信息來源：安全內(nèi)參

2022年5月27日，美國能源部公布了未來五年美國制造業(yè)加強競爭、網(wǎng)絡(luò)安全和供應(yīng)鏈管理的一系列優(yōu)先事項。《2022制造業(yè)網(wǎng)絡(luò)安全路線圖》由美國能源部下屬國家級研究機構(gòu)網(wǎng)絡(luò)安全制造創(chuàng)新研究所（CyManII）發(fā)布，該路線圖概述了未來五年美國制造業(yè)網(wǎng)絡(luò)安全的廣闊前景，并直接針對中小型制造商(SMM)、大型制造商以及為大型生產(chǎn)行業(yè)提供服務(wù)的原始設(shè)備制造商(OEM)提出發(fā)展建議。

美能源部發(fā)布加強制造業(yè)網(wǎng)絡(luò)安全公共路線圖

編譯：學(xué)術(shù)plus觀察員 麥客

本文主要內(nèi)容及關(guān)鍵詞

1.背景：美國制造業(yè)數(shù)字化轉(zhuǎn)型將擴大網(wǎng)絡(luò)安全的“攻擊面”，造成制造業(yè)與經(jīng)濟發(fā)展重大風(fēng)險

2.CyManII路線圖：網(wǎng)絡(luò)風(fēng)險管理融入制造流程層面（全行業(yè)的安全制造架構(gòu)/SMA；與美國制造商緊密聯(lián)系；關(guān)鍵研究路線）

3.實施方案：針對關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全

①協(xié)助制定和部署美國網(wǎng)絡(luò)信息工程/CIE戰(zhàn)略

②支撐美國能源行業(yè)工業(yè)基地

③識別并隔離關(guān)鍵能源基礎(chǔ)設(shè)施中的網(wǎng)絡(luò)漏洞

4.評析：在未來幾十年里，數(shù)字化轉(zhuǎn)型仍將作為主流趨勢，繼續(xù)推動美國制造業(yè)的創(chuàng)新研究。網(wǎng)絡(luò)安全制造創(chuàng)新研究所 (CyManII)此次發(fā)布的路線圖為美國未來制造業(yè)、包括關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全部署明確了基本目標(biāo)與實施路線，凸顯了美國為構(gòu)筑制造業(yè)競爭優(yōu)勢，搶占網(wǎng)絡(luò)安全主導(dǎo)權(quán)的重要舉措，其后續(xù)相關(guān)發(fā)展值得高度關(guān)注。

內(nèi)容主要整理自外文網(wǎng)站相關(guān)資料

僅供學(xué)習(xí)參考，歡迎交流指正！

文章觀點不代表本機構(gòu)立場

*****

網(wǎng)絡(luò)安全制造創(chuàng)新研究所（CyManII）由美國能源部發(fā)起，是唯一一家專注于美國制造業(yè)網(wǎng)絡(luò)安全的研究所。旨在推動高能效制造領(lǐng)域的網(wǎng)絡(luò)安全的研發(fā)，通過開發(fā)新的網(wǎng)絡(luò)安全技術(shù)和創(chuàng)新，提高制造業(yè)的效率。CyManII團隊匯集了來自工業(yè)界、學(xué)術(shù)界和國家實驗室的制造和網(wǎng)絡(luò)安全領(lǐng)域的專業(yè)一流人才，并與美國制造商群體建立了良好的信息分享機制。CyManII創(chuàng)造了“網(wǎng)絡(luò)安全革命”，提高了運營彈性、生產(chǎn)力和經(jīng)濟效益。

隨著美國制造業(yè)越來越多地采用人工智能和機器學(xué)習(xí)等數(shù)字技術(shù)和應(yīng)用，CyManII的公共路線圖強調(diào)了保護該行業(yè)免受網(wǎng)絡(luò)威脅的重要性。公共版路線圖包括數(shù)字化轉(zhuǎn)型、先進制造工業(yè)及其挑戰(zhàn)、研究課題（研究路徑）、路線圖實施等部分。

1.背景

背景：美國制造業(yè)數(shù)字化轉(zhuǎn)型

美國各類制造商正在推動數(shù)據(jù)密集型、數(shù)字化的流程與轉(zhuǎn)型，并利用人工智能和機器學(xué)習(xí)等新興應(yīng)用提高生產(chǎn)力。然而，這種數(shù)字化轉(zhuǎn)型也會創(chuàng)建新的更大的“攻擊面”，目前除了IP盜竊和勒索軟件之外，網(wǎng)絡(luò)攻擊將越來越集中于高級、持續(xù)性的威脅或破壞，對美國關(guān)鍵制造業(yè)生態(tài)系統(tǒng)與經(jīng)濟造成巨大風(fēng)險。

