物理界限日益模糊，制造业数据安全怎么办？

最近，“数据要素”这个词的“出场率”有点高。

日前发布的《数字中国建设整体布局规划》指出，数字中国建设的两大基础包括数字基础设施大动脉以及数据资源大循环的打通，并且强调了“释放商业数据价值潜能，加快建立数据产权制度，开展数据资产计价研究，建立数据要素按价值贡献参与分配机制”。

而根据国务院关于提请审议国务院机构改革方案的议案，我国将组建国家数据局，主要职责包括统筹推进数字经济发展、组织实施国家大数据战略、推进数据要素基础制度建设、推进数字基础设施布局建设等职责。

数据要素的价值被反复提及，但与此同时，这背后还折射出另一个问题——数据要素的采集、传输、处理、应用等一系列过程，如果缺乏安全屏障，可能对企业经营甚至经济和社会安全造成隐患。

对于制造业而言，在加速数字化转型的过程中，同样面临着全新的风险和挑战。 举例来说，制造业数字化强调 OT、IT、CT 和 DT 的融合，这意味着，背后的设备、控制、网络和平台将变得越来越开放，传统的物理界限将越来越模糊，这必然导致攻击点的增多、风险可控性的降低等等，过去单点的安全防护措施已然无法满足企业需求。

那么，面对这一系列全新挑战，制造企业如何建立全面化、体系化的网络安全防护屏障？关于这一问题，在日前由 WRE DIGITAL 主办，中国能源研究会信息通信专委会、上海市航空学会、上海市汽车工程学会等单位支持的“第四届高端制造业 CIO 上海论坛”上，InfoQ 采访了天威诚信解决方案中心高级总监罗贇。

以下为采访实录（经编辑整理）：

InfoQ：在制造业数智化转型的大背景下，制造企业面临哪些新的安全威胁？

罗贇：如今大家都在讲制造业数智化转型，关键是要把生产、库存、物流等产业链条，通过信息化、数智化的方式来实现，这其中有几个核心点，首先是平台加数据，而一旦有了数据，就意味着数据安全问题变得越来越重要。

更重要的是，数据不仅仅是一个企业的生成经营要素，甚至还会影响到国家安全。制造业作为国民经济的主体，必须重视网络数据安全，一旦出现数据泄露，影响的就绝不仅仅是社会发展。

虽然在过去的信息化阶段，各个企业也在上系统，系统上也有大量数据，但是它们之间大多是割裂的，安全防护需求都是从各个业务部门自身的角度出发提出的；现在，随着数字化的推进和平台化的建设，数据的流转越来越多，就必须从整体战略规划角度来看安全问题。

InfoQ：面对这些新的挑战，您觉得企业该如何防范？

罗贇：随着信息系统的一体化建设，企业已不能再局限于某一个业务层面的安全，而是站在整个数智化转型这样更高的角度去做整体的规划。这里面包括很多维度，比如要考虑政策合规，要考虑技术团队建设，要打通各环节数据等等。

首先，企业需要从战略规划方面进行充分考虑，近两年国家层面相继出台了很多法律法规，比如《中华人民共和国网络安全法》、《中华人民共和国密码法》，以及《个人信息保护法》等，在这样的大环境下，就要符合各种合规要求；

其次，企业必须建安全团队，建安全制度，然后设置底层的基座，再设计相应的标准，这是一套完整的动作，不是买一个产品或者解决方案那么简单。就像建房子，我们需要设计图纸，需要施工队，需要验收，然后还要打地基，这样的话，才能把整个数字化转型和数字安全两条线同步进行了。

其实网络安全风险无处不在，网络安全的范畴很大，包括很多应用层面，比如说通讯安全以及网络交互中的各类场景，它的核心底层采用的都是密码技术。从这一点来说，密码作为一个互联网基础设施，在任何行业都有很广泛很深入的应用。其核心就是为了保证企业关键数据不泄露、不被篡改，为企业的数智化转型提供安全基石，筑起可信安全防线。

