5G工厂网络安全白皮书

5G工厂网络安全白皮书 中国联通研究院 2023年5月 版权声明 本报告版权属于中国联合网络通信有限公司研究院，并受法律保护。转载、摘编或利用其他方式使用本报告文字或者观点的，应注明“来源：中国联通研究院”。违反上述声明者，本院将追究其相关法律责任。 目 录 前言..- 1 - 一、概述..- 4 - （一）背景..- 4 - （二）事件及趋势..- 5 - 二、工业领域安全政策与标准..- 6 - （一）安全政策..- 6 - （二）安全标准..- 9 - 三、工业领域安全挑战..- 11 - （一）工厂终端..- 11 - （二）AI终端..- 12 - （三）工厂网络..- 13 - （四）工业数据..- 14 - （五）安全设备..- 16 - （六）管理方式..- 17 - 四、5G工厂安全参考框架..- 19 - 五、5G工厂安全关键技术..- 22 - （一）终端安全..- 22 - （二）AI终端安全..- 22 - （三）网络安全..- 32 - （四）数据安全..- 39 - （五）应用安全..- 45 - （六）管理安全..- 49 - 六、产业发展及展望..- 54 - 附录1缩略语表..- 56 - 附录2参考文献..- 58 - 前言 数字经济发展速度之快、辐射范围之广、影响程度之深前所未有，正在成为重组全球要素资源、重塑全球经济结构、改变全球竞争格局的关键力量。二十大报告提出建设数字中国，加快发展数字经济，促进数字经济和实体经济深度融合，打造具有国际竞争力的数字产业集群。5G应用的力度从“助力产业转型”演进成“推进新型工业化”。 5G应用“扬帆”是推进5G赋能千行百业的着力点，在工业领域打造了IT、CT、OT深度融合新生态，实现重点领域5G应用深度和广度双突破。“5G+工业互联网”是5G应用“扬帆”的重要组成部分，5G推动制造业从单点、局部信息技术应用向数字化、网络化、智能化转变。5G工厂是推进“5G+工业互联网”高质量发展的关键抓手，加快“5G+工业互联网”新技术、新场景、新模式向工业生产各领域、各环节深度拓展，推进传统产业提质、降本、增效、绿色和安全发展。 随着5G工厂建设加速，工业网络边界也在不断的延伸。工业领域安全既面临来自互联网的外部威胁，又与工业生产的内部安全问题相互交织，安全风险更加严峻，体现在攻击路径增多、安全意识薄弱、数据安全等多个方面。传统的安全解决方案不能满足新的需求，必须建立5G工厂网络安全架构，助力新时期新形势下的工业信息安全能力提升，切实为制造强国和网络强国战 略的有效实施保驾护航。 本白皮书在深入研究5G网络、工控领域网络及工业企业数字转型遇到的安全问题，通过总结工业领域在新型工业化进程中的安全挑战，提出5G工厂网络安全参考架构，并对5G工厂安全所涉及的多种关键技术给出了详细介绍，为各行业、各企业开展5G工厂安全建设提供参考。 总策划：李红五 叶晓煜 李浩宇梁鹏张建荣范济安 张明山主编：周晓龙副主编：柳兴 冯冬芹 井柯 编委会成员：王 哲 王新宇 贠晓雪 蒋美景 杨邦主 荆 雷 成 洁 王维治 胡文慧 蒋小燕 周 凯 潘松柏 万 刚 陈凤衍 张守华 谢武生 艾艳可 何 凯 聂智峰 孙振州 曾水祥 李 捷 范勇杰 赖羿明 柯 玮 林明峰 李剑锋 黄继烨 许毅鹏 庄 天 刘岩松 崔马剑 赵 磊 胡向亮 王晓翔 刘峰 指导单位：中国联合网络通信有限公司政企客户事业群中国联合网络通信有限公司网络与信息安全部 支持单位：浙江大学 杭州安恒信息技术股份有限公司联通数字科技有限公司 浙江腾珑网安科技有限公司 中国联通(天津)工业互联网研究院中国联通(江西)工业互联网研究院中国联通(福建)工业互联网研究院 一、概述 （一）背景 工业制造是实体经济的基础，是国家经济的命脉所系，同时也是大国竞争中构筑未来发展战略优势的重要支撑，制造强国战略也成为中国实现伟大复兴的重要战略。