11月30日，安恒信息编写的《智能公路行业解决方案蓝皮书》（以下简称《蓝皮书》）在2023全国收费公路联网收费系统网络与数据安全运行保障培训班上正式发布。
《蓝皮书》中，安恒信息对于智能公路行业中面临的数字安全现状与挑战及未来数字安全建设重点进行了深度剖析并提出观点，同时针对联网收费系统优化升级和公路行业新场景网络安全两大维度，提出十一个细分场景的数字安全解决方案。
01
发展与挑战：公路行业新型技术应用的背后
公路行业关乎国计民生，是关键信息基础设施最为密集的细分行业之一，其数字安全保障的重要性不言而喻。然而，在巨大的利益诱惑下，国内外针对公路行业进行的恶意攻击层出不穷，公路行业目前仍面临非常严峻的数字安全威胁。在数字安全防护层面，安恒信息认为目前公路行业仍面临新技术引入新风险、基础不牢、人力缺乏、数据安全保障不足等严峻挑战：
1
新技术引入新风险，安全能力亟需补齐
当下IoT、5G、大数据、AI技术等新技术正在公路行业大规模应用，但与新技术相对应的安全能力还未完成补强，新技术成为攻击者首先瞄准的重要突破口，目前国内外已有多起攻击事件利用了相关安全漏洞，同时，在行业攻防演练中同样出现了许多利用物联网感知设备漏洞、不安全API、虚拟化平台漏洞完成攻击的案例。
2
基础不牢，等级保护覆盖落实仍有欠缺
公路行业业务直接影响对实体交通运输的调度指挥和控制，网络安全尤其重要，但在部分有明确定级要求的重要信息系统的安全防护上，仍存在未依照等级保护建设完全的情况。一旦遭到攻击者攻击，安全建设不充分的部分很可能作为系统中的安全短板遭到入侵。
3
人力缺乏，安全运维工作开展困难
公路行业用户目前仍面临安全运维团队人数少，工作量大，知识技能不均衡，与网络运维分工不清晰等问题，在发生可能危害业务的严重安全事件时，仅凭借自身员工和驻场外包人员无法有效应对，可能招致更大的损失。
4
数据要素敏感性高，数据安全保障不足
公路行业中的数据反映了人、物的时空轨迹，具有相对一般行业数据更高的数据敏感性。然而在数据安全建设上，公路行业目前仍面临顶层设计不明确、行业标准规范不健全、行业相关成功实践少等一系列问题，导致用户缺乏行之有效的数据安全建设参考，不敢迈出第一步，行业数据安全防护水平普遍需要提升。
02
立足当下：开展关基业务联网收费系统网络和数据安全能力提升
公路行业在取消省界收费站工程中，开创了“一张网运行、一体化服务”的新局面，其网络安全形势也更加严峻。公路行业数字安全究竟应该如何建设？安恒信息认为，立足当下，公路行业用户可以通过强基、明目、协同三项主要工作，建立部-省-路段的三级安全运营体系，完善以高速公路联网收费系统为主的公路行业核心业务的信息安全建设。
根据联网收费系统业务演进方向和安全建设的现状，安恒信息基于多年实践经验，总结形成了六大主体方案，以下是《蓝皮书》中的联网收费系统优化升级工程解决方案专题部分内容节选：
全生命周期数据安全保障方案
针对联网收费系统中的数据安全风险，以省联网收费中心和ETC发行机构为数据安全保护目标，安恒信息通过面向收费业务的全生命周期数据安全保障方案，以深入理解业务为前提设计数据安全实现路径，通过关联协同的数据安全防护技术体系实现保障目标，安恒信息总结数据安全实现路径可分为四步：
?第一步，实施数据分类分级工作，根据数据外泄、篡改事件发生后产生的影响，对省域数据资产的敏感性进行标识。
?第二步，基于数据分类分级成果，采用数据加密、访问控制、安全审计等多种手段，确保联网收费业务活动中数据传输、存储、使用等各个环节的安全性。
?第三步，审慎分析各相关单位的数据共享需求，对数据外发进行严格的限制，并对涉及的敏感数据进行脱敏，保护结构化与非结构化数据的全生命周期安全。
?第四步，在前期的数据安全建设基础上，构建集成数据稽核、实体行为分析、风险告警、集中策略管理、事件工单处置、安全态势感知等能力的数据安全管控平台，在数据活动的持续过程中同步识别、处置潜在的数据安全威胁。
了解全生命周期数据安全保障方案完整内容，文末扫码或点击阅读原文即可下载蓝皮书全文
