《智慧城市网络安全治理》由会员分享，可在线阅读，更多相关《智慧城市网络安全治理（48页珍藏版）》请在金锄头文库上搜索。
1、国家信息技术安全研究中心国家信息技术安全研究中心 冯燕春冯燕春 20152015年年1111月月 全球科技进步进入快车道，新材料、新能源等七大领域成果丰硕，以大数据、 云计算、3D打印等催生的“智能智慧化”制造、城市、社会无处不在。 云计算 互联网+大数据 移动互联网 物联网 智慧城市 我国新型信息化战略就是在2020年实现由”自主可控”向”整体可靠、全面可 控”转变，使我国在信息化设施、能力、利益、安全、人才五个方面达到智能智慧 化，成为信息化强国。 网络安全审查 持续监管 专项治理 智慧城市的技术支撑和安全风险1 1 智慧城市网络安全治理的基本思路2 2 智慧城市网络安全治理的主要途径3
2、3 3 中国城市人口的高速扩张 城市化进程中面临严峻的挑战 2007年，全球城市人口首次超 过50%，被称城市千禧。 预计到2050年，世界上的城市 人口比例将达到75%。 截至2014年底，中国的城镇化 率为54.77. 自2003年以来 每年增长超1个百分点。已经 成为全球城市化进程发展最快 的国家。 打造一个更安全、更高效、更便捷、更绿色、更智慧的城市 是我们面临的共同课题 城市 环境 城市 管理 城市 能源 大气污染垃圾污染自然环境破坏 交通拥堵综合治理困难犯罪率提升 水资源匮乏电力不足工业能源紧张 城市发展面临的课题 智慧城市的实质是利用先进的信息技术，实现城市智慧式管理 和运行，进
3、而为城市中的人创造更美好的生活，促进城市的和谐、 可持续成长。 什么是智慧城市？ 智慧城市简介 1993年9月，美国启动“信息高速公路”计划；1995 年，中国推动全国信息化的“八金”工程，标志城市 信息化建设开始起步； 1998年，美国副总统戈尔提出“数字地球”概念， “数字化舒适社区建设”标志着城市信息化进入数字 城市建设阶段； 2009年，IBM首席执行官彭明盛向美国总统奥巴马提 出推进智慧基础设施的建设，标志城市开始由数字化 迈向智慧化建设新阶段。 目前，世界各国纷纷加入“智慧城市建设大军”， 掀起了智慧城市的建设浪潮。 云计算技术可以使计 算机交互服务脱离硬 件的桎梏，让用户更 加自
4、然和快捷地使用 个性化交互服务。 数字城市是一个覆盖 整个城市的无缝的信 息模型，把分散在城 市各处的各类信息按 城市地理坐标组织起 来。 智慧城市主要技术支撑 物联网把物品通过射 频识别等传感设备与 互联网链接起来，实 现智能化识别和管理。 大数据技术通常用来 处理大量的、高速增 长的、形式多样的、 有价值的非结构化和 半结构化数据。 智慧城市的技术支撑 智 慧 城 市 数 字 城 市 云计算：当信息量变得非常巨大时，云计算可以 帮助我们策划数据中心建设的规模，可以使 数据的存储、使用更加灵活。 大数据技术：大数据技术为更好的采集、管理和处 理巨量信息提供了支持。 物联网：物联网是智慧城市重
5、要的信息来源和信息 传输通道，物联网将现实城市与数字城市连接起来。 简而言之，物联网、大数据、云计算的安全风险、推进互联网+带来 的安全风险就是智慧城市将要面临的安全风险。 智慧城市的技术支撑 数据 难保 资源 难护 司法 难管 责任 难定 客户 难控 利益 难断 风险 难料 云计算技术面临的主要安全风险 大体量 大损失 高速率 超依赖 超动态 难预测 大混杂 难保真 大数据技术面临的主要安全风险 大范围 难防御 智慧城市范围更加广泛，物联网包含在智慧城市 中。 物联网分为三层：感知层、网络层、应用层。 感知层主要用于实现物体的信息识别、捕获 和采集。 网络层主要完成接入和传输工作。 应用层实
