问控制，确保设备防护覆盖率达到100%。据国家工信安全中心2023年对全国3000家工业企业的抽样调研，目前规模以上工业企业的生产设备中，服役年限超过10年的占比达37%，其中62%的老旧设备未部署任何安全防护措施，是攻击渗透的主要突破口。设备上线前必须开展固件漏洞检测、完整性校验，固件升级包必须经过厂商数字签名验证，严禁未授权的固件刷写操作，根据国家工业信息安全发展研究中心2024年发布的《2023年工业信息安全态势报告》，2023年全年新增工控安全漏洞2138个，其中68.2%的漏洞存在于设备固件层面，攻击者可利用这类漏洞实现远程设备控制、恶意触发停机等破坏行为。设备运行阶段要建立持续的状态监测机制，对设备的CPU负载、内存占用、端口开放情况、指令执行逻辑进行实时采集分析，对超出工艺阈值的异常指令，比如PLC收到超出电机额定转速的控制指令、工业机器人收到超出作业范围的移动指令，要直接拦截并触发告警；要按照最小权限原则配置设备访问策略，默认关闭所有不必要的端口、服务，对大量老旧设备默认开启的139、445端口、FTP匿名访问服务等必须强制关闭，设备的远程维护必须经过运维堡垒机的统一管控，严禁直接将工业设备暴露在公网。据CNVD2023年公开监测数据，全年累计发现暴露在公网的工控设备超12万台，其中72%存在弱口令、默认口令问题，极易被攻击者扫描利用；针对工业机器人、增材制造设备等新型工业设备，还要增加对控制代码、工艺模型的完整性校验，防止攻击者篡改3D打印模型参数、数控加工代码，导致生产出的零部件存在强度、精度缺陷，引发后续的生产安全事故。设备层之上的边缘控制层是工业生产的神经中枢，直接承载控制逻辑、调度生产资源，其安全要求需突出功能安全与信息安全的深度融合。边缘控制层涵盖DCS、SCADA、SIS、MES等直接对接生产流程的系统，首先要具备主流工业协议的深度解析能力，能够实现对Modbus、S7、Profinet、EtherNet/IP等上百种主流工业协议的指令级识别，解析内容覆盖功能码、寄存器读写范围、参数阈值等字段，改变传统网络安全设备仅能通过端口识别流量的局限；由于90%以上的传统工业协议在设计之初未考虑身份认证、加密传输机制，存在明文传输、无合法校验等原生缺陷，极易被中间人攻击、指令篡改，因此必须通过协议解析实现对非法指令的拦截，比如拦截向安全联锁寄存器写入非法参数的操作、拦截超出工艺范围的参数调节指令，2022年某油气田SCADA系统曾因缺乏协议深度防护，被攻击者通过篡改Modbus传输的压力参数，恶意调节输油管道压力，险些引发管线泄漏事故。其次要建立控制逻辑白名单机制，由于工业生产的控制逻辑在稳定生产阶段是固定的，指令序列、通信对端关系、参数范围都具备强规律性，因此要基于正常生产周期的流量基线建立白名单，只允许经过工艺验证的合法指令在控制层传输，禁止任何未授权的程序下发、逻辑修改操作；对PLC程序上下载、组态修改等高危操作，必须经过双人授权、操作留痕，且只能在非生产窗口期开展，操作前必须完成全量系统备份。针对流程工业领域的安全仪表系统、紧急停车系统等直接关系生产安全的核心控制装置，要实施物理级的强隔离防护，禁止这类系统接入任何外部网络，禁止开放任何远程运维接口，系统的组态修改、参数调整必须经过工艺、安全、运维三个部门的联合审批，在物理现场双人操作完成，操作过程全程记录，防止网络攻击触发安全联锁失效、恶意停车等重大安全生产事故。此外，所有部署在控制层的安全防护设备必须满足工业实时性要求，控制流量的转发延迟必须小于1ms，具备硬件旁通、故障直通机制，确保安全设备本身故障时不会中断控制回路，影响生产连续性；针对承担低时延数据处理、实时优化的边缘计算节点，要采用裁剪式工业级操作系统，关闭非必要系统调用，容器化部署的边缘应用必须经过镜像签名、漏洞检测，边缘节点与云端的通信采用国密算法加密，断网状态下需具备独立运行至少72小时的能力，保障生产流程不中断。连接各生产单元、跨域传输生产数据的网络层是工业互联网的血管，其安全防护需遵循分区分域、边界管控的核心思路。