联网收费系统全生命周期数据安全保障方案总体架构
联网收费系统网络安全态势感知升级方案
针对收费公路联网收费系统网络安全态势感知平台体系建设中存在的态势感知能力未覆盖至收费站等问题，安恒信息基于“省中心-区域/路段中心及ETC发行单位-收费站”的三级架构，省联网中心部署一级态势感知平台，区域/路段中心及ETC发行机构部署二级态势感知平台，多级部署，级联协同，通过联网收费系统网络安全态势感知系统升级方案，以满足省中心高速公路管理单位与路段中心业主不同的安全管理诉求。
?省联网中心态势感知平台负责本级的流量数据和二级态势感知系统上报的安全事件信息，汇聚省域设备及系统日志，对全省网络安全风险进行识别、监测、响应处置。
?区域/路段中心及ETC发行方建设与省中心态势感知系统级联的二级态势感知系统，负责本路段范围内路段中心及各收费站（ETC发行单位及发行网点）的网络安全风险感知与处置。
?收费站探针是态势感知的感知末端，可通过专用流量探针或安恒信息高速公路网络安全一体机集成实现，负责收费站级的流量采集，并发送至区域/路段二级态势感知系统对本区域/路段整体进行安全威胁检测与分析。
了解联网收费系统网络安全态势感知升级方案完整内容，文末扫码或点击阅读原文即可下载蓝皮书全文
联网收费系统网络安全态势感知系统升级方案总体架构
收费站安全能力提升方案
针对收费站及ETC门架，安恒信息通过收费站安全能力提升方案，将收费站资产管理与边界防护所需的多种分散于不同安全产品的安全功能进行聚合并实现编排调度，解决在收费站及门架网络中态势感知覆盖不全，无法识别一机双网，IoT安全防护措施不足，部分改扩建收费站安全功能配置不全等安全问题。
了解收费站安全能力提升方案完整内容，文末扫码或点击阅读原文即可下载蓝皮书全文
联网收费系统收费站安全能力提升部署逻辑图
03
展望未来：为公路行业业务创新夯实安全底座
伴随公路行业数字化发展， IoT、5G、大数据、云计算、中台、微服务、AI技术、北斗等新技术呈喷涌之势被快速地大规模应用，其安全风险隐患也与之倍增。安恒信息认为，未来公路行业的数字安全建设需要结合业务场景，采取综合性的技术与管理措施来保障数字安全。针对新型业务场景，安恒信息创新性地提出了解决方案，以下是《蓝皮书》中公路行业新场景数字安全解决方案专题的部分内容节选：
公路可变信息板综合防篡改解决方案
在公路可变信息板的应用场景中，公路可变信息板地理位置分散，巡检困难，同时数据传递多以明文形式，导致存在非常巨大的篡改安全隐患。安恒信息提出公路可变信息板综合防篡改解决方案，从三个层面提供数字安全保障：
?在外场设备边缘侧，部署轻量化的IoT专用安全防护设备，防止不法分子利用直连攻击、近源攻击、现场篡改等方式对可变信息板造成危害。
?在分中心与集团中心，串接部署物联网准入控制系统，对全网可变信息板及其他IoT资产安全进行统管，及时识别并限制公路综合监控专网中的私接、仿冒、篡改问题。
?在集团中心，建设安全感知中心与监测系统，整体管理综合监控专网的资产与脆弱性，对发布的内容进行审计、复核及汇总留存。
了解车公路可变信息板综合防篡改解决方案完整内容，文末扫码或点击阅读原文即可下载蓝皮书全文
图公路可变信息板综合防篡改方案
车路协同试点数字安全保障方案
在车路协同场景中，车辆与道路基础设施之间将实现信息共享和协同操作，在提高交通效率、减少交通事故的同时，也因其涉及大量的数据传输和处理而面临严重的安全威胁。
安恒信息提出车路协同试点数字安全保障方案，针对车路协同目前RSU、IoT基础设施及路侧边缘云服务节点等重要组件的安全防护措施明显不足的问题，为车路协同技术试点路段构建云边协同的数字安全保障体系，在对车路协同平台进行重点防御的同时，对路侧设施实施必要的保护，形成整网的数字安全韧性，并实施统一的安全运营管理，切实保障车路协同安全。
了解车路协同试点数字安全保障方案完整内容，文末扫码或点击阅读原文即可下载蓝皮书全文
车路协同试点数字安全保障方案总体架构