★ 浙江中控技術(shù)股份有限公司

1 項目概況

1.1 項目背景

大數據時(shí)代，數據已經(jīng)成為保障國家穩定和促進(jìn)社會(huì )發(fā)展的重要戰略資源。隨著(zhù)各類(lèi)數據安全事件的頻繁爆發(fā)，對各事發(fā)單位造成的影響和結果可謂非常慘烈。數據安全問(wèn)題已嚴重影響政企聲譽(yù)和利益，甚至成為決定企業(yè)命運的關(guān)鍵問(wèn)題。本項目是中控技術(shù)在工控系統全網(wǎng)防護解決方案中首次重點(diǎn)關(guān)注數據安全，并以此為例打造數據安全標桿項目。

1.2 項目目標

工控系統安全與數據安全防護建設的總體目標是參照國內外成熟、先進(jìn)的工業(yè)控制系統安全防護模型和措施，根據浙江安諾芳胺化學(xué)品有限公司工控系統的實(shí)際特點(diǎn)和安全需求，全面持續提升該公司的安全組織管理、風(fēng)險控制、專(zhuān)業(yè)技術(shù)和服務(wù)能力，加強工控系統安全防護力度，切實(shí)保障企業(yè)生產(chǎn)經(jīng)營(yíng)活動(dòng)的正常運行。

（1）通過(guò)數據安全治理管控平臺建設，提升數據安全運營(yíng)能力、數據安全管控能力和數據安全監控能力。

（2）建立全面的工業(yè)控制系統網(wǎng)絡(luò )與數據安全保障體系，達到等保2.0的網(wǎng)絡(luò )安全的技術(shù)要求；減少企業(yè)的安全事件，保障商業(yè)秘密不外泄；完善工控安全風(fēng)險管理，實(shí)現風(fēng)險管理的機制化運行，使企業(yè)管理人員能夠準確掌握自身工控系統面臨的主要安全風(fēng)險。

（3）基于等保2.0、DSMM及政務(wù)信息共享數據安全技術(shù)要求，建立以技術(shù)保障為基礎、以管理運營(yíng)為抓手、以監測預警為核心、以協(xié)同響應為目標的網(wǎng)絡(luò )安全防御體系，并圍繞合規性國家標準四大核心內容，即數據安全標準規范體系、數據安全防護體系、數據安全管理平臺和數據安全運營(yíng)體系，開(kāi)展數據安全與等保安全建設工作。

（4）加強數據資源安全運營(yíng)、數據安全策略運營(yíng)、數據安全事件運營(yíng)、數據安全風(fēng)險運營(yíng)等能力的建設，為數據安全提供信息化支撐手段。

（5）提升數據安全管控系統（可控）能力，建成全網(wǎng)一體化數據安全體系，量化考核指標，檢查數據安全防護有效性，持續優(yōu)化數據運營(yíng)。

（6）強化工控網(wǎng)和信息網(wǎng)的兩網(wǎng)隔離和訪(fǎng)問(wèn)控制策略，確保工控網(wǎng)和信息網(wǎng)之間互聯(lián)互通的安全性，防止安全威脅或風(fēng)險的滲透和轉移。

（7）提升工控系統對入侵和異常行為的檢測和發(fā)現能力，實(shí)現安全威脅的可知、可查。

（8）提高工控系統安全的管理和響應效率，實(shí)現工控系統安全的可視化與統一管控。

（9）建立相關(guān)的工控系統安全制度流程，提升企業(yè)應急響應能力和信息安全事件處理效率。

2 項目實(shí)施

2.1 設計依據

中控技術(shù)的工控系統安全和數據安全技術(shù)防護從外到內構成自主可控的多層次“內建安全（固）、縱深防御（防）、安全運維（管）”防護體系。在底層構建內建安全產(chǎn)品體系，確保產(chǎn)品具有網(wǎng)絡(luò )安全“健壯性”；在頂層規劃部署數據安全管理及數據安全運維體系，確保數據安全的長(cháng)期、持續有效；在中間層建設包括安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境以及安全管理中心的縱深防御體系，并遵循“零信任”原則；在核心側部署數據保護平臺，幫助抵御內外部威脅，保護敏感數據。本建設設計依據如圖1所示。

