張斌 王新霞 陳意 胡謙 孔群

安全是工業(yè)互聯(lián)網(wǎng)健康發(fā)展的前提，工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺(tái)作為保障工業(yè)互聯(lián)網(wǎng)安全的重要工具，亟需開(kāi)展安全服務(wù)平臺(tái)的相關(guān)認(rèn)證工作。本文從開(kāi)展安全服務(wù)平臺(tái)認(rèn)證工作的背景、必要性、發(fā)展方向等方面進(jìn)行研究，對(duì)工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺(tái)的認(rèn)證工作進(jìn)行了有益探索。

一、背景

工業(yè)互聯(lián)網(wǎng)滿(mǎn)足了工業(yè)智能化發(fā)展需求，是制造業(yè)數(shù)字化、網(wǎng)絡(luò)化、智能化的重要載體，通過(guò)新一代信息通信技術(shù)與先進(jìn)制造業(yè)的融合發(fā)展，形成新的業(yè)態(tài)與應(yīng)用模式。

工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺(tái)（以下簡(jiǎn)稱(chēng)安全服務(wù)平臺(tái)）是以工業(yè)互聯(lián)網(wǎng)安全分類(lèi)分級(jí)為基礎(chǔ)，以安全監(jiān)測(cè)感知與分析、安全響應(yīng)與處置恢復(fù)為核心，以安全服務(wù)為目標(biāo)的管理與服務(wù)平臺(tái)。安全服務(wù)平臺(tái)針對(duì)工業(yè)互聯(lián)網(wǎng)中設(shè)備、控制、網(wǎng)絡(luò)、應(yīng)用和數(shù)據(jù)等維度的安全需求，進(jìn)行數(shù)據(jù)收集與處理，與業(yè)務(wù)場(chǎng)景相結(jié)合，搭建數(shù)據(jù)分析模型，實(shí)時(shí)動(dòng)態(tài)地展示安全態(tài)勢(shì)與數(shù)據(jù)地圖，感知威脅并及時(shí)采取響應(yīng)措施。

安全服務(wù)平臺(tái)為服務(wù)需求方提供規(guī)劃、加固、監(jiān)測(cè)、應(yīng)急響應(yīng)等安全服務(wù)，對(duì)其自身能力水平提出了更高要求。推動(dòng)安全服務(wù)平臺(tái)的認(rèn)證工作，既是服務(wù)供應(yīng)商提高自身安全服務(wù)水平的需要，也是服務(wù)需求方安全需求得以滿(mǎn)足的保證。建立安全服務(wù)平臺(tái)的認(rèn)證規(guī)范，明確安全服務(wù)水平的基線指標(biāo)，保證安全服務(wù)質(zhì)量，不斷提升安全服務(wù)水平。

二、必要性

（一）安全服務(wù)平臺(tái)的服務(wù)能力和水平參差不齊

隨著云計(jì)算、大數(shù)據(jù)等技術(shù)的發(fā)展，我國(guó)工業(yè)互聯(lián)網(wǎng)發(fā)展迅速，與此同時(shí)，相關(guān)組織和機(jī)構(gòu)建立了工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺(tái)，以企業(yè)自用或?qū)ν馓峁┌踩?wù)。但不同的安全服務(wù)平臺(tái)其服務(wù)能力、服務(wù)水平、覆蓋范圍、響應(yīng)速度各不相同，沒(méi)有相應(yīng)的認(rèn)證規(guī)范或標(biāo)準(zhǔn)對(duì)安全服務(wù)平臺(tái)進(jìn)行評(píng)價(jià)和認(rèn)證。

（二）各類(lèi)機(jī)構(gòu)無(wú)法選擇合適的安全服務(wù)平臺(tái)

當(dāng)前，工業(yè)企業(yè)的IT（Information Technology，信息技術(shù)）側(cè)與OT（Operation Technology，操作技術(shù)）側(cè)進(jìn)一步打通融合，使得工業(yè)企業(yè)的工業(yè)互聯(lián)網(wǎng)安全防護(hù)需求增加，但沒(méi)有安全服務(wù)平臺(tái)服務(wù)能力的認(rèn)證規(guī)范；如果安全服務(wù)平臺(tái)的安全防護(hù)能力不足，安全廠商不能全面掌握工業(yè)企業(yè)的安全動(dòng)態(tài)并及時(shí)對(duì)有關(guān)安全漏洞和威脅做出響應(yīng)，使其不能提供高質(zhì)量的安全產(chǎn)品和服務(wù)；相關(guān)的安全監(jiān)管機(jī)構(gòu)通過(guò)某些安全服務(wù)平臺(tái)不能及時(shí)獲取工業(yè)企業(yè)的安全現(xiàn)狀，從而無(wú)法有效督促本區(qū)域內(nèi)的工業(yè)企業(yè)開(kāi)展安全問(wèn)題整改。因此亟需制定差異化的安全服務(wù)平臺(tái)認(rèn)證規(guī)范，以滿(mǎn)足不同機(jī)構(gòu)的需求，為各類(lèi)機(jī)構(gòu)選擇合適的安全服務(wù)平臺(tái)提供標(biāo)準(zhǔn)和依據(jù)。

