对《深化互联网+先进制造业发展工业互联网的指导意见》的三点思考

“

据新华社消息，国务院总理李克强10月30日主持召开国务院常务会议，通过《深化“互联网+先进制造业”发展工业互联网的指导意见》（以下简称《意见》），工业互联网已经成为一种新的基础设施与制造业深度融合，要实现制造强国的目标，建设和发展工业互联网是重要一步。

”

推动工业互联网发展已经上升为国家战略

会议指出，贯彻党的十九大精神，建设现代化经济体系，要以推进供给侧结构性改革为主线，结合实施“中国制造2025”和“互联网+”，加快建设和发展工业互联网，促进新一代信息技术与制造业深度融合，这对推动实体经济转型升级，大力发展数字经济，打造制造强国、网络强国，具有重要意义。

一要营造有利于工业互联网蓬勃发展的环境。深化简政放权、放管结合、优化服务改革，放宽融合性产品和服务准入限制，扩大市场主体平等进入范围，实施包容审慎监管。通过财税政策支持、鼓励企业开展债券、股权融资和社会资金投入、创新金融服务等，促进“互联网+先进制造业”发展。

二要大力推动工业企业内网、外网建设。支持有能力的企业发展大型工业云平台，实现企业内部及产业上下游、跨领域各类生产设备与信息系统的广泛互联互通，打破“信息孤岛”，促进制造资源、数据等集成共享。对接个性化、定制化需求，开展协同设计、众包众创、云制造等创新应用。

三要加大政府对基础网络建设的支持。到2020年基本完成面向先进制造业的下一代互联网升级改造和配套管理能力建设。进一步推动中小企业专网降费用、提速率。完善法规、标准、标识解析等体系。引导企业提高网络安全防护能力，推动攻击防护、漏洞发现、安全审计、可信芯片等产品和技术研发。围绕汽车、电子、能源、航空航天等重点制造领域建设网络和平台安全保障管理与技术体系。加大关键共性技术攻关，加快工业无线、低功耗广域网等产品研发和产业化，促进人工智能、大数据等新兴前沿技术应用。

四要依托工业互联网促进开放融通发展。推动一二三产业、大中小企业跨界融通，支持中小企业业务系统向云端迁移，形成服务大众创业、万众创新的多层次公共平台。推动开放合作，鼓励国内外企业跨领域、全产业链紧密协作。简化认证、减少收费等，兼收并蓄，广揽人才，加大专业人才培养力度。推动发展智能、绿色的先进制造业。

《意见》出台意味着推动工业互联网发展已经上升为国家战略。恰逢其时，我国工业互联网产业联盟高速发展，自2016年2月成立，到目前已经发展到成员400多家，包含工业企业、信息安全企业、网络通讯企业、政府、高校等。意见的出台是恰逢其时，如春雨一样，给正在蓬勃发展的中国工业互联网产业明确了发展方向，将有跟多的企业、人才投入到工业互联网产业进程中，加速实体经济振兴、加快转型升级。

安全是工业互联网发展的前提

《意见》对工业互联网的安全防护提出了明确的指导意见，工信部表示，将加强工业互联网安全顶层设计，构建立体防御体系，加大力度提升工业互联网安全监测预警能力、应急处置能力，完善安全管理体系。

互联网已经高速发展了20年，此前是以内容和应用为核心，可称之为“消费互联网”。在消费互联网时代，内容和应用是核心，安全的价值尽管有了巨大提升，但安全行业还是处于从属地位。但是在当今以大数据为核心的工业互联网时代，没有安全就没有一切，安全成为工业互联网发展的前提，网络安全上升为核心产业，这一领域将有超出想象的巨大的发展空间。

消费互联网被网络攻击会丢隐私、丢钱，是“伤财”；工业互联网背后是生产线、控制系统，一旦遭受网络攻击，会控制失灵、车毁人亡，危及生命，是“损命”。

近两年以来，在世界范围内先后发生了多起引起全球关注的，针对工业、能源等关键基础设施的攻击，除了窃取敏感数据以外，更多是以直接破坏工业设备系统为目标，旨在使目标系统瘫痪、日常作业流程无法正常运转。严重者可直接大面积威胁人民生命财产安全。

有统计显示，网络攻击每年给企业造成的损失高达5000亿美元，这个数字还在不断扩大。在针对企业的攻击中，重点关注的领域依次是：通信网络、电子电器、海洋与港口、能源化工、交通运输、航空航天和网络安全。

这些重要基础设施的工业控制系统持续被攻击，引起了世界各国的重视。近日，美国国防高级研究计划局启动开发项目，核心目标是开发能够检测且自动响应针对美国关键基础设施的网络攻击的技术，参与者包括雷神公司、斯坦福研究院等主要供应商，还包括国土安全部和ICS-CERT等政府机构。

我国也高度关注互联网安全的新形势。中央领导从总体国家安全观的高度指出，安全是发展的前提，发展是安全的保障，安全和发展要同步推进。这个论述，把安全提到了一个前所未有的新高度。在工业互联网时代，网络安全至关重要，企业必须高度重视网络和大数据安全问题，否则后果将是灾难性的。