圖1 建設設計依據

2.2 系統架構和主要內容

2.2.1 數據采集安全設計

（1）數據分類(lèi)

通過(guò)工業(yè)數據安全治理平臺敏感數據掃描模塊發(fā)現結果，依照工業(yè)領(lǐng)域重要數據和核心數據識別規則，標識敏感數據的數據類(lèi)型、數據位置等，并支持重要數據分類(lèi)分級結果的報表導出功能。重要數據/核心數據分類(lèi)模塊由用戶(hù)身份和鑒權信息、用戶(hù)數據及服務(wù)內容信息、用戶(hù)服務(wù)相關(guān)信息及企業(yè)運營(yíng)管理數據組成，如圖2所示。工業(yè)數據分類(lèi)界面展示內容由數據名稱(chēng)、數據形態(tài)、數據支撐的環(huán)節、數據來(lái)源等組成。采用不同數據分類(lèi)分級識別手段，識別不同類(lèi)型數據，并由此進(jìn)行工業(yè)數據的分類(lèi)分級。

圖2 數據分類(lèi)示意圖

（2）數據分級

根據敏感數據掃描發(fā)現結果，依照相關(guān)工業(yè)領(lǐng)域重要數據和核心數據識別規則，標識敏感數據的重要級別、敏感數據位置等，并支持工業(yè)數據分類(lèi)分級結果的報表導出功能。工業(yè)數據分級模塊由極敏感級（核心數據）、敏感級（重要數據）、較敏感級及低敏感級（普通數據）組成，如圖3所示。工業(yè)數據分級模塊展示內容包括級別、定位、管控規則等信息。采用不同敏感數據識別手段，識別不同類(lèi)型數據，并由此進(jìn)行工業(yè)數據的分類(lèi)分級。

圖3 數據分級示意圖

（3）訪(fǎng)問(wèn)控制

訪(fǎng)問(wèn)控制策略為全域數據提供了統一數據訪(fǎng)問(wèn)策略統計、分析、稽核和展示，包括對所有上層應用的訪(fǎng)問(wèn)進(jìn)行細粒度授權。通過(guò)限制對數據資產(chǎn)的訪(fǎng)問(wèn)操作，防止非法用戶(hù)的侵入、用戶(hù)越權或合法用戶(hù)的不慎操作而造成的數據泄漏、篡改、損毀，保證數據資產(chǎn)受控地、合法地使用。

訪(fǎng)問(wèn)控制策略能夠對目錄、關(guān)系型、非關(guān)系型數據庫中的表進(jìn)行細粒度的授權策略定義；能夠對關(guān)系型、非關(guān)系型數據庫表中某一列進(jìn)行細粒度授權策略定義；能夠對數據庫或文件系統的不同操作（如查詢(xún)、增刪、創(chuàng )建等）進(jìn)行授權策略定義；能夠對數據導入、導出的權限進(jìn)行細粒度授權策略定義；能夠對從其他平臺收集的訪(fǎng)問(wèn)控制策略進(jìn)行統一查詢(xún)和展示。

2.2.2 數據傳輸安全設計

數據中心內部業(yè)務(wù)系統之間的數據（流式數據、數據庫、文件等類(lèi)型的數據）在傳輸過(guò)程中，需要從數據傳輸安全、網(wǎng)絡(luò )數據防泄漏、數據檢測保護等多個(gè)方面來(lái)保障業(yè)務(wù)系統數據的機密性和完整性。

（1）數據傳輸安全

在數據傳輸過(guò)程中，數據從控制室和控制站傳輸到數據庫階段，數據存在網(wǎng)絡(luò )層面的非控制網(wǎng)絡(luò )威脅等風(fēng)險，在傳輸過(guò)程中的數據無(wú)法判斷其安全性。

（2）數據可靠性安全

在數據傳輸過(guò)程中采用雙向安全域，在兩個(gè)不同安全區域之間形成隔離防護屏障，防止數據雙向交互。經(jīng)過(guò)數據庫中的數據，通過(guò)入侵檢測、靜態(tài)脫敏等操作保障其安全性。

