Module 02 · 对应课件 sld2
工业 4.0 与“人”的因素：新技术带来新漏洞，人是最弱的一环
Industry 4.0/5.0 and Cyber Security · Education, Awareness and Compliance
这一章几乎没有技术难点，概念多、送分题多，样题 Part 2 的 20 题里有一大半是判断题。它的主线只有两句话：技术越先进、越互联，攻击面越大；再好的技术，也会被一个粗心的员工打穿。
学完这一章，你应该能：
- 说出工业 1.0 到 5.0 各自的标志，记住“工业 4.0 一词起源于德国”；
- 讲清 IoT、云计算、AI、数字孪生、CPS 各自带来什么安全问题；
- 说出员工行为的三大问题，以及安全意识、培训、教育的作用；
- 识别 7 种日常骗局：邮件、鱼叉、短信、搜索结果、社交媒体、二维码、电话；
- 说出合规的定义、好处和建立合规项目的 5 个步骤；
- 会算风险分 Threat × Vulnerability × Asset，会检查密码是否合规。
- “如果考 compliance，每题都会有计算”：风险评分和密码合规检查是本章可能的期末计算。
- 样题不会原样出现，真题比样题简单。样题里有些题是故意出得“看起来都对”，让你想清楚为什么。
1五次工业革命：从蒸汽机到人机协作
“工业 4.0”这个词你一定听过。要理解它为什么和网络安全有关，先看前几次革命分别改变了什么。
- 1.0 机械化和蒸汽；2.0 电力、大规模生产、流水线；3.0 计算机、自动化、电子。这三次革命让企业更高效。
- 4.0 把数字孪生、人工智能、高速有线/无线网络、云计算、虚拟化结合起来，目标是智能产品、智能流程、智能工厂，乃至智能国家。
- 5.0 关注“人”：人与 AI 驱动的机器人协作，共同解决社会面临的挑战。注意是协作，不是取代。
样题 Q2-1：“The term industry 4 or i4.0 originated in ___”，选项是 USA / China and Singapore / Both / None of the above。答案是 D，因为它起源于德国（课件说是 WEF 创始人 Klaus Schwab 在 2015 年底到 2016 年初正式使用）。正确答案不在选项里，所以选 None。
1.0 到 3.0 时代，工厂里的机器是“孤岛”：一台机床坏了就是坏了，没人能从国外远程控制它。4.0 时代，每台机器都联网了。远程监控变得很方便，但黑客也能远程进来。课件 P2-26 的原话：“This interconnectivity creates security holes.”
“人与 AI 机器人一起工作，为社会挑战提供解决方案”描述的是第几次工业革命？
5.0 的关键词是 man and machines working together。4.0 强调的是智能化和互联。
2工业 4.0 的关键技术，以及它们各自的安全隐患
课件把工业 4.0 的驱动技术逐个介绍，每一个后面都跟着“但是有安全问题”。用一张表把“它是什么”和“危险在哪”对上号：
| 技术 | 用大白话说 | 安全隐患 |
|---|---|---|
| IoT / IIoT （工业）物联网 | 让传感器、摄像头、机器都连上网，自动采集和传输数据。IIoT 的理念是“机器比人更准确、更稳定地采集数据”。2024 年约 180 亿台设备，2030 年约 321 亿台 | 数量巨大，且很多设备安全设计很差：超过 200 万台 IoT 设备可被完全接管（P2-6）。模块 1 的 Mirai 僵尸网络就是 IoT 设备组成的 |
| Cloud computing 云计算 | 不用自己买服务器，租用网上的远程服务器来存储和计算，按用量付费。2006 年开始流行 | 最常见的攻击是用 DoS 打可用性；其他攻击破坏存储数据的机密性和完整性（P2-8）。CIA 三项全中 |
| AI & Big Data | 大数据是 AI 的“燃料”：用来训练 AI，AI 又被用来从大数据里挖洞见 | 数据集中意味着泄露代价更大；网络犯罪增长了 400%；攻击者也在用 AI 写钓鱼邮件、找漏洞 |
| Digital twin 数字孪生 | 给资产、人、流程、系统、设备、场所做一个虚拟复制品；企业可以在上面开发新产品的虚拟原型 | 它提供的洞察和控制能力，同样可以被攻击者利用（P2-18） |
| Virtualization 虚拟化 | 把工厂的传感器数据和虚拟模型连起来，美国的一台电脑可以替中国的工厂做生产决策 | 主要挑战：物理资产和虚拟模型之间的信息交换要安全 |
| CPS 信息物理系统 | 计算能力和物理能力集成在一起的“智能系统”：智能电网、自动驾驶、医疗监测、机器人、自动驾驶航电 | 被攻击时后果是物理的（停电、撞车），保护它是网络防御中最复杂的问题之一 |
