360杜跃进工业互联网论坛演讲：没有数字安全底座，业务就会垮掉

“数字世界的攻击形势严峻，和物理世界安全相比有几个显著特点， 一是无孔不入，数字世界网络化、数据化令黑客可以通过网络攻击任何一个地方；二是无所不能，各种攻击手段突破传统物理安全的认知，令人匪夷所思；三是无影无踪，通过网络实施的攻击，经常是谁干的和干了什么都不清楚。”近日，360首席安全官杜跃进在“第二届聚智未来·后疫情时代工业互联网与数字经济韧性生态论坛”发表演讲。

他断言，“网络安全已经成为IT安全、DT（数据技术）安全、OT（操作技术）安全融合的数字安全。”伴随数字化发展，物理世界、数字世界和人类社会深度交织，导致系统的复杂度发生质变，与以往逻辑关系清晰、可计算、可预测、可控制的IT安全不同，如今的安全问题逻辑关系不清楚，更难以计算、预测和控制，网络安全亟待被重新定义。

安全的重要性被提到前所未有的高度。杜跃进指出，“数字时代，所有的业务，政务、商务、医疗等等都在被重新定义，支撑业务的人工智能、大数据、边缘计算、IoT等新技术爆炸式发展，技术和业务都面临全新的安全问题。没有安全底座，业务就会垮掉。数据是数字时代的基础资源，数据安全是数字安全的基础问题之一，各行各业都需要面对。”

勒索软件攻击就是通过破坏数据的可用性导致业务中断的一种方式，当前极为活跃。据统计，一次勒索攻击平均会让一个企业的业务中断9.9天，而绝大部分企业只要中断1小时就会产生损失，一次勒索攻击平均给每家企业造成的损失超过400万美元。杜跃进举例说，去年5月，美国最大燃油运输管道商遭勒索攻击，18个州和特区进入紧急状态，该公司最终向黑客支付近500万美元加密货币赎金以恢复被攻击的系统。

这种案例只是众多威胁数字安全攻击方式中的一种。而工业互联网正是其中的重要场景。近几年，工厂遭到勒索攻击已经屡见不鲜，比如，芯片代工厂台积电、富士康海外工厂都曾因遭到勒索攻击，导致工厂生产线停摆。

杜跃进表示，为护航工业互联网数字安全，360工业互联网安全研究院深度考察了140家工业企业，并完成了12家工业企业数字化成熟度评估，在此基础上研发和推出了全国首个以“数字安全”为特色的工业互联网平台“未工平台”，并且联合38家上下游企业成立了工业互联网生态联盟。

对于其中的数据安全问题，杜跃进认为，要建立以数据为中心，以组织为单位，以能力成熟度为抓手的数据安全治理模式。以数据为中心,即围绕数据这个保护对象进行防窃取、防破坏、防滥用和防误用等的保障，而不是过去那样围绕信息系统；以组织为单位，即评价的是特定组织的全生命周期数据安全，而不是评价某个产品或业务；以能力成熟度为抓手，即用能力成熟度等级而不是风险评估结果建立数据安全和数据业务权力之间的正向联系，改变“合规”加“处罚”的简单思路，激发企业提高数据安全水平的积极性。

杜跃进指出，数据安全能力成熟度模型（DSMM）测评，已经有了多年实践经验，得到广泛认可。相应地，数据安全官和数据安全工程师等方面的人员需求也日益增加。

据悉，本次会议由中欧校友总会、中欧校友工业互联网协会主办，360工业互联网安全研究院、苏州工业园区信息化和工业化融合协会等协办，为工业互联网相关从业者提供了深入交流的平台。