2.2.3 數據存儲安全設計

（1）數據加密存儲

當重要數據被明文存儲時(shí)，一旦發(fā)生拖庫事件，所有數據將被泄漏，所以數據加密存儲是十分必要的安全防護手段。對數據庫各種常用數據類(lèi)型在字段層面進(jìn)行加密，被加密的數據庫數據以密文形態(tài)存儲在磁盤(pán)上。同時(shí)為提高數據安全性，還應對數據庫的重要日志文件、數據庫rman備份、索引數據等相關(guān)數據加密保護，并對BLOB數據、CLOB數據、IOT表的Mapping表、B*Tree索引、Bitmap索引、全局索引等特殊數據類(lèi)型和索引類(lèi)型的加密正常讀寫(xiě)、相等和范圍查詢(xún)。

如果使用可移動(dòng)介質(zhì)存儲普通/重要數據或個(gè)人身份可識別信息，則應對存儲在介質(zhì)上的數據進(jìn)行加密，以防止數據受到未經(jīng)授權的訪(fǎng)問(wèn)。

（2）數據備份恢復

數據備份是一種有效的數據保護手段，是最基礎的數據保護措施。通過(guò)配置相應的數據備份軟件、磁帶庫等軟、硬件系統，防止因為硬件損壞、邏輯錯誤、人為誤操作等故障引起計算機系統的數據丟失與數據損壞。

完全備份：備份定義的所有數據，數據恢復速度快，但是備份數據量大，數據多時(shí)可能做一次全備份需要很長(cháng)時(shí)間。

增量備份：備份自上一次備份以來(lái)更新的所有數據，每次備份的數據量少，恢復時(shí)需要全備份及多份增量備份。差分備份：備份自上一次全備份以來(lái)更新的所有數據，每次備份的數據量比較少，恢復時(shí)需要全備份及差分備份。

（3）服務(wù)器數據防勒索

勒索軟件可能是工業(yè)領(lǐng)域最廣為人知的威脅，可以參考伊朗震網(wǎng)和北美輸油管道運營(yíng)的例子。暴利驅動(dòng)使得勒索事件層出不窮，存在的漏洞總會(huì )被發(fā)現和利用，加密核心數據是黑客的主要手段。當其對文件、數據加密和修改時(shí)，往往無(wú)法恢復，導致遭受巨大的損失。

因此需要通過(guò)搭配服務(wù)器加固或者EDR殺毒來(lái)建立勒索防護機制，從人員意識、合規制度等角度考慮，防范勒索病毒帶來(lái)的危害。

2.2.4 數據使用安全設計

（1）數據防泄漏

部署網(wǎng)絡(luò )DLP設備后，數據DLP策略將為全域工業(yè)數據提供統一的數據泄露防護策略的統計、分析、復核和展示。工業(yè)數據泄露防護策略主要包含檢測文檔類(lèi)型、檢測算法、解析協(xié)議、數據敏感級別、數據風(fēng)險監測規則、數據處置動(dòng)作等內容。數據DLP策略能夠按照相關(guān)法律、法規、標準以及業(yè)務(wù)要求準確定義敏感信息。系統可按關(guān)鍵字、正則表達式、數據標識符、文件名稱(chēng)、文件大小、文件名、文件指紋、結構化數據指紋等信息采用邏輯與、或、非的方式進(jìn)行敏感數據定義?；谝怨I(yè)協(xié)議解析為核心的深度內容識別能力，不同組件相互配合，實(shí)現對采集、使用、流轉、存儲以及數據的實(shí)時(shí)發(fā)現和監控，構建工業(yè)數據安全閉環(huán)。

（2）數據脫敏

脫敏策略為定義統一的數據脫敏策略統計、分析、稽核和展示。

驅動(dòng)動(dòng)態(tài)脫敏網(wǎng)關(guān)實(shí)時(shí)動(dòng)態(tài)脫敏及靜態(tài)脫敏能力，脫敏策略包括動(dòng)態(tài)脫敏和靜態(tài)脫敏策略。動(dòng)態(tài)脫敏策略主要通過(guò)定義數據訪(fǎng)問(wèn)場(chǎng)景、訪(fǎng)問(wèn)賬號角色、訪(fǎng)問(wèn)數據內容、需要脫敏的內容和脫敏算法等來(lái)完成策略的定義；靜態(tài)脫敏策略主要通過(guò)定義處理數據對象、數據脫敏算法和脫敏參數來(lái)完成批量數據脫敏策略。