正是認(rèn)識到這種環(huán)境和這些挑戰(zhàn)的緊迫性，DOE創(chuàng)建網(wǎng)絡(luò)安全制造創(chuàng)新研究所（CyManII）——在制造業(yè)、研究和學(xué)術(shù)機構(gòu)以及聯(lián)邦政府機構(gòu)中開展工作，開發(fā)技術(shù)，促進美國制造業(yè)繁榮和發(fā)展。這種合作的使命旨在使美國制造商更加適應(yīng)當(dāng)前的網(wǎng)絡(luò)攻擊，同時為公司提供必要的培訓(xùn)，以抵抗不斷變化的威脅。同時，開始設(shè)計和實施下一代的安全架構(gòu)。

而針對持續(xù)且高級別的網(wǎng)絡(luò)攻擊的動態(tài)情況，該路線圖將網(wǎng)絡(luò)安全融入到美國制造運營中。確保制造商的IP、重要數(shù)據(jù)和系統(tǒng)操作在關(guān)鍵制造的數(shù)字線程中能夠?qū)崿F(xiàn)網(wǎng)絡(luò)安全。

2.路線圖

CyManII路線圖

CyManII路線圖概述了未來五年美國制造業(yè)網(wǎng)絡(luò)安全的廣泛愿景，直接針對供應(yīng)大型生產(chǎn)行業(yè)的中小型制造商、大型制造商以及原始設(shè)備制造商。路線圖旨在通過使美國制造商成為世界上最安全的網(wǎng)絡(luò)，為行業(yè)轉(zhuǎn)型提供一條穩(wěn)健和積極的途徑。路線圖主要分為以下幾個部分：

2.1 安全數(shù)字制造

美國大部分制造商都在部署先進的、可快速提高效率的制造和數(shù)字技術(shù)，為此，CyManII將安全制造的創(chuàng)新方法與對網(wǎng)絡(luò)威脅的認(rèn)識相結(jié)合，將網(wǎng)絡(luò)風(fēng)險管理融入制造流程層面，并以此推動美國制造業(yè)走向安全數(shù)字制造的未來狀態(tài)。然而，隨著先進制造向集成流程、企業(yè)、供應(yīng)鏈和生態(tài)系統(tǒng)的數(shù)字線程發(fā)展，網(wǎng)絡(luò)風(fēng)險的性質(zhì)和復(fù)雜性急劇增加。下圖顯示了網(wǎng)絡(luò)安全、高效數(shù)字制造兩者之間的路徑的現(xiàn)狀、未來狀態(tài)和CyManII研究主題促成因素。

圖：通往未來狀態(tài)的路徑

如圖顯示，過渡路徑將要求CyManII和制造合作伙伴緊密合作，具體包括：

• 構(gòu)建專門設(shè)計的安全架構(gòu)，同時認(rèn)識到遺留設(shè)備在大多數(shù)制造操作中發(fā)揮的重要作用；

• 定期更新以確保與最先進的技術(shù)兼容并抵御新的網(wǎng)絡(luò)威脅類似，不斷升級制造系統(tǒng)以確保最大效力、效率和網(wǎng)絡(luò)安全。

如此將有助于保護系統(tǒng)不過時，或成為網(wǎng)絡(luò)攻擊或漏洞的門戶。同樣，安全數(shù)字線程可用于確保老化或遺留系統(tǒng)與數(shù)字和網(wǎng)絡(luò)安全要求保持兼容，同時還繼續(xù)滿足制造企業(yè)、供應(yīng)鏈和生態(tài)系統(tǒng)能力。這種轉(zhuǎn)變途徑還需要提高制造商對解決當(dāng)前和未來網(wǎng)絡(luò)風(fēng)險的方法的認(rèn)識，并通過CyManII的培訓(xùn)計劃培養(yǎng)高技能的勞動力，以幫助他們的雇主過渡到更安全的網(wǎng)絡(luò)運營。

