工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全風(fēng)險(xiǎn)研究

張曉菲 盧春景 于盟

摘? ?要：隨著工業(yè)互聯(lián)網(wǎng)的發(fā)展，現(xiàn)實(shí)世界和網(wǎng)絡(luò)世界深度聯(lián)通，網(wǎng)絡(luò)攻擊穿透虛擬空間，直接影響到工業(yè)運(yùn)行安全的可能性逐步提升，供應(yīng)鏈安全作為保障工業(yè)互聯(lián)網(wǎng)安全的重要部分應(yīng)得到進(jìn)一步重視。針對工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全風(fēng)險(xiǎn)，文章從產(chǎn)品的開發(fā)、交付、使用等方面，分析了供應(yīng)鏈環(huán)節(jié)潛在安全風(fēng)險(xiǎn)，并對供應(yīng)鏈存在的問題進(jìn)行分析，參照網(wǎng)絡(luò)安全審查相關(guān)規(guī)定，提出了針對性的防護(hù)建議。

關(guān)鍵詞：工業(yè)互聯(lián)網(wǎng);供應(yīng)鏈;安全防護(hù);網(wǎng)絡(luò)安全審查

中圖分類號： TP399? ? ? ? ? 文獻(xiàn)標(biāo)識碼：A

Abstract： With the development of the industrial internet， the real world and the network world are deeply connected， The possibility of cyberspace attacking that can penetrate the virtual space and affect the security of industrial operation is gradually increasing，the security of the industrial internet supply chain as an important part of the security of the industrial internet deserves more attention. In view of the security risks of industrial internet supply chain， this paper analyzes the potential security risks of industrial internet products in the supply chain from the aspects of product development， delivery and use， analyzes the problems existing in the supply chain， and puts forward targeted protection suggestions referring to the relevant provisions of cyber security review.

Key words： industrial internet;supply chain;protection suggestions;cyber security review

1 引言

2012年，自通用電氣首次提出“工業(yè)互聯(lián)網(wǎng)”概念以來，工業(yè)互聯(lián)網(wǎng)在全球范圍高速發(fā)展。2015年，國務(wù)院發(fā)布《關(guān)于積極推進(jìn)“互聯(lián)網(wǎng)+”行動(dòng)的指導(dǎo)意見》，推動(dòng)互聯(lián)網(wǎng)與制造業(yè)融合，國內(nèi)工業(yè)互聯(lián)網(wǎng)發(fā)展進(jìn)入高速車道。工業(yè)互聯(lián)網(wǎng)作為傳統(tǒng)網(wǎng)絡(luò)平臺和工業(yè)控制系統(tǒng)的融合，把工業(yè)現(xiàn)場設(shè)備、生產(chǎn)線、工廠、供應(yīng)商、產(chǎn)品和客戶緊密地連接起來，其組成包括了服務(wù)器、操作系統(tǒng)、數(shù)據(jù)庫、虛擬設(shè)備、PLC、DCS系統(tǒng)、MES系統(tǒng)、SIS系統(tǒng)、SCADA系統(tǒng)等。

工業(yè)互聯(lián)網(wǎng)作為新基建的重要組成部分，其供應(yīng)鏈安全將直接影響著工業(yè)互聯(lián)網(wǎng)的安全。工業(yè)互聯(lián)網(wǎng)的供應(yīng)鏈?zhǔn)侵腹I(yè)互聯(lián)網(wǎng)相關(guān)的軟硬件產(chǎn)品，或工業(yè)互聯(lián)網(wǎng)平臺生產(chǎn)及流通過程中，相關(guān)的設(shè)備開發(fā)商、元器件提供商、生產(chǎn)商、分銷商以及最終用戶等，通過與上游、下游連接組成的鏈路結(jié)構(gòu)。如果工業(yè)互聯(lián)網(wǎng)平臺的軟硬件的研發(fā)、供應(yīng)、交付等供應(yīng)鏈環(huán)節(jié)，缺乏科學(xué)的安全管理手段，存在先天安全隱患甚至被惡意攻擊，將使得工業(yè)互聯(lián)網(wǎng)平臺軟硬件設(shè)備存在安全隱患，間接影響著工業(yè)互聯(lián)網(wǎng)平臺的正常運(yùn)轉(zhuǎn)，為此工業(yè)互聯(lián)網(wǎng)平臺供應(yīng)鏈安全亟需重點(diǎn)關(guān)注。

2 工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全風(fēng)險(xiǎn)