| Smart factory 智能工厂 | IIoT 把 AI、云、机器人带进工厂，效率更高、错误更少、更灵活 | 制造业是第三大被攻击行业，仅次于金融和政府；35% 的制造商因安全顾虑不敢全力投资数字化 |
课件 P2-26：工业 4.0/5.0 依赖整个生态中设备的互联；互联在系统里到处制造安全漏洞，因为从安全角度无法确定数据从哪里来、到哪里去。所以数据可见性（data visibility）是智能制造车间最大的安全挑战。
IoT 是工业 4.0 的驱动力，但是……（样题 Q2-3）
IoT 已经大量用在工业里（IIoT），现在就很普及，问题在于不安全。
云计算可以被 DDoS 破坏可用性，其他攻击会破坏存储数据的什么？
课件原文就是 “the confidentiality and integrity of the stored data”。加上 DDoS 打的 A，云计算面临的威胁覆盖了整个 CIA。
“The concept of Industry 4.0 depends upon connectivity, however, this interconnectivity creates cyber security holes.”
这就是本节的主线（样题 Q2-5）。
3人是最弱的一环：员工行为带来的三大问题
很多数据泄露不是黑客技术多高超，而是有人点了不该点的链接、把密码贴在显示器上、离职前带走了客户名单。课件 P2-31 说，研究表明员工的行为，无论是恶意的还是无意的（both malicious and unintentional），都造成了大量损失。
员工行为相关的三大问题：
| 问题 | 是否故意 | 例子 |
|---|---|---|
| Errors and omissions 错误与疏忽 | 无意 | 把客户资料发错邮箱；忘了给服务器打补丁；用了弱密码 |
| Fraud 欺诈 | 故意 | 财务人员利用权限做假账、挪用资金 |
| Actions by disgruntled employees 心怀不满的员工 | 故意 | 被辞退前删除数据库、埋逻辑炸弹、把机密卖给竞争对手 |
城堡的墙再高，如果守门人开门放了陌生人进来（疏忽），或者守门人自己就是内应（欺诈、不满），墙就没有用了。模块 1 讲的 insider threat 就是这一节的延续。
与员工行为相关的主要安全问题包括？（样题 Q2-8）
三个都是课件原文列出的，选 All of the above。同理样题 Q2-7：员工行为可能是 malicious，也可能是 unintentional，选 Both。
4安全意识、培训和教育：让员工从漏洞变成防线
既然人是弱点，办法就是培养人。课件 P2-32 讲了这类项目的四个作用，每一条都可能出题：
- 威慑：让员工清楚自己要承担的责任和可能的处罚，从而遏制欺诈和报复行为；
- 消除借口：员工不可能遵守自己不知道的规定；如果不培训，员工被抓时可以说“我不知道”，执法就很难；
- 限制组织的法律责任：持续的培训能证明公司已经尽到了“应有的注意”（due care）；
- 满足合规：法规和合同可能要求必须培训。
样题 Q2-9 的干扰项说“不能要求员工参加意识培训，因为这会让他们承担责任”。逻辑完全反了：培训限制的是组织的责任，而且员工必须参加。
安全意识政策必须写清的三件事（P2-33）
- 每位员工都必须参加意识项目，包括新员工入职培训和定期活动；
- 每个人都有足够的时间参加；
- 明确由谁负责管理和开展这些活动。
样题 Q2-10 给了前两条，答案是 Both a and b。
意识 vs 培训：别混淆
| Awareness 意识 | Training 培训 | |
|---|---|---|
| 目的 | 让人知道安全很重要、自己有什么责任 | 教会人技能，让他们更安全地完成 IT 工作 |
| 课件原话 | Employees are aware of their responsibilities | Training teaches what people should do and how they should do it |
| 形式 | 海报、提醒邮件、入职介绍 | 按角色设计的课程 |
培训内容要按角色区分（P2-34），职位越高，越关注目标和领导：
| 对象 | 培训重点 |
|---|---|
| 普通用户 | 良好的计算机安全习惯 |
| 程序员、开发者、系统维护人员 | 培养开发者的安全意识（security mindset） |
| 中层管理者 | 如何在安全风险、成本和收益之间做权衡 |
| 高管 | 风险管理目标、度量、领导力 |
“Cyber security training teaches what people should do and how they should do it.”
