數(shù)字化轉(zhuǎn)型背景下中小企業(yè)安全防護(hù)策略研究

范淵，葉鵬

杭州安恒信息技術(shù)股份有限公司

As an important part of the digital economy and digital transformation,SMEs have continuously improved their position in the economic value chain.Therefore,how to ensure a higher quality and safety for the development of SMEs has become the key to enterprises' digital transformation.In response to the threats and problems,which from industrial data security,industrial Internet platform security,and industrial APP security,that traditional small and medium-sized enterprises generally face in the development process,this paper proposes a One-Stop Industrial Internet Security Service Platform for SMEs to realize cost reduction,efficiency increase,and digital transformation more effectively and safely.

（Enterprise digital transformation；Industrial Internet Security；Data security）

中小企業(yè)作為數(shù)字經(jīng)濟(jì)和數(shù)字化轉(zhuǎn)型的重要組成部分，在經(jīng)濟(jì)價(jià)值鏈中的地位不斷提升，如何保障中小企業(yè)更高質(zhì)量和更安全的發(fā)展，已成為影響企業(yè)步入數(shù)字化轉(zhuǎn)型的關(guān)鍵問題。針對傳統(tǒng)中小企業(yè)在發(fā)展過程中普遍面臨的工業(yè)數(shù)據(jù)安全、工業(yè)互聯(lián)網(wǎng)平臺安全、工業(yè)APP 安全等威脅和問題，本論文提出一種面向中小企業(yè)的工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺，助力中小企業(yè)高效、安全的實(shí)現(xiàn)降本增效和數(shù)字化轉(zhuǎn)型升級。

(企業(yè)數(shù)字化轉(zhuǎn)型；工業(yè)互聯(lián)網(wǎng)安全；數(shù)據(jù)安全)

0 引言

當(dāng)今，中小企業(yè)作為最活躍的經(jīng)濟(jì)體，是數(shù)字經(jīng)濟(jì)的重要組成部分，在經(jīng)濟(jì)價(jià)值鏈中的地位也不斷提升。據(jù)數(shù)據(jù)統(tǒng)計(jì)，我國中小企業(yè)數(shù)量已超過3000 萬，中小企業(yè)群體創(chuàng)造了50%以上的稅收，60%以上的GDP。作為支撐制造業(yè)高質(zhì)量發(fā)展的主體，我國中小企業(yè)兩化融合程度卻處于較初級的發(fā)展階段。工業(yè)互聯(lián)網(wǎng)正是支撐中小企業(yè)開展數(shù)字化轉(zhuǎn)型的重要技術(shù)。作為新一代信息技術(shù)與制造業(yè)深度融合的產(chǎn)物，工業(yè)互聯(lián)網(wǎng)在行業(yè)資源匯聚及泛在鏈接、彈性供給和高效配置等方面優(yōu)勢明顯，對于加速中小企業(yè)實(shí)現(xiàn)降本增效和數(shù)字化轉(zhuǎn)型升級具有實(shí)質(zhì)性的助推作用。

然而，工業(yè)互聯(lián)網(wǎng)在中小企業(yè)側(cè)，普遍面臨發(fā)展建設(shè)難題。這背后的原因也比較復(fù)雜：

首先，工業(yè)互聯(lián)網(wǎng)應(yīng)用先天就具有系統(tǒng)復(fù)雜性和技術(shù)高門檻的特點(diǎn)，作為新一代信息技術(shù)與制造業(yè)深度融合的產(chǎn)物，工業(yè)互聯(lián)的實(shí)踐需要融合多種技術(shù)才能保障其價(jià)值落地。其次，工業(yè)互聯(lián)網(wǎng)安全的實(shí)踐仍處于探索的初級階段，相關(guān)法律法規(guī)和技術(shù)手段尚不成熟，對于應(yīng)用工業(yè)互聯(lián)網(wǎng)服務(wù)帶來的財(cái)務(wù)、生產(chǎn)工藝、客戶等核心數(shù)據(jù)的隱私和安全擔(dān)憂，削弱了企業(yè)應(yīng)用平臺的主動性。

