5G 工厂安全参考框架和数据安全建设（附下载）

数据安全是做好数据应用的前提保障，5G 工厂数据安全建设需从数据资产识别梳理、数据安全防护、数据安全风险评估、数据安全运营的安全框架进行考虑。

随着 5G 工厂建设加速，工业网络边界也在不断的延伸。工业领域安全既面临来自互联网的外部威胁，又与工业生产的内部安全问题相互交织，安全风险更加严峻，体现在攻击路径增多、安全意识薄弱、数据安全等多个方面。传统的安全解决方案不能满足新的需求，必须建立 5G 工厂网络安全架构，助力新时期新形势下的工业信息安全能力提升，切实为制造强国和网络强国战略的有效实施保驾护航。

为了应对工业领域的终端、网络、数据和管理方式发生变化引起的安全挑战，针对当前存在的工业信息安全管理机制不健全、关键核心技术能力不足、产业发展基础薄弱、工业企业安全意识不强等问题和短板，综合安全与发展，提出 5G 工厂安全参考框架，助力新时期新形势下的工业信息安全能力提升，切实为制造强国和网络强国战略的有效实施保驾护航。

5G 工厂安全参考框架

5G 工厂安全总体框架可以分为终端安全层、网络完全层、数据安全层、应用安全层和管理安全层。安全框架设计遵循融合、开放、灵活、前瞻的思想，提供终端、网络、数据、应用、管理等全方位的安全服务能力，基于网络安全和工控安全政策、法规及标准体系，构建工控安全和网络安全保障体系，充分发挥 5G 协同 AI、云计算、边缘计算、隐私计算等新一代信息技术，满足工业多场景的安全防护需求。参考架构如下图：

图 1 5G 工厂网络安全总体框架图

终端安全：5G 工厂终端类型众多，保障终端安全，可从资产安全、访问控制和 AI 终端安全三个方面入手，确保工厂内的终端安全。资产安全通过采取终端标识信息、工艺监控、协议解析、安全阻断等资产安全措施；访问控制主要涉及接入认证、零信任、操作权限管理和主机安全，确保只有合法的终端接入工业网络中。AI 终端安全主要应对后门攻击、对抗攻击、数据投毒和模型窃取攻击等安全威胁，及时发现安全风险和处置安全问题，保障终端安全运行。

网络安全：5G 工厂网络是以 5G 为核心的融合安全网络。针对 5G 网络承载不同业务的安全需求和安全风险，用“三同步原则”加强网络安全，在建设阶段，规划、设计和建设 5G 网络及信息安全保障机制，确保网络服务的安全性。在运营阶段，构建具有统一管理、智能防御和灵活部署的 5G 网络安全防护系统，提高对网络安全的响应能力。

数据安全：5G 工厂数据安全主要包含数据识别、数据保护和隐私计算等方面的技术。保障工业互联网数据安全，需要综合考虑工业数据的产生、传输、存储、处理、使用及销毁等全生命周期的安全问题，采取相应的安全防护技术手段，防止数据被泄露和篡改，主要技术手段包括数据分类分级、数据加密、可信计算等。

应用安全：5G 工厂应用安全层防护主要包含安全预警、安全分析、指令识别三个方面。保障工业应用安全，主要涉及漏洞修复、攻击识别、安全审计异常控制等方面，通过提升工业应用安全能力，能够大幅降低工厂遭受攻击的风险。

管理安全：5G 工厂通过人员管理、制度管理、供应链管理等方面保障工厂安全。以安全生产政策与法规为基础，构建工业企业综合安全管理能力，从而实现工业企业安全合规、生产安全、资产安全和业务安全的安全目标。

数据安全建设

数据作为生产要素之一，能否做好数据深化应用、发挥数据价值是关乎工业企业能否迈过数字化转型门槛、站上更高发展台阶的关键，数据安全又是做好数据应用的前提保障。5G 工厂数据安全建设需从数据资产识别梳理、数据安全防护、数据安全风险评估、数据安全运营的安全框架进行考虑。

1. 数据安全风险评估

数据安全风险评估是以数据为核心，通过现场调研和技术评估相

结合的方式对单位数据运行现状开展全面风险评估，了解数据管理相关控制的存在性及有效性，评估分析数据安全整体面上和点上的安全风险，作为安全体系规划建设的重要参照依据。在评估过程中，通常从数据环境风险分析、数据内容风险分析和业务流程相关的数据安全风险分析着手。

（1）数据环境风险评估：数据环境风险分析包括数据支撑环境安全风险分析（如主机安全、通信安全、数据库安全、大数据平台安全等）、数据使用环境安全风险分析（如终端准入、终端杀毒、用户组策略管理等）、数据运维环境安全风险分析（如授权与审批、危险操作识别与阻断、去标识化等）。例如：数据库安全风险分析，通过安全现状评估能有效发现当前数据库系统的安全问题，对数据库的安全状况进行持续化监控，保持数据库的安全健康状态。可采用数据库漏洞扫描、弱口令检测、配置核查与加固等方式展开工作。