课件原句（样题 Q2-11）。
给公司 CEO 做的安全培训，重点应该是？
高管层关注的是 risk management goals, measurement, leadership。A 是普通用户的内容，B 是开发者的内容。
5骗局图鉴：社会工程的 7 种日常形态
课件 P2-36 用一句话概括社会工程：Distraction and Misdirection（分散注意力、误导）。骗子让你以为他是你信任的人，诱导你做某件事。下面 7 种形态，样题 Part 2 的判断题几乎都出自这里，答案全是 True。
| 形态 | 怎么骗 |
|---|---|
| Email phishing | 看起来像来自银行、PayPal、Google、Amazon，甚至你们公司 CEO 的邮件 |
| Spear phishing | 专门针对你，研究过你，知道你的家人、单位和老板，骗到你的几率更高 |
| Smishing | 短信钓鱼，人们回短信比回邮件快 |
| Google search scams | 搜索结果靠前的链接也可能是钓鱼网站：骗子也做 SEO。看 URL：标题写 Venmo，网址却是 sites.google.com |
| Social media scams | 社交媒体上满是假账号，可能用你真实朋友的名字和头像 |
| QR code scams | 把自己的二维码贴纸贴在餐厅的真二维码上，扫了就跳到假网站 |
| Vishing | 电话诈骗，来电号码可以伪造得和银行一模一样 |
防骗清单（P2-46）
- 越紧急，越冷静：不要让情绪左右判断；
- Call and verify：用你自己知道的号码回拨核实；
- 检查邮件地址和 URL 有没有拼写错误；
- 开启多因素认证（MFA）；留意措辞风格；多问几个问题。
勒索软件和 U 盘的安全习惯（P2-47～49）
- 不从来路不明的网站下载文件；警惕带附件的钓鱼邮件；
- 不把公司邮箱和密码用在私人用途；不把密码存在文本文件或表格里；
- 不用公共充电站（可能被动过手脚）；不插不是自己的 U 盘；U 盘上的数据要加密，以防丢失。
“Some of the top search results in Google are phishing links.”
True（样题 Q2-14）。排名靠前不代表可信。这一组判断题（Q2-13～16：spear phishing、Google 搜索、社交媒体假账号、vishing 伪造号码）全部是 True。
以下哪些是社会工程的例子？①电话：“我是系统管理员 John，你的密码是多少？” ②邮件：“ABC 银行发现你的账户有问题，点击链接并输入密码解决。”
两个都是课件 P2-37 原图上的例子（样题 Q2-12 选 Both）。记住：真正的管理员和银行永远不会问你要密码。
6合规（Compliance）：守规矩为什么也是安全
Cybersecurity compliance 就是遵守法律、法规和标准，这些规定由某个机构、法律或权威团体制定，目的是保护数据、系统和网络（P2-51）。常见的有：欧盟的 GDPR（个人数据保护）、支付卡行业的 PCI DSS、美国医疗行业的 HIPAA。
餐厅要通过卫生检查：冰箱温度、员工健康证、消毒记录都有标准。合规就是企业的“网络安全卫生检查”：照着标准做，既少出事，出了事也能证明自己尽了责。
为什么重要
没有组织能完全免疫攻击；中小企业被当成“低垂的果实”，更容易被盯上；数据泄露会损害声誉和财务，还常常引发官司。
合规的好处（P2-52）
- 保护声誉；维持客户信任；建立客户信心和忠诚度；
- 帮助识别、解读并防范潜在的数据泄露；改善组织的安全态势；
- 保护知识产权（商业机密、产品规格、源代码），带来竞争优势。
建立合规项目的 5 个步骤
① 组建合规团队（Creating a Compliance Team）
IT 团队是主力，但要组建专门的团队。课件原话：“Forming a compliance team is necessary when implementing a thorough compliance program.”（样题 Q2-19：True）
② 建立风险分析流程，分四步：
- Identify 识别：找出所有接触数据的信息系统、资产和网络；
- Assess 评估：评估每类数据的风险等级；