1 網(wǎng)絡(luò)安全是保障企業(yè)數(shù)字化轉(zhuǎn)型的基石

網(wǎng)絡(luò)攻擊往往伴隨較大的經(jīng)濟(jì)損失，如付贖金的成本、可能丟失的數(shù)據(jù)的成本、持續(xù)的系統(tǒng)中斷、停工停產(chǎn)、違規(guī)罰款以及法律費(fèi)用，這樣昂貴的成本足以讓中小企業(yè)破產(chǎn)。然而，即便網(wǎng)絡(luò)安全挑戰(zhàn)如此之大，但由于中小企業(yè)資源有限，致使中小企業(yè)缺乏充足的網(wǎng)絡(luò)安全專項(xiàng)資金；另一方面缺網(wǎng)絡(luò)安全專業(yè)人員的缺乏也使中小企業(yè)難以有效地實(shí)施網(wǎng)絡(luò)安全策略，在面臨網(wǎng)絡(luò)安全事件時(shí)往往毫無還手之力，因此發(fā)展與安全需要同步進(jìn)行。

1.1 企業(yè)數(shù)字化轉(zhuǎn)型面臨的安全風(fēng)險(xiǎn)

中小企業(yè)在發(fā)展中受制于成本，且對數(shù)據(jù)安全的擔(dān)憂，增加企業(yè)數(shù)字化轉(zhuǎn)型步伐的困難程度。在企業(yè)快速發(fā)展步入數(shù)字化的同時(shí)，工業(yè)互聯(lián)網(wǎng)建設(shè)在廣度和深度上不斷拓展，打通了企業(yè)內(nèi)外網(wǎng)，使得封閉專用、隱患未知的工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)暴露面大幅擴(kuò)展，進(jìn)一步增加了工業(yè)互聯(lián)網(wǎng)面臨的網(wǎng)絡(luò)攻擊威脅的概率。病毒、木馬、持續(xù)性網(wǎng)絡(luò)攻擊等威脅到了工業(yè)互聯(lián)網(wǎng)業(yè)務(wù)安全。惟有夯實(shí)工業(yè)互聯(lián)網(wǎng)安全基礎(chǔ)防護(hù)，才能保障工業(yè)互聯(lián)網(wǎng)平臺價(jià)值效益的發(fā)揮。保障工業(yè)互聯(lián)網(wǎng)安全，提高網(wǎng)絡(luò)環(huán)境的安全性和穩(wěn)定性，關(guān)系到廣大中小企業(yè)的信息資產(chǎn)安全，是保障企業(yè)數(shù)字化轉(zhuǎn)型的基石。

1.2 國內(nèi)外針對中小企業(yè)的網(wǎng)絡(luò)安全政策

我國工業(yè)互聯(lián)網(wǎng)安全政策和標(biāo)準(zhǔn)日益完善，推動了工業(yè)互聯(lián)網(wǎng)安全產(chǎn)業(yè)的全面發(fā)展。工業(yè)信息安全主管部門和行業(yè)監(jiān)管部門密集出臺了《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全分類分級管理試點(diǎn)》、《“工業(yè)互聯(lián)網(wǎng)+安全生產(chǎn)”行動計(jì)劃（2021—2023 年）》等多項(xiàng)與工業(yè)互聯(lián)網(wǎng)安全相關(guān)的政策，指導(dǎo)工業(yè)互聯(lián)網(wǎng)安全保障工作的具體實(shí)施。除此之外，中央、國務(wù)院與相關(guān)主管部門陸續(xù)發(fā)布《關(guān)于促進(jìn)中小企業(yè)健康發(fā)展的指導(dǎo)意見》、《促進(jìn)中小企業(yè)發(fā)展規(guī)劃（2016-2020年）》等多項(xiàng)促進(jìn)中小企業(yè)發(fā)展的重要政策，但是其中對于網(wǎng)絡(luò)安全鮮少著墨。反觀發(fā)達(dá)國家，這幾年陸續(xù)出臺了旨在提升中小企業(yè)網(wǎng)絡(luò)安全能力的法律法規(guī)和指導(dǎo)意見，提升企業(yè)應(yīng)對網(wǎng)絡(luò)攻擊的能力，縮小中小企業(yè)與大企業(yè)在網(wǎng)絡(luò)安全保護(hù)方面的差距，如美國出臺了《小型企業(yè)數(shù)據(jù)安全保護(hù)法》、《小型企業(yè)網(wǎng)絡(luò)安全援助法案》、《小型企業(yè)網(wǎng)絡(luò)培訓(xùn)法案》等法案等。