工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全是指工業(yè)互聯(lián)網(wǎng)產(chǎn)品在開發(fā)、交付、驗(yàn)收、使用、維護(hù)整個(gè)生命周期內(nèi)的安全[1]，任何一個(gè)環(huán)節(jié)出現(xiàn)安全風(fēng)險(xiǎn)，都可能會給最終構(gòu)建的工業(yè)互聯(lián)網(wǎng)安全穩(wěn)定運(yùn)行帶來影響。其中，工業(yè)互聯(lián)網(wǎng)平臺側(cè)的網(wǎng)絡(luò)設(shè)備、虛擬設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫、工業(yè)互聯(lián)網(wǎng)APP等信息技術(shù)軟硬件更新迭代速度較快，工業(yè)側(cè)的PLC、DCS系統(tǒng)、SCADA系統(tǒng)等工業(yè)控制系統(tǒng)軟硬件更新迭代速度較慢，需要在網(wǎng)絡(luò)安全管理過程中區(qū)別處理和對待，且需要更全面的知識儲備開展安全保障工作，以增加了工業(yè)互聯(lián)網(wǎng)安全防護(hù)難度。因此，需要從各個(gè)環(huán)節(jié)對工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全保障進(jìn)行深入剖析[2]，找出癥結(jié)，提出對策。

2.1 開發(fā)環(huán)節(jié)安全風(fēng)險(xiǎn)

開發(fā)環(huán)節(jié)是供應(yīng)鏈最上游環(huán)節(jié)，如果在這個(gè)環(huán)節(jié)引入安全隱患、受到網(wǎng)絡(luò)攻擊或者被病毒感染，產(chǎn)品在后續(xù)交付或使用環(huán)節(jié)中必然受到影響，造成產(chǎn)品所在系統(tǒng)信息泄露或者系統(tǒng)被遠(yuǎn)程控制等安全風(fēng)險(xiǎn)。

開發(fā)環(huán)節(jié)安全風(fēng)險(xiǎn)是由于開發(fā)工具、開發(fā)人員、開發(fā)環(huán)境受到攻擊或者不規(guī)范操作導(dǎo)致的，官方第三方支持庫下載渠道被篡改、開發(fā)工具不安全、開發(fā)人員安全意識淡薄、代碼不規(guī)范、代碼共享、開發(fā)環(huán)境隱藏病毒等都是影響開發(fā)環(huán)節(jié)產(chǎn)品安全的因素。例如，Xcode工具，它是蘋果公司發(fā)布的一款iOS和OSX應(yīng)用程序開發(fā)工具（IDE），適用于Mac OSX操作系統(tǒng)。2015年9月14日，非官方途徑獲取的Xcode工具被攻擊者植入惡意代碼（Xcode Ghost），導(dǎo)致部分應(yīng)用開發(fā)者使用被感染病毒的Xcode工作，編譯出的APP應(yīng)用程序均被植入惡意代碼，因此造成至少692種APP被感染，過億用戶受到影響，包括微信、滴滴、網(wǎng)易云音樂等應(yīng)用[3]。在工業(yè)互聯(lián)網(wǎng)應(yīng)用場景中，一旦應(yīng)用于現(xiàn)場控制場景的工業(yè)互聯(lián)網(wǎng)APP的開發(fā)環(huán)節(jié)遭受攻擊或被植入惡意代碼，將間接威脅工業(yè)企業(yè)的現(xiàn)場生產(chǎn)，甚至導(dǎo)致現(xiàn)場設(shè)備宕機(jī)，造成生產(chǎn)事故。

2.2 交付環(huán)節(jié)安全風(fēng)險(xiǎn)

產(chǎn)品交付位于供應(yīng)鏈中游環(huán)節(jié)，產(chǎn)品或系統(tǒng)來源一旦被篡改或從非官方獲取，將會導(dǎo)致獲取的產(chǎn)品安全不可信，使產(chǎn)品感染病毒或不可用。

