2022年6月15日 亞信安全聯(lián)合施耐德電氣商業(yè)價值研究院出品的《工業(yè)信息安全技術(shù)洞察》正式發(fā)布?！豆I(yè)信息安全技術(shù)洞察》從工業(yè)信息安全建設(shè)的需求出發(fā)，基于線上線下超過兩百家工業(yè)企業(yè)用戶調(diào)研，全面分析了我國工業(yè)信息安全的挑戰(zhàn)與現(xiàn)狀，并通過總結(jié)亞信安全與施耐德電氣數(shù)字化工廠的建設(shè)經(jīng)驗，以及配套信息安全服務(wù)實踐，透過大量真實數(shù)據(jù)和案例剖析，為工業(yè)用戶提供了構(gòu)建工業(yè)信息安全未來路徑的專業(yè)建議。
外緊內(nèi)驅(qū)工業(yè)信息安全需求日益凸顯
數(shù)字化進程的推進可以有效幫助工業(yè)企業(yè)提升生產(chǎn)運營效率，但隨之產(chǎn)生的工業(yè)信息安全問題也愈加嚴峻，亟待解決。近些年來，工業(yè)信息安全事件頻發(fā)并有逐步增多的趨勢，為工業(yè)領(lǐng)域的發(fā)展敲響了警鐘。
對于工業(yè)企業(yè)來說，工業(yè)信息安全(ICS Cybersecurity)比僅有IT系統(tǒng)的傳統(tǒng)信息安全更加復(fù)雜，尤其是在“震網(wǎng)”事件后，工業(yè)信息安全地位越發(fā)得到關(guān)注與重視。在國家層面，《工業(yè)控制系統(tǒng)信息安全防護指南》、《網(wǎng)絡(luò)安全法》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》、《工業(yè)互聯(lián)網(wǎng)行動發(fā)展計劃》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》、《工業(yè)信息安全標準化白皮書》陸續(xù)出臺?！豆I(yè)信息安全技術(shù)洞察》全面梳理了相關(guān)法規(guī)和標準，并以此為背景對工業(yè)系統(tǒng)網(wǎng)絡(luò)的演變，以及信息安全的護航作用進行了闡述。
迎難而上工業(yè)信息安全建設(shè)的挑戰(zhàn)和現(xiàn)狀
據(jù)《工業(yè)信息安全技術(shù)洞察》數(shù)據(jù)，在工業(yè)信息安全建設(shè)的四大挑戰(zhàn)中， 約54%的受訪企業(yè)表示，資金、人力投入不足成為建設(shè)的首要問題；約33%的受訪者認為工業(yè)領(lǐng)域暴露出的信息基礎(chǔ)設(shè)施陳舊不容忽視；與此同時，近年來工業(yè)攻擊針對性升級和IT/OT融合協(xié)同的復(fù)雜性，更進一步加大了工業(yè)信息安全建設(shè)的難度。
通過對工業(yè)信息安全實踐現(xiàn)狀的分析，得出兩點結(jié)論：
.綜合管理亟待完備
OT領(lǐng)域信息安全成熟度整體仍處在較低水平，尤其是“輕管理、輕運營”的現(xiàn)象較為嚴重，人員整體安全意識薄弱，距離形成基本完備，且兼具持續(xù)改進的成熟體系尚有一定時日。
.信息安全投入轉(zhuǎn)向混合驅(qū)動
雖然“安全事件”仍是OT領(lǐng)域信息安全投入最重要的驅(qū)動，但來源于監(jiān)管合規(guī)壓力和自身業(yè)務(wù)需要的維度同樣拉大了需求快速增長。