（2）数据内容风险评估：数据内容风险评估可按照重要/敏感数据资产梳理、重要/敏感数据流动分析、重要/敏感数据流动风险检测的顺利进行。以重要/敏感数据流动风险检测为例，具体实施时可结合企业系统特点，快速对系统内部的敏感接口进行脆弱性评估，并结合后台脆弱性评估规则，自动发现并识别相关接口的脆弱性。检测包括登录接口脆弱性、接口权限评估、接口流动风险、数据暴露面、数据域流向等多个维度的风险检测项目，并对检测后问题开展风险评定等级，评定影响范围、并给出响应的整改意见。

（3）业务流程风险评估：在流程脆弱性分析过程中，围绕流程中敏感数据的流转，编制数据流转视图。流转视图包含敏感数据确认、流转、业务风险等。

2. 数据资产识别

数据资产识别是数据安全的核心内容，通过对不同类型的数据进行甄别，识别其中存在的重要数据或敏感数据并对其进行分类定级处理，避免数据安全治理“眉毛胡子一把抓”的混沌状态，有针对性地对不同类别、不同级别的数据提供不同程度的安全防护提供依据。

（1）数据发现：通过扫描探测、网络流量分析、应用接口探测、业务锚点监测、调研访谈等方式发现各类数据源，如网络协议、应用接口、网页、文本、图片、视频、脚本、数据库、文件服务器等数据源。例如，对于数据接口。采用自动化接口发现技术，将网络流量中大量的 URL 等进行聚合归类，然后提取参数配置，还原接口的技术设计形式，并按照接口资源类型归类各类接口。同时，通过敏感数据识别、引擎识别接口，对业务系统和接口进行归类统计梳理。

（2）数据分类分级：对数据资源进行分类和分级，是实现数据有效管理和利用，保障数据安全的基础，也是促进数据开放和共享的关键环节。工业数据可分为结构化数据和非结构化数据两类，结构化数据可通过数据探测，对数据库服务进行数据资产盘点；非结构化数据需通过访谈、收集、调研等方式进行盘点。

（3）数据安全定级：数据完成分类后，便可对数据进行安全分级。数据安全定级主要根据数据的安全属性，如完整性、保密性、可用性等，以及安全事件发生后的影响对象、影响范围、影响程度，对数据进行安全定级，通常将数据分为一般数据、重要数据、核心数据三级。

3. 数据安全防护

数据具有流动性，数据结构和形态会在整个生命周期中不断变化，需要采用多种安全工具支撑安全策略的实施，涉及到数据加密、秘钥管理、数据脱敏、水印溯源、数据防泄漏、访问控制、数据备份、数据销毁等安全技术手段。技术涉及面广、细节丰富。为此，本白皮书主要针对数据防泄漏、零信任数据安全、隐私计算等关键技术进行简要介绍。

（1）数据防泄漏：数据泄漏风险可通过数据网关、数据审计、数据脱敏、数据水印溯源、访问控制、身份认证等多种技术组合的方式来防护。结合数据分类分级结果，对重要数据、核心数据进行分级别、细粒度采取数据防泄漏保护，可得到更佳效果。

（2）零信任数据安全：零信任是一种安全模型，基于访问主体身份、网络环境、终端状态等尽可能多的信任要素对所有用户进行持续验证和动态授权。零信任模型通常采用身份管理基础设施、数据平面、控制平面三层架构，实现访问主体到目标客体的端到端安全控制。5G 工厂存在泛在异构终端连接，数据访问情况复杂，采用零信任数据安全方案是比较理想的解决方式。

（3）身份认证：在身份认证技术上，可对应用身份、设备身份进行高强度关联认证，如将应用程序自身签名、运行环境上下文摘要信息、应用内部用户身份、设备身份码、5G 通讯卡身份码、通讯网络地址信息、通讯链路信息进行整合，作为访问请求唯一主体进行认证。该认证信息可在零信任用户认证中心按需实时生成，具有即时性特征，适合 5G 工厂应用场景。这种采用多维度属性的身份认证方式，相比于单一属性授权方式，大大增强了安全属性。

（4）访问控制安全：基于传统访问控制策略列表，利用 UEBA 技术对数据访问交互管理能力进行深度分析研判，并能在过程中做出相应处置动作。UEBA 主要通过历史行为建模、实时行为分析，通过大数据分析、机器学习的方式优化判断阈值，解决传统规则方式存在安全盲区的问题。

（5）代理安全：常见的工厂代理技术有工厂应用系统的代理和关键API 的代理。代理技术包括身份识别、权限识别、身份传递、数据脱敏、健康监控、流量管控、通道安全等多项核心技术，通过实施动态的访问者身份识别和权限识别操作，对服务健康状态进行实时检查，实现安全加固，并能通过统一的策略对服务的访问控制进行调整。

4. 数据安全运营

数据安全运营是将技术、人员、流程进行有机结合的系统性工程，是保证数据安全治理体系有效运行的重要环节。数据安全运营遵循 “运营流程化、流程标准化、标准数字化、响应智能化”的思想进行构建，数据安全运营的需要实现流程落实到人，责任到人，流程可追溯，结果可验证等能力。数据安全运营需贯穿安全监测、安全分析、事件处置、安全运维流程，全面覆盖安全运营工作，满足不同类型、不同等级安全事件的监测、分析、响应、处置流程全域可知和可控。如图 3 所示，数据安全运营主要包含数据资源运营、数据安全策略运营、数据安全风险运营、数据安全事件运营和数据安全应急响应五个部分。