工业互联网是新一代信息通信技术与工业经济深度融合的全新工业生态、关键基础设施和新型应用模式。5G是实现人、机、物全面互联的新一代移动通信基础设施，是信息通信技术演进升级的重要方向。“5G+工业互联网”有利于推动工业化与信息化在更广范围、更深程度、更高水平实现融合发展，是经济社会高质量发展的有力抓手。“十四五”时期，通过实现金字塔式的“百千万”建设目标，推动全国10000家企业开展5G工厂建设，建成1000个特色鲜明5G工厂，遴选出100个5G工厂标杆。进一步加快“5G+工业互联网”新技术、新场景、新模式向工业生产各领域、各环节深度拓展，打造“5G+工业互联网”中国方案和5G工厂中国品牌。 5G工厂为企业数字化转型提供了契机，数字化转型是企业利用数字技术彻底改变企业的运营效率、经营业绩，是企业提升竞争力的必由之路。5G工厂是新一代信息技术与工业技术全方位深度融合所形成的产业和应用体系，是工业数字化和智能化发展的关键综合信息基础设施。其本质是以网络互联为基础，通过对工业数据的全面深度感知，实现智能控制、运营优化和生产组织方式变革，为企业数字化演进提供了技术保障和实践基础。5G工厂的发展能够帮助企业快速实现数字化转型。 当前，我国“5G+工业互联网”创新发展进入快车道，5G工厂在工业领域应用的重点将从生产外围辅助环节逐渐向生产中心控制环节迈进。作为数字经济的重要基础设施，新一代信息技术对制造业进行全方位、全角度、全链条的持续改造和优化，加速引爆工业格局的变革。5G工厂作为新一代信息技术与制造业转型发展历史性融合创新期的新生事物，正在加速推进新型工业化进程。5G工厂具有广阔的前景和无限的潜力，对于推动我国工业经济发展加快向更智能、更优质、更可持续的方向转型具有重要的价值和意义。 （二）事件及趋势 近几年，工控安全事件呈现高频率、高隐蔽、多样化特性。网络安全风险隐患向工业研发、生产、运行、管理、服务等产业链供应链各环节渗透，各类网络攻击事件层出不穷，有组织的、有针对性、国家级的网络攻击增多，后果影响日益严重。网络攻击带来的巨大利益和政治诉求让工业领域面临严峻的安全威胁，网络安全问题已经成为了一个全球性的问题，企业必须重视工业领域的安全，采取必要的措施来保护网络安全。 随着工业互联网应用范围的不断扩大，工控领域面临的安全风险不断增加。工业领域的安全事件频发，尤其在电力、石油、铁路运输、燃气、化工、制造业、能源、核应用等相关领域的关键网络一直都是全球攻击者的首选目标。据国家工信安全中心统计，2022年公开披露的工业信息安全事件共312起；工业领域勒索事件共89起，较2021年增长78%；工业领域数据泄漏事件共338起，比去年增长25.2%。 这些攻击给个人、企业、国家带来了不同程度的损失。 工业领域的网络安全存在以下趋势：一是，第四次工业革命驱动工业数字化、网络化、智能化，使数据成为核心生产要素，因此工厂需要收集IT、OT等各领域数据，进而形成工厂IT/OT网络融合的趋势，使得工控安全与互联网安全交织在一起，安全问题变得更复杂；二是，合法指令的违规操作将成为常态，防火墙、数据网闸等传统IT网络安全措施难以有效形成防护，例如“震网病毒”可无视工业网络边界防护达成攻击目的；三是，工业数据交互、共享愈加频繁，数据共享和数据安全存在一定的冲突，使得工业数据存在较大的泄露、窃取、篡改等风险，单独的系统数据安全措施，难以形成有效的防护，需要通过对数据分类分级确权与授权，并辅以隐私计算、数据脱敏、数据清洗等技术手段予以保障；四是，勒索攻击等恶性事件显著增加，俄乌冲突更将网络战上升为实战，工业领域已成为网络攻防“新战场”，国家级战略打击“新命门”，保障新型工业融合领域网络安全成为新任务和新使命。因此，5G工厂需立足于工业企业数字化转型实际，在发展中兼顾安全，建立健全工业企业网络安全保障体系，实现差异化、精准化的安全防护，为工厂建设筑牢网络和数据安全堤坝，力争做到工业企业高质量发展和高水平安全的动态平衡，为实现数字中国建设保驾护航。 