信息來源：安全內參

2022年5月27日，美國能源部公布了未來五年美國制造業(yè)加強競爭、網絡安全和供應鏈管理的一系列優(yōu)先事項?！?022制造業(yè)網絡安全路線圖》由美國能源部下屬國家級研究機構網絡安全制造創(chuàng)新研究所（CyManII）發(fā)布，該路線圖概述了未來五年美國制造業(yè)網絡安全的廣闊前景，并直接針對中小型制造商(SMM)、大型制造商以及為大型生產行業(yè)提供服務的原始設備制造商(OEM)提出發(fā)展建議。

美能源部發(fā)布加強制造業(yè)網絡安全公共路線圖

編譯：學術plus觀察員 麥客

本文主要內容及關鍵詞

1.背景：美國制造業(yè)數字化轉型將擴大網絡安全的“攻擊面”，造成制造業(yè)與經濟發(fā)展重大風險

2.CyManII路線圖：網絡風險管理融入制造流程層面（全行業(yè)的安全制造架構/SMA；與美國制造商緊密聯(lián)系；關鍵研究路線）

3.實施方案：針對關鍵基礎設施的網絡安全

①協(xié)助制定和部署美國網絡信息工程/CIE戰(zhàn)略

②支撐美國能源行業(yè)工業(yè)基地

③識別并隔離關鍵能源基礎設施中的網絡漏洞

4.評析：在未來幾十年里，數字化轉型仍將作為主流趨勢，繼續(xù)推動美國制造業(yè)的創(chuàng)新研究。網絡安全制造創(chuàng)新研究所 (CyManII)此次發(fā)布的路線圖為美國未來制造業(yè)、包括關鍵基礎設施的網絡安全部署明確了基本目標與實施路線，凸顯了美國為構筑制造業(yè)競爭優(yōu)勢，搶占網絡安全主導權的重要舉措，其后續(xù)相關發(fā)展值得高度關注。

內容主要整理自外文網站相關資料

僅供學習參考，歡迎交流指正！

文章觀點不代表本機構立場

*****

網絡安全制造創(chuàng)新研究所（CyManII）由美國能源部發(fā)起，是唯一一家專注于美國制造業(yè)網絡安全的研究所。旨在推動高能效制造領域的網絡安全的研發(fā)，通過開發(fā)新的網絡安全技術和創(chuàng)新，提高制造業(yè)的效率。CyManII團隊匯集了來自工業(yè)界、學術界和國家實驗室的制造和網絡安全領域的專業(yè)一流人才，并與美國制造商群體建立了良好的信息分享機制。CyManII創(chuàng)造了“網絡安全革命”，提高了運營彈性、生產力和經濟效益。

隨著美國制造業(yè)越來越多地采用人工智能和機器學習等數字技術和應用，CyManII的公共路線圖強調了保護該行業(yè)免受網絡威脅的重要性。公共版路線圖包括數字化轉型、先進制造工業(yè)及其挑戰(zhàn)、研究課題（研究路徑）、路線圖實施等部分。

1.背景

背景：美國制造業(yè)數字化轉型

美國各類制造商正在推動數據密集型、數字化的流程與轉型，并利用人工智能和機器學習等新興應用提高生產力。然而，這種數字化轉型也會創(chuàng)建新的更大的“攻擊面”，目前除了IP盜竊和勒索軟件之外，網絡攻擊將越來越集中于高級、持續(xù)性的威脅或破壞，對美國關鍵制造業(yè)生態(tài)系統(tǒng)與經濟造成巨大風險。

正是認識到這種環(huán)境和這些挑戰(zhàn)的緊迫性，DOE創(chuàng)建網絡安全制造創(chuàng)新研究所（CyManII）——在制造業(yè)、研究和學術機構以及聯(lián)邦政府機構中開展工作，開發(fā)技術，促進美國制造業(yè)繁榮和發(fā)展。這種合作的使命旨在使美國制造商更加適應當前的網絡攻擊，同時為公司提供必要的培訓，以抵抗不斷變化的威脅。同時，開始設計和實施下一代的安全架構。