交付環(huán)節(jié)問題是由于產(chǎn)品獲取來源被篡改（即官方域名被劫持或者官方網(wǎng)站存在安全風(fēng)險(xiǎn)導(dǎo)致產(chǎn)品被替換），或者被截獲后進(jìn)行二次編譯植入病毒后通過非官方發(fā)布，在產(chǎn)品使用過程中感染整個(gè)系統(tǒng)導(dǎo)致敏感信息丟失。例如，2015年2月卡巴斯基安全實(shí)驗(yàn)室披露的方程式，組織使用一套用于植入惡意代碼的超級信息武器庫，能夠?qū)μ囟繕?biāo)或行業(yè)在采購、返修主機(jī)或硬盤的過程中對硬盤固件進(jìn)行修改，進(jìn)而將惡意代碼植入硬盤固件中實(shí)施攻擊。這個(gè)超級信息武器庫包含兩個(gè)惡意模塊，是第一個(gè)已知能夠感染硬盤固件的惡意代碼，能夠?qū)?shù)十種常見品牌的硬盤固件進(jìn)行重新編程。一旦工業(yè)互聯(lián)網(wǎng)平臺中服務(wù)器的硬盤固件被攻擊者改寫，整個(gè)工業(yè)互聯(lián)網(wǎng)平臺將會受到影響，攻擊者甚至可以獲取整個(gè)互聯(lián)網(wǎng)平臺的任意權(quán)限[4]。

2.3 使用環(huán)節(jié)安全風(fēng)險(xiǎn)

產(chǎn)品使用位于供應(yīng)鏈下游環(huán)節(jié)，該環(huán)節(jié)存在安全風(fēng)險(xiǎn)因素較多，如在更新、修復(fù)、使用、維護(hù)等情況下，均存在不安全因素，導(dǎo)致產(chǎn)品易遭受攻擊或破壞。

使用環(huán)節(jié)由于產(chǎn)品使用環(huán)境的不安全性，導(dǎo)致產(chǎn)品在安裝、升級等操作過程中易被攻擊者篡改，導(dǎo)致產(chǎn)品感染病毒或木馬。例如，2020年4月境外APT組織Darkhotel（APT-C-06）利用國內(nèi)某知名廠商SSL VPN服務(wù)器漏洞或弱口令實(shí)現(xiàn)入侵劫持，修改并控制服務(wù)器配置下發(fā)偽造升級程序SangforUPD.exe（已感染木馬），進(jìn)而獲取受害主機(jī)控制權(quán)，收集重要科研、政策情報(bào)，或盜取、破壞重要數(shù)據(jù)資產(chǎn)和基礎(chǔ)設(shè)施。目前，工業(yè)互聯(lián)網(wǎng)平臺工廠側(cè)的PLC、DCS、SCADA系統(tǒng)等自身安全防護(hù)能力較低，一旦用于訪問工廠側(cè)的VPN等安全設(shè)備在更新時(shí)被植入惡意代碼，攻擊者可以繞過工業(yè)互聯(lián)網(wǎng)平臺直接進(jìn)入工廠的控制系統(tǒng)，對工業(yè)控制系統(tǒng)發(fā)起攻擊，嚴(yán)重影響工業(yè)控制系統(tǒng)的正常運(yùn)行。

3 工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全分析

工業(yè)互聯(lián)網(wǎng)相關(guān)的設(shè)備及系統(tǒng)構(gòu)成日益復(fù)雜，從不同國家或廠商處獲取一臺設(shè)備或系統(tǒng)不同的配件，由不同地方的人員共同設(shè)計(jì)完成一套復(fù)雜的生產(chǎn)系統(tǒng)，因此供應(yīng)鏈安全已成為保障工業(yè)互聯(lián)網(wǎng)持續(xù)穩(wěn)定運(yùn)轉(zhuǎn)不可或缺的一部分，任何環(huán)節(jié)被篡改都會影響工業(yè)互聯(lián)網(wǎng)的正常運(yùn)轉(zhuǎn)，極大地增加了工業(yè)互聯(lián)網(wǎng)的安全防護(hù)系數(shù)[5]。

