5G、云計算、大數據、物聯網、移動互聯網、人工智能……紛至沓來造就了一個嶄新的數字化時代。網絡作為數字經濟時代的基礎建設，無疑是企業(yè)的核心關注要素。技術本身就是一把雙刃劍，網絡與信息安全也成為了政府、企業(yè)、社會在數字化建設中面臨的重要挑戰(zhàn)。一旦因網絡安全事件造成核心數據遭受泄露，將會對企業(yè)的經營發(fā)展帶來嚴重危機。因此，國家關于網絡安全的法律陸續(xù)出臺，企業(yè)的網絡安全建設力度也不斷加大。
然而，技術的革新帶來新的挑戰(zhàn)，尤其在企業(yè)融入“雙循環(huán)”經濟體系背景下，如何加強網絡建設，通過結合前沿科技技術，建立完善的防御手段，確保核心數據及業(yè)務安全，成為每家企業(yè)都面臨的時代命題。
2022年6月8日，中企通信聯合聯合華昂研究院、Fortinet，開展“創(chuàng)新與安全驅動型網絡，夯實數字化建設底座”線上研討會。中企通信信息安全顧問徐傳波、Fortinet安全技術顧問王春惠作為演講嘉賓進行了分享，并與上汽集團信息戰(zhàn)略與網絡安全部高級總監(jiān)顧詠梅、三菱電機CIO范天益共同參與圓桌對話環(huán)節(jié)，共同探討企業(yè)在推進數字化建設中，如何構建自己的網絡安全體系，共享安全運營前沿風向及技術創(chuàng)新成果，賦能數字化建設新未來。
《數智化戰(zhàn)略中網絡安全的布局》
中企通信信息安全顧問徐傳波：
數字經濟時代，信息技術對企業(yè)越來越重要，企業(yè)的信息交換和傳播都依賴網絡進行傳輸，網絡改變了傳統(tǒng)的商務運作模式，也改變了企業(yè)原來的生產方式和思想觀念，企業(yè)網絡安全已逐步從產品驅動向服務驅動轉變。
對于企業(yè)而言，在安全領域主要有三大熱點的問題，包括工控安全、數據安全以及業(yè)務連續(xù)性。而信息安全在智能制造新模式上，最直觀的效應體現在提高作業(yè)安全性，可以降低作業(yè)成本的5%-10%。特別是在智能制造的集成電路、生物醫(yī)藥、人工智能三大先導產業(yè)，電子信息、生命健康、汽車、高端裝備、先進材料、時尚消費品六大重點產業(yè)中更為明顯。
在企業(yè)數智化戰(zhàn)略中，網絡安全的痛點，主要來自于技術人員關于工作時間延長、維護次數增加、被動式救火等弊端，以及管理人員關于安全維護成本無法控制、耗費精力，沒有或缺少高效管理工具和方法等問題。對此，中企通信面向企業(yè)提供安全托管服務（MSS）解決方案，方案主要包括預防、偵測、修正三個部分，根據企業(yè)的業(yè)務目標和安全策略為企業(yè)提供日常安全管理和專家服務，保證企業(yè)7×24的高效無休的安全托管服務。除此以外，該解決方案還可基于提供事件數據關聯及分類的安全信息與事件管理(SIEM)技術，包括原始數據清洗、資產和漏洞掃描、數據收集、基于Al大數據事件關聯及分析、安全運營中心呈現漏洞咨詢和資產資訊，保證企業(yè)的高效運轉。
而針對工控安全中企業(yè)資產不清晰、風險不明確等痛點，中企通信安全托管服務（MSS）解決方案以“白環(huán)境”為基礎，實現 “縱深安全防護體系”的實戰(zhàn)化、體系化，常態(tài)化防護，通過6種防御手段——動態(tài)防御、主動防御、縱深防御、精準防御、整體防控、聯防聯控，實現工控安全的“可信，可控，可溯、可管”，從而助力企業(yè)在數智化轉型中，打造高可靠的網絡安全布局，穩(wěn)固快速發(fā)展的技術根基。
《以安全驅動網絡，助力智能制造安全實現敏捷轉型》
Fortinet安全技術顧問王春惠：
在應對網絡安全機遇與挑戰(zhàn)方面，Fortinet將經典Purdue模型簡化為OT環(huán)境網絡安全模型，其包括OT生產區(qū)、控制區(qū)以及IT系統(tǒng)區(qū)，控制區(qū)為IT/OT邊界防御的重點區(qū)域，在OT生產區(qū)部署有SCADA、PLC、傳感器等系統(tǒng)。Fortinet在IT與OT相應邊界部署精準管控方案，在微分段的方案下，就算企業(yè)生產線中某個機臺受到攻擊，也不會影響其他產線和機臺。在網絡遠程訪問方面，Fortinet提供零信任架構及靈活的認證管理方案，安全實現遠程工程人員和OT設備之間的快速安全訪問。
