5G、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、人工智能……紛至沓來(lái)造就了一個(gè)嶄新的數(shù)字化時(shí)代。網(wǎng)絡(luò)作為數(shù)字經(jīng)濟(jì)時(shí)代的基礎(chǔ)建設(shè)，無(wú)疑是企業(yè)的核心關(guān)注要素。技術(shù)本身就是一把雙刃劍，網(wǎng)絡(luò)與信息安全也成為了政府、企業(yè)、社會(huì)在數(shù)字化建設(shè)中面臨的重要挑戰(zhàn)。一旦因網(wǎng)絡(luò)安全事件造成核心數(shù)據(jù)遭受泄露，將會(huì)對(duì)企業(yè)的經(jīng)營(yíng)發(fā)展帶來(lái)嚴(yán)重危機(jī)。因此，國(guó)家關(guān)于網(wǎng)絡(luò)安全的法律陸續(xù)出臺(tái)，企業(yè)的網(wǎng)絡(luò)安全建設(shè)力度也不斷加大。

然而，技術(shù)的革新帶來(lái)新的挑戰(zhàn)，尤其在企業(yè)融入“雙循環(huán)”經(jīng)濟(jì)體系背景下，如何加強(qiáng)網(wǎng)絡(luò)建設(shè)，通過(guò)結(jié)合前沿科技技術(shù)，建立完善的防御手段，確保核心數(shù)據(jù)及業(yè)務(wù)安全，成為每家企業(yè)都面臨的時(shí)代命題。

2022年6月8日，中企通信聯(lián)合聯(lián)合華昂研究院、Fortinet，開展“創(chuàng)新與安全驅(qū)動(dòng)型網(wǎng)絡(luò)，夯實(shí)數(shù)字化建設(shè)底座”線上研討會(huì)。中企通信信息安全顧問(wèn)徐傳波、Fortinet安全技術(shù)顧問(wèn)王春惠作為演講嘉賓進(jìn)行了分享，并與上汽集團(tuán)信息戰(zhàn)略與網(wǎng)絡(luò)安全部高級(jí)總監(jiān)顧詠梅、三菱電機(jī)CIO范天益共同參與圓桌對(duì)話環(huán)節(jié)，共同探討企業(yè)在推進(jìn)數(shù)字化建設(shè)中，如何構(gòu)建自己的網(wǎng)絡(luò)安全體系，共享安全運(yùn)營(yíng)前沿風(fēng)向及技術(shù)創(chuàng)新成果，賦能數(shù)字化建設(shè)新未來(lái)。

《數(shù)智化戰(zhàn)略中網(wǎng)絡(luò)安全的布局》

中企通信信息安全顧問(wèn)徐傳波：

數(shù)字經(jīng)濟(jì)時(shí)代，信息技術(shù)對(duì)企業(yè)越來(lái)越重要，企業(yè)的信息交換和傳播都依賴網(wǎng)絡(luò)進(jìn)行傳輸，網(wǎng)絡(luò)改變了傳統(tǒng)的商務(wù)運(yùn)作模式，也改變了企業(yè)原來(lái)的生產(chǎn)方式和思想觀念，企業(yè)網(wǎng)絡(luò)安全已逐步從產(chǎn)品驅(qū)動(dòng)向服務(wù)驅(qū)動(dòng)轉(zhuǎn)變。

對(duì)于企業(yè)而言，在安全領(lǐng)域主要有三大熱點(diǎn)的問(wèn)題，包括工控安全、數(shù)據(jù)安全以及業(yè)務(wù)連續(xù)性。而信息安全在智能制造新模式上，最直觀的效應(yīng)體現(xiàn)在提高作業(yè)安全性，可以降低作業(yè)成本的5%-10%。特別是在智能制造的集成電路、生物醫(yī)藥、人工智能三大先導(dǎo)產(chǎn)業(yè)，電子信息、生命健康、汽車、高端裝備、先進(jìn)材料、時(shí)尚消費(fèi)品六大重點(diǎn)產(chǎn)業(yè)中更為明顯。