3.1 供應(yīng)鏈安全保障體系尚不健全

供應(yīng)鏈存在開發(fā)、交付、使用等多個(gè)環(huán)節(jié)。目前，在各個(gè)環(huán)節(jié)有相應(yīng)的制度規(guī)范，但缺少供應(yīng)鏈各個(gè)環(huán)節(jié)銜接部分的管理要求，無法對各個(gè)環(huán)節(jié)中產(chǎn)品供應(yīng)商、企業(yè)使用者、產(chǎn)品維護(hù)者的交互進(jìn)行規(guī)范約束，導(dǎo)致供應(yīng)鏈安全風(fēng)險(xiǎn)增加。在工業(yè)企業(yè)評估中發(fā)現(xiàn)，大部分企業(yè)在產(chǎn)品或系統(tǒng)的采購中，還沒有意識到網(wǎng)絡(luò)安全的問題，采購協(xié)議中未明確產(chǎn)品供應(yīng)商的網(wǎng)絡(luò)安全責(zé)任和義務(wù)，僅部分企業(yè)在維保期內(nèi)定義了產(chǎn)品服務(wù)商的安全責(zé)任和義務(wù)。同時(shí)，部分企業(yè)缺少管理制度對產(chǎn)品供應(yīng)鏈環(huán)節(jié)安全進(jìn)行規(guī)范，導(dǎo)致在產(chǎn)品采購、使用、運(yùn)維過程無法保障企業(yè)的權(quán)益，一旦因產(chǎn)品存在后門或已被植入病毒導(dǎo)致安全事件，所造成的損失就只能由企業(yè)自行承擔(dān)。例如，目前工業(yè)互聯(lián)網(wǎng)企業(yè)生產(chǎn)現(xiàn)場控制設(shè)備PLC等大多為國外設(shè)備，在運(yùn)維過程中受制于國外廠商，設(shè)備產(chǎn)生的安全風(fēng)險(xiǎn)均由企業(yè)自身承擔(dān)，極大地增加了企業(yè)的負(fù)擔(dān)。供應(yīng)鏈各個(gè)環(huán)節(jié)是由不同供應(yīng)商、產(chǎn)品使用企業(yè)、外包提供商、外包服務(wù)商等各種角色人員參與進(jìn)行的，無法有效地對不同角色人員的交互進(jìn)行約束，導(dǎo)致因人員交互、產(chǎn)品交互等產(chǎn)生網(wǎng)絡(luò)安全隱患[6]。

3.2 產(chǎn)品入市缺乏安全檢測

據(jù)調(diào)查，國內(nèi)工業(yè)互聯(lián)網(wǎng)企業(yè)的生產(chǎn)系統(tǒng)如PLC、DCS、SCADA等國產(chǎn)設(shè)備占有率較低，國外知名品牌在大型、關(guān)鍵項(xiàng)目中的優(yōu)勢明顯。在用高端數(shù)控機(jī)床設(shè)備中，80%以上的數(shù)控系統(tǒng)中的核心技術(shù)和關(guān)鍵零部件依賴國外進(jìn)口，對國外硬件產(chǎn)品存在依賴。國內(nèi)外廠商對產(chǎn)品安全要求尚未達(dá)成一致共識，相關(guān)標(biāo)準(zhǔn)尚在推動(dòng)制定過程中。這樣，導(dǎo)致目前國內(nèi)工業(yè)互聯(lián)網(wǎng)現(xiàn)場控制設(shè)備未經(jīng)過安全檢測就上線運(yùn)行，導(dǎo)致大多數(shù)控制設(shè)備或系統(tǒng)“帶病上崗”，嚴(yán)重影響到工業(yè)互聯(lián)網(wǎng)的穩(wěn)定運(yùn)轉(zhuǎn)。研究發(fā)現(xiàn)，許多工業(yè)控制設(shè)備存在安全隱患，其中較多設(shè)備存在高危漏洞，一旦成為被攻擊目標(biāo)，將會導(dǎo)致企業(yè)停工停產(chǎn)、停水停電、經(jīng)濟(jì)損失巨大等嚴(yán)重后果。

3.3 產(chǎn)品后期維護(hù)風(fēng)險(xiǎn)較高

近年來，工業(yè)控制系統(tǒng)產(chǎn)品被曝存在后門、漏洞的情況頻繁出現(xiàn)。雖然工業(yè)設(shè)備供應(yīng)商聲稱這些僅是設(shè)計(jì)缺陷，但對于國內(nèi)關(guān)鍵設(shè)備或重要生產(chǎn)系統(tǒng)而言，這些“設(shè)計(jì)缺陷”將會使企業(yè)在不知情的情況下成為網(wǎng)絡(luò)攻擊的目標(biāo)，成為惡意攻擊者對工業(yè)互聯(lián)網(wǎng)和關(guān)鍵基礎(chǔ)設(shè)施進(jìn)行窺探的隱蔽通道。由于國內(nèi)部分工業(yè)互聯(lián)網(wǎng)的工業(yè)控制系統(tǒng)與企業(yè)辦公網(wǎng)絡(luò)、內(nèi)部移動(dòng)網(wǎng)絡(luò)甚至與互聯(lián)網(wǎng)直接相連，國外惡意攻擊者或APT組織，能夠輕易地通過獲取的預(yù)設(shè)產(chǎn)品后門進(jìn)行網(wǎng)絡(luò)入侵。攻擊者甚至可以借助提前植入的惡意模塊，通過無線信號竊取工業(yè)控制系統(tǒng)的敏感數(shù)據(jù)或者操作權(quán)限，即便與網(wǎng)絡(luò)隔離的工業(yè)控制系統(tǒng)也無法確保安全。此外，因?yàn)楣I(yè)控制系統(tǒng)在調(diào)試、安裝、系統(tǒng)維護(hù)更新過程中，企業(yè)高度依賴服務(wù)商的能力，在無法進(jìn)行現(xiàn)場維護(hù)時(shí)，通常都會按照服務(wù)商要求采取遠(yuǎn)程維護(hù)操作，不能確保服務(wù)商對系統(tǒng)的操作過程安全可控，導(dǎo)致工業(yè)控制系統(tǒng)處于未知的安全風(fēng)險(xiǎn)中。