而針對持續(xù)且高級別的網絡攻擊的動態(tài)情況，該路線圖將網絡安全融入到美國制造運營中。確保制造商的IP、重要數據和系統(tǒng)操作在關鍵制造的數字線程中能夠實現(xiàn)網絡安全。

2.路線圖

CyManII路線圖

CyManII路線圖概述了未來五年美國制造業(yè)網絡安全的廣泛愿景，直接針對供應大型生產行業(yè)的中小型制造商、大型制造商以及原始設備制造商。路線圖旨在通過使美國制造商成為世界上最安全的網絡，為行業(yè)轉型提供一條穩(wěn)健和積極的途徑。路線圖主要分為以下幾個部分：

2.1 安全數字制造

美國大部分制造商都在部署先進的、可快速提高效率的制造和數字技術，為此，CyManII將安全制造的創(chuàng)新方法與對網絡威脅的認識相結合，將網絡風險管理融入制造流程層面，并以此推動美國制造業(yè)走向安全數字制造的未來狀態(tài)。然而，隨著先進制造向集成流程、企業(yè)、供應鏈和生態(tài)系統(tǒng)的數字線程發(fā)展，網絡風險的性質和復雜性急劇增加。下圖顯示了網絡安全、高效數字制造兩者之間的路徑的現(xiàn)狀、未來狀態(tài)和CyManII研究主題促成因素。

圖：通往未來狀態(tài)的路徑

如圖顯示，過渡路徑將要求CyManII和制造合作伙伴緊密合作，具體包括：

• 構建專門設計的安全架構，同時認識到遺留設備在大多數制造操作中發(fā)揮的重要作用；

• 定期更新以確保與最先進的技術兼容并抵御新的網絡威脅類似，不斷升級制造系統(tǒng)以確保最大效力、效率和網絡安全。

如此將有助于保護系統(tǒng)不過時，或成為網絡攻擊或漏洞的門戶。同樣，安全數字線程可用于確保老化或遺留系統(tǒng)與數字和網絡安全要求保持兼容，同時還繼續(xù)滿足制造企業(yè)、供應鏈和生態(tài)系統(tǒng)能力。這種轉變途徑還需要提高制造商對解決當前和未來網絡風險的方法的認識，并通過CyManII的培訓計劃培養(yǎng)高技能的勞動力，以幫助他們的雇主過渡到更安全的網絡運營。

2.2 全行業(yè)的安全制造架構（SMA）

安全制造架構（SMA）。在大多數制造企業(yè)中，運營通常是良好的集成，這為整個企業(yè)集成安全性提供了基礎。然而，安全性可以設計成特定的機器或系統(tǒng)，但很難設計成系統(tǒng)架構。CyManII的整體方法是使用CyManII的安全制造架構（SMA）集成安全和運營，不僅在單個機器/流程級別，而且通過生產線和工廠運營，最終構建起安全的企業(yè)、供應鏈和生態(tài)系統(tǒng)。該安全方法類似于早期的全行業(yè)努力，通過將質量集成到產品和流程（包括設計產品、生產系統(tǒng)和整體供應鏈）來優(yōu)先考慮質量。

數字制造和工業(yè)物聯(lián)網（IIoT）技術被部署在整個制造過程中，提高了生產力和其他收益，但由于增加了連接也加大了網絡風險。CyManII不是在開發(fā)數字制造技術，而是在流程層面為數字制造注入安全所需的架構，以及在工廠、整個企業(yè)和供應鏈中連接流程以構建全數字化線程。CyManII的未來狀態(tài)允許制造商做出智能決策，以優(yōu)化工廠一級的效率和生產力，越來越多地依靠人工智能和機器學習方法，這些方法依靠收集的海量數據而不引入新的攻擊向量。

保護機密信息的安全性。隨著制造供應鏈和數字線程的建立，可允許快速部署如建模、分析等新功能呢，但同時，制造商還必須保護專有信息和機密信息的安全性。OEM之間的更大集成、“初級”及其分層供應鏈可允許訪問最新工藝數據、最新設備功能（例如，機床的所有功能）以及多樣化制造生態(tài)系統(tǒng)的能力，其中包括中小型制造商（SMM）。