客观地说，中国的网络安全水平在全世界还是比较领先的，但是在企业和国家基础设施领域，跟国外的防护水平还存有差距。随着国家关键基础设施水电气等领域的智能化，工业互联网的防护显得尤其重要。我们必须提高安全意识，将工业互联网的安全层次上升到最高级，让安全成为工业互联网的顶层设计。

就国家层面来说，要建立全天候工业互联网安全态势感知能力，建立跨越物理世界、商业世界、操作网络（OT）、信息网络（IT）的一体化安全防御体系刻不容缓。尤其要重点保证关键基础设施的安全。很多的工业互联网企业都涉及关键基础设施，有更大的概率遭受高级别黑客攻击，需要重点防御。

从企业自身来说，要尽快改变割裂对待OT、IT安全的状况，提高工业互联网预警、检测、响应、追踪溯源的纵深防御能力，形成包括终端、边界、数据、工业云的安全防护体系，以及威胁情报收集和应急响应体系。应该建立工业互联网安全运营与分析中心，对企业工业数据和安全数据持续收集，建立企业的安全数据仓库。利用大数据方法发现工业生产异常，这是数据驱动安全的最佳实践方法。

总之，要通过数据协同、智能协同和产业协同建立安全生态和立体防御体系，这是工业互联网时代保障发展的基石。

建立协同联动的工业互联网安全共同体

近几年来，我国的工业互联网也取得了很快的发展。我们可以看到，尤其是沿海经济发达的地区。工业互联网快速发展的同时呢，也面临更大的网络安全挑战。我们的工业企业普遍安全能力不足，对于工业互联网安全还没有完全做好准备。我们做了一个调研， 95%的工业企业无法做到自己主动发现网络攻击，全部要靠第三方机构或政府监管部门通报，或者等攻击造成了比较明显的后果才能发现。

分析原因主要有以下几个方面：一是因为工业互联网是新生事物，IT、OT、IOT正在逐步融合互联，网络边界急剧扩大，大部分工业企业没有工业互联网安全的经验；二是工业互联网安全需要比较大的资金投入，许多企业不愿投入，或者没能力投入。所以工业互联网安全的门槛相对还比较高。

为了提高工业互联网的安全水平，360联合工业互联网联盟企业做了一系列的工作，核心思路就是通过提供网络安全公共服务，降低工业互联网安全的门槛。

360是工业互联网联盟安全组组长单位。我们联合工业互联网联盟中的其他安全企业，以及代表性的工业企业，共同起草了《工业互联网网络安全态势报告》，帮助工业企业认识网络安全，重视安全。我们还起草了工业互联网安全的参考架构、工业云安全防护参考方案供工业企业参考。

 

另外呢，我们开发了“工业互联网安全技术公共服务平台”。通过这个平台呢我们可以给工业互联网联盟里的企业提供工业应用站点安全监测，拒绝服务攻击预警，病毒查杀，高级威胁情报共享等免费安全服务。

比如应用站点安全(切换到应用站点安全)，许多工业互联网系统比如工业电商系统，工业应用系统，它可能只有IP地址，没有域名，但是本质上都是一个互联网的网站。360公司为超过200万网站提供安全服务，是国内最大的网站安全服务商。我们现在把这个能力免费开放出来为工业互联网联盟的企业提供网站安全服务。比如我们可以给联盟企业检测它的应用站点是否有网页创改，是否有漏洞，是否被挂马，网站访问是否正常等。

五月份发生了永恒之蓝勒索病毒事件中国许多工业企业，包括一些大型的汽车制造企业也受到了影响。我们处置过程中发现，现在工业企业普遍缺少一体化自动化的终端安全管理软件，导致事件发生时，应急处置需要一台一台的进行，效率极低。360的终端安全软件，可以实现移动打补丁，自动修复，提高工业企业应对病毒木马的能力。

现在越来越多的高级攻击针对重要的工业基础设施，我们可以称为网络战。360的优势是掌握整个互联网的安全大数据，我们可以从中分析出一些重要的安全情报。我们配合国家安全机关发现了30多个敌对黑客组织。这些安全情报我们免费提供给联盟企业，提高发现高级威胁的能力。

 

总之，对于工业互联网安全的防护，可以分解为六个方面：威胁情报、端点防护、通信与连接防护、安全监测、安全咨询与评估、工业云与大数据安全，并衍生出工业互联网威胁情报、工业主机防护、工业网关、工业态势感知与监测审计、工业安全规划检查评估服务、工业互联网云平台及与平台上大数据的安全等系列产品。工业互联网企业在进行自身安全建设的时候，要从以上6个方面考虑，建设相应的产品和能力，企业、政府、监管机构、行业协会等形成协同联动的安全共同体，才能完成对企业工业互联网的全天候、全方位的安全防护。

360作为中国最大的互联网安全公司将于广大安全公司和从业，希望提供一系列的网络安全威胁情报、产品、方案、人才和运营等服务，为我过国工业互联网安全保驾护航，提升中国网络安全的整体水平。

（本文作者：工业控制系统安全国家联合实验室主任，360工业安全业务线负责人 陶耀东）

原文始发于微信公众号（奇安信集团）：对《深化“互联网+先进制造业”发展工业互联网的指导意见》的三点思考