2.2.5 數據提供/公開(kāi)設計

（1）安全運維流程

數據安全運營(yíng)的核心是定崗定責、責任到人、可驗證、可追溯，貫穿安全監測、安全分析、安全處置和安全運維流程，全面覆蓋安全運營(yíng)工作及不同類(lèi)型、不同等級安全事件的監測、分析、響應、處置流程。

（2）數據安全合規管理

數據安全合規管理支撐相關(guān)部門(mén)和單位內部合規檢查要求，對合規工作進(jìn)行統一核查和展示。其內容包括：

①日常合規檢查；②頁(yè)面脫敏合規；③權限管理合規；④訪(fǎng)問(wèn)控制合規；⑤事件行為合規；⑥數據流轉合規。

（3）數據安全預警

數據安全預警是對數據安全分析結果的異常行為事件進(jìn)行的相關(guān)預警，包括如下方面內容：

①批量查詢(xún)/下載；②違規接入外部設備；③數據庫操作偏離基線(xiàn)；④應用操作偏離基線(xiàn)；⑤高風(fēng)險指令；⑥異地訪(fǎng)問(wèn)；⑦越權訪(fǎng)問(wèn)；⑧高頻次訪(fǎng)問(wèn)；⑨敏感數據過(guò)量外發(fā)；⑩敏感內容未模糊化。

（4）數據安全態(tài)勢

以數據為中心動(dòng)態(tài)展示相關(guān)數據態(tài)勢信息。

①數據資產(chǎn)態(tài)勢；②數據訪(fǎng)問(wèn)態(tài)勢；③數據流轉趨勢；④風(fēng)險賬號態(tài)勢；⑤數據風(fēng)險事件態(tài)勢；⑥數據不合規態(tài)勢。

（5）事件流程管理

①應急響應分析

根據數據安全事件的動(dòng)態(tài)數據，匯總數據安全事件的相關(guān)信息，分析可能的影響程度、影響范圍，并對數據安全事件進(jìn)行綜合分析，形成能夠支撐應急指揮的基礎數據。

②指揮決策

基于應急響應分析數據，進(jìn)一步分析研判數據安全事件信息及影響和制約處置決策結果的指標，從而形成輔助決策模型，為應急指揮提供決策支持。

③資源調度

可對特定的負責人派發(fā)工單，針對網(wǎng)絡(luò )、系統、安全系統等進(jìn)行資源調度，協(xié)調必要的處置措施資源。

2.2.6 數據銷(xiāo)毀安全設計

在一般數據全生命周期安全保護中，要求明確數據銷(xiāo)毀對象、規則、流程技術(shù)等，對銷(xiāo)毀活動(dòng)進(jìn)行記錄和留存。

在重要數據全生命周期安全保護中，在滿(mǎn)足一般數據全生命周期安全保護要求的基礎上，增加了設置人員、不可恢復原則、完全清除、上報更新等要求（如：設置數據銷(xiāo)毀相關(guān)監督人員；保證在數據完全刪除后再銷(xiāo)毀存儲介質(zhì)；應完全清除緩存數據；及時(shí)向地方工業(yè)和信息化主管部門(mén)更新重要數據目錄備案）。

2.2.7 數據出境安全設計

在一般數據全生命周期安全保護中，數據出境要強調開(kāi)展自評估和安全管理（如應結合實(shí)際開(kāi)展數據出境安全自評估和安全管理）。

在重要數據全生命周期安全保護中，在滿(mǎn)足一般數據全生命周期安全保護要求的基礎上，強化了安全評估要求，增加了安全監測、風(fēng)險防范、出境技術(shù)支持等要求。

2.2.8 數據轉移安全設計

在一般數據全生命周期安全保護中，需形成數據轉移方案，并通知受影響用戶(hù)（如通過(guò)電話(huà)、短信、郵件、公告等方式通知）。

在重要數據全生命周期安全保護中，在滿(mǎn)足一般數據全生命周期安全保護要求的基礎上，增加了應及時(shí)向地方工業(yè)和信息化主管部門(mén)更新備案的要求。

2.2.9 數據委托處理安全設計

在一般數據全生命周期安全保護中，強調應通過(guò)簽訂合同協(xié)議等方式，明確數據安全保護要求和責任落實(shí)要求，規范數據使用權限、內容、范圍及用途，對合作方數據使用情況進(jìn)行監督管理。