促進數字制造的安全、且具有韌性的生態(tài)。CyManII將使數字制造的前景得以安全實現(xiàn)。不僅可支持本地制造，還能將供應鏈分配給多個較小的實體，為中小型制造商提供更大的彈性（例如，在單個工廠下落的情況下的后備能力）和更大的機會。這種分布式方法還有可能在整個生態(tài)系統(tǒng)中最大限度地提高生產效率，并在效率和彈性之間實現(xiàn)度量權衡。例如，利用率為100%的生態(tài)系統(tǒng)可能是有效的，但是如果一個元素被中斷，就不會有過剩的產能并且供應鏈中斷，正如在日本的新冠病毒流行或福島災難期間那樣。

關鍵要素：“數字線程”。要達到上述安全制造的生態(tài)，主要取決于將數字線程作為通信框架，它能夠在資產的整個生命周期內實現(xiàn)數據流和資產數據的綜合視圖。未來行業(yè)的成功將取決于在廣泛制造業(yè)領域實施數字線的成果，而如果這些數字線程的網絡安全不能得到保障，美國的制造業(yè)將面臨網絡攻擊的嚴重危害。

2.3 與美國制造商緊密聯(lián)系

CyManII最關鍵的職能之一是與制造業(yè)接洽，了解挑戰(zhàn)，并與合作伙伴確定解決方案。由于網絡安全成熟度水平差異很大，CyManII目前正在積極引導制造商將改善網絡安全狀態(tài)。這種未來狀態(tài)由其魯棒性、彈性和脫碳性質來定義（見下表）：

• 美國政府方面：魯棒性系統(tǒng)可最小化關鍵經濟領域的破壞，保護國內重要技術；彈性系統(tǒng)增加關鍵基礎設施的可靠性，減少能源浪費；清潔干凈的脫碳系統(tǒng)增加美國競爭力和能源生產力，同時應對氣候變化的影響。

• 在制造業(yè)方面：魯棒性提高競爭力，保護員工免受網絡物理的威脅；彈性系統(tǒng)最大化生產率、敏捷性、利潤和機會；脫碳系統(tǒng)減少浪費和輻射，提高利潤和實現(xiàn)環(huán)保目標。

2.4 關鍵研究路線

根據以上原則，CyManII正在組建一個合作伙伴聯(lián)合體，采用綜合制造業(yè)方法開發(fā)和部署廣泛的創(chuàng)新，同時提升制造車間和運營人員的技能。以合作、系統(tǒng)和敏捷的方式應對基本技術挑戰(zhàn)，核心研究主題是量化、架構、基礎設施、意識和勞動力。在這些核心研究主題中，為了推動未來就業(yè)和行業(yè)所需的研發(fā)，CyManII確定了18條關鍵研究路線（研發(fā)路線內容只對會員開放）。

鑒于CyManII對TRL（技術成熟度）2-6的關注，研究路線建立了制造商持續(xù)整合網絡安全、彈性和能源效率改進的能力。這些研究路線是通過高度集成的技術方法開發(fā)，整合研究主題中每個見解。研究路線對于實現(xiàn)CyManII為確保美國制造業(yè)當前和未來競爭力所需的轉型而制定的大膽目標至關重要。具體包括:

• 近期（1-3年）：網絡安全、彈性和能源效率方面的創(chuàng)新和改進的初始、適度開發(fā)和實例化，在SRDI上進行端對端持續(xù)改進和開發(fā)DevSecOps演示，用于一小型有形場景（設備和案例）。

• 中期（4-6年）：隨著CyManII綜合技術方法廣泛適用性的增加，性能和能力的開發(fā)加速，以改善網絡安全、能源效率和碳減排的各種制造環(huán)境/案例。

• 長期（7年以上）：持續(xù)/增量創(chuàng)新和改進的數量穩(wěn)定，具有完備感，受制造商在網絡安全、彈性和能源效率方面新出現(xiàn)的挑戰(zhàn)和機遇驅動。

