在数字化转型道路上乘风破浪，用安全点亮一座座灯塔工厂

在与某大型机械制造企业的信息化与智能化建设与网络安全的需求与目标沟通时，BP&IT(质量与流程IT管理部)负责人和我们聊到了工程机械行业的痛点。并且告诉我们，除了面向行业的发展痛点外，还面临伴随数字化与智能化转型过程中的工业互联网伴生的风险防御与检测需求，他表示，“从2008年开始我们发布《XX集团制造技术方案大纲》以来，高度的工业互联场景下我们不得不考虑工业互联网与数据安全问题，因此进行一场彻底的面向工业互联网的安全规划与建设尤其重要。”

图 某大型机械制造企业试点工厂

• “安全分区”：根据评估结果和现有网络情况进行梳理，将办公网与工控网络分离开来，进行安全分区，工控网络内部再根据不同工序进行安全域划分，形成更为细致合理的安全区域。根据划分的安全区、安全域制定区间、域间防护措施，部署安全防护设备实现区域之间的安全隔离。

• “主动防御”：结合安全区、安全域划分结果，在各安全区、安全域之间部署适当的安全防护设备，如工业安全网关，形成从办公网生产网的纵向安全隔离防护，同时形成生产网各车间网络之间的横向隔离防护，以及各网络内部安全区域之间的安全隔离防护，主动阻断来自网络上的病毒传播以及恶意入侵，并在安全区、安全域内各工业主机(包括上位机和服务器)上部署应用程序白名单安全防护软件，实现对异常行为、恶意代码的检测和防护，主动阻断已知未知病毒及恶意软件的感染入侵，多种技术手段结合形成从外到内、从点到面的主动防御体系。

• “异常监测”：针对各安全区、安全域内工业控制设备的运行情况及数据交互、网络流量，持续进行网络流量采集和分析，实时掌握工控设备运行情况，以便出现问题时及时预警。

• “集中监控”：针对各安全区、安全域的网络流量、工业设备运行情况、安全设备运行情况、工控设备资产分布情况建立数据采集机制，统一监测各网络区域的工业控制系统的运营日志并进行综合分析，通过对包括全网流量、设备运行状态、数据交互、终端运行安全状态等海量数据的关联分析，发现生产网络存在的安全风险并及时告警，并给出详细的统计报表和攻击路径溯源，形成企业内部的工业安全监控中心，将生产网络安全运行情况进行集中展示，提供资产威胁视图、安全告警视图、资产安全监控视图、资产统计视图等直观数据统计界面，协助用户全面掌握工业控制系统的安全态势并及时做出应对。

• 其中在工业资产层面，按组织和生产工艺，划分为冲压车间、焊装车间、涂装车间、总装车间、动力总成和质检VQ，并分网段进行管理。利用工业安全管理与分析系统将工业主机防护系统、工业安全监测审计系统以及工业防火墙产品作为资产识别数据源，并配置资产运营优先策略，经过人工审核和确认，形成一套资产台账，为后期运营打下良好基础。

• 在风险控制层面，运营过程中持续关注全网风险指数，根据平台量化的风险值，为了将风险控制在一定范围内，运营人员会及时对危害程度高的告警进行处置。目前经过近1年的安全运营，基本上不会出现中危和高危告警。

• 在管理方面，基于完整的资产台账列表，绑定资产风险与使用责任人，将风险处理方式与流程化工单进行结合，周期性对各分子公司信息安全负责人的风险事件处置率、处置量以及风险发生的数量进行考核，极大的提升了管理效能。