在企業(yè)數(shù)智化戰(zhàn)略中，網(wǎng)絡(luò)安全的痛點(diǎn)，主要來(lái)自于技術(shù)人員關(guān)于工作時(shí)間延長(zhǎng)、維護(hù)次數(shù)增加、被動(dòng)式救火等弊端，以及管理人員關(guān)于安全維護(hù)成本無(wú)法控制、耗費(fèi)精力，沒(méi)有或缺少高效管理工具和方法等問(wèn)題。對(duì)此，中企通信面向企業(yè)提供安全托管服務(wù)（MSS）解決方案，方案主要包括預(yù)防、偵測(cè)、修正三個(gè)部分，根據(jù)企業(yè)的業(yè)務(wù)目標(biāo)和安全策略為企業(yè)提供日常安全管理和專家服務(wù)，保證企業(yè)7×24的高效無(wú)休的安全托管服務(wù)。除此以外，該解決方案還可基于提供事件數(shù)據(jù)關(guān)聯(lián)及分類的安全信息與事件管理(SIEM)技術(shù)，包括原始數(shù)據(jù)清洗、資產(chǎn)和漏洞掃描、數(shù)據(jù)收集、基于Al大數(shù)據(jù)事件關(guān)聯(lián)及分析、安全運(yùn)營(yíng)中心呈現(xiàn)漏洞咨詢和資產(chǎn)資訊，保證企業(yè)的高效運(yùn)轉(zhuǎn)。

而針對(duì)工控安全中企業(yè)資產(chǎn)不清晰、風(fēng)險(xiǎn)不明確等痛點(diǎn)，中企通信安全托管服務(wù)（MSS）解決方案以“白環(huán)境”為基礎(chǔ)，實(shí)現(xiàn) “縱深安全防護(hù)體系”的實(shí)戰(zhàn)化、體系化，常態(tài)化防護(hù)，通過(guò)6種防御手段——?jiǎng)討B(tài)防御、主動(dòng)防御、縱深防御、精準(zhǔn)防御、整體防控、聯(lián)防聯(lián)控，實(shí)現(xiàn)工控安全的“可信，可控，可溯、可管”，從而助力企業(yè)在數(shù)智化轉(zhuǎn)型中，打造高可靠的網(wǎng)絡(luò)安全布局，穩(wěn)固快速發(fā)展的技術(shù)根基。

《以安全驅(qū)動(dòng)網(wǎng)絡(luò)，助力智能制造安全實(shí)現(xiàn)敏捷轉(zhuǎn)型》

Fortinet安全技術(shù)顧問(wèn)王春惠：

在應(yīng)對(duì)網(wǎng)絡(luò)安全機(jī)遇與挑戰(zhàn)方面，F(xiàn)ortinet將經(jīng)典Purdue模型簡(jiǎn)化為OT環(huán)境網(wǎng)絡(luò)安全模型，其包括OT生產(chǎn)區(qū)、控制區(qū)以及IT系統(tǒng)區(qū)，控制區(qū)為IT/OT邊界防御的重點(diǎn)區(qū)域，在OT生產(chǎn)區(qū)部署有SCADA、PLC、傳感器等系統(tǒng)。Fortinet在IT與OT相應(yīng)邊界部署精準(zhǔn)管控方案，在微分段的方案下，就算企業(yè)生產(chǎn)線中某個(gè)機(jī)臺(tái)受到攻擊，也不會(huì)影響其他產(chǎn)線和機(jī)臺(tái)。在網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)方面，F(xiàn)ortinet提供零信任架構(gòu)及靈活的認(rèn)證管理方案，安全實(shí)現(xiàn)遠(yuǎn)程工程人員和OT設(shè)備之間的快速安全訪問(wèn)。

面對(duì)網(wǎng)絡(luò)挑戰(zhàn)，F(xiàn)ortinet具備縱深防御體系，假如有黑客滲透到OT環(huán)境后，也很容易被Fortinet的工控蜜罐產(chǎn)品所誘捕，從而達(dá)到安全的主動(dòng)防御。Fortinet的產(chǎn)品支持400個(gè)以上的OT協(xié)議IPS簽名和1800個(gè)以上OT應(yīng)用協(xié)議簽名，可以對(duì)老版本的漏洞系統(tǒng)及協(xié)議提供虛擬補(bǔ)丁而不影響實(shí)際生產(chǎn)。針對(duì)OT網(wǎng)絡(luò)中的協(xié)議可視化，F(xiàn)ortinet還可展示相應(yīng)的OT圖表和報(bào)告。在OT安全生態(tài)系統(tǒng)，F(xiàn)ortinet擁有400家以上的OT合作伙伴和解決方案供應(yīng)商，可有效應(yīng)對(duì)企業(yè)方面對(duì)的各種網(wǎng)絡(luò)安全問(wèn)題。