圖：CyManII研究主題和主要成果

3.實施方案

關鍵基礎設網絡安全：當下可做的三個方案

除了CyManII確保美國制造業(yè)安全的直接任務外，關鍵基礎設施安全的關鍵機遇也不容忽視。以下三個案例可以提升國家安全：

3.1 協(xié)助制定和部署美國國家網絡信息工程戰(zhàn)略

在網絡信息工程（CIE）原則的基礎上，CyManII構建安全制造架構（SMA）的新興技術方法，在工業(yè)控制系統(tǒng)（ICS）生命周期早期“設計”網絡風險，并生成安全架構。其中，CyManII作為具有全國影響的國家研究所，可協(xié)助美國能源部（DOE）制定和部署國家CIE戰(zhàn)略。

3.2 支撐美國能源行業(yè)工業(yè)基地

美國供應鏈行政令（第14017號行政命令）要求提交“能源部門工業(yè)基礎供應鏈報告”。這些代表了美國政府建立能源行業(yè)工業(yè)基地（ESIB）的第一個綜合計劃。能源部將ESIB定義為能源部門和相關供應鏈，包括直接和間接參與能源部門的所有行業(yè)/公司和利益相關者。作為美國能源部的一項重要投資，CyManII是實現(xiàn)美國制造業(yè)安全再支撐的國家ESIB途徑的關鍵合作伙伴。

3.3 識別并隔離關鍵能源基礎設施中的網絡漏洞

2020年《國防授權法》第5726條（出版物號L.116-92）指示DOE與相關聯(lián)邦機構、學術合作伙伴、能源部門資產所有者和運營商以及關鍵組件制造商合作，在國家實驗室內建立一個為期兩年的試點項目，以確定能源部門安全漏洞的新類別、評估相關技術和標準，以隔離和保護綜合控制系統(tǒng)的安全漏洞，并利用最關鍵的能源部門系統(tǒng)。CyManII在這一過程中發(fā)揮了重要作用，領導識別美國關鍵基礎設施中存在的二十類網絡漏洞。在這項工作的基礎上，DOE選擇CyManII為國家提供領導，以識別和緩解國家關鍵能源基礎設施中的網絡漏洞。CyManII的工作重點是識別特定于ICS的安全漏洞類別，創(chuàng)建所列舉的共同弱點的共享基線。

4.評析

網絡安全制造創(chuàng)新研究所 (CyManII)實力強大、專業(yè)研究與實驗能力十分先進。在美國能源部（DOE）的資助下，聚集了智能和先進制造、安全自動化和供應鏈、勞動力發(fā)展和網絡安全領域最先進的研究機構。其成員涵蓋網絡安全、智能和節(jié)能制造領域，擁有在研發(fā)、供應鏈、工廠自動化和勞動力發(fā)展方面的深厚專業(yè)知識。CyManII由德克薩斯大學領導，利用該領域最強的DOE國家實驗室，如：先進制造領域領先的橡樹嶺國家實驗室、工業(yè)控制系統(tǒng)和物理基礎設施的網絡安全領域領先的愛達荷州國家實驗室、供應鏈管理的網絡安全領域領先的桑迪亞國家實驗室等。高度專業(yè)化的研究團隊確保數字化轉型所需的最強大的專業(yè)知識和基礎設施，在未來幾十年里，數字化轉型仍將作為主流趨勢，繼續(xù)推動美國制造業(yè)的創(chuàng)新研究。

CyManII此次發(fā)布的網絡安全公共路線圖概述了美國制造業(yè)和技術研究實現(xiàn)網絡安全所需要的五年愿景。首先值得關注的是，公共路線圖邀請CyManII的成員組織以及整個制造行業(yè)，在安全部署先進和節(jié)能制造技術的同時，保護現(xiàn)有制造運營和供應鏈免受網絡威脅。其二，該路線圖的研究路徑至關重要，因為美國各種規(guī)模的制造業(yè)正在朝著數據密集型、數字化的流程發(fā)展，并利用人工智能(AI)和機器學習(ML)的新興應用來提高生產力，以應對日益增長的復雜性。公共路線圖的總結了CyManII創(chuàng)新機構的任務及目標，明確了路線圖的目的、指導原則。第三，路線圖的發(fā)布凸顯了美制造業(yè)開始數字化轉型，構筑競爭優(yōu)勢，確保美國在這一高增長領域的持續(xù)競爭力，搶占網絡安全發(fā)展主導權的重要標志，將在近期內產生深遠的影響。

參考鏈接：

https://cymanii.org/roadmap2022/