工業(yè)數(shù)據(jù)： 黑客盯上的又一塊“肥肉”（下）
發(fā)布時間：2018-08-03企業(yè)安全意識薄弱 相關人才儲備匱乏
“目前，我國很多地區(qū)、部門、工業(yè)企業(yè)對工業(yè)數(shù)據(jù)安全重視不夠，重發(fā)展輕安全，不重視漏洞、修復不及時等現(xiàn)象普遍存在?！遍Z懷志說。
據(jù)360補天漏洞響應平臺統(tǒng)計，在其涵蓋的工業(yè)相關信息系統(tǒng)漏洞中，25.6%的漏洞未進行修復，一些漏洞的平均修復時間長達數(shù)月之久。
我國對工業(yè)信息領域安全的認識還處在初級階段。2017年5月“Wanna Cry”勒索病毒事件暴發(fā)，微軟在當年3月就發(fā)布了相應的安全漏洞補丁，但我國很多單位一直由于未及時打補丁，導致近30萬臺主機和電腦被感染。
直到今年，360公司還能監(jiān)測到每天有近千臺電腦感染此勒索病毒。
在企業(yè)中，因私人行為導致設備感染病毒的情況也較為多見。例如，個人通過工控設備違規(guī)上網(wǎng)，或是廠商的維護人員電腦感染病毒后造成設備系統(tǒng)全網(wǎng)感染等。
此外，我國工業(yè)企業(yè)目前的防護技術還較為落后。國家工業(yè)信息安全發(fā)展研究中心通過安全監(jiān)測發(fā)現(xiàn)，工業(yè)企業(yè)信息安全應急備災手段不足，約70%的被調(diào)查企業(yè)缺少完善的應災備災體系。
防護技術之外，我國在工業(yè)信息領域的核心產(chǎn)品自主可控度也較低。
國家工業(yè)信息安全產(chǎn)業(yè)發(fā)展聯(lián)盟發(fā)布的《2017年工業(yè)信息安全態(tài)勢白皮書》顯示，國產(chǎn)數(shù)據(jù)庫僅占據(jù)7%的低端市場，大量工控系統(tǒng)由外國廠商提供運行維護。我國部分企業(yè)不具備自主維護能力，而且缺乏對外國產(chǎn)品和服務的監(jiān)管。
同時，人才匱乏也是導致工業(yè)信息安全技術薄弱的原因之一?！肮残畔踩瞬判枵莆兆詣踊途W(wǎng)絡安全兩個學科的知識和技能，這類人才缺口巨大。但目前在高校中尚沒有設立工業(yè)信息安全領域碩士、博士的培養(yǎng)方向，工業(yè)信息安全從業(yè)人員幾乎都是在實踐中學習?！遍Z懷志說。
筑防線需多方合力 可借鑒歐盟做法
“工業(yè)大數(shù)據(jù)的共享是工業(yè)互聯(lián)網(wǎng)應用的基礎和靈魂，而工業(yè)數(shù)據(jù)安全及隱私保護又是一切應用的前提?！遍Z懷志建議，要想給工業(yè)信息構筑起一道“防線”，首先企業(yè)應樹立信息安全與隱私保護意識。
閆懷志介紹，傳統(tǒng)IT網(wǎng)絡中的隱私規(guī)范，主要應用“告知與許可”原則，由信息所有者自行決定可否、如何且由誰來處理或利用其信息，信息隱私保護的責任方為信息所有者。在工業(yè)大數(shù)據(jù)和工業(yè)互聯(lián)網(wǎng)領域，工業(yè)數(shù)據(jù)需要被多次使用，傳統(tǒng)的“告知與許可”隱私保護機制不具備現(xiàn)實可行性，工業(yè)數(shù)據(jù)信息隱私保護的責任將由數(shù)據(jù)使用方來承擔。這種方式下可采用的保護手段包括數(shù)據(jù)分類分級和數(shù)據(jù)脫敏等。
此外，掌握大量工業(yè)信息的數(shù)據(jù)平臺也應肩負起管理的責任?！按饲拔覈W(wǎng)絡安全與信息平臺監(jiān)管主體不清晰，多頭監(jiān)管問題突出，信息系統(tǒng)平臺安全監(jiān)管不力甚至監(jiān)管缺失的情況時有發(fā)生，特別是在工業(yè)互聯(lián)網(wǎng)和工業(yè)數(shù)據(jù)安全保護方面表現(xiàn)得更為突出。”閆懷志表示，“平臺應不斷完善數(shù)據(jù)隱私保護以及網(wǎng)絡安全策略，成立數(shù)據(jù)安全與隱私保護的專門負責機構或組織?！?/span>
360集團董事長兼CEO周鴻祎也強調(diào)了漏洞管理的問題。他認為，應建立漏洞管理全流程監(jiān)督處罰制度，制定覆蓋網(wǎng)絡安全漏洞的發(fā)現(xiàn)、審核、披露、通報、修復、追責等全流程管理細則，強制要求漏洞必須及時修復，對漏洞修復時間以及違規(guī)處罰措施予以明確規(guī)定。此外，應建立監(jiān)督檢查機制和力量，及時發(fā)現(xiàn)未及時修復漏洞，追究相關單位和責任人責任。
中國政法大學法學院大數(shù)據(jù)和人工智能法律研究中心主任汪慶華教授則從立法角度給出了建議。他對科技日報記者說，我國在網(wǎng)絡安全和信息保護方面的立法呈現(xiàn)出分散式立法、多頭式監(jiān)管的特點。目前，我國已經(jīng)初步建立起了以《網(wǎng)絡安全法》為中心的分散式信息保護和數(shù)據(jù)安全方面的法律體系，未來還需進一步加強相關立法工作。
在政府監(jiān)管方面上，閆懷志認為，我國可參考借鑒歐盟出臺《通用數(shù)據(jù)保護條例》（GDPR）的做法，提高對信息非法獲取的懲戒力度。
“GDPR是與當前網(wǎng)絡空間現(xiàn)狀最為契合的數(shù)據(jù)保護條例，要求手握數(shù)據(jù)的企業(yè)和機構設立專門的數(shù)據(jù)保護官員來負責數(shù)據(jù)管理。我國也可適當借鑒，要求企業(yè)和機構設立類似職位。此外，GDPR不僅倒逼中國企業(yè)更加重視數(shù)據(jù)安全和隱私保護，而且也為中國數(shù)據(jù)安全工作提供了一種思路——中國也可以制定類似條例來維護我國企業(yè)和公民個人的數(shù)據(jù)安全，防止國內(nèi)外機構非法濫用。特別是在工業(yè)互聯(lián)網(wǎng)和工業(yè)數(shù)據(jù)安全保護方面，有針對性的制度已成為燃眉之急?！遍Z懷志說。（來源：科技日報）