4 工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全對策

2020年6月，《網(wǎng)絡(luò)安全審查辦法》正式實(shí)施，聚焦于關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全，提出網(wǎng)絡(luò)安全審查工作程序，為推動(dòng)保障供應(yīng)鏈安全相關(guān)工作指明了方向。為了保障工業(yè)互聯(lián)網(wǎng)平臺產(chǎn)品、系統(tǒng)等從開發(fā)、交付等環(huán)節(jié)的安全，提高工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈的安全防護(hù)能力，建議從三個(gè)方面入手。

4.1 明確工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全要求和標(biāo)準(zhǔn)

參照《網(wǎng)絡(luò)安全審查》相關(guān)規(guī)定，為工業(yè)互聯(lián)網(wǎng)平臺的服務(wù)器、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)、工業(yè)控制設(shè)備PLC、DCS等軟硬件設(shè)備相關(guān)聯(lián)的產(chǎn)品開發(fā)商、供應(yīng)商、提供商、服務(wù)商、使用單位，明確網(wǎng)絡(luò)安全責(zé)任和義務(wù)，建立規(guī)范對工業(yè)互聯(lián)網(wǎng)產(chǎn)品在開發(fā)商、供應(yīng)商、服務(wù)商等不同角色交互行為進(jìn)行約束，從需求側(cè)推動(dòng)供應(yīng)側(cè)安全水平提升，切實(shí)保障工業(yè)互聯(lián)網(wǎng)產(chǎn)品在從源代碼階段到后期對產(chǎn)品維護(hù)階段的安全。例如，對工業(yè)互聯(lián)網(wǎng)平臺企業(yè)，建議建立管理制度，明確要求采購的產(chǎn)品需經(jīng)權(quán)威第三方機(jī)構(gòu)安全檢測，產(chǎn)品服務(wù)商在發(fā)現(xiàn)產(chǎn)品存在重大安全漏洞時(shí)應(yīng)及時(shí)告知使用方，便于使用者及時(shí)采用有效措施降低風(fēng)險(xiǎn)。另外，應(yīng)明確將供應(yīng)鏈安全管理職責(zé)，納入工業(yè)互聯(lián)網(wǎng)平臺網(wǎng)絡(luò)安全防護(hù)要求;對可能影響國家安全的重要工業(yè)互聯(lián)網(wǎng)平臺，應(yīng)納入網(wǎng)絡(luò)安全審查范圍，尤其涉及國家經(jīng)濟(jì)和人民生活的企業(yè)核心設(shè)備，在采購前應(yīng)開展安全審查。

4.2 健全工業(yè)互聯(lián)網(wǎng)安全測評體系

進(jìn)一步完善工業(yè)互聯(lián)網(wǎng)安全測評體系，補(bǔ)充工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全測評要求，加強(qiáng)工業(yè)互聯(lián)網(wǎng)檢測標(biāo)準(zhǔn)研究，推動(dòng)一批市場認(rèn)可度較高的工業(yè)控制系統(tǒng)與產(chǎn)品檢測認(rèn)證，幫助國內(nèi)外企業(yè)研發(fā)安全性較高的工業(yè)互聯(lián)網(wǎng)檢測設(shè)備。加強(qiáng)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全防護(hù)技術(shù)研究，避免核心數(shù)據(jù)或敏感信息外泄;明確工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈安全管理要求，針對不同工業(yè)互聯(lián)網(wǎng)應(yīng)用場景，提出簡單高效的安全測評方法，定期開展整體安全評估，確保工業(yè)互聯(lián)網(wǎng)應(yīng)用安全。