在實(shí)踐上，F(xiàn)ortinetOT 縱深防御也打造了不少的成功案例。以某汽車制造商的合作為例，針對(duì)汽車行業(yè)對(duì)于工控網(wǎng)絡(luò)的極高要求， Fortinet提供了所有流量保護(hù)以及域間和域內(nèi)的細(xì)粒度隔離，工業(yè)IPS和協(xié)議防護(hù)隔離，使得企業(yè)平穩(wěn)渡過(guò)安全期；以某半導(dǎo)體的OT安全項(xiàng)目為例，該半導(dǎo)體企業(yè)通過(guò)Fortinet實(shí)現(xiàn)產(chǎn)線網(wǎng)絡(luò)微分段，在產(chǎn)線設(shè)備前用Fortigate設(shè)備以透明串接方式部署進(jìn)行網(wǎng)絡(luò)協(xié)議檢測(cè)和過(guò)濾、基于FortiGuard提供的OT協(xié)議感知功能，可以識(shí)別和監(jiān)控OT協(xié)議和工業(yè)IPS威脅特征，防止攻擊在OT環(huán)境橫向移動(dòng)，同時(shí)FortiManager提供Fortigate設(shè)備管理，策略統(tǒng)一推送，減少安全團(tuán)隊(duì)運(yùn)維壓力。

圓桌對(duì)話

在本次研討會(huì)的圓桌對(duì)話環(huán)節(jié)中，來(lái)自上汽集團(tuán)信息戰(zhàn)略與網(wǎng)絡(luò)安全部高級(jí)總監(jiān)顧詠梅、三菱電機(jī)CIO范天益、中企通信信息安全顧問(wèn)徐傳波、Fortinet安全技術(shù)顧問(wèn)王春惠就“把脈安全體系建設(shè)，引領(lǐng)數(shù)字制造升級(jí)”的主題，紛紛發(fā)表了精彩的觀點(diǎn)與看法，共同探討企業(yè)信息安全的破局之路。

Q1數(shù)據(jù)驅(qū)動(dòng)型的轉(zhuǎn)型，傳統(tǒng)信息網(wǎng)絡(luò)安全模式面臨的新挑戰(zhàn)，如何破局?

顧詠梅：

在目前互聯(lián)網(wǎng)、大數(shù)據(jù)、云網(wǎng)絡(luò)等等深度融合的大背景之下，上汽圍繞智能網(wǎng)聯(lián)化、聚焦智能產(chǎn)品、智能制造、社會(huì)出行等幾個(gè)方面展開。數(shù)據(jù)決定企業(yè)，軟件決定汽車是上汽業(yè)務(wù)發(fā)展的必然方向。所以上汽業(yè)務(wù)的數(shù)字化轉(zhuǎn)型，是以網(wǎng)絡(luò)完全作為底座，通過(guò)移動(dòng)互聯(lián)、大數(shù)據(jù)、人工智能、云計(jì)算等技術(shù)的商業(yè)模式的深度融合搭建起來(lái)的整個(gè)業(yè)務(wù)平臺(tái)。對(duì)數(shù)據(jù)進(jìn)行收集，并通過(guò)產(chǎn)品數(shù)據(jù)化、業(yè)務(wù)數(shù)據(jù)化、管理流程數(shù)據(jù)化推動(dòng)業(yè)務(wù)鏈的持續(xù)優(yōu)化和商業(yè)模式的不斷創(chuàng)新，特別是要改善用戶的體驗(yàn)，實(shí)現(xiàn)企業(yè)的價(jià)值。

當(dāng)今社會(huì)，消費(fèi)需求重新定義了汽車的產(chǎn)品、汽車的銷售、汽車的制造。汽車的軟件升級(jí)，依賴于OTA，上汽一直在發(fā)展過(guò)程中不斷創(chuàng)新，不斷改進(jìn)。2013年開始，上汽傳統(tǒng)的IT已不復(fù)存在，企業(yè)內(nèi)部重新調(diào)整升級(jí)，企業(yè)對(duì)傳統(tǒng)的信息安全和智能網(wǎng)安全做了融合，既獨(dú)立又依賴的兩者，作為企業(yè)后期發(fā)展的重中之重。