要严格按照“横向分区、纵向分域、区域隔离、边界管控”的原则，根据生产环节的重要程度划分为生产控制大区、管理信息大区、互联网接入区，其中生产控制大区进一步划分为控制区、非控制区，不同区域之间采用工业防火墙、单向网闸等设备实现隔离，生产控制大区与管理信息大区之间必须部署单向光闸，仅允许生产数据从生产区单向流向管理区，禁止管理区直接向生产区发起网络连接，据国家工信安全中心的实测评估，完成严格分区分域建设的工业企业，遭遇网络攻击时的横向扩散范围可缩小92%，事件平均处置时间缩短78%。网络传输环节要根据数据的敏感等级采取对应的加密措施，跨广域传输的控制信号、核心生产数据必须采用国密SM2/SM3/SM4算法加密传输；5G工业应用要采用UPF下沉、独立网络切片、专用DNN等方式，实现工业控制流量与公网流量的硬隔离，严禁控制流量直接通过公网传输；工业WLAN、Zigbee、LoRa等无线传感网络要开启接入认证、传输加密功能，防止无线信号被窃听、干扰，2023年某钢铁企业曾因无线传感网络被恶意干扰，导致料场运输皮带的位置传感器数据失真，引发皮带跑偏故障，造成2小时生产中断。针对5G、时间敏感网络等新型网络技术的应用，要同步构建对应的安全防护能力，比如时间敏感网络要实现时间同步报文的真实性校验，防止攻击者篡改时间同步信号导致控制时序错乱，引发生产事故；工业5G切片要实现切片间的硬隔离，禁止不同安全等级的终端接入同一网络切片，防止跨切片的攻击渗透。要在所有网络边界、核心交换节点部署工业流量探针，对全量网络流量进行基线建模，识别端口扫描、暴力破解、横向移动、勒索病毒传播等异常流量，由于工业网络的流量规律性极强，正常生产时段的流量峰值、协议占比、通信对端关系都保持相对稳定，一旦出现某台设备突然向全网发起SMB连接、发送大量ARP广播包等异常行为，可快速判定为攻击行为并触发告警。针对第三方接入场景，包括供应商运维终端、合作伙伴对接系统、远程运维通道等，必须通过零信任架构实现接入管控，所有接入终端必须经过安全状态检查，安装终端防护软件，按照“最小权限、按需授权”的原则分配访问权限，对运维过程全程录屏、操作留痕，运维结束后立刻收回访问权限，2023年处置的工业企业勒索攻击事件中，48%的攻击入口是第三方供应商的远程运维通道，部分企业为了运维方便给供应商开通了永久远程访问权限，账号密码长期不更换，被攻击者窃取后直接进入生产网络造成破坏。作为全要素连接枢纽的工业互联网平台，是数据汇聚、应用承载的核心载体，其安全能力直接关系到所有接入主体的生产安全。平台基础设施层面，自建平台需满足网络安全等级保护三级以上要求，采用公有云资源承载的平台需选择通过工信部云计算服务能力评估、具备工业互联网云服务安全资质的服务商，平台物理资源要实现多可用区冗余，核心节点服务可用性不低于99.99%，全年非计划停机时间不超过52分钟。平台接入层面要建立统一的身份认证体系，对接入的海量设备、系统、用户实现全生命周期的身份管理，支持多因素认证，具备T级抗DDoS攻击能力，防止大流量攻击导致平台瘫痪，影响接入企业的正常生产。针对平台普遍采用的微服务架构，要重点加强API接口安全防护，对所有对外开放、内部调用的API开展全量资产梳理，实现接口的身份鉴权、权限控制、流量阈值限制，防止API未授权访问导致的数据泄露，2022年某省级工业互联网平台曾因API接口未做权限校验，导致平台汇聚的1.2万家企业的生产数据被非法爬取，造成严重的安全影响。平台采用容器、Kubernetes编排架构部署应用的，要对所有容器镜像开展全量漏洞扫描，禁止使用存在高危漏洞的基础镜像，容器运行时启用进程白名单、文件系统只读保护，防止容器逃逸、恶意进程注入等风险，Kubernetes集群的管理权限要实现分级管控，禁止使用默认管理员TOKEN长期运行，防止整个集群被攻击者接管。平台为中小企业提供SaaS化应用服务时，要实现多租户之间的强逻辑隔离，禁止租户间的数据越权访问，为租户提供可自主配置的安全策略管理能力，支持租户根据自身生产需求设置访问控制规则、数据加密策略，不得随意访问、使用租户上传的生产经营数据。此外，平台要具备全局安全态势感知能力，对所有接入的设备、应用、用户的行为进行全程审计，实现安全事件的分钟级告警、溯源定位，具备一键隔离、自动处置的能力；建立“三地三中心”的异地容灾备份机制，核心数据、核心应用的备份恢复时间目标不超过4小时，恢复点目标不超过30分钟，定期开展备份恢复演练，确保备份数据可用。