亟需构建工业互联网平台安全管理体系

◎ 全国人大代表、哈尔滨凯纳科技股份有限公司董事长兼技术总监 田立坤

议案摘要：

伴随“新基建”不断建设，工业互联网领域备受关注。工业互联网平台是业务交互的桥梁和数据汇聚分析的中心，连接大量工业控制系统和设备，与工业生产和企业经营密切相关。一旦平台遭入侵或攻击，将可能造成工业生产停滞，波及范围不仅是单个企业，更可延伸至整个产业生态。

工业互联网平台上承应用生态、下连系统设备，是设计、制造、销售、物流、服务等全生产链各环节实现协同制造的“纽带”，是海量工业数据采集、汇聚、分析和服务的“载体”。做好平台安全保障，是确保工业互联网应用生态、工业数据、工业系统设备等安全的重要保证。

对此建议，围绕顶层设计、标准引领、规范指导等方面，建立健全工业互联网平台安全管理体系；从安全接入、安全运行、安全检测等方面，加快提升工业互联网平台安全技术防护能力；以明确平台数据安全监管职责和落实企业主体责任为目标，实施平台数据分类分级安全管理。

要建设国家、省、企业三级协同的工业互联网安全体系，尽快形成政企协同、多方联动的技术支撑能力，建立协作机制，共享数据和监测能力，发挥监管实效。

工信部答复：

您提出的关于加强工业互联网平台安全建设的建议收悉，现答复如下：

当前，工业互联网快速发展，平台数量显著增长，融合应用日趋成熟。工业互联网平台作为工业互联网的中枢，向上承载应用生态，向下接入海量设备，面临的网络安全风险挑战与日俱增。我部赞同您提出的健全平台安全管理体系、提升平台安全技术防护能力、实施平台数据安全分类分级管理、加强安全检查评估等建议，将积极纳入相关工作举措。

一、已开展工作

（一）推动构建工业互联网平台安全政策体系。一是根据《国务院关于深化“互联网+先进制造业”发展工业互联网的指导意见》《加强工业互联网安全工作的指导意见》等文件要求，推动构建多部门协同推进、政府监管、企业主责的安全管理格局，明确由各地通信管理局加强工业互联网平台安全监管，并对联网设备、系统进行安全监测。二是印发《关于开展工业互联网企业网络安全分类分级管理试点工作的通知》，部署启动分类分级管理试点工作，分类施策、分级防护，进一步加强平台企业网络安全管理。三是推动《工业互联网平台企业网络安全防护规范》《工业互联网数据安全防护规范》等四项国家标准立项，加快研制工业互联网平台安全防护、安全评估、安全测试等30余项行业标准。

（二）强化工业互联网平台安全防护。一是依托工业互联网创新发展工程，支持海尔、富士康等工业互联网平台企业建立安全接入、态势感知、风险预警等技术手段，建成测试验证、安全众测等多个公共服务平台，鼓励威胁诱捕、工业APP安全检测等安全技术产品加快突破。二是依托国家工业互联网安全技术监测服务平台，累计覆盖重点工业互联网平台百余个，持续监测和处置恶意网络行为。三是持续开展网络安全技术应用试点示范，围绕边缘层、基础设施层（云IaaS）、平台层（工业PaaS）、应用层（工业SaaS）及工业APP等安全防护需求，遴选平台安全防护优秀解决方案，不断加强平台安全防护能力建设。

（三）扎实推进行业数据安全管理工作。一是坚持法律法规制度先行，积极参与《数据安全法》等法律制定工作，夯实数据安全工作法律基础。二是印发《电信和互联网行业数据安全标准体系建设指南》等文件，研究发布行业网络数据分类分级、重要数据识别等40余项重点行业标准。三是部署开展行业网络数据安全保护能力提升专项行动，印发《电信和互联网企业网络数据安全合规性评估要点（2020年）》，明确合规评估指引。组织基础电信企业开展数据分类分级、重要数据识别、数据安全评估等标准贯标，指导重点互联网企业开展数据安全治理能力评估。

（四）加快建设工业互联网安全技术防护体系。一是基本建成国家、省、企业三级协同工业互联网安全技术监测服务体系，国家平台已覆盖汽车、电子、钢铁等14个重要行业领域，涉及工业企业10万余家。二是组织开展工业互联网安全检查，开发检测工具箱和验证平台，及时发现、通报和整改安全风险隐患近2000个。三是依托工业互联网企业网络安全分类分级管理试点，面向平台企业开展检测评估，指导平台企业有效落实网络安全防护措施。

二、下一步工作考虑

做好平台安全保障对提升工业互联网高质量发展水平具有重要意义。下一步，我部将围绕健全平台安全管理体系、提升平台安全防护能力、强化平台数据安全保护等方面着力做好以下有关工作：

（一）健全完善工业互联网平台安全管理体系。一是推动出台工业互联网企业网络安全分类分级管理指南，深入实施平台企业网络安全分类分级管理，强化重点平台企业网络安全管理。二是推动印发《工业互联网综合标准化体系建设指南》（2021版），加快工业互联网平台安全分类分级管理等系列国家标准研制发布，指导企业落实网络安全主体责任。

（二）持续提升工业互联网平台安全防护水平。一是鼓励重点平台企业建设企业级安全态势感知能力，将重点平台纳入安全监测体系，加强平台安全监测预警、应急处置。二是出台中小企业安全上云上平台政策措施，实施中小企业安全上云专项行动，为中小企业上云全流程提供安全指引。三是依托工程项目、试点示范等，进一步加大平台安全关键技术攻关和优秀项目遴选，促进网络安全技术创新应用，提升平台安全保障和服务能力。

（三）切实开展工业互联网数据安全保护。一是落实《数据安全法》，研究制定工业互联网数据安全管理政策文件，建立健全数据分类分级保护、重要数据保护等基础制度。二是加快制定工业互联网等重点领域数据安全标准规范，组织开展标准验证和试点示范，指导企业做好数据安全保护工作。三是大力发展数据安全技术和产业，鼓励相关企业、研究机构积极参与数据可信采集、数据安全态势感知、数据溯源等数据安全关键技术研发创新和应用推广。四是组织研究数据安全保护认证体系，制定行业数据安全保护能力评估规范，建立产学研共同参与的评估认证机制，开展认证工作。

（四）系统强化工业互联网安全保障能力。一是完善安全技术监测服务体系，扩大监测范围，丰富平台功能，提升监测质量，提高支撑政府决策、保障企业安全的能力。二是充分发挥行业威胁信息共享平台作用，推动建立跨地区、跨行业通报处置和应急联动机制，增强工业互联网重大安全风险、重大安全事件应对能力。三是健全安全检查检测机制，定期对重点平台、工业企业、工业APP开展检测评估，推动安全检测评估工作规范化、常态化、体系化。