面對網絡挑戰(zhàn)，Fortinet具備縱深防御體系，假如有黑客滲透到OT環(huán)境后，也很容易被Fortinet的工控蜜罐產品所誘捕，從而達到安全的主動防御。Fortinet的產品支持400個以上的OT協(xié)議IPS簽名和1800個以上OT應用協(xié)議簽名，可以對老版本的漏洞系統(tǒng)及協(xié)議提供虛擬補丁而不影響實際生產。針對OT網絡中的協(xié)議可視化，Fortinet還可展示相應的OT圖表和報告。在OT安全生態(tài)系統(tǒng)，Fortinet擁有400家以上的OT合作伙伴和解決方案供應商，可有效應對企業(yè)方面對的各種網絡安全問題。
在實踐上，FortinetOT 縱深防御也打造了不少的成功案例。以某汽車制造商的合作為例，針對汽車行業(yè)對于工控網絡的極高要求， Fortinet提供了所有流量保護以及域間和域內的細粒度隔離，工業(yè)IPS和協(xié)議防護隔離，使得企業(yè)平穩(wěn)渡過安全期；以某半導體的OT安全項目為例，該半導體企業(yè)通過Fortinet實現產線網絡微分段，在產線設備前用Fortigate設備以透明串接方式部署進行網絡協(xié)議檢測和過濾、基于FortiGuard提供的OT協(xié)議感知功能，可以識別和監(jiān)控OT協(xié)議和工業(yè)IPS威脅特征，防止攻擊在OT環(huán)境橫向移動，同時FortiManager提供Fortigate設備管理，策略統(tǒng)一推送，減少安全團隊運維壓力。
圓桌對話
在本次研討會的圓桌對話環(huán)節(jié)中，來自上汽集團信息戰(zhàn)略與網絡安全部高級總監(jiān)顧詠梅、三菱電機CIO范天益、中企通信信息安全顧問徐傳波、Fortinet安全技術顧問王春惠就“把脈安全體系建設，引領數字制造升級”的主題，紛紛發(fā)表了精彩的觀點與看法，共同探討企業(yè)信息安全的破局之路。
Q1數據驅動型的轉型，傳統(tǒng)信息網絡安全模式面臨的新挑戰(zhàn)，如何破局?
顧詠梅：
在目前互聯網、大數據、云網絡等等深度融合的大背景之下，上汽圍繞智能網聯化、聚焦智能產品、智能制造、社會出行等幾個方面展開。數據決定企業(yè)，軟件決定汽車是上汽業(yè)務發(fā)展的必然方向。所以上汽業(yè)務的數字化轉型，是以網絡完全作為底座，通過移動互聯、大數據、人工智能、云計算等技術的商業(yè)模式的深度融合搭建起來的整個業(yè)務平臺。對數據進行收集，并通過產品數據化、業(yè)務數據化、管理流程數據化推動業(yè)務鏈的持續(xù)優(yōu)化和商業(yè)模式的不斷創(chuàng)新，特別是要改善用戶的體驗，實現企業(yè)的價值。
當今社會，消費需求重新定義了汽車的產品、汽車的銷售、汽車的制造。汽車的軟件升級，依賴于OTA，上汽一直在發(fā)展過程中不斷創(chuàng)新，不斷改進。2013年開始，上汽傳統(tǒng)的IT已不復存在，企業(yè)內部重新調整升級，企業(yè)對傳統(tǒng)的信息安全和智能網安全做了融合，既獨立又依賴的兩者，作為企業(yè)后期發(fā)展的重中之重。
范天益：
三菱電機網絡安全的建造就是從0-1的一個過程，發(fā)展的過程中遇到的問題層出不窮，復雜程度也在不斷上升。目前IT和OT之間的融合成為了三菱發(fā)展過程中的一個難題，所以也制定了三個方向嘗試解決困境：一是技術類；二是管理類，規(guī)范各個崗位的流程；三是物理層面類，隔離以及防護工作盡量做到完善。
三菱將主要的精力放在生產的技術、制造、現場等，執(zhí)行過程中發(fā)現的問題還是IT和OT之間交互變得比較復雜，所以如沒有處理好智能化設備的運營就會給黑客制造突襲的機會，工控的算法就更加需要技術人員花時間，花精力去管控，這也是企業(yè)在數據驅動型的轉型過程中的困難與挑戰(zhàn)。
內外精修：內，以人為本，在技術層面、管理層面、物理層面，三菱堅持原有的網絡安全的打造，強化管理團隊能力，技術的培養(yǎng)，人才體制的構建；外，運用相關的技術方，如中企、Fortinet的專業(yè)咨詢，并與他們的合作，給予企業(yè)相關的案例參考，定期內訓，專業(yè)的分享課程等都能給到企業(yè)一個數字化轉型的正確方向。
Q2數據驅動型的轉型，傳統(tǒng)信息網絡安全模式面臨的新挑戰(zhàn)，如何破局?