数据作为工业互联网的核心生产要素，其安全防护需贯穿采集、传输、存储、使用、共享、销毁的全生命周期。首先要全面开展工业数据分类分级工作，严格对照工业数据分类分级相关指南要求，结合企业生产实际，将数据划分为一般数据、重要数据、核心数据三个等级，明确每一类数据的责任部门、责任人、防护要求，其中核心数据主要包括关系国计民生的重点行业核心生产工艺参数、关键设备运行参数、供应链核心储备数据，这类数据一旦泄露、篡改、丢失，会直接影响国家安全、公共利益；重要数据包括企业生产计划、普通工艺参数、设备运行台账等，泄露或篡改会影响企业正常生产、造成较大经济损失；一般数据为可公开的企业宣传信息、公开产品参数等，分类分级结果要实施动态更新，当生产工艺调整、业务范围变化时及时调整数据级别。数据采集阶段要确保采集源的身份可信，对采集到的数据做完整性校验，防止攻击者篡改传感器采集的温度、压力、振动等数据，导致预测性维护、生产调度决策出现偏差；数据传输阶段，核心数据、重要数据必须采用国密算法加密，严禁明文传输；数据存储阶段，核心数据要采用加密存储、多人授权访问机制，严禁超权限访问，存储介质报废时要做消磁、物理粉碎处理，防止数据被非法恢复；数据使用阶段，要基于数据级别设置访问权限，实现“谁访问、谁负责、全程留痕”，涉及敏感数据展示的场景要采用数据脱敏技术，第三方合作需要使用数据的，要优先采用联邦学习、多方安全计算等隐私计算技术，实现“数据可用不可见、数据不出域”的价值流通；针对工业模型、工艺算法、控制代码等数字资产，要建立专门的保护机制，对存储这类资产的系统实施强访问控制，采用数字水印、操作溯源等技术，防止核心数字资产被非法拷贝、篡改，比如高端精密制造领域的五轴联动加工中心控制代码，是企业经过长期工艺积累形成的核心资产，一旦泄露会造成企业核心竞争力的重大损失，必须按照核心数据的防护要求进行管理；数据销毁阶段，要建立严格的审批流程，销毁过程全程记录，防止敏感数据被违规留存。针对工业数据出境场景，凡是被认定为重要数据、核心数据的，必须严格按照数据出境安全评估相关规定开展评估，未经评估严禁向境外传输，2023年全国网信系统查处的工业领域数据违规案件中，32%涉及重要数据未开展安全评估违规出境，相关企业被依法予以处罚。此外，要建立离线备份机制，核心数据要实现实时异地备份，重要数据要执行每日增量备份、每周全量备份，备份介质要与生产网络物理隔离，防止被勒索病毒加密，2023年某大型装备制造企业曾因未建立离线备份机制，在遭遇勒索病毒攻击后核心生产数据被全部加密，被迫支付180万美元赎金才恢复系统，累计停产7天，总损失超2亿元。技术防护能力的有效落地，需要体系化的安全管理机制作为支撑，避免出现“技术防护强、管理漏洞多”的短板。首先要建立清晰的组织架构与责任体系，工业企业、工业互联网平台企业必须落实网络安全“一把手负责制”，明确企业主要负责人是安全第一责任人，设立专门的工业互联网安全管理部门，配备专职安全管理人员，其中电力、石化、轨道交通等重点行业的专职安全人员配备比例不低于员工总数的千分之三，构建从决策层、管理层到执行层、一线操作岗的全员安全责任链条，将安全责任落实到具体岗位、具体人员，签订安全责任书并纳入绩效考核。据工信部对全国1200家重点工业企业的调研数据，建立一把手牵头的安全责任体系的企业，安全事件发生率比未建立同类体系的企业低67%。其次要建立覆盖全流程的安全管理制度体系，结合企业自身生产工艺特点，制定设备采购安全规范、系统上线安全检测规范、网络运维管理制度、数据安全管理制度、第三方人员管理制度、应急响应预案、安全培训制度等全套制度文件，避免照搬通用模板导致制度与实际生产脱节，比如化工企业的安全制度要与动火作业、设备检修周期等生产管理要求衔接，电力企业的安全制度要符合电力安全工作规程的相关要求；制度文件要定期评审更新，每年至少开展一次全面修订，当生产工艺调整、系统升级、出现新型安全威胁时，要及时补充更新相关条款。