范天益：

三菱電機(jī)網(wǎng)絡(luò)安全的建造就是從0-1的一個(gè)過(guò)程，發(fā)展的過(guò)程中遇到的問(wèn)題層出不窮，復(fù)雜程度也在不斷上升。目前IT和OT之間的融合成為了三菱發(fā)展過(guò)程中的一個(gè)難題，所以也制定了三個(gè)方向嘗試解決困境：一是技術(shù)類；二是管理類，規(guī)范各個(gè)崗位的流程；三是物理層面類，隔離以及防護(hù)工作盡量做到完善。

三菱將主要的精力放在生產(chǎn)的技術(shù)、制造、現(xiàn)場(chǎng)等，執(zhí)行過(guò)程中發(fā)現(xiàn)的問(wèn)題還是IT和OT之間交互變得比較復(fù)雜，所以如沒(méi)有處理好智能化設(shè)備的運(yùn)營(yíng)就會(huì)給黑客制造突襲的機(jī)會(huì)，工控的算法就更加需要技術(shù)人員花時(shí)間，花精力去管控，這也是企業(yè)在數(shù)據(jù)驅(qū)動(dòng)型的轉(zhuǎn)型過(guò)程中的困難與挑戰(zhàn)。

內(nèi)外精修：內(nèi)，以人為本，在技術(shù)層面、管理層面、物理層面，三菱堅(jiān)持原有的網(wǎng)絡(luò)安全的打造，強(qiáng)化管理團(tuán)隊(duì)能力，技術(shù)的培養(yǎng)，人才體制的構(gòu)建；外，運(yùn)用相關(guān)的技術(shù)方，如中企、Fortinet的專業(yè)咨詢，并與他們的合作，給予企業(yè)相關(guān)的案例參考，定期內(nèi)訓(xùn)，專業(yè)的分享課程等都能給到企業(yè)一個(gè)數(shù)字化轉(zhuǎn)型的正確方向。

Q2數(shù)據(jù)驅(qū)動(dòng)型的轉(zhuǎn)型，傳統(tǒng)信息網(wǎng)絡(luò)安全模式面臨的新挑戰(zhàn)，如何破局?

顧詠梅：

上汽有一個(gè)基本原則——財(cái)富越多，防盜就要做得越好，這也是動(dòng)態(tài)平衡的過(guò)程。我們?cè)O(shè)定了兩條線：一條是合規(guī)線，合規(guī)線就是一條紅線，一旦違規(guī)就是一票否決，否則品牌的損失是不可預(yù)估的；二條是安全線，網(wǎng)絡(luò)和數(shù)據(jù)安全是企業(yè)的核心層面，上汽能夠預(yù)見(jiàn)到網(wǎng)絡(luò)安全會(huì)嚴(yán)重影響到功能安全以及運(yùn)用安全。汽車在社會(huì)層面也是一個(gè)新生兒的角色，它在整個(gè)生命周期過(guò)程中會(huì)不斷進(jìn)步與成長(zhǎng)，融合智能輔助駕駛以及其他的大數(shù)據(jù)的支撐，它的功能不斷增加。所以在這個(gè)過(guò)程中，網(wǎng)絡(luò)安全必須與功能安全并肩，功能安全在不斷增加，網(wǎng)絡(luò)安全就必須匹配。上汽需要將網(wǎng)絡(luò)安全融入到整個(gè)的智能汽車研發(fā)。目前上汽整車研發(fā)的過(guò)程是18個(gè)月，在此過(guò)程中需要實(shí)現(xiàn)從硬件的預(yù)埋到軟件的防護(hù)。

上汽也開始在考慮自主研發(fā)了安全芯片，除此之外，針對(duì)安全方面，最大的原則就是通過(guò)安全座椅，安全前置為整個(gè)安全的研發(fā)做鋪墊，同時(shí)在安全的制造，安全的運(yùn)營(yíng)進(jìn)行風(fēng)險(xiǎn)管理。

