九月的第三周，工業(yè)數(shù)據(jù)安全監(jiān)管連續(xù)落子。北京九月十七日開班工業(yè)數(shù)據(jù)安全專場培訓(xùn)，二百余名企業(yè)首席數(shù)據(jù)官與安全主管接受政策宣貫；貴州通信管理局九月二十二日通報重點(diǎn)工業(yè)企業(yè)網(wǎng)絡(luò)安全體檢結(jié)果，邊界防護(hù)與暴露面問題被逐一退回整改。壓力正從主管部門傳到車間，而數(shù)據(jù)流出工廠的頭道閘口，往往就是產(chǎn)線旁的mes工位終端一體機(jī)。
合規(guī)框架拆到工位，先看清兩份文件一套規(guī)則
北京專場培訓(xùn)系統(tǒng)闡釋了《工業(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》與《工業(yè)領(lǐng)域數(shù)據(jù)安全能力提升實(shí)施方案（2024—2026年）》，明確企業(yè)數(shù)據(jù)安全管理的法定責(zé)任與目錄備案路徑。分級口徑可對照GB/T 43697-2024數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級規(guī)則，工業(yè)數(shù)據(jù)通常分為生產(chǎn)操作、研發(fā)設(shè)計、經(jīng)營管理三類，其中生產(chǎn)操作類敏感程度最高。
這套框架落到車間并不抽象。工單、節(jié)拍、質(zhì)檢記錄由mes工位終端一體機(jī)實(shí)時采集，工藝參數(shù)與訂單信息混在同一鏈路里，若不先做分類分級，后續(xù)所有防護(hù)都找不到對象。企業(yè)要先回答三個問題，哪些數(shù)據(jù)屬重要數(shù)據(jù)需備案，哪些只能在內(nèi)網(wǎng)流轉(zhuǎn)，哪些采集后不應(yīng)在終端本地留存。
等保核查落到終端，邊界賬號與日志三條失分線
貴州通報把企業(yè)常見問題點(diǎn)得很直白，外網(wǎng)邊界防護(hù)薄弱、資產(chǎn)暴露面梳理不徹底、端口開放管控不精細(xì)，三類問題都可能誘發(fā)漏洞入侵與數(shù)據(jù)泄露。對應(yīng)到工位側(cè)，等保核查首先看網(wǎng)絡(luò)分區(qū)，生產(chǎn)網(wǎng)與辦公網(wǎng)能否在終端物理分開，雙網(wǎng)口配置比外加網(wǎng)關(guān)更可靠；其次看賬號，共用賬號、離崗未注銷是審計高頻扣分項(xiàng)，控顯P3A IC/ID刷卡多功能工控一體機(jī)把零點(diǎn)二秒刷卡實(shí)名鑒別做進(jìn)固定機(jī)身，共用賬號失去存在空間，操作日志也有了穩(wěn)定的人證對應(yīng)；最后看日志留存周期，操作人、時間、動作都要可回溯。
身份鑒別與采集入口合一，數(shù)據(jù)分級才轉(zhuǎn)得起來
分級目錄寫在紙上不等于系統(tǒng)能執(zhí)行，關(guān)鍵在采集入口有沒有人替數(shù)據(jù)定級背書。頭部電子制造企業(yè)的客戶審廠已普遍要求每筆報工可識別操作人，工人戴手套作業(yè)又讓常規(guī)密碼與指紋方案體驗(yàn)很差。把刷卡鑒別與觸控操作合進(jìn)同一臺固定終端，是阻力最小的落地路徑，報工數(shù)據(jù)經(jīng)實(shí)名確認(rèn)后再上行，終端側(cè)不長期留存工藝文件，硬件側(cè)的身份留痕還要與企業(yè)側(cè)賬號生命周期聯(lián)動。
江西九月二十日刊發(fā)的產(chǎn)業(yè)研究文章也提到，工業(yè)數(shù)據(jù)分類分級管理與可信流通環(huán)境正在多地試點(diǎn)，數(shù)據(jù)可用不可見、不出域成為建設(shè)方向。這意味著工位終端不僅要管住人，還要管住數(shù)據(jù)出口，接口、緩存與外發(fā)路徑都得納入資產(chǎn)臺賬。
四步自查逐項(xiàng)過，把核查寫進(jìn)招標(biāo)技術(shù)規(guī)格書
給IT主管的核查順序建議分四步。先對照三類數(shù)據(jù)完成工位級分級目錄，標(biāo)注每類數(shù)據(jù)流向；再核查網(wǎng)絡(luò)分區(qū)與端口暴露，關(guān)閉不必要的外網(wǎng)可達(dá)路徑；第三步核對實(shí)名鑒別、賬號生命周期與操作日志覆蓋度；最后檢查終端緩存策略與離崗賬號回收時效。控顯科技在mes工位終端一體機(jī)上采用刷卡鑒權(quán)與網(wǎng)絡(luò)分區(qū)結(jié)合的結(jié)構(gòu)，正是為了讓這四步在硬件層可現(xiàn)場復(fù)演，而不是停留在制度文本。
更主動的做法是把這些要求前置到采購環(huán)節(jié)，在招標(biāo)技術(shù)規(guī)格書中寫明分級適配、雙網(wǎng)分區(qū)、身份日志與緩存策略四項(xiàng)附件。監(jiān)管體檢不會提前打招呼，等通報下來再補(bǔ)，產(chǎn)線付出的往往是停機(jī)整改的代價。