2 構(gòu)建面向中小企業(yè)的工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺

網(wǎng)絡(luò)安全意識以及管理、技術(shù)的缺失使得企業(yè)的風(fēng)險(xiǎn)門戶大開，在過去實(shí)踐過程中發(fā)現(xiàn)，盡管對于中小企業(yè)的攻擊難以像對大型企業(yè)的攻擊那樣給犯罪分子帶來豐厚的回報(bào)，但是由于其安全防護(hù)能力有限，網(wǎng)絡(luò)攻擊成本低、成功率高，常被網(wǎng)絡(luò)攻擊犯罪分子視為竊取大型企業(yè)數(shù)據(jù)的捷徑和開展針對大型企業(yè)攻擊的跳板。中小企業(yè)管理者渴望解決安全防護(hù)問題和安全服務(wù)問題，更希望問題消滅在萌芽中，未雨綢繆，而工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺是一個(gè)很好的解決方案。

2.1 服務(wù)平臺概述

工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺呼應(yīng)工業(yè)互聯(lián)網(wǎng)的安全管理分類要求，從設(shè)備、控制、應(yīng)用、網(wǎng)絡(luò)和數(shù)據(jù)五個(gè)維度出發(fā)，實(shí)現(xiàn)了安全防護(hù)規(guī)劃與部署、安全監(jiān)測感知與分析、安全響應(yīng)與處置恢復(fù)、生態(tài)交付等功能。該平臺以安全及服務(wù)（Security as a Service）形式的商業(yè)模式，為中小型企業(yè)安全建設(shè)提供良方。

2.2 服務(wù)平臺能力

工業(yè)互聯(lián)網(wǎng)安全服務(wù)平臺集成了豐富的工業(yè)互聯(lián)網(wǎng)場景安全能力，提供一站式的安全服務(wù)，是一個(gè)天然的工業(yè)互聯(lián)網(wǎng)安全能力資源池，可以覆蓋工業(yè)互聯(lián)網(wǎng)場景下聯(lián)網(wǎng)企業(yè)和平臺企業(yè)的安全建設(shè)需求，重點(diǎn)圍繞工業(yè)互聯(lián)網(wǎng)在數(shù)據(jù)、平臺、應(yīng)用等場景進(jìn)行安全產(chǎn)品部署，并且具備以下的特性。

（1）簡單方便的用戶體驗(yàn)，用戶可以一鍵式開通、一鍵式部署，快速上線接入安全能力。

（2）以SaaS 化的安全產(chǎn)品為主，支持多租戶，具備低成本優(yōu)勢。

平臺主要包含的安全服務(wù)包括：

主機(jī)防護(hù)服務(wù)：基于終端系統(tǒng)防護(hù)與加固、服務(wù)器網(wǎng)絡(luò)防護(hù)與加固等功能，具備領(lǐng)先的勒索專防專殺、網(wǎng)絡(luò)隔離與防護(hù)、補(bǔ)丁修復(fù)、外設(shè)管控、文件審計(jì)、違規(guī)外聯(lián)檢測與阻斷等服務(wù)。

工業(yè)數(shù)據(jù)安全服務(wù)：工業(yè)互聯(lián)網(wǎng)廠商研發(fā)并交付大量的工業(yè)應(yīng)用軟件，以Web 和APP 為主，可以針對用戶在應(yīng)用上的數(shù)據(jù)在上云前進(jìn)行實(shí)時(shí)加密，保護(hù)用戶在云服務(wù)商上的隱私和敏感信息，避免信息被竊取泄露和違規(guī)獲取等安全事件的發(fā)生。

工業(yè)APP 防護(hù)服務(wù)：工業(yè)互聯(lián)網(wǎng)平臺廠商所對外運(yùn)營的服務(wù)就是以在線的（SaaS 化）工業(yè)應(yīng)用為主的。因此，對工業(yè)APP 采取安全防護(hù)、入侵防御、實(shí)時(shí)攻擊監(jiān)測、安全可視的防護(hù)能力加持。

圖1 工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺設(shè)計(jì)架構(gòu)