4.3 依據(jù)網(wǎng)絡(luò)安全審查規(guī)定，積極落實(shí)企業(yè)主體責(zé)任

結(jié)合《網(wǎng)絡(luò)安全審查》相關(guān)規(guī)定，工業(yè)互聯(lián)網(wǎng)平臺企業(yè)應(yīng)積極構(gòu)建多部門協(xié)調(diào)配合的管理體系，建立網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)安全的風(fēng)險(xiǎn)預(yù)判機(jī)制。根據(jù)工業(yè)互聯(lián)網(wǎng)平臺實(shí)際情況，細(xì)化工業(yè)互聯(lián)網(wǎng)產(chǎn)品采購、使用等供應(yīng)鏈流程，對存在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的行為進(jìn)行約束，定期進(jìn)行網(wǎng)絡(luò)安全評估;掌握工業(yè)互聯(lián)網(wǎng)平臺安全防護(hù)狀況，并對存在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)進(jìn)行修復(fù)。工業(yè)互聯(lián)網(wǎng)設(shè)備提供商和服務(wù)商，應(yīng)加強(qiáng)自身安全開發(fā)、安全集成、安全運(yùn)維能力，將網(wǎng)絡(luò)安全作為能力輸出，提升產(chǎn)品研發(fā)、集成、運(yùn)維服務(wù)過程中的安全保障能力。

5 結(jié)束語

面對日趨復(fù)雜的工業(yè)互聯(lián)網(wǎng)應(yīng)用，其供應(yīng)鏈安全風(fēng)險(xiǎn)應(yīng)納入網(wǎng)絡(luò)安全管理體系，相關(guān)平臺企業(yè)、工業(yè)企業(yè)、設(shè)備商、服務(wù)商和安全廠商應(yīng)積極合作，從工業(yè)互聯(lián)網(wǎng)產(chǎn)品開發(fā)、交付、維護(hù)等環(huán)節(jié)加強(qiáng)網(wǎng)絡(luò)安全管理，明確各自的網(wǎng)絡(luò)安全責(zé)任和義務(wù)，加強(qiáng)工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈的安全防護(hù)。尤其作為工業(yè)互聯(lián)網(wǎng)平臺企業(yè)，應(yīng)從安全管理和技術(shù)核查入手，加強(qiáng)工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈管理，采取技術(shù)措施提升工業(yè)互聯(lián)網(wǎng)防護(hù)能力，積極做好工業(yè)互聯(lián)網(wǎng)產(chǎn)品全生命周期的網(wǎng)絡(luò)安全防護(hù)。

參考文獻(xiàn)

[1] 何昊坤，李璐.ICT供應(yīng)鏈安全管理風(fēng)險(xiǎn)識別研究[J].網(wǎng)絡(luò)空間安全，2019，10（4）：1-6.

[2] 武新沂.揭秘新發(fā)現(xiàn)的供應(yīng)鏈攻擊[J].計(jì)算機(jī)與網(wǎng)絡(luò)， 2018，44（22）：56.

[3] 本刊編輯部.典型的軟件供應(yīng)鏈攻擊安全事件[J].中國信息安全，2018，107（11）：74-76.

[4] 劉權(quán)，王超.加強(qiáng)軟件供應(yīng)鏈安全保障的對策建議[J].中國信息安全，2018年11期.

[5] Jen A， Miller Charles.大數(shù)據(jù)撼動(dòng)供應(yīng)鏈系統(tǒng)的4種方式[N].計(jì)算機(jī)世界，2018年.

[6] 王頡，萬振華，王厚奎.從軟件安全開發(fā)生命周期實(shí)踐的角度保障軟件供應(yīng)鏈安全[J].網(wǎng)絡(luò)空間安全， 2019， 10（6）： 1-6.

作者簡介：

張曉菲（1990-），男，漢族，河南登封人，北京電子科技學(xué)院，碩士，國家工業(yè)信息安全發(fā)展研究中心，助理工程師;主要研究方向和關(guān)注領(lǐng)域：工業(yè)互聯(lián)網(wǎng)安全、工業(yè)信息安全。

盧春景（1994-），女，漢族，浙江溫州人，北京郵電大學(xué)，碩士，國家工業(yè)信息安全發(fā)展研究中心，助理工程師;主要研究方向和關(guān)注領(lǐng)域：工業(yè)互聯(lián)網(wǎng)安全、工業(yè)信息安全。

于盟（1984-），男，漢族，山東德州人，北京郵電大學(xué)，碩士，國家工業(yè)信息安全發(fā)展研究中心檢查評估所，高級工程師;主要研究方向和關(guān)注領(lǐng)域：工業(yè)互聯(lián)網(wǎng)安全、工業(yè)信息安全。