2.2 全行業(yè)的安全制造架構(gòu)（SMA）

安全制造架構(gòu)（SMA）。在大多數(shù)制造企業(yè)中，運營通常是良好的集成，這為整個企業(yè)集成安全性提供了基礎(chǔ)。然而，安全性可以設(shè)計成特定的機器或系統(tǒng)，但很難設(shè)計成系統(tǒng)架構(gòu)。CyManII的整體方法是使用CyManII的安全制造架構(gòu)（SMA）集成安全和運營，不僅在單個機器/流程級別，而且通過生產(chǎn)線和工廠運營，最終構(gòu)建起安全的企業(yè)、供應(yīng)鏈和生態(tài)系統(tǒng)。該安全方法類似于早期的全行業(yè)努力，通過將質(zhì)量集成到產(chǎn)品和流程（包括設(shè)計產(chǎn)品、生產(chǎn)系統(tǒng)和整體供應(yīng)鏈）來優(yōu)先考慮質(zhì)量。

數(shù)字制造和工業(yè)物聯(lián)網(wǎng)（IIoT）技術(shù)被部署在整個制造過程中，提高了生產(chǎn)力和其他收益，但由于增加了連接也加大了網(wǎng)絡(luò)風(fēng)險。CyManII不是在開發(fā)數(shù)字制造技術(shù)，而是在流程層面為數(shù)字制造注入安全所需的架構(gòu)，以及在工廠、整個企業(yè)和供應(yīng)鏈中連接流程以構(gòu)建全數(shù)字化線程。CyManII的未來狀態(tài)允許制造商做出智能決策，以優(yōu)化工廠一級的效率和生產(chǎn)力，越來越多地依靠人工智能和機器學(xué)習(xí)方法，這些方法依靠收集的海量數(shù)據(jù)而不引入新的攻擊向量。

保護機密信息的安全性。隨著制造供應(yīng)鏈和數(shù)字線程的建立，可允許快速部署如建模、分析等新功能呢，但同時，制造商還必須保護專有信息和機密信息的安全性。OEM之間的更大集成、“初級”及其分層供應(yīng)鏈可允許訪問最新工藝數(shù)據(jù)、最新設(shè)備功能（例如，機床的所有功能）以及多樣化制造生態(tài)系統(tǒng)的能力，其中包括中小型制造商（SMM）。

促進數(shù)字制造的安全、且具有韌性的生態(tài)。CyManII將使數(shù)字制造的前景得以安全實現(xiàn)。不僅可支持本地制造，還能將供應(yīng)鏈分配給多個較小的實體，為中小型制造商提供更大的彈性（例如，在單個工廠下落的情況下的后備能力）和更大的機會。這種分布式方法還有可能在整個生態(tài)系統(tǒng)中最大限度地提高生產(chǎn)效率，并在效率和彈性之間實現(xiàn)度量權(quán)衡。例如，利用率為100%的生態(tài)系統(tǒng)可能是有效的，但是如果一個元素被中斷，就不會有過剩的產(chǎn)能并且供應(yīng)鏈中斷，正如在日本的新冠病毒流行或福島災(zāi)難期間那樣。

關(guān)鍵要素：“數(shù)字線程”。要達到上述安全制造的生態(tài)，主要取決于將數(shù)字線程作為通信框架，它能夠在資產(chǎn)的整個生命周期內(nèi)實現(xiàn)數(shù)據(jù)流和資產(chǎn)數(shù)據(jù)的綜合視圖。未來行業(yè)的成功將取決于在廣泛制造業(yè)領(lǐng)域?qū)嵤?shù)字線的成果，而如果這些數(shù)字線程的網(wǎng)絡(luò)安全不能得到保障，美國的制造業(yè)將面臨網(wǎng)絡(luò)攻擊的嚴(yán)重危害。

2.3 與美國制造商緊密聯(lián)系

CyManII最關(guān)鍵的職能之一是與制造業(yè)接洽，了解挑戰(zhàn)，并與合作伙伴確定解決方案。由于網(wǎng)絡(luò)安全成熟度水平差異很大，CyManII目前正在積極引導(dǎo)制造商將改善網(wǎng)絡(luò)安全狀態(tài)。這種未來狀態(tài)由其魯棒性、彈性和脫碳性質(zhì)來定義（見下表）：

• 美國政府方面：魯棒性系統(tǒng)可最小化關(guān)鍵經(jīng)濟領(lǐng)域的破壞，保護國內(nèi)重要技術(shù)；彈性系統(tǒng)增加關(guān)鍵基礎(chǔ)設(shè)施的可靠性，減少能源浪費；清潔干凈的脫碳系統(tǒng)增加美國競爭力和能源生產(chǎn)力，同時應(yīng)對氣候變化的影響。