- Analyze 分析：风险 = 泄露的可能性 × 影响（或成本）；
- Set tolerance 设定容忍度：对每个风险决定缓解（mitigate）、转移（transfer，比如买网络保险）、驳回（refute）或接受（accept）。
③ 设置控制措施（Setting Controls）
控制可以是技术控制（密码、访问控制列表），也可以是物理控制（监控摄像头、围栏）（样题 Q2-20：True）。例子：加密、防火墙、密码策略、网络保险、员工培训、事件响应计划、访问控制、补丁管理计划。
④ 制定政策（Creating Policies）
把控制措施写成 IT 团队、员工和其他相关方必须遵守的政策。以后的内部审计和外部审计都会用到这些文件。
⑤ 监控与快速响应（Monitoring and Quick Response）
法规会更新，所以要持续监控。合规项目的目标是在威胁变成全面泄露之前就识别和管理风险；被攻击时也要有能快速补救的流程。
课件 P2-56 还列了合规的 9 个关键领域：访问控制（基于角色、最小权限、MFA）、数据保护（加密、数据脱敏、备份）、事件响应计划、风险管理、审计与日志、政策文档、培训与意识、第三方风险（供应商也要合规）、渗透测试与漏洞管理。
关于网络安全合规，哪项正确？（样题 Q2-17）
A 是定义。B 是胡扯：合规不是为了给用户添堵。
7两道计算题：风险评分与密码合规检查
风险评分
Risk = Threat × Vulnerability × Asset Value
每一项按 1–5 打分，分数越高风险越大。最高分是 5 × 5 × 5 = 125，所以可以用“得分 ÷ 125”换算成百分比。
课件例题：一家医院给某系统打分：威胁可能性 4，脆弱性 3，资产价值 5。Risk = 4 × 3 × 5 = 60，60 ÷ 125 = 48%，课件判为 medium（中等风险）。
三个因子各是什么意思？Threat：有没有人想攻击、攻击有多频繁；Vulnerability：系统有多少弱点（没打补丁、弱密码）；Asset value：被攻破后损失有多大（病人的医疗记录价值就很高）。三者相乘的含义是：任何一项为 0，就没有风险，比如没有任何弱点的系统，威胁再大也打不进来。
风险评分计算器
风险 = 威胁 × 脆弱性 × 资产价值，每项 1–5 分，分越高风险越大。注意：老师课上把医院例子 4 × 3 × 5 口误说成“16”，正确是 60（60 ÷ 125 = 48%）。
密码合规检查
课件例题（P2-58）：公司密码策略：至少 12 个字符，必须包含至少 1 个大写字母、1 个小写字母、1 个数字和 1 个符号。用户密码是 MyPassword123，合规吗？
逐条对照：长度 13 ✓；大写 M、P ✓；小写 y、a、s… ✓；数字 1、2、3 ✓；符号：没有 ✗。只要有一条不满足，结论就是 Non-compliant（不合规）。
密码合规检查器
输入一个练习用的密码（不要输入你真实使用的密码），看它是否满足课件的策略。
威胁 5、脆弱性 2、资产价值 4，风险分和百分比是？
5 × 2 × 4 = 40；40 ÷ 125 = 32%。相加或除以 100 都是常见错误。
8本章小结
- 工业 1.0 蒸汽 → 2.0 电力流水线 → 3.0 计算机自动化 → 4.0 智能互联 → 5.0 人机协作；“工业 4.0”一词起源于德国。
- 工业 4.0 的关键技术：IoT、云、AI 和大数据、数字孪生、虚拟化、CPS、智能工厂。互联制造漏洞，数据可见性是最大挑战；制造业是第三大被攻击行业。
- 云：DoS 打可用性，其他攻击打机密性和完整性。
- 员工三大问题：疏忽、欺诈、心怀不满；员工行为既有恶意的也有无意的。
- 培训的作用：威慑、消除“我不知道”、限制组织责任、满足合规。意识政策三件事：人人参加、给足时间、明确负责人。
- Training 教 what + how；内容按角色分层。
- 7 种骗局（邮件、鱼叉、短信、搜索、社交、二维码、电话），相关判断题全是 True。
- 合规 = 遵守法律、法规和标准；五步：团队 → 风险分析 → 控制 → 政策 → 监控；控制分技术控制和物理控制。
- Risk = T × V × A（满分 125）；密码合规要逐条检查。
本章对应 Sample Quiz Part 2（20 题）和刷题本 P2 的 9 道自编题。去刷题本，在章节里选 P2。