工業(yè)領(lǐng)域云安全實踐指南 2024

版權(quán)聲明本報告版權(quán)屬于中國通信標(biāo)準(zhǔn)化協(xié)會云計算標(biāo)準(zhǔn)和開源推進(jìn)委員會、西門子（中國）有限公司，并受法律保護(hù)。轉(zhuǎn)載、摘編或利用其它方式使用本報告文字或者觀點的，應(yīng)注明“來源：中國通信標(biāo)準(zhǔn)化協(xié)會云計算標(biāo)準(zhǔn)和開源推進(jìn)委員會、西門子（中國）有限公司”。違反上述聲明者，編者將追究其相關(guān)法律責(zé)任。心理念和關(guān)鍵舉措。指南不僅對云安全治理 1 1 4 9 9 10 11 12 13 14 17 19 20 21 24 27 30 30 31 1 4 11 13 14 15 19 20 21 22 24 281一、數(shù)字化轉(zhuǎn)型浪潮襲來，工業(yè)上云勢頭日益增強(qiáng)（一）上云政策與云計算的蓬勃發(fā)展協(xié)同驅(qū)動工業(yè)企業(yè)上云2我國多省市工信廳印發(fā)工業(yè)企業(yè)“上云上平臺”工作方案和行動計劃，3遠(yuǎn)程的方式提供標(biāo)準(zhǔn)化的服務(wù)流程，以保障生產(chǎn)的穩(wěn)定性和連續(xù)性。4互聯(lián)網(wǎng)原生行業(yè)政務(wù)金融工業(yè)醫(yī)療交通其他12.2%11.6%5.4%5.1%10.2%12.2%11.6%5.4%5.1%10.2%30.6%24.9%30.6%0.0%5.0%10.0%15.0%20.0%25.0%30.0%35.0%（二）工業(yè)上云為企業(yè)提供動能，助力企業(yè)創(chuàng)新發(fā)展1、工業(yè)上云促進(jìn)企業(yè)IOT要素全面升級52、工業(yè)上云激發(fā)數(shù)據(jù)要素價值釋放工業(yè)互聯(lián)網(wǎng)的高速發(fā)展正推動制造業(yè)從傳統(tǒng)生產(chǎn)要素驅(qū)動向數(shù)和SCADA（SupervisoryC673、工業(yè)上云助推工業(yè)數(shù)字化綠色化融合84、工業(yè)上云加速商業(yè)模式的變革和創(chuàng)新9二、工業(yè)上云面臨安全、門檻高、合規(guī)與時效四類風(fēng)險挑戰(zhàn)（一）工業(yè)上云面臨多樣化攻擊與高門檻挑戰(zhàn)55個BerghofPLC（ProgrammableLogicController，可編程邏輯控制年3月電腦巨頭Acer遭遇REvil勒索軟件攻擊，攻擊其分布式特性更使得檢測和遏制攻擊愈發(fā)困難，如2021年Docker（二）業(yè)務(wù)跨境企業(yè)面臨嚴(yán)格安全合規(guī)與即時性要求工業(yè)全要素的泛在互聯(lián)與工業(yè)數(shù)據(jù)的開放流動均得益于工業(yè)上要求美企必須將儲存在境內(nèi)外的數(shù)據(jù)提交給政府。然而三、構(gòu)建五維模型，提升工業(yè)領(lǐng)域云安全防護(hù)力（一）治理維度：構(gòu)建工業(yè)領(lǐng)域云安全治理體系需要明確適用不同國家/地區(qū)的法律法規(guī)和工業(yè)領(lǐng)域的監(jiān)管要求，覆（HealthInsurancePortabilityandAccount責(zé)任法案以及中國信息安全等級保護(hù)要求和關(guān)鍵信息基礎(chǔ)設(shè)施安（二）組織維度：構(gòu)建工業(yè)領(lǐng)域云安全組織架構(gòu)（三）技術(shù)維度：構(gòu)建工業(yè)領(lǐng)域云安全技術(shù)體系控制和數(shù)據(jù)水印等技術(shù)，保護(hù)數(shù)據(jù)在處理過程平臺應(yīng)用防護(hù)保障工業(yè)數(shù)據(jù)流轉(zhuǎn)安全與工業(yè)軟件研發(fā)階段的安（四）流程維度：構(gòu)建工業(yè)領(lǐng)域云安全運營流程（五）生態(tài)維度：構(gòu)建工業(yè)領(lǐng)域云安全生態(tài)鏈條四、工業(yè)領(lǐng)域云安全參考實踐為了更好的應(yīng)對工業(yè)企業(yè)上云后的安全挑戰(zhàn)，企業(yè)可在“工業(yè)領(lǐng)域云安全治理框架”的指導(dǎo)下，基于企業(yè)自身業(yè)務(wù)特征及上云的不同（一）上云前：規(guī)劃策略，評估風(fēng)險（二）上云中：平穩(wěn)遷移，縱深防御強(qiáng)化云上安全冗余能力，構(gòu)建多層次化防護(hù)。設(shè)計安全架構(gòu)，設(shè)強(qiáng)化企業(yè)云平臺數(shù)據(jù)安全保護(hù)，確保云上數(shù)據(jù)資產(chǎn)的機(jī)密性、完（三）上云后：持續(xù)優(yōu)化，安全用云洞掃描頻率并制定詳細(xì)的漏洞掃描計劃；選擇合適的漏洞時能夠迅速、有效地應(yīng)對；組建事件響應(yīng)團(tuán)隊，由專業(yè)的五、工業(yè)數(shù)字化轉(zhuǎn)型云安全發(fā)展趨勢及建議（一）工業(yè)領(lǐng)域云安全技術(shù)發(fā)展趨勢程序不斷變化，需要持續(xù)監(jiān)控其安全狀態(tài)。零信任秉持“持續(xù)驗證，永不信任”的理念，默認(rèn)不信任任何接入終端，對訪問終端與被訪問AI（ArtificialIntelligence，人工智能）安全監(jiān)測（二）工業(yè)領(lǐng)域云安全產(chǎn)業(yè)發(fā)展建議安全，如國家標(biāo)準(zhǔn)《信息安全技術(shù)云計算服務(wù)安全指南》和《信息科技賦能，推動云安全技術(shù)應(yīng)用成為工業(yè)發(fā)展的內(nèi)生經(jīng)從單一的產(chǎn)品向產(chǎn)品及服務(wù)