（三）國(guó)內(nèi)安全服務(wù)平臺(tái)評(píng)價(jià)標(biāo)準(zhǔn)尚屬空白

針對(duì)智能制造、企業(yè)上云等方面的評(píng)價(jià)，國(guó)內(nèi)外已有相關(guān)的評(píng)價(jià)指標(biāo)體系，也形成了典型案例；關(guān)于工業(yè)互聯(lián)網(wǎng)平臺(tái)與應(yīng)用也建立了相關(guān)的標(biāo)準(zhǔn)，滿(mǎn)足企業(yè)數(shù)字化轉(zhuǎn)型的需要；但涉及安全服務(wù)平臺(tái)的安全服務(wù)能力、服務(wù)水平的認(rèn)證規(guī)范和評(píng)價(jià)標(biāo)準(zhǔn)在國(guó)內(nèi)屬于空白。因此，需要開(kāi)展安全服務(wù)平臺(tái)認(rèn)證方面的探索，完善我國(guó)工業(yè)互聯(lián)網(wǎng)相關(guān)認(rèn)證體系，更好地規(guī)范工業(yè)互聯(lián)網(wǎng)應(yīng)用，加快我國(guó)智能制造的步伐。

三、認(rèn)證工作發(fā)展方向探索

（一）制定完善的安全服務(wù)平臺(tái)認(rèn)證體系

目前，我國(guó)安全服務(wù)平臺(tái)認(rèn)證工作尚處于空白階段，沒(méi)有統(tǒng)一的認(rèn)證規(guī)范和工作流程。安全服務(wù)平臺(tái)認(rèn)證工作的開(kāi)展有賴(lài)于統(tǒng)一的認(rèn)證規(guī)范與認(rèn)證流程，國(guó)家相關(guān)部門(mén)應(yīng)積極協(xié)調(diào)安全服務(wù)平臺(tái)服務(wù)供應(yīng)商、服務(wù)需求方、認(rèn)證機(jī)構(gòu)、科研單位等，形成“政、產(chǎn)、學(xué)、研、用”的認(rèn)證生態(tài)圈，共同開(kāi)展安全服務(wù)平臺(tái)認(rèn)證規(guī)范制定與完善工作，形成符合安全需求與未來(lái)發(fā)展方向的動(dòng)態(tài)化安全服務(wù)平臺(tái)認(rèn)證規(guī)范體系。同時(shí)，建立規(guī)范化、動(dòng)態(tài)化、體系化的認(rèn)證機(jī)構(gòu)管理機(jī)制，定期對(duì)相關(guān)認(rèn)證機(jī)構(gòu)進(jìn)行考核與抽查，對(duì)不符合要求的機(jī)構(gòu)給予警告甚至取消資質(zhì)的懲罰；針對(duì)認(rèn)證專(zhuān)業(yè)人員，需經(jīng)過(guò)專(zhuān)業(yè)培訓(xùn)后由具有資質(zhì)的機(jī)構(gòu)頒發(fā)資質(zhì)證明后才可執(zhí)證上崗，保障認(rèn)證工作的權(quán)威性與科學(xué)性。

（二）探索形成自主性認(rèn)證與強(qiáng)制性認(rèn)證相結(jié)合的模式

安全服務(wù)平臺(tái)作為國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)安全領(lǐng)域的新興產(chǎn)品，目前在認(rèn)證領(lǐng)域方面還屬于空白，在認(rèn)證工作的開(kāi)展和推廣方面應(yīng)當(dāng)以自主性認(rèn)證為主，充分發(fā)揮市場(chǎng)的調(diào)節(jié)作用，同時(shí)相關(guān)主管部門(mén)應(yīng)積極引導(dǎo)安全服務(wù)平臺(tái)開(kāi)展認(rèn)證工作，調(diào)動(dòng)企業(yè)積極性與安全意識(shí)，不斷完善認(rèn)證規(guī)范。隨著認(rèn)證工作的不斷開(kāi)展與完善以及安全服務(wù)平臺(tái)在工業(yè)互聯(lián)網(wǎng)中的重要性不斷增加，逐步探索安全服務(wù)平臺(tái)的強(qiáng)制性認(rèn)證工作，切實(shí)保障服務(wù)需求方的自身利益。