6、现物联网数据的挖掘、信息的存储 和应用的决策。 物联网的感知层和网络层是智慧城市信息采集和 传输的基础，而智慧城市又可以看做是物联网的 一个应用方向。 物联网与智慧城市的关系 物联网的安全风险 根据物联网体系结构将物联网 安全风险分为： 信息采集安全（感知层） 信息传输安全（网络层） 信息处理安全（应用层） 物联网的安全风险及措施 感知层安全风险及措施 特点：相对于传统互联网，感知层是物联 网特有的一层，也是安全防护的难点。 安全风险： 感知节点数量庞大； 感知节点多部署在无人监控的环境中； 感知节点设备能源和处理能力有限， 难以采用复杂的安全机制。 常见措施： 增强感知节点自身抗攻击能力；
7、增强判断和阻断恶意节点的能力。 物联网的安全风险及措施 网络层安全风险及措施 特点：对于网络层，物联网的安全风险与 传统信息系统安全类似。 安全风险： 在接入和传输中，数据被窃取或仿造； 数据传输需求过大，核心网容易拥塞； 不同架构的网络相互联通，存在跨网 络认证等问题。 常见措施： 根据需要进行加密和用户认证等； 加强跨域认证和跨网认证。 物联网的安全风险及措施 应用层安全风险及措施 特点：应用层的安全问题是综合性的，需 结合具体的应用展开应对。 安全风险： 隐私数据泄露； 越权操作。 常见措施： 加强数据库的访问控制策略； 加强不同场景的用户认证和加密机制； 加强数据溯源能力和网络取证能力
8、。 物联网的安全风险及措施 目前，我国物联网仍处于起步阶段，存在的主要问题可 归纳如下： 缺乏完善的法律法规保护; 缺乏统一标准和规范； 缺乏可持续的商业模式； 隐私数据安全难以保障. 我国物联网安全现状 能源 城市 环境 工业控制系统面临的主要安全风险 城市 管理 城市 能源 环境生态 交通综合治理公共安全 资源电力工业 工控系统安全存在的主要问题： 快速发展与安全保障不同步快速发展与安全保障不同步; ; 核心技术与安全可控不同步核心技术与安全可控不同步; ; 产业基础与防护产品不配套产业基础与防护产品不配套; ; 行业体系与规范标准不完善行业体系与规范标准不完善; ; 专业机构与测评能力有
9、缺失专业机构与测评能力有缺失; ; 小结-智慧城市安全风险 软硬件基础，鱼龙混杂，良莠不齐，漏洞难料，后门难找 物联网安全保障技术还不成熟，低水平连接隐患多 智慧城市泛化互联导致端点操控多元化，安全隐患难监测 关键核心基础设施系统性安全防护有风险，管控难度加大 新的安 全风险 信息基础设施安全脆 弱性增大 安全威胁向城市实体 性基础设施领域延伸 网络安全目标更难聚焦 责任分担与协同机制 更加复杂 小结-智慧城市对网络安全的挑战 智慧城市的技术支撑和安全风险1 1 智慧城市网络安全治理的基本思路2 2 智慧城市网络安全治理主要途径3 3 智慧城市的信息安全保障工作非常关键，可以说是决定其能否真
10、正服务于国家和民生的生死线。然而，由上述的各种安全风险不难看 出，信息安全保障工作工作的难度和强度也是空前的，形势不容乐观。 同时，我国的物联网和智慧城市建设几乎和发达国家位于同一起 跑线，这是难得的历史机遇，也是把我国建设成为真正网络强国的重 要契机。 智慧城市面临的机遇和困难 法律法规 信息产权归属、产权范围难以界定、法律体系不完善 关键技术 数据格式不一和信息爆炸问题 关键技术和核心专利与发达国家有差距 数据保护 物联网技术的使用带来的传感层威胁 数据传输过程中安全威胁 数据处理不当，造成隐私数据泄漏 安全标准 缺乏统一标准体系，行业间、区域间互通性差 安全标准涉及大量国际组织，难以协调
11、 资源共享 产业链还未整合，难以共享 共享数据存在泄漏危险 智慧城市面临的困难 早在2003年，美国联邦政府就启动了网络态势感知大规模运算的 “爱因斯坦计划”。该项系统能够自动地收集、关联、分析和共享 国内政府间的计算机安全信息，从而使得各联邦机构能够接近实时 地感知其网络基础设施面临的威胁，并更迅速地采取恰当的对策。 强监测，重防范：建立关 键信息基础设施保护早期 预警与响应机制 美国的信息安全法律保障往往是与社会诚信体系建设相一致。美国 的信用信息服务产业已经发展成为一个层次分明、各领域深入渗透、 覆盖面极广的庞大体系。在该体系下，信用信息与社会法制等基础 要素建设产生的“协同效应”，在企