• 在制造業(yè)方面：魯棒性提高競爭力，保護員工免受網(wǎng)絡(luò)物理的威脅；彈性系統(tǒng)最大化生產(chǎn)率、敏捷性、利潤和機會；脫碳系統(tǒng)減少浪費和輻射，提高利潤和實現(xiàn)環(huán)保目標(biāo)。

2.4 關(guān)鍵研究路線

根據(jù)以上原則，CyManII正在組建一個合作伙伴聯(lián)合體，采用綜合制造業(yè)方法開發(fā)和部署廣泛的創(chuàng)新，同時提升制造車間和運營人員的技能。以合作、系統(tǒng)和敏捷的方式應(yīng)對基本技術(shù)挑戰(zhàn)，核心研究主題是量化、架構(gòu)、基礎(chǔ)設(shè)施、意識和勞動力。在這些核心研究主題中，為了推動未來就業(yè)和行業(yè)所需的研發(fā)，CyManII確定了18條關(guān)鍵研究路線（研發(fā)路線內(nèi)容只對會員開放）。

鑒于CyManII對TRL（技術(shù)成熟度）2-6的關(guān)注，研究路線建立了制造商持續(xù)整合網(wǎng)絡(luò)安全、彈性和能源效率改進的能力。這些研究路線是通過高度集成的技術(shù)方法開發(fā)，整合研究主題中每個見解。研究路線對于實現(xiàn)CyManII為確保美國制造業(yè)當(dāng)前和未來競爭力所需的轉(zhuǎn)型而制定的大膽目標(biāo)至關(guān)重要。具體包括:

• 近期（1-3年）：網(wǎng)絡(luò)安全、彈性和能源效率方面的創(chuàng)新和改進的初始、適度開發(fā)和實例化，在SRDI上進行端對端持續(xù)改進和開發(fā)DevSecOps演示，用于一小型有形場景（設(shè)備和案例）。

• 中期（4-6年）：隨著CyManII綜合技術(shù)方法廣泛適用性的增加，性能和能力的開發(fā)加速，以改善網(wǎng)絡(luò)安全、能源效率和碳減排的各種制造環(huán)境/案例。

• 長期（7年以上）：持續(xù)/增量創(chuàng)新和改進的數(shù)量穩(wěn)定，具有完備感，受制造商在網(wǎng)絡(luò)安全、彈性和能源效率方面新出現(xiàn)的挑戰(zhàn)和機遇驅(qū)動。

圖：CyManII研究主題和主要成果

3.實施方案

關(guān)鍵基礎(chǔ)設(shè)網(wǎng)絡(luò)安全：當(dāng)下可做的三個方案

除了CyManII確保美國制造業(yè)安全的直接任務(wù)外，關(guān)鍵基礎(chǔ)設(shè)施安全的關(guān)鍵機遇也不容忽視。以下三個案例可以提升國家安全：

3.1 協(xié)助制定和部署美國國家網(wǎng)絡(luò)信息工程戰(zhàn)略

在網(wǎng)絡(luò)信息工程（CIE）原則的基礎(chǔ)上，CyManII構(gòu)建安全制造架構(gòu)（SMA）的新興技術(shù)方法，在工業(yè)控制系統(tǒng)（ICS）生命周期早期“設(shè)計”網(wǎng)絡(luò)風(fēng)險，并生成安全架構(gòu)。其中，CyManII作為具有全國影響的國家研究所，可協(xié)助美國能源部（DOE）制定和部署國家CIE戰(zhàn)略。

3.2 支撐美國能源行業(yè)工業(yè)基地

美國供應(yīng)鏈行政令（第14017號行政命令）要求提交“能源部門工業(yè)基礎(chǔ)供應(yīng)鏈報告”。這些代表了美國政府建立能源行業(yè)工業(yè)基地（ESIB）的第一個綜合計劃。能源部將ESIB定義為能源部門和相關(guān)供應(yīng)鏈，包括直接和間接參與能源部門的所有行業(yè)/公司和利益相關(guān)者。作為美國能源部的一項重要投資，CyManII是實現(xiàn)美國制造業(yè)安全再支撐的國家ESIB途徑的關(guān)鍵合作伙伴。