二、工业领域安全政策与标准 （一）安全政策 网络安全作为我国经济社会数字化转型的关键驱动力，我国政府 从2017年至2023年，发布多个相关网络安全法律政策。《中华人民 共和国网络安全法》自2017年6月1日正式施行，是我国第一部全面规范网络空间安全管理方面的基础性法律，对我国的网络空间法治建设具有重要的里程碑意义。工业企业网络安全关系到国家经济社会可持续发展，是事关国家长治久安的重大战略问题。为促使工业企业全面落实国家政策法规，持续打造基于自身核心竞争力的工业网络安全保障体系，筑牢企业安全基座，2021年9月1日《中华人民共和 国数据安全法》正式实施，2021年11月1日《中华人民共和国个人信息保护法》正式实施。这两部法律分别聚焦数据安全与个人信息保护领域的突出问题，确立了数据分类分级管理、数据安全风险评估、数据安全审查、个人信息处理规则、个人信息处理者义务等制度。至此，中国网络安全与数据保护“三驾马车”法律体系正式形成，我国网络空间基本法律逐步成型。 在法律的指引下，国家部委针对工业领域网络安全发布系列政策文件。2017年11月，国务院发布了《关于深化“互联网+先进制造业”发展工业互联网的指导意见》，成为推动工业互联网发展的纲领性文件，围绕制造强国和网络强国建设的安全保障需求，以“强化安全保障”和“安全可靠”为建设思路，以提升“安全保障能力”为发展目标。2019年7月，工信部等十部门联合印发《加强工业互联网安全工作的指导意见》，成为推动工业互联网安全纲领性文件，指出了工业企业、监管部门和专业机构的能力建设方向，指出了明确责任和完善安全管理体系，指出了加快安全人才培养。2022年9月，工信部 印发《5G全连接工厂建设指南》中指出推进企业全面落实工业互联网企业网络安全分类分级管理相关政策与标准，提升设备、控制、网络、平台和数据等安全防护能力。 为更好地推动网络安全政策落地实施，工业和信息化部先后推动开展工业互联网安全深度行活动，深入宣贯工业互联网安全相关政策规范，推动在全国范围内深入实施工业互联网企业网络安全分类分级管理。开展工业互联网安全深度行活动典型案例和成效突出地区遴选工作，主要征集遴选一批安全防护举措有效、具备可复制可推广价值的分类分级管理典型案例，以及遴选一批做法创新有效、活动成效突出的先进地区。开展工业数据分类分级应用试点和工业领域数据安全管理试点等工作，在5个省市、9个行业的200余家企业开展工业数 据分类分级应用试点，同时在15个省市开展工业领域数据安全管理试点工作，促进工业数据分类分级在产业界应用落地。 无论是从工业数据分类分级试点情况来看，还是从企业自身网络安全分类分级工作来看，实施分类分级工作后，企业在网络安全和数据安全等方面都取得了明显的成效，提升了企业的硬实力，走在了行业的前列。企业通过分类分级提升数据汇聚能力、数据开放能力、数据治理能力，以安全策略为指导，构建起了全面、完整、高效的信息安全体系，为业务的创新发展提供了坚实的信息安全保障。随着国家顶层设计完善、底层落地得到大力支持、企业数据意识和安全意识等的不断提高、相关技术的不断进步，工业企业会更加认可5G在工厂中的安全应用，更多的企业开展5G工厂建设，帮助工业企业提质、 降本、增效、绿色、安全建设，从而提高整个行业的安全水平。 （二）安全标准 标准化工作是实现工业领域信息和网络安全的重要技术基础。各国政府高度重视工业领域的网络安全标准体系建设，以美国、欧盟为首的国家和组织纷纷出台政策，在原有的网络安全标准基础上，积极推动工业领域网络安全标准体系建设。美国国家标准与技术研究所 （NIST）发布的《信息安全指南》（NISTSP800）是国际网络安全界广泛认可的工控标准纲领性文件，NISTSP800定义了工业控制系统网络建设体系结构，目前已经发布近90项与信息网络安全相关的正式文件，形成了工控信息安全管理体系。国际标准组织IEC推出了 《工业过程测量、控制和