《工業(yè)信息安全技術(shù)洞察》指出，數(shù)據(jù)安全、控制主機和終端安全方面，廣泛認同的最佳實踐取得一定效果，并且已經(jīng)有頭部企業(yè)開始進入綜合態(tài)勢感知能力建設(shè)的高峰期。其中，超過70%的主機已經(jīng)定義安全控制基線，并進行了標準化配置；尤其是移動介質(zhì)使用所造成的惡意代碼傳輸問題，業(yè)界普遍認為其是OT環(huán)境重要的風(fēng)險因素，已基本都通過物理手段或基線配置，實施了移動介質(zhì)訪問封禁的配置。其次，補丁管理工作也受到了較多企業(yè)的關(guān)注，通過對先行使用者的反饋，新興的虛擬化補丁技術(shù)效果甚佳。
躬行實踐以專業(yè)能力構(gòu)筑工業(yè)信息安全保障
作為工業(yè)先鋒之一，施耐德電氣充分借鑒國際和業(yè)界工業(yè)信息安全最佳實踐，結(jié)合國內(nèi)監(jiān)管要求，形成了具有中國特色的工業(yè)信息安全實踐范例。而亞信安全則作為國內(nèi)綜合型網(wǎng)絡(luò)安全廠商的代表企業(yè)和5G安全研究應(yīng)用的先行者，為大量客戶提供完備的工業(yè)信息安全解決方案和服務(wù)支撐。
《工業(yè)信息安全技術(shù)洞察》中詳細介紹的典型案例，均結(jié)合了亞信安全與施耐德電氣自身在工業(yè)領(lǐng)域深耕多年的實踐經(jīng)驗，旨在幫助工業(yè)企業(yè)在充分了解目前工業(yè)信息安全發(fā)展現(xiàn)狀的基礎(chǔ)上吸收更多經(jīng)驗，從而提高信息安全的建設(shè)效率，切實地為企業(yè)數(shù)字化轉(zhuǎn)型提供堅實有力的保障。
在實際應(yīng)用場景中，亞信安全“信槳”工業(yè)安全縱深防護體系，基于“3+2+1”工業(yè)安全防護理念，以終端、區(qū)域、邊界為三重防護重點，形成IT&OT流量及防病毒二級聯(lián)動，實現(xiàn)風(fēng)險感知的一體化處置；并以集中管理、流量檢測、終端安全、區(qū)域保護、區(qū)域?qū)徲?、安全運維等全系工業(yè)安全產(chǎn)品為支撐，打造全方位工業(yè)安全解決方案，全力保障工業(yè)控制系統(tǒng)安全。
圖：“信槳”工業(yè)安全縱深防護體系
循序漸進以最優(yōu)路徑支撐工業(yè)信息安全未來
《工業(yè)信息安全技術(shù)洞察》得到了來自200位工業(yè)企業(yè)高管和信息安全相關(guān)負責(zé)人，對于工業(yè)信息安全發(fā)展的反饋。參與調(diào)研的高管及信息安全負責(zé)人表示，盡管工業(yè)信息安全發(fā)展驅(qū)動力正在逐步增強，工業(yè)信息安全建設(shè)卻仍處在“從初步合規(guī)開始邁向全面合規(guī)”的發(fā)展階段。為此，報告給出了“自知、合規(guī)、著力、迭代”四個步驟，從合規(guī)監(jiān)管、行業(yè)挑戰(zhàn)、企業(yè)經(jīng)驗、專業(yè)服務(wù)最佳實踐等方面，為企業(yè)工業(yè)信息安全建設(shè)厘清了發(fā)展路徑。
圖：四大價值主張賦能最優(yōu)實施路徑
在當今愈來愈復(fù)雜多變的網(wǎng)絡(luò)空間中，隨著云、大數(shù)據(jù)、物聯(lián)網(wǎng)等開放式的技術(shù)在實際運用中不斷普及和發(fā)展完善，信息安全所面臨的挑戰(zhàn)已不再是保護某個封閉區(qū)域內(nèi)的資產(chǎn)設(shè)備，而是轉(zhuǎn)變?yōu)閷φw網(wǎng)絡(luò)安全生態(tài)系統(tǒng)的體系化協(xié)同保障。因此，只有整個生態(tài)鏈上下游的參加者協(xié)同合作，才能讓我們應(yīng)對層出不窮、復(fù)雜多變的信息安全威脅。未來，亞信安全將與施耐德電氣等廠商共同發(fā)力，有效協(xié)助工業(yè)企業(yè)用戶進行信息安全升級、信息安全維護等部署工作，滿足合規(guī)及業(yè)務(wù)連續(xù)性的需求，攜手共筑安全保障，共建安全未來！
