3.1.3 工业互联网信息安全
互联互通性是释放工业互联网全部潜在价值的关键所在，但却系统性地增加了网络攻击面。当工业互联网中的装置、设备、系统等全面连接广域分布的公司网络甚至互联网时，攻击者将可以从多个角度实施网络攻击，为达到各种目标的攻击来源将可以来自外部或内部。因此，如果没有能成功保护所有联网的工业控制系统和设备的多层信息安全机制，工业互联网的美好愿景是无法实现的。安全通信、安全网络监控、安全数据和现场设备级别的安全代码执行等信息安全技术机制是必不可少的，而不是可选的。对于工业互联网设备供应商、系统工程师、承包商、运营商而言，解决每一层的信息安全问题至关重要。工业互联网信息安全与工业控制系统信息安全最显著的区别就在于，工业互联网的信息安全问题将更加复杂多样，大规模网络连接因素（如工业云、工业大数据、供应链等）产生的影响将占有重要地位，数据驱动将成为工业互联网信息安全的基本推动力之一。工业控制系统中的联网型工业控制设备是局部性的或者偶发性的连接，网络因素对工业控制系统信息安全的影响多数情况是间接的。而网络化是工业互联网的基本特征之一，工业控制设备、系统等生产要素将与网络泛在化和持久化连接，网络连接将为攻击者提供入侵破坏重要工业生产过程的多种可能性和可行性。
针对工业互联网技术的三层体系架构，工业互联网安全体系结构必须从端到端跨越三层架构，即从边缘层的设备终端节点到平台层，最后到达企业层。在分层数据总线部署的情况下，安全框架需要包含现场数据总线通信和模式、每层的端点及通过数据总线网关的层间通信过程。工业互联网安全在其三层体系架构中具有普遍的重要性，此外，安全性不能事后考虑，而是应该在部署生命周期的早期阶段评估安全风险，必须在设计时就考虑加入安全问题的对策。然而，在工业互联网部署实践中，这些安全要求并不总是容易实现的，原因在于工业互联网具有一些特殊性，美国IIC（工业互联网联盟）的工业互联网安全框架（IIC-IISF）文件对这类特殊性描述如下[11]：
• 因为工业互联网同时涉及IT和OT，在理想情况下，安全性和实时态势感知应该无缝地跨越IT和OT子系统，而不会干扰任何操作业务流程。
• 据有关研究揭示，目前一个工业系统的平均寿命是19年，使用最新和最安全的技术进行新建、部署并不总是可行的。安全技术通常必须面对现有的、难以更改的遗留系统。在规划的和已部署的系统中，所有受影响方（包括制造商、系统集成商和设备所有者/运营商），必须参与创建一个更安全可靠的工业互联网系统。
• 因为没有单一的、标准的“最佳方法”实现安全性和实现足够安全的行为，技术实现模块应该支持纵深防御的策略，即将逻辑级别的防御能力映射到具体的安全工具和技术中。由于工业控制系统的高度隔离性，安全实现需要在多个上下文环境中应用。多个子网和不同功能区可能具有不同的操作技术和安全要求，为IT环境构建的安全工具和技术并不能完全适用于工业互联网环境。
• 工业互联网系统只有有限的系统资源，需要满足系统的安全性和实时性等各种需求。这些因素并不允许最大限度地实施所有安全措施和控制（如纵深防御策略所要求的条件）技术机制，安全防护程序实施注意事项应包含系统行为的所有必需功能和非功能因素，包括它们的相对优先权。
基于上述特殊性，图3-1显示了多层工业互联网信息安全框架的功能结构。
该安全框架由六个相互作用的功能结构组成，这些功能结构分为三层，第一层由四个核心安全功能结构组成：端点保护、通信和连接保护、安全监视和分析、安全配置和管理。这四个功能结构由数据保护层功能结构和系统范围的安全模型和策略层功能结构支持，具体描述如下。
图3-1 多层工业互联网信息安全框架的功能结构
• 端点保护：在边缘和云端的设备中实现了防御功能，主要关注的问题包括物理安全功能、网络安全技术和权威身份认证，仅靠端点保护是不够的，因为端点必须彼此通信，而信息通信交互过程可能正是漏洞的来源。
• 通信和连接保护：使用端点保护功能结构中的权威身份认证功能实现流量的身份认证和授权。通过加密技术实现完整性和机密性保护，以及借助信息流控制技术，保护通信和连接安全性。
• 安全监视和分析：一旦终端节点和通信网络安全受到保护，系统状态必须进行安全监视和分析。
• 安全配置和管理：系统中所有组件的安全配置必须受控，且受控的安全配置管理在整个操作生命周期中应保持不变。
第二层为数据保护层，图3-1所示的工业互联网信息安全框架中的前四个功能结构由一个公共数据保护功能支持，该功能从端点的静止数据扩展到通信中的动态数据，这些数据还包括安全监视和分析功能组成部分收集的所有数据，以及所有系统配置和管理数据，形成了数据保护层。
第三层为安全模型和策略层，该层的主要功能是管理如何实现安全性及确保机密性、完整性的策略，还有系统在整个生命周期中的可用性。该层还将协调所有功能元素如何协同工作，提供具有凝聚力的端到端安全性。