在重要數據全生命周期安全保護中，在滿(mǎn)足一般數據全生命周期安全保護要求的基礎上，強調了應對被委托方的數據安全保護能力、資質(zhì)進(jìn)行評估或核實(shí)。

2.2.10 數據安全計算環(huán)境

（1）工控主機安全

隨著(zhù)近年來(lái)針對工控系統的APT攻擊增加，工控系統內部網(wǎng)絡(luò )安全問(wèn)題的嚴重性也逐漸增加。因此對控制系統內部操作員站、服務(wù)器、網(wǎng)絡(luò )交換機等設備節點(diǎn)的防護已成為企業(yè)工控系統安全的基礎環(huán)節，并可為企業(yè)控制系統提供基礎的防御與保護。

（2）安全基線(xiàn)加固

安全基線(xiàn)服務(wù)通過(guò)對工業(yè)網(wǎng)絡(luò )開(kāi)展服務(wù)和端口禁用等工業(yè)控制網(wǎng)絡(luò )安全配置，限制遠程控制管理、默認賬戶(hù)管理等工業(yè)主機安全配置，以及口令策略合規性等工業(yè)控制設備安全配置，建立相應的配置清單，方便用戶(hù)責任人定期進(jìn)行管理、維護和配置核查審計。安全基線(xiàn)配置須確保與控制系統軟件完美兼容，否則會(huì )影響工控系統運行。

對工控上位機、服務(wù)器、網(wǎng)絡(luò )安全設備進(jìn)行安全加固，加固內容至少應包括以下內容：①加密保存系統賬戶(hù)口令；②采用SSH進(jìn)行遠程管理；③限制遠程管理地址；④啟用賬戶(hù)口令復雜度策略；⑤啟用賬戶(hù)登錄失敗處理策略；⑥修改默認賬戶(hù)、刪除多余賬戶(hù)。

（3）敏感數據發(fā)現

敏感數據發(fā)現可以從海量數據中自動(dòng)發(fā)現、分析敏感數據的分布及使用情況，及時(shí)發(fā)現數據資產(chǎn)是否存在安全違規并進(jìn)行風(fēng)險預警，幫助用戶(hù)防止數據泄漏和滿(mǎn)足合規要求。

系統可根據預先定義的敏感數據特征，通過(guò)內置敏感數據發(fā)現規則對數據資產(chǎn)內容進(jìn)行隨機抽樣敏感字段的發(fā)現和識別，實(shí)現敏感數據識別打標功能。

（4）資產(chǎn)風(fēng)險分析

資產(chǎn)風(fēng)險報警可以從海量數據資產(chǎn)中快速發(fā)現和定位敏感數據資產(chǎn)，追蹤敏感數據的使用情況，并根據安全管理規則，實(shí)時(shí)推送資產(chǎn)風(fēng)險信息，以確保能實(shí)時(shí)了解資產(chǎn)數據的安全狀態(tài)并制定相應防護方案。對于敏感資產(chǎn)的動(dòng)態(tài)變化形成的異常事件的提醒，系統提供緊急、重要、警告、提醒4個(gè)等級報警事件，由高到低依次用紅色、橙色、黃色和藍色標示。報警查詢(xún)支持通過(guò)時(shí)間段、報警等級、報警類(lèi)型、報警來(lái)源等條件進(jìn)行歷史報警的檢索查詢(xún)。

（5）資產(chǎn)安全報表

資產(chǎn)安全報表提供豐富的資產(chǎn)報表形式。其通過(guò)內嵌的報表功能為用戶(hù)提供豐富的數據資產(chǎn)專(zhuān)項報表，如整體資產(chǎn)統計報表、敏感數據梳理報表等供用戶(hù)分析審核。

2.3 技術(shù)方案

2.3.1 技術(shù)原理和內容

本方案以“固、防、管體系”為指導思想，遵照數據安全法、網(wǎng)絡(luò )安全法以及工業(yè)企業(yè)數據安全防護要求等相關(guān)標準，在工控系統安全需求的基礎上，建立預警、防護、檢測、響應自適應閉環(huán)的數據安全防護體系，同時(shí)為工控系統提供可定制的數據安全服務(wù)，全面感知工控系統遇到或可能遇到的數據安全風(fēng)險，提升系統的整體安全防御能力，構建單位可信、可控、可管的數據安全防護體系。根據數據安全與網(wǎng)絡(luò )安全等級保護與的總體思想，結合工控系統的特點(diǎn)，中控技術(shù)提出數據安全自主可控技術(shù)體系模型如圖4所示，建設邏輯圖如圖5所示。