顧詠梅：
上汽有一個基本原則——財富越多，防盜就要做得越好，這也是動態(tài)平衡的過程。我們設定了兩條線：一條是合規(guī)線，合規(guī)線就是一條紅線，一旦違規(guī)就是一票否決，否則品牌的損失是不可預估的；二條是安全線，網絡和數據安全是企業(yè)的核心層面，上汽能夠預見到網絡安全會嚴重影響到功能安全以及運用安全。汽車在社會層面也是一個新生兒的角色，它在整個生命周期過程中會不斷進步與成長，融合智能輔助駕駛以及其他的大數據的支撐，它的功能不斷增加。所以在這個過程中，網絡安全必須與功能安全并肩，功能安全在不斷增加，網絡安全就必須匹配。上汽需要將網絡安全融入到整個的智能汽車研發(fā)。目前上汽整車研發(fā)的過程是18個月，在此過程中需要實現從硬件的預埋到軟件的防護。
上汽也開始在考慮自主研發(fā)了安全芯片，除此之外，針對安全方面，最大的原則就是通過安全座椅，安全前置為整個安全的研發(fā)做鋪墊，同時在安全的制造，安全的運營進行風險管理。
范天益：
回顧三菱十年的投資回報率，目前確實沒有明確的數據來定義。傳統(tǒng)的IT部門以往給到企業(yè)領導的建議就是不停地投資，但是實際的產出沒有明確的數據來支撐。
最近幾年，三菱開始籌備一個3-5年周期預算計劃，嚴格把控預算，有效地執(zhí)行，在IT實施過程中出現了OT的一個實際產出威脅，并及時調整修改。后期三菱將把IT信息網絡安全事故，作為企業(yè)KPI進行考核。即便不同行業(yè)產生的網絡安全事故考評的指數不一樣，但是在周期內做好調整，明確網絡安全事故的界定，評估投資回報，這樣也能夠促使企業(yè)在發(fā)展過程中安全運營。
Q3信息安全團隊的架構重塑，能力培養(yǎng)機制如何搭建？
徐傳波：
制造業(yè)的發(fā)展分三個階段：第一階段是自動化；第二階段是信息化；第三階段是智能化。大部分企業(yè)還處在信息化還不太成熟的階段，而智能制造已經成為業(yè)務的一個元素而不是一個部分，智能制造中業(yè)務與安全已融合在一起。企業(yè)必須要做的就是風險評估，這是信息安全的起點，也能夠避免投入的浪費，注重投入產出比。如果一個企業(yè)連資產以及風險都不清楚，那就更不用談論如何做到有效的防護。因此企業(yè)信息安全團隊中應提高風險評估能力，這樣才能把最重要的資金用到最關鍵的地方。
王春惠：
網絡安全的本質是人與人對抗 ，安全圈子需要重視人才的培養(yǎng)，Fortinet作為老牌的安全廠商，體系內從事信息安全人員都經過自有NSE課程培訓，并進行認證考核，包括服務企業(yè)方的團隊都是經過認證以及培訓的工程師，今后Fortinet也會通過NSE培訓體系培養(yǎng)出更多合格的安全人才。
同時，我們要做到不僅僅給客戶交付一個產品，而且還提供產品的NSE培訓課程，幫助客戶學習并掌握整體Fortinet安全方案，目標是做到雙方業(yè)務上的共同成長，打造Fortinet在安全領域的領軍團隊。
總 結
企業(yè)在數字化建設過程中也愈發(fā)重視搭建自己的安全防線，不斷加強業(yè)務、營銷、內容風控能力，在數字化發(fā)展過程中構建業(yè)務安全的閉環(huán)，在不同的風險管理階段，將風控技術手段與運營管理相結合，互相支撐、互為補充。不同企業(yè)因其業(yè)務發(fā)展階段不同，對風險控制的偏好也不盡相同。但企業(yè)在數字化轉型過程中，安全體系的搭建是必不可少的環(huán)節(jié)。
