《工业领域云安全实践指南》正式发布，提出五维安全模型
《工业领域云安全实践指南》正式发布，提出五维安全模型
2024年7月23日，2024可信云大会在北京召开，中国通信标准化协会云计算标准和开源推进委员会与西门子（中国）有限公司共同发布了《工业领域云安全实践指南》。该指南详细阐述了工业上云带来的机遇与挑战，并提出了工业领域云安全五维模型，为工业企业提供了全面的安全保障框架。
中国通信标准化协会云计算标准和开源推进委员会主席栗蔚和西门子（中国）有限公司副总裁、首席网络与信息安全官胡建钧共同发布此报告。
核心内容
工业上云为企业提供动能，助力企业创新发展
工业上云为企业带来了多方面的创新和发展机遇：
一是工业上云促进IOT要素全面升级。云计算的使用提升了基础设施的可扩展性和灵活性，增强数据处理和分析能力，促进IT与OT集成和协同，同时加速了工业技术、经验和知识的沉淀，通过集中化的管控提升管理质量。
二是工业上云激发数据要素价值释放。业务数据上云支撑业务贯通，数据智能决策，优化工业决策与生产效率，加速工业数据流通，工业数据普惠促进经济创新发展。
三是工业上云助推工业数字化绿色化融合。云计算可提高资源使用率并优化能源消耗，随着重点用能设备上云，数字化碳管理水平得以提升。
四是工业上云加速商业模式的变革和创新。云计算加速企业信息化进程，助力企业升级内部管理流程与生产流程。
工业上云面临安全、门槛高、合规与时效四类风险挑战
工业上云虽然带来了诸多机遇，但也面临着多重风险挑战：
一是云环境面临多样化攻击手段。黑客攻击途径包括：利用上云后的工控设备脆弱性发起攻击，通过云勒索软件进行攻击，利用云计算新技术的漏洞发起攻击，通过云端大流量对云存储发起攻击。
二是企业上云用云门槛增高。用户正面临上云成本超预算、供应商锁定和多云环境增加统一管理复杂性等风险。
三是各国数据安全法律尚存适用冲突。企业在开展跨境业务时，需考虑所涉多国的数据跨境存储与流通法律法规要求。
四是跨国多云平台运营对企业业务支持的即时性提出高要求。跨国企业需克服人员层面如时差和团队协作，以及技术层面如云异构等不同层面带来的挑战。
构建工业领域云安全五维模型，提升云安全防护能力
为应对上述挑战，指南提出了工业领域云安全五维模型：
治理维度：主动与全球云安全监管合规标准对齐，构建全面系统化的云安全管理框架，覆盖IT和OT层面，推动外部法规的内部化落地。
组织维度：充分考虑云计算带来的网络化组织结构，构建人员完备、责任清晰、结构设置合理的IT/OT信息安全组织架构，提供坚实的组织保障与人员支撑。
技术维度：建立符合业界标准、适用IT与OT结合的云安全技术体系，以保障云上业务系统安全运行。
流程维度：充分考虑云计算为云上系统带来的互联互通性，构建完备的信息安全运营的流程体系，辅助云上安全管理流程的持续改进。
生态维度：充分考虑云计算为生态间协作带来的便利性，链接工业产业链上下游企业间的协同合作，实现资源共享和价值创造。
工业领域云安全参考实践
指南还提供了具体的实践建议：
上云前：规划策略，评估风险。工业企业从传统信息化模式向云计算模式迁移，需要开展深入的需求分析与风险评估，以帮助企业了解自身业务、技术等方面的需求，梳理上云过程中可能遇到的风险，提前规划相应的应对策略，并审慎选择云供应商，为云安全活动的实施打下坚实的基础，保障其业务免受不必要的风险和损失。
上云中：平稳迁移，纵深防御。工业企业通过迁移至云环境，可以享受更为灵活、高效的资源服务，然而云环境具有的强分布式与高弹性特点，令上云后的工业设备间交互与云上应用服务间的依赖关系更为复杂，提升了云安全防护的难度。确保工业企业上云过程的安全可控，构建云上纵深防御能力，对于保障云上信息资产的安全和业务的稳定运行至关重要。
上云后：持续优化，安全用云。安全上云标志着云安全管理的新起点，尽管在上云中已经构建了多层次的云安全防护体系，但云安全仍需持续关注和努力。工业企业在迁移至云端后，仍需持续加强云资源的运维工作，并不断提升员工的安全意识，从而构建一个日益完善的安全防护网络，以有效地防御各种潜在的安全风险。