圖4 中控技術(shù)網(wǎng)絡(luò )安全等級保護技術(shù)防護體系模型

圖5 工業(yè)數據安全防護邏輯圖

2.4 應用需求分析

2.4.1 傳統信息安全體系無(wú)法保護數據安全

有別于傳統信息安全防護體系，在工業(yè)領(lǐng)域，由于數據安全防護體系將保護對象聚焦在“數據資產(chǎn)”這樣的無(wú)形資產(chǎn)上，因此數據資產(chǎn)的機密性、完整性以及可用性與硬件資產(chǎn)存在著(zhù)巨大差別，這導致傳統信息安全防護體系通常不具備對數據安全的有效保護能力。

2.4.2 靜態(tài)防護策略無(wú)法保護數據安全

通常一個(gè)信息系統中的硬件資產(chǎn)數量是有限的，且在沒(méi)有重大的系統變更時(shí)不會(huì )發(fā)生顯著(zhù)變化，所以傳統信息安全體系的安全策略的設計思路往往是靜態(tài)的。而在工業(yè)環(huán)境中，企業(yè)數據存儲、處理平臺所承載的數據量正在以極快的速度爆炸式增長(cháng)，若仍以靜態(tài)的視角看待數據資產(chǎn)勢必無(wú)法應對數據量急劇增長(cháng)帶來(lái)的數據泄漏、數據損壞、數據篡改以及對數據主體造成影響等安全問(wèn)題。并且由于數據資產(chǎn)對流動(dòng)性的要求，僅考慮當前主體的靜態(tài)防護策略顯然無(wú)法有效保證數據的安全。

2.4.3 數據資產(chǎn)的權責不一致

數據通常來(lái)自于企業(yè)的業(yè)務(wù)部門(mén)，在業(yè)務(wù)部門(mén)使用，并且數據的所有權也常常屬于業(yè)務(wù)部門(mén)。但由于數據安全策略有時(shí)會(huì )限制業(yè)務(wù)部門(mén)對數據使用的權限，而數據安全體系建設工作由安全部門(mén)主導，因此數據安全防護體系的建設很有可能會(huì )受到來(lái)自于業(yè)務(wù)部門(mén)的阻力，導致數據安全體系建設工作推動(dòng)困難。

2.5 安全應用

2.5.1 通過(guò)“兩化融合”形成數據防護體系

改變傳統以特征和規則匹配為基礎的技術(shù)保障體系，建立以“兩化融合”為驅動(dòng)的智能化技術(shù)保障體系，通過(guò)互聯(lián)網(wǎng)匯聚全網(wǎng)安全數據進(jìn)行協(xié)同分析，將微小的線(xiàn)索聯(lián)系起來(lái)，由點(diǎn)及面，發(fā)現安全攻擊和風(fēng)險。同時(shí)基于業(yè)務(wù)對數據流進(jìn)行節點(diǎn)建模，對數據流轉的所有節點(diǎn)及節點(diǎn)之間的數據流進(jìn)行安全畫(huà)像和安全基線(xiàn)建立，并利用對大數據的實(shí)時(shí)在線(xiàn)分析、離線(xiàn)綜合分析及智能分析等方法，發(fā)現異常行為及安全風(fēng)險。

2.5.2 構建以數據為核心的安全監管能力

改變傳統以信息系統為防護對象的設計思路，構建以數據為保護對象的安全防護體系。從敏感數據分布、數據接口安全、特權人員運維、特定業(yè)務(wù)場(chǎng)景數據流動(dòng)態(tài)勢等角度對非法采集、未授權訪(fǎng)問(wèn)、數據濫用、數據泄漏等數據安全事件進(jìn)行監控、預警和審計，通過(guò)數據分析和直觀(guān)的態(tài)勢來(lái)支撐有效的安全、合規決策，建立通報預警體系并與應急響應和運維支撐體系進(jìn)行有效整合，實(shí)現各單位數據安全事件的統一預警通報和應急指揮與協(xié)同處置，使用戶(hù)具備數據安全專(zhuān)項監管能力。

