工业互联网信息安全的“原生问题”

西门子（中国）有限公司副总裁兼首席网络与信息安全官 胡建钧

突然爆发的新冠疫情，从某种程度上，加快了IT技术进入工业企业的速度。其中，由于能够最大程度地以数字化手段重构工业企业间的供应链、价值链和产业链，工业互联网日益成为企业现阶段实践数字化转型的选项。一项由国家工业信息安全发展研究中心所做的研究显示：到2020年为止，中国工业互联网平台所覆盖的范围，已经包括原材料、装备、机械、消费品、电子、交通等多个行业和场景，服务企业近40万家，重点平台连接设备预计超过3000万台套。

利用工业互联网优化、改造传统工业的业务模式和商业结构，不仅是技术趋势，更是行业发展的大势所趋。但是如此迅猛的发展，覆盖面如此广泛，实际上也存在相当大的挑战。

2021年5月7日，美国大型成品油管道运营商科洛尼尔管道运输公司遭受了勒索软件的攻击，为此关闭了旗下4条主干成品油管道。受此影响，美国东部和南部沿岸17个州和华盛顿特区实施区域紧急状态，而且国际油价一度波动加剧，美国汽油期货甚至一度上涨超4%。

虽然事件很快得到解决，但是类似事件的反复出现，影响越来越大，波及面越来越广，就让所有的工业企业不得不正视一个问题：以往被认为只是在互联网虚拟世界中存在的黑客、勒索软件，正在迅速渗透到现实世界的工厂和企业，并且已经有能力直接威胁工业企业正常的业务运转。因此对于广大的、考虑使用或已经使用工业互联网平台实践数字化转型的工业企业而言：一个值得信赖的网络安全策略就显得尤为重要。

“有的时候，我们喜欢把处在数字化转型阶段的工业企业比作幼儿。那么实际上，三甲医院、儿童医院都有能力治疗感冒和发烧，但是当孩子感冒发烧时，我们依然推荐去儿童医院看病，原因是：他们的检测方法、治疗手段和使用的药物，是与成人不同的——西门子的工业互联网安全解决方案与其他做工业安全的IT厂商相比，更针对工业的场景，所以虽然表面看起来都是解决同样的问题，但实际上内在的技术逻辑和产品特征是不一样的。”胡建钧，西门子（中国）有限公司副总裁兼首席网络与信息安全官日前接受采访时强调：虽然在工业企业实践数字化转型路径时，会强调IT与OT的融合，但是在目前这个“过渡阶段”，传统IT系统所提供的信息安全解决方案，在很大程度上，是难以满足工业企业对于工业互联网的信息安全需求的。

胡建钧认为，针对工业互联网的信息安全策略，必须要解决一定的“工业信息安全的原生问题”。

“如炼化企业、钢铁厂，对生产连续性要求非常高。如果我们在办公室有半个小时没有办法收取邮件，可能百分之五六十的同事可以接受；但是对于连续化工行业、高危行业，或者电厂，可能几秒钟都不行。”胡建钧认为，IT系统和OT系统对于信息安全系统需求的本质差异：是两者的目标完全不同，存在基本逻辑的差异。

具体来说，在胡建钧看来，IT系统对于信息安全系统的要求，是机密性，保障数据的安全；而对于工业控制系统（OT）而言，其对于信息安全的首要目标，是保证系统的可用性，就是“要确保生产线的持续运转，要保证生产流程的完整性——特别对于电子设备或者数字化设备，要确保其生产出来的内容是100%正确的，没有掺杂后门或其他额外数据的。”

除此之外，胡建钧也强调，工业企业的OT系统本身也存在一些“天然”的特殊性，使得其对于信息安全系统的需求，与IT系统存在明显差异。他认为，由于OT系统一般设定的生命周期都更长，因此在工业企业的控制系统当中，老旧设备和系统更多，这些设备和系统往往不仅自身缺少足够的计算性能和存储空间的冗余设计，而且系统多样性也更复杂。因此与IT系统相比，OT系统不仅本身很难部署信息安全系统，防病毒能力比较弱，而且还需要所采用的信息安全系统，必须考虑兼容性的问题，以满足不同跨年代设备的需求。

“工业信息安全的这些原生问题，实际上就是工业企业特有的行业知识：这就要求在为工业企业提供信息安全解决方案时，需要对方案目标优先级的理解和选用，做更具有针对性的选择和考量。”胡建钧举例说，例如信息安全系统中最常见的防病毒功能，IT技术的“防病毒”采用的是黑名单方式，而OT系统需要采用白名单方式。两者的区别在于：黑名单方式是一种“滞后”的解决问题的思路，要保证同样的问题不再发生；而白名单制度则针对的是保障系统“绝对安全”的思路，尽最大可能保障OT系统的可用性，两者解决问题的理念是截然不同的。

应该说，之所以对工业互联网系统的信息安全系统有这样的理解和认识，在很大程度上，是因为西门子自身不仅同样是一家工业企业，而且其也是目前市场上具有标志性的工业互联网解决方案提供商之一。两重分身的叠加，让西门子解决工业互联网信息安全解决方案，融入了更多工业行业的特殊需求和专业知识。

“在中国，西门子是第一家获得信息安全服务资质的跨国公司，当时是2006年。此后，在2017年，我们获得了国家网络安全保护三级认证， 2019年获得基于33008标准的工业控制产品安全的认证，成为第一家获得全套PLC产品安全认证的工业企业。2020年，西门子中国又获得ISO/IEC 27001的资质牌照，以及信息安全风险评估 / 应急处理服务资质，这使得西门子成为第一家能够提供专业安全服务（包括安全风险评估服务、安全事件应急响应和处理服务）的在华跨国企业。”西门子中国，是胡建钧供职的第一家公司，所以自2005年从北京大学计算机专业硕士毕业入职西门子以来的16年时间里，胡建钧都是与西门子一起，亲历了曾经的电信业务从2G到移动互联网的转型，以及传统自动化业务到的数字化及工业互联网转型，见证了网络与信息安全蓬勃的发展历程。

在接受采访当天，胡建钧也重点谈到了西门子关于工业互联网信息安全的“纵深防御安全理念”、评估-实施-管理的“三步走”实施战略，以及全面安全态势感知系统OSA的构成。

“OSA是一个相对复杂的系统。”胡建钧介绍说：OSA首先通过探针获取OT系统中的关键数据资源，并把它建模化、可视化。进而，通过系统提供的基于AI的中央大脑，结合系统的安全威胁情报、操作日志等进行综合分析，为工业企业提供多视角、多角度、多尺度的网络安全态势，从而实现企业对于工业互联网使用状况的及时了解，从而帮助企业实现安全应用工业互联网的目的。“从身份上讲，西门子是一家工业企业，所以我们对工业企业客户的需求，能够感同身受。同时，由于西门子在信息安全方面深耕多年，加上西门子在全球和中国拥有多家数字化工厂，所以我们提供的解决方案也是经实践验证过的。”胡建钧说。

写在最后

应用工业互联网实践数字化转型，对于工业企业而言，就相当于为数据打开了一扇自由流动的门，为发掘数据的价值提供了一个有效的工具；但与此同时，对于身居阴暗角落的居心不良者而言，缺乏信息安全措施的应用，无异于稚子怀金过市。在采访过程中，胡建钧反复强调：在目前工业企业寻求通过应用工业互联网实践数字化转型的过程中，一定要将对工业互联网的应用与对信息安全系统的部署配合起来，从规划阶段就对两者进行协同考虑，从最初就将信息安全纳入到整个数字化转型的体系当中，从而让整个过程都更加有保障。