12、业信息监管与个人行为监督中 发挥着重要功能。 强法制，重诚信：建设与 完善信息安全法制体系与 诚信体系 一是建立了多层次、多领域的安全审查制度，形成了一套相对严密 的法律规范，使网络安全审查工作有法可依 二是目标明确但标准随意 三是审查严格且过程保密 四是领域宽泛且内容多元 强审查，重可控：建立完 善的安全审查制度，确保 安全可控 在美国，大部分关键基础设施是由私营部门拥有和经营的，而政府 却具有独特的信息综合与分析能力。因此，政府和私营部门需要合 作，共同分析和使用这些信息来应对网络攻击。这种做法一方面借 助了私营部门对网络配置的熟悉性和技术解决优势，另一方面也提 升了私营部门和民众对网络安
13、全的警惕意识。 强合作，重意识：政府与 企业、社会机构合作，提 升全民网络安全意识 美国“智慧城市”安全建设策略 2014年8月27日，国务院发布了关于促进智慧城市健康发 展的指导意见，文中明确指出，可管可控，确保安全是智慧城 市建设的基本原则。同时提出，应从三个方面，着力加强网络信 息安全管理和能力建设 。 第一，强调严格全流程网络安全管理 第二，强调要害信息基础设施和信息资源安全防护； 第三，强调安全责任和安全意识。 国家对智慧城市安全建设的要求 智慧城市的网络安全治理有很多具体工作要做，比如政策、法律法 规、标准制定；关键技术专利、知识产权问题；责任划分与协同机制完 善；数据隐私安全防护
14、等等。此时，需要建设者们理清思路，秉轴持钧， 循序渐进，才能保障其有序有效地运行。 目前，我国已经具备一定的信息技术产业基础条件，如自主可控的 芯片、硬件设备、软件系统、信息技术服务等优质资源。因此，需要管 理者和建设者们统筹全局，总体部署，切实保证智慧城市的安全。 思考-如何建立完善的智慧城市网络安全治理体系 信息安全措施必须同步规划、同步建设、同步运行 信息安全风险管理必须贯穿系统生命周期中 同步原则 关键基础设施的控制权必须由国内掌握（包括运维权 （运维企业和人员）、供应链等），可不拒绝国外，但 必须可知、可控 关键数据未经授权不得在境外传输、存储和处理 可控原则 参建企业必须做出安全承
15、诺，违背承诺必须接受惩处 参建企业必须接受中国政府的安全监管 监管原则 在智慧城市建设中，首先需摒弃安全和业务分家，业务优先建设等旧观 念，而应坚持同步、可控、监管三大原则。 智慧城市安全建设的原则 在智慧城市网络安全治理工作中，必须理清思路，提前部署，将治理工 作贯穿于整个生命周期。智慧城市网络安全治理工作的思路可以概括为以下 三个思路： 法律法规和政策支撑 安全产业发展和标准化支撑 必备基础 开展关键基础设施软硬件及服务网络安全审查 开展审查后的持续指导、监督和管理工作 必须审查 参建企业的安全合规类工作 第三方机构的测试、评估类工作 必要工作 智慧城市网络安全治理的基本思路 智慧城市的技
16、术支撑和安全风险1 1 智慧城市网络安全治理的基本思路2 2 智慧城市网络安全治理的主要途径3 3 标准支撑（已立 项6个标准） 政策支撑（关于促进智慧城 市健康发展的指导意见等） 法律支撑（国家安全法、网 络安全法） 途径一：完善网络安全基础类工作完善网络安全基础类工作 2014年5月22日，中国国家互联网信息办公室宣布中国将 出台网络安全审查制度，规定对进入我国市场的重要信息技术产 品、服务及其提供者进行测试评估、检测分析、持续监督。目前 该制度内容已提交内部审议。 审查的重点在于该产品的安全性和可控性，旨在防止产品提 供者利用提供产品的方便，非法控制、干扰、中断用户系统，非 法收集、存储、处理和利用用户有关信息，对不符合安全要求的 产品和服务，将不得在中国境内使用。 网络安全审查制度背景 途径二：开展网络安全审查类工作开展网络安全审查类工作 审查内容 重点审查信息技术产品