InfoQ：过去，企业每套系统可能都有自己的密码管理方案，现在系统打通之后，如何进行密码的统一管理？

罗贇：首先，要把密码服务平台底座建立起来，包括对密码设备或密码资产进行盘点，哪些要保留，哪些要舍弃，哪些要采购等等。未来，国家慢慢会推广国产密码算法，这意味着企业中有些设备会陆陆续续被淘。

在底座建立之后，还要进行统一密码服务能力的对外输出。对此，天威诚信就是提供一个整体的密码服务管理解决方案，通过统一的密码服务管理，保障企业数智化转型和数据安全两条线同步进行。

比如，涉及物流业务需要用到电子签章服务，IT 部门需要做一些身份认证，运维部门或大数据部门需要做数据加密，都可以通过我们的密码服务管理平台来做统一调度，而且对各自的业务数据不产生任何影响，平台会做数据的隔离，保障各自业务层的安全。

InfoQ：在工业互联网领域里面，涉及产业供应链的很多上下游企业，这种情况下安全问题怎么解决？

罗贇：一个从供应链的上下游最先考虑的是身份认证问题，密码技术就是解决网络世界中身份认证的可靠手段。另外，在供应链中会产生很多订单和数据流转，涉及公章管理、合同签订、资金交易、物流管理等等，这些都可以是智能化的。

试想，如果订单数据出现了篡改或偏差，就会对生产环节带来极大的风险，生产出来的产品就会出现质量问题，所以在工业互联网领域，保证上下游的全局性和数据的完整性是十分重要的。

要保障供应链上下游的网络和数据安全，就需要密码技术做支撑，基于密码技术和平台化管理，会对供应链中的订单做一个电子签名，签名中包含了一套公钥信息，可以对电子签名进行加密和验证，以达到防篡改的目的，当然这套技术是有国家标准的，只有符合国家标准和行业规范的密码产品才能拿到国家许可资质，才能提供商业密码的建设和保障能力，目前，天威诚信已经拥有《电子认证服务许可证》《电子认证服务使用密码许可证》的可信电子认证。

InfoQ：您觉得制造业跟其他的行业相比，对于网络安全或者说密码管理的需求会有什么差异吗？

罗贇：从密码技术在各个领域的应用来看，电子政务永远是第一梯队，其次是金融、教育、医疗、能源等领域，但随着数智化转型进程的加快，制造业对网络安全和密码管理的需求在逐步上升。

首先是有国家政策的指引，其次有行业发展的需求，国内很多制造企业对数据安全的重视度很高，他们一直在探求生产数据、经营数据的保护之道，比如企业的设计图纸、研究成果、资金和客户管理系统等，一旦数据泄露，后果将非常严重。

针对这些需求，我们通过密码技术赋能制造企业的生产、管理等各环节，例如在内部系统访问，提供基于密码 KPI 的可信身份认证登录；在外部互联网访问中，基于服务器证书提供数据传输安全；在内外部访问中提供数据防篡改、数据可信凭证等。通过密码管理与服务构建一个可信的生态系统，从而加速推进行业的数智化进程，同时逐步进行国产化适配和替代，通过我们的国产适配能力，在构建系统底层安全的基础上来做国产化的识别和对接，保证企业生产、经营数据防泄漏，实现整体的自主安全可控。

作为互联网发展安全基石，密码已广泛应用融入到全面的社会和生活当中，成为当代社会信任机制的底层支撑技术。随着全行业数智化转型进程的不断加快，密码技术也迎来了多场景应用新机遇，5G、工业互联网、物联网、车联网领域的创新应用，都需要密码对新技术、新场景提供支持。

作为密码领域的重要角色，天威诚信这样的密码技术服务商任重道远，我们期望，在各密码技术服务商的共同努力下，密码技术能能更好更快地与各业务场景相融合，不断强化技术、场景、服务等全方位应用，展现更大的安全价值。