在全生命周期运维管理方面，采购阶段要将安全要求纳入采购合同，明确供应商的安全责任，要求供应商提供设备漏洞清单、安全维护承诺，严禁采购存在已知高危漏洞、无安全维护保障的设备和软件，逐步提高核心环节自主可控产品的采购比例；系统上线阶段，所有新上线的设备、系统必须经过漏洞扫描、渗透测试、配置核查等安全检测，检测合格后方可上线运行，严禁系统“带病上线”；运行维护阶段，要建立漏洞全生命周期管理机制，安排专人持续跟踪国家信息安全漏洞共享平台、国家工业信息安全漏洞库发布的漏洞信息，对涉及本企业使用的设备、系统的漏洞第一时间开展影响评估，高危漏洞要在72小时内完成修复，对确实因为设备版本过旧、厂商停止服务、停机影响过大等原因无法及时修复的漏洞，要制定针对性的临时防护方案，通过边界访问控制、流量特征拦截、虚拟补丁等方式降低风险，并建立专项台账跟踪漏洞整改进度；每季度至少开展一次内部渗透测试，重点行业企业每半年要开展一次全面的安全评估，覆盖所有生产环节、系统和设备；设备退役阶段，要彻底清除设备存储的敏感数据，对内置存储介质进行安全处置后再做报废处理，防止数据泄露。人员管理方面，新入职员工、运维人员要开展背景审查，签署安全保密协议；建立常态化安全培训机制，一线操作员工每年的安全培训时长不低于8学时，专职运维人员不低于24学时，培训内容覆盖工业安全常识、常见攻击手段识别、岗位操作规范、应急处置流程等，培训考核合格后方可上岗；定期开展钓鱼邮件演练、安全意识考核，生产控制区内的终端原则上要封闭USB接口，确因工作需要使用移动存储介质的，要采用专用安全U盘，经过病毒查杀、审批登记后方可使用，2023年处置的工控安全事件中，23%是因为员工在生产网终端随意插入私人U盘带入病毒导致的；员工离岗时要第一时间收回所有系统权限、门禁权限，完成相关资料、介质的交接，防止离岗人员违规访问系统。针对第三方供应链管理，要建立供应商安全准入机制，合作前对设备供应商、软件服务商、运维服务商、系统集成商的安全资质、安全能力开展评估，签订安全合作协议，明确第三方的安全责任，比如供应商提供的设备存在后门、高危漏洞并造成安全事件的，要承担相应的法律责任和经济损失；对第三方的运维操作要全程监督，严禁第三方在未获得授权的情况下远程接入生产系统、拷贝敏感数据；定期对第三方服务开展安全评估，发现安全问题立刻要求整改，整改不到位的终止合作。2023年全球工控领域发生的供应链攻击事件同比增长42%，攻击者通过攻击上游供应商，在设备固件、软件升级包中植入恶意程序，可一次性影响成百上千家下游企业，2022年曾发生某PLC供应商的官方升级包被植入恶意程序的事件，导致全球2000多台使用该品牌PLC的生产设备被感染，造成大面积生产中断。常态化的安全运营与高效的应急响应，是保障安全体系持续有效、快速处置突发安全事件的关键。企业要建立7*24小时的安全运营值守机制，重点行业企业必须配备专职安全运营团队，中小微企业可委托具备资质的第三方安全运营服务商提供服务，对全系统的安全告警开展实时研判、分级处置，建立安全运营台账，记录所有告警事件、处置过程、整改结果，形成“监测-研判-处置-复盘-优化”的闭环运营流程；定期开展安全基线核查，确保所有设备、系统的配置符合安全要求，实现弱口令、默认口令动态清零，及时关闭不必要的端口和服务。要加强威胁情报应用，主动接入国家、行业层面的工业安全威胁情报平台，及时获取最新的漏洞信息、攻击手法、威胁指标，将威胁情报与本地防火墙、流量监测、EDR等防护设备联动，实现对新型攻击的快速识别和拦截，比如收到某工业软件存在0day漏洞的情报时，要第一时间在本地防护设备上添加对应的防护规则，在官方补丁发布前做好临时防护。要构建分层分级的应急响应体系，针对设备入侵、勒索病毒感染、数据泄露、平台瘫痪等不同场景制定专项应急预案，按照事件影响范围、损失程度将安全事件划分为一般、较大、重大、特别重大四个等级，明确不同等级事件的响应流程、责任人员、处置措施、恢复步骤，比如发生勒索病毒感染事件时，第一时间要断开受感染设备的网络连接防止横向扩散，再排查感染范围、从离线备份恢复数据，严禁盲目重启设备导致备份数据被加密；发生特别重大安全事件时，要在1小时内上报属地行业主管部门和监管部门，不得迟报、瞒报、漏报。重点行业企业每半年至少开展一次实战化应急演练，其他企业每年至少开展一次，演练要贴合实际生产场景，模拟勒索病毒攻击、供应链