范天益：

回顧三菱十年的投資回報(bào)率，目前確實(shí)沒(méi)有明確的數(shù)據(jù)來(lái)定義。傳統(tǒng)的IT部門以往給到企業(yè)領(lǐng)導(dǎo)的建議就是不停地投資，但是實(shí)際的產(chǎn)出沒(méi)有明確的數(shù)據(jù)來(lái)支撐。

最近幾年，三菱開始籌備一個(gè)3-5年周期預(yù)算計(jì)劃，嚴(yán)格把控預(yù)算，有效地執(zhí)行，在IT實(shí)施過(guò)程中出現(xiàn)了OT的一個(gè)實(shí)際產(chǎn)出威脅，并及時(shí)調(diào)整修改。后期三菱將把IT信息網(wǎng)絡(luò)安全事故，作為企業(yè)KPI進(jìn)行考核。即便不同行業(yè)產(chǎn)生的網(wǎng)絡(luò)安全事故考評(píng)的指數(shù)不一樣，但是在周期內(nèi)做好調(diào)整，明確網(wǎng)絡(luò)安全事故的界定，評(píng)估投資回報(bào)，這樣也能夠促使企業(yè)在發(fā)展過(guò)程中安全運(yùn)營(yíng)。

Q3信息安全團(tuán)隊(duì)的架構(gòu)重塑，能力培養(yǎng)機(jī)制如何搭建？

徐傳波：

制造業(yè)的發(fā)展分三個(gè)階段：第一階段是自動(dòng)化；第二階段是信息化；第三階段是智能化。大部分企業(yè)還處在信息化還不太成熟的階段，而智能制造已經(jīng)成為業(yè)務(wù)的一個(gè)元素而不是一個(gè)部分，智能制造中業(yè)務(wù)與安全已融合在一起。企業(yè)必須要做的就是風(fēng)險(xiǎn)評(píng)估，這是信息安全的起點(diǎn)，也能夠避免投入的浪費(fèi)，注重投入產(chǎn)出比。如果一個(gè)企業(yè)連資產(chǎn)以及風(fēng)險(xiǎn)都不清楚，那就更不用談?wù)撊绾巫龅接行У姆雷o(hù)。因此企業(yè)信息安全團(tuán)隊(duì)中應(yīng)提高風(fēng)險(xiǎn)評(píng)估能力，這樣才能把最重要的資金用到最關(guān)鍵的地方。

王春惠：

網(wǎng)絡(luò)安全的本質(zhì)是人與人對(duì)抗 ，安全圈子需要重視人才的培養(yǎng)，F(xiàn)ortinet作為老牌的安全廠商，體系內(nèi)從事信息安全人員都經(jīng)過(guò)自有NSE課程培訓(xùn)，并進(jìn)行認(rèn)證考核，包括服務(wù)企業(yè)方的團(tuán)隊(duì)都是經(jīng)過(guò)認(rèn)證以及培訓(xùn)的工程師，今后Fortinet也會(huì)通過(guò)NSE培訓(xùn)體系培養(yǎng)出更多合格的安全人才。

同時(shí)，我們要做到不僅僅給客戶交付一個(gè)產(chǎn)品，而且還提供產(chǎn)品的NSE培訓(xùn)課程，幫助客戶學(xué)習(xí)并掌握整體Fortinet安全方案，目標(biāo)是做到雙方業(yè)務(wù)上的共同成長(zhǎng)，打造Fortinet在安全領(lǐng)域的領(lǐng)軍團(tuán)隊(duì)。

總 結(jié)

企業(yè)在數(shù)字化建設(shè)過(guò)程中也愈發(fā)重視搭建自己的安全防線，不斷加強(qiáng)業(yè)務(wù)、營(yíng)銷、內(nèi)容風(fēng)控能力，在數(shù)字化發(fā)展過(guò)程中構(gòu)建業(yè)務(wù)安全的閉環(huán)，在不同的風(fēng)險(xiǎn)管理階段，將風(fēng)控技術(shù)手段與運(yùn)營(yíng)管理相結(jié)合，互相支撐、互為補(bǔ)充。不同企業(yè)因其業(yè)務(wù)發(fā)展階段不同，對(duì)風(fēng)險(xiǎn)控制的偏好也不盡相同。但企業(yè)在數(shù)字化轉(zhuǎn)型過(guò)程中，安全體系的搭建是必不可少的環(huán)節(jié)。