天融信：《工业互联网企业资产分类分级安全管理指南》六大要点

设立专门的资产管理岗位并明确职责，将各项任务及责任明确落实到人，确保资产妥善管理和有效利用。

通过资产分类、资产标识、资产维护等信息建立资产安全管理流程体系，并形成配套制度文件，制定资产安全策略，明确资产使用管理要求，强化身份认证和访问控制，确保只有授权人员可以访问资产与使用。

建立资产的访问控制、入侵检测、安全审计、脆弱性检测、集中管理、策略联动等技术手段，对各类资产的未授权访问、入侵行为、异常流量、系统漏洞等进行全面监测，持续性收集和分析资产运营过程中的安全数据，识别潜在的安全风险，采取措施进行预防和应对，结合安全威胁与发展趋势不断进行安全运营体系的改进，实现持续动态的安全运营。

结合人工+资产探测、流量和日志分析、指纹识别等主动、被动技术手段，对台账所需的资产必要属性进行识别与记录，包括但不限于登记时间、资产名称、区域或位置、IP、型号、版本号等。

统计和梳理当前资产的系统、版本、类型、范围等信息，建立资产识别规则，形成资产指纹库，提高资产信息的识别完整性。

根据资产之间的访问关系，为每个资产建立画像，包括但不限于资产IP地址、设备名称、设备状态、MAC地址、厂商、设备类型等，便于资产的管理及关联性分析。

采用风险评估、资产探测、漏洞检测等服务进行资产网络安全风险评估，识别潜在的安全风险和合规风险，根据风险评估的结果，采取风险规避、风险降低、风险转移等风险处置活动。

通过定期扫描方式，收集所有与资产相关的漏洞信息，并持续关注CVE、CNNVD、CNVD等平台的最新漏洞信息，进行资产漏洞管理；同时结合第三方威胁情报服务及时更新情报信息，快速发现、告警并第一时间处置威胁。

采用工业漏洞扫描系统+人工评估方式进行资产漏洞风险评估，提前了解资产潜在安全漏洞及薄弱点。

企业应确保资产在供应链管理、产品上线、日常运营、资产转移以及废弃处理等环节中的安全性，通过风险评估、基线核查、资产探测、漏洞检测、渗透测试等服务，对资产信息、资产脆弱性等进行识别与评估，并采取措施降低或消除风险，实现资产全生命周期风险管控。

通过密码、动态口令、Ukey等身份认证和授权管理方式，根据用户角色与职责，为不同人员或部门分配特定的权限，确认权限与使用资产相对应。

采取物理访问控制、监控和报警等措施，限制对关键资产的物理访问，确保只有授权人员能够访问关键资产；根据资产的重要性和风险等级，实施不同的网络隔离和安全策略；通过建立资产的入侵检测、访问控制、安全审计等技术手段，限制未经授权访问，及时发现异常行为和潜在威胁。

企业应对应用的基础安全防护设备进行集中统一管理，利用集中化管理系统或平台，对例如工业防火墙、工业安全监测审计、工业主机卫士等工业安全设备进行集中管理及统一监控，提升安全设备运维效率。

企业应对资产建立资产安全协同防护体系，实现对网络中的资产、流量、日志等安全数据全面处理分析，以及对资产风险、安全事件、业务状态等全面监测，并协同边界安全、入侵检测等安全防护系统进行联动，提高资产应对安全威胁的应急响应能力。

根据资产分类分级要求及资产对企业业务运行的重要程度等因素，确定需要重点监测和保护的资产范围，并对资产的使用情况、性能指标等信息进行监测，及时发现并消除潜在问题。

资产安全事件应围绕资产脆弱性、安全威胁等进行监测和分析，通过建立资产的访问控制、入侵检测、流量审计、脆弱性识别等技术手段，对各类资产的未授权访问、入侵行为、异常流量、系统漏洞等进行全面监测，从多层次、多维度保障资产安全。

企业应对资产建立智能化安全威胁预警机制，通过整合第三方威胁情报中心、漏洞报送平台等外部威胁情报以及资产脆弱性、资产安全威胁等内部威胁情报信息，并利用大数据及智能化分析技术，对网络的资产、流量、日志等相关的安全数据进行综合分析，基于资产等级、数据分析结果等，对资产安全威胁的严重性、影响范围等进行分级，并结合威胁情报等信息，构建对资产安全威胁的智能预警机制，实现预警信号的精准推送和风险信息的充分挖掘，为企业资产构建深层次安全防护能力。

成立由各部门代表组成的应急处置小组，为每个部门或角色指定主要责任人，并为其分配具体的职责和任务。

重要资产应通过本地备份、异地备份等备份措施，对数据库、文件、系统等资产进行备份管理，确保数据不会因突发事件或安全威胁而丢失。

安全事件应急响应应对已经发生或可能发生的安全事件进行监控、分析，通过收集、分析与安全事件相关流量、日志等，发现恶意流量、网络攻击和异常行为，为溯源分析提供支撑，同时可发现攻击行为的模式及共性，从而制定更有效的防御策略，提升安全事件应急响应能力。

开展人工授课、视频教学等形式进行应急响应培训，提升人员的网络安全意识，加强应急事件应变能力。进行仿真环境搭建，模拟真实业务场景及业务流程，定期开展安全事件模拟演练，并每次根据演练结果进行评估，依据评估结果对应急预案进行不断优化。

定期组织会议，建立实时沟通渠道等，确保信息共享。