2.5.3 解決數據流動(dòng)環(huán)境的安全管控難題

工業(yè)數據在流動(dòng)中責任邊界變得模糊，工業(yè)數據的處理活動(dòng)以及產(chǎn)生的安全風(fēng)險變得難以控制，各地各部門(mén)技術(shù)能力和安全意識參差不一，出現“發(fā)現不了，通報不及時(shí)，整改不會(huì )”的問(wèn)題，導致客戶(hù)對工業(yè)數據使用中的風(fēng)險問(wèn)題難以進(jìn)行靈活、及時(shí)地應對。工業(yè)數據安全管理平臺的建設從傳統的單點(diǎn)的安全防護向全面的安全監控預警轉變，通過(guò)匯聚全網(wǎng)的安全工業(yè)數據，形成安全數據大腦，并利用大數據和人工智能分析引擎，在數據層面建立了資產(chǎn)識別→風(fēng)險分析→監測預警→響應處置→安全合規的工業(yè)數據安全監督管控閉環(huán)，解決了工業(yè)數據流動(dòng)下的管控難題。

2.5.4 建設常態(tài)化的安全運營(yíng)支撐能力

打造以工業(yè)數據安全管控平臺為核心的常態(tài)化的數據安全運營(yíng)中心，構建工業(yè)數據安全保障體系。通過(guò)建立“縱向監督、橫向聯(lián)動(dòng)”的安全管理及運營(yíng)機制，利用SSOC安全運維平臺等技術(shù)，匯聚全網(wǎng)工業(yè)數據并形成安全數據大腦，利用“實(shí)時(shí)、全樣、精準”的工業(yè)大數據建立全程在線(xiàn)、全域覆蓋、實(shí)時(shí)反饋的“工業(yè)數據安全態(tài)勢地圖”，從而快速有效地感知、預警、調度和處置相關(guān)工業(yè)數據安全風(fēng)險，提高管理決策的科學(xué)性和精準性，提升管理效率和應急響應能力，有效實(shí)現全網(wǎng)風(fēng)險控制與應急支撐。

3 案例亮點(diǎn)和創(chuàng )新點(diǎn)

本項目是浙江省首個(gè)工業(yè)數據安全試點(diǎn)項目，中控技術(shù)依托于豐富的工控領(lǐng)域產(chǎn)品研發(fā)和工程實(shí)踐經(jīng)驗，響應國家《數據安全法》的政策引領(lǐng)，依據《工業(yè)數據分級分類(lèi)指南》，將“數據安全”引入工業(yè)領(lǐng)域，并結合成熟的工控全網(wǎng)防護方案，實(shí)現工業(yè)生產(chǎn)各環(huán)節數據產(chǎn)生、收集的安全防護，實(shí)現數據的傳輸保護，實(shí)現數據的使用、存儲保護，實(shí)現數據在不同網(wǎng)絡(luò )區域的隔離和交換保護。

構建了工業(yè)數據的全生命周期防護體系，在數據安全的整體防護中，重點(diǎn)解決工業(yè)數據安全難點(diǎn)；在整體設計上，從工業(yè)數據安全組織管理、工業(yè)數據安全標識、工業(yè)數據分類(lèi)分級分域、工業(yè)數據安全審計與追溯以及工業(yè)數據的生命周期安全防護等方面綜合考慮，并從數據風(fēng)險評估的角度構建了整體工業(yè)數據安全全生命周期防護解決方案。

深度結合“固、防、管”理念，打造由內建安全為核心的工控網(wǎng)防護體系。在核心側部署工業(yè)數據安全防護系統，根據《工業(yè)企業(yè)重要數據防護（草案）》要求，完成對數據整體的生命周期防護。并且引入了“零信任”的思想，旨在在源頭貼身保護存儲在任何位置的關(guān)鍵數據資產(chǎn)。借助本數據安全防護體系，可加強運維團隊分析工業(yè)數據環(huán)境中發(fā)生的各種狀況，從而有效防范風(fēng)險，幫助抵御內外部威脅，保護敏感數據，滿(mǎn)足工業(yè)數據安全合規需求。

《自動(dòng)化博覽》2023年1月刊暨《工業(yè)控制系統信息安全專(zhuān)刊（第九輯）》