（三）安全服務(wù)平臺(tái)認(rèn)證范圍應(yīng)重點(diǎn)關(guān)注安全，兼顧功能與性能

沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全，安全服務(wù)平臺(tái)作為保障工業(yè)互聯(lián)網(wǎng)安全的重要手段，其自身的安全性應(yīng)放在首位，只有保障安全服務(wù)平臺(tái)自身安全，才能充分發(fā)揮安全服務(wù)平臺(tái)為工業(yè)互聯(lián)網(wǎng)安全保駕護(hù)航的作用。安全服務(wù)平臺(tái)的認(rèn)證工作應(yīng)將其安全認(rèn)證作為首要工作，圍繞安全服務(wù)平臺(tái)的安全架構(gòu)，提出針對(duì)安全服務(wù)平臺(tái)的安全認(rèn)證定級(jí)方法、認(rèn)證模型、認(rèn)證指標(biāo)。同時(shí)針對(duì)安全服務(wù)平臺(tái)功能、性能提煉關(guān)鍵指標(biāo)，對(duì)關(guān)鍵指標(biāo)開(kāi)展認(rèn)證。首先保障安全服務(wù)平臺(tái)自身安全性，開(kāi)展安全服務(wù)平臺(tái)的安全認(rèn)證工作，同時(shí)兼顧安全服務(wù)平臺(tái)主要功能與性能的相關(guān)認(rèn)證，將是現(xiàn)階段安全服務(wù)平臺(tái)認(rèn)證工作的主要發(fā)展方向。

（四）積極推動(dòng)相關(guān)的認(rèn)證規(guī)范國(guó)際化

目前，我國(guó)的認(rèn)證工作從行業(yè)和區(qū)域性布局向全球性布局延伸的進(jìn)程不斷加快，相關(guān)認(rèn)證規(guī)范的國(guó)際互認(rèn)不斷推進(jìn)。通過(guò)積極推進(jìn)認(rèn)證規(guī)范的制定工作和典型企業(yè)的認(rèn)證實(shí)踐，對(duì)認(rèn)證規(guī)范不斷提煉完善，將安全服務(wù)平臺(tái)的認(rèn)證規(guī)范國(guó)際化，不僅能加快服務(wù)平臺(tái)的技術(shù)與管理的進(jìn)步，同時(shí)也是勢(shì)在必行的趨勢(shì)。

四、總結(jié)

網(wǎng)絡(luò)、平臺(tái)、安全是工業(yè)互聯(lián)網(wǎng)三大組成部分，安全服務(wù)平臺(tái)是保障工業(yè)互聯(lián)網(wǎng)安全的重要工具。安全服務(wù)平臺(tái)的服務(wù)能力和水平參差不齊，各類(lèi)機(jī)構(gòu)無(wú)法選擇合適的安全服務(wù)平臺(tái)，如何對(duì)其進(jìn)行認(rèn)證成為保障工業(yè)互聯(lián)網(wǎng)安全的關(guān)鍵環(huán)節(jié)。本文從建立認(rèn)證體系、探索認(rèn)證模式、界定認(rèn)證范圍和推動(dòng)認(rèn)證規(guī)范國(guó)際化等方面對(duì)工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺(tái)的認(rèn)證工作發(fā)展方向進(jìn)行了研究，提出了相關(guān)建議。但本次的研究工作仍存在許多不足，工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺(tái)的認(rèn)證研究工作是一項(xiàng)長(zhǎng)期而艱巨的工程，需要在總結(jié)成功經(jīng)驗(yàn)的基礎(chǔ)上動(dòng)態(tài)地進(jìn)行修正補(bǔ)充，下一步將在認(rèn)證體系完善、試點(diǎn)驗(yàn)證、推廣應(yīng)用等方面做進(jìn)一步研究，為篩選安全服務(wù)平臺(tái)提供有效依據(jù)，助力工業(yè)互聯(lián)網(wǎng)健康發(fā)展。

作者單位：張斌 中國(guó)網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心王新霞、陳意、胡謙、孔群 山東省電子信息產(chǎn)品檢驗(yàn)院（中國(guó)賽寶（山東）實(shí)驗(yàn)室）