3.3 識別并隔離關(guān)鍵能源基礎(chǔ)設(shè)施中的網(wǎng)絡(luò)漏洞

2020年《國防授權(quán)法》第5726條（出版物號L.116-92）指示DOE與相關(guān)聯(lián)邦機構(gòu)、學(xué)術(shù)合作伙伴、能源部門資產(chǎn)所有者和運營商以及關(guān)鍵組件制造商合作，在國家實驗室內(nèi)建立一個為期兩年的試點項目，以確定能源部門安全漏洞的新類別、評估相關(guān)技術(shù)和標(biāo)準(zhǔn)，以隔離和保護綜合控制系統(tǒng)的安全漏洞，并利用最關(guān)鍵的能源部門系統(tǒng)。CyManII在這一過程中發(fā)揮了重要作用，領(lǐng)導(dǎo)識別美國關(guān)鍵基礎(chǔ)設(shè)施中存在的二十類網(wǎng)絡(luò)漏洞。在這項工作的基礎(chǔ)上，DOE選擇CyManII為國家提供領(lǐng)導(dǎo)，以識別和緩解國家關(guān)鍵能源基礎(chǔ)設(shè)施中的網(wǎng)絡(luò)漏洞。CyManII的工作重點是識別特定于ICS的安全漏洞類別，創(chuàng)建所列舉的共同弱點的共享基線。

4.評析

網(wǎng)絡(luò)安全制造創(chuàng)新研究所 (CyManII)實力強大、專業(yè)研究與實驗?zāi)芰κ窒冗M。在美國能源部（DOE）的資助下，聚集了智能和先進制造、安全自動化和供應(yīng)鏈、勞動力發(fā)展和網(wǎng)絡(luò)安全領(lǐng)域最先進的研究機構(gòu)。其成員涵蓋網(wǎng)絡(luò)安全、智能和節(jié)能制造領(lǐng)域，擁有在研發(fā)、供應(yīng)鏈、工廠自動化和勞動力發(fā)展方面的深厚專業(yè)知識。CyManII由德克薩斯大學(xué)領(lǐng)導(dǎo)，利用該領(lǐng)域最強的DOE國家實驗室，如：先進制造領(lǐng)域領(lǐng)先的橡樹嶺國家實驗室、工業(yè)控制系統(tǒng)和物理基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全領(lǐng)域領(lǐng)先的愛達荷州國家實驗室、供應(yīng)鏈管理的網(wǎng)絡(luò)安全領(lǐng)域領(lǐng)先的桑迪亞國家實驗室等。高度專業(yè)化的研究團隊確保數(shù)字化轉(zhuǎn)型所需的最強大的專業(yè)知識和基礎(chǔ)設(shè)施，在未來幾十年里，數(shù)字化轉(zhuǎn)型仍將作為主流趨勢，繼續(xù)推動美國制造業(yè)的創(chuàng)新研究。

CyManII此次發(fā)布的網(wǎng)絡(luò)安全公共路線圖概述了美國制造業(yè)和技術(shù)研究實現(xiàn)網(wǎng)絡(luò)安全所需要的五年愿景。首先值得關(guān)注的是，公共路線圖邀請CyManII的成員組織以及整個制造行業(yè)，在安全部署先進和節(jié)能制造技術(shù)的同時，保護現(xiàn)有制造運營和供應(yīng)鏈免受網(wǎng)絡(luò)威脅。其二，該路線圖的研究路徑至關(guān)重要，因為美國各種規(guī)模的制造業(yè)正在朝著數(shù)據(jù)密集型、數(shù)字化的流程發(fā)展，并利用人工智能(AI)和機器學(xué)習(xí)(ML)的新興應(yīng)用來提高生產(chǎn)力，以應(yīng)對日益增長的復(fù)雜性。公共路線圖的總結(jié)了CyManII創(chuàng)新機構(gòu)的任務(wù)及目標(biāo)，明確了路線圖的目的、指導(dǎo)原則。第三，路線圖的發(fā)布凸顯了美制造業(yè)開始數(shù)字化轉(zhuǎn)型，構(gòu)筑競爭優(yōu)勢，確保美國在這一高增長領(lǐng)域的持續(xù)競爭力，搶占網(wǎng)絡(luò)安全發(fā)展主導(dǎo)權(quán)的重要標(biāo)志，將在近期內(nèi)產(chǎn)生深遠的影響。

參考鏈接：

https://cymanii.org/roadmap2022/