本文作者李莹来自国家工业信息安全发展研究中心，文章《美能源部新版网络安全能力成熟度模型研究》发表于《新型工业化》期刊2021年第10期。该文聚焦美国能源部（DOE）发布的网络安全能力成熟度模型（C2M2）2.0版本，分析了其更新背景、核心内容及对我国工业安全的启示。
更新背景：能源网络安全威胁升级与技术驱动
能源领域威胁加剧
2020年北美电力行业网络安全事件达2624起，同比增长98%（数据来源：NERC报告）。典型案例包括美国Colonial Pipeline输油管道遭勒索软件攻击导致东海岸燃油供应瘫痪，凸显关键基础设施的脆弱性。美国政府问责局（GAO）指出，电网配电系统因监控技术普及而暴露重大隐患。
新兴技术挑战与政策响应
- 技术挑战：云计算、人工智能（AI）的应用需同步规范数据管理；攻击手段复杂化（如供应链攻击）倒逼标准升级。
- 政策行动：美国通过“百日冲刺”计划（800万美元资助）、立法提案（如《管道网络安全预备法案》）及跨国合作（与英国NCSC联合发布工控安全最佳实践）强化防护。
C2M2 2.0核心更新：三大重点方向
基础安全强化
- 资产管理：要求动态更新关键工业控制系统（ICS）资产清单，涵盖安全状态属性。
- 态势感知：扩展监控范围至IT（信息技术）与OT（运营技术）全环境，整合日志、网络基线等多维数据。
数据安全管理体系化
- 将数据资产与IT/OT资产并列管理，新增分类分级要求（如敏感数据加密传输、退役设备数据销毁）。
- 安全架构域明确数据管理为独立环节，呼应《数据安全法》趋势。
信息共享机制优化
取消独立能力域，将共享融入各环节：
- 风险情报：利用第三方共享数据识别新威胁；
- 漏洞协同：与利益相关方（如供应商、政府）实时交换漏洞信息。
对中国的启示建议
建设工业态势感知平台
通过协议深度解析、白名单自学习技术实现资产动态监测与攻击检测，解决“重效益轻安全”问题。
细化数据分类分级标准
在《工业数据分类分级指南（试行）》基础上制定行业细则，强化数据全生命周期防护。
构建威胁情报共享生态
依托国家级通报平台，联动企业、研究机构共享漏洞、事件信息，提升整体防御效率。
学术价值与实践意义
- 政策参考：C2M2 2.0反映了美国应对能源网络安全威胁的系统性思路，为我国标准制定提供对标样本。
- 技术前瞻性：其对AI、云计算安全的纳入，启示我国需同步更新技术防护框架。
- 方法论创新：将信息共享嵌入各能力域的做法，突破了传统孤立管理模式的局限性。
亮点总结
- 数据驱动安全：首次将数据管理与IT/OT资产并重，契合数字化转型需求。
- 动态评估模型：通过量化风险等级指导企业持续改进，优于静态合规性标准。
- 国际视野：结合跨国案例（如荷兰、巴西攻击事件）论证标准的普适性。
（注：全文约1500字，严格基于原文内容展开，未添加外部观点。）