漏洞掃描、安全檢測服務(wù)：提供工業(yè)資產(chǎn)云端漏洞掃描服務(wù)，快速發(fā)現(xiàn)資產(chǎn)漏洞風(fēng)險(xiǎn),防止攻擊者通過漏洞竊取核心數(shù)據(jù)、破壞服務(wù)器等，幫助企業(yè)持續(xù)地發(fā)現(xiàn)暴露在互聯(lián)網(wǎng)邊界上的常見安全風(fēng)險(xiǎn)。

多云管理服務(wù)：提供基于混合云的多云管理服務(wù)，支持業(yè)界主流的公有云廠商和OpenStack、VMware 等私有云設(shè)施，以及物理服務(wù)器、虛擬機(jī)、網(wǎng)絡(luò)設(shè)備、存儲設(shè)備等，真正做到多云納管，混合式管理。

工業(yè)互聯(lián)網(wǎng)安全保險(xiǎn)服務(wù)：金融+保險(xiǎn)的服務(wù)理念，提供防勒索病毒攻擊保險(xiǎn)、云上數(shù)據(jù)泄露保險(xiǎn)、工業(yè)APP防護(hù)保險(xiǎn)、應(yīng)急響應(yīng)保險(xiǎn)、綜合服務(wù)保險(xiǎn)的多種類型保險(xiǎn)，實(shí)時(shí)賠付。

3 應(yīng)用實(shí)踐

服務(wù)平臺可構(gòu)建起完整的工業(yè)互聯(lián)網(wǎng)應(yīng)用+安全生態(tài)。我們的戰(zhàn)略合作伙伴浙江布威信息技術(shù)有限公司是一家提供紡織行業(yè)數(shù)字化轉(zhuǎn)型服務(wù)的企業(yè)，布威信息利用工業(yè)互聯(lián)網(wǎng)思維及技術(shù)助力蘭溪這座著名的紡織之鄉(xiāng)的中心小企業(yè)實(shí)踐數(shù)字化轉(zhuǎn)型，再創(chuàng)蘭溪紡織企業(yè)核心與綜合競爭力。在實(shí)踐過程中，企業(yè)云安全、數(shù)據(jù)安全、設(shè)備接入安全的復(fù)雜安全問題接踵而至，阻礙了項(xiàng)目的推進(jìn)。通過引導(dǎo)平臺企業(yè)使用工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺，為行業(yè)工業(yè)互聯(lián)網(wǎng)平臺企業(yè)提供貫穿線上、線下的安全防護(hù)能力，解決中小企業(yè)和平臺企業(yè)在平臺安全、應(yīng)用安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全的建設(shè)需求。平臺化、系統(tǒng)化、普惠化解決中小企業(yè)數(shù)字化改造中的安全問題，開放安全交付的生態(tài)，與工業(yè)互聯(lián)網(wǎng)平臺服務(wù)商互惠共贏。

圖2 紡織行業(yè)工業(yè)互聯(lián)網(wǎng)安全一站式防護(hù)、運(yùn)營實(shí)踐

4 結(jié)語

工業(yè)互聯(lián)網(wǎng)安全一站式服務(wù)平臺縱向行業(yè)化、橫向區(qū)域化的發(fā)展與部署，將為越來越多的中小企業(yè)轉(zhuǎn)型升級提供安全服務(wù)，解決制造業(yè)高質(zhì)量發(fā)展背景下中小企業(yè)“上平臺，用平臺”面臨的困難和挑戰(zhàn)，改善工業(yè)生產(chǎn)各個(gè)領(lǐng)域的安全現(xiàn)狀，并可以逐步排除現(xiàn)有的安全隱患，防止?jié)撛陲L(fēng)險(xiǎn)發(fā)生，保障區(qū)域工業(yè)互聯(lián)平臺安全運(yùn)營。最后也呼吁行業(yè)主管部門，引導(dǎo)研究機(jī)構(gòu)、企業(yè)積極開展針對中小企業(yè)網(wǎng)絡(luò)安全的研究，加強(qiáng)制定面向中小企業(yè)的網(wǎng)絡(luò)安全指導(dǎo)性文件，在提升中小企業(yè)網(wǎng)絡(luò)安全能力的同時(shí)，推動中小企業(yè)網(wǎng)絡(luò)安全相關(guān)產(chǎn)業(yè)的發(fā)展。