工控安全冷思考

　　面對(duì)工控系統(tǒng)信息安全的嚴(yán)峻形勢(shì)，由中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院信息安全研究中心和其他23家單位共同發(fā)起成立了“工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)聯(lián)盟”。該產(chǎn)業(yè)聯(lián)盟成立的宗旨是搭建政府、用戶、企業(yè)、科研院所之間的交流平臺(tái)，發(fā)揮紐帶與橋梁作用，共同推進(jìn)我國(guó)工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)發(fā)展，保障關(guān)鍵基礎(chǔ)設(shè)施安全穩(wěn)定運(yùn)行，支撐中國(guó)工業(yè)健康可持續(xù)發(fā)展。

　　聯(lián)盟致力于為我國(guó)工業(yè)控制系統(tǒng)信息安全在體系建設(shè)、風(fēng)險(xiǎn)評(píng)估、標(biāo)準(zhǔn)制定、產(chǎn)品開發(fā)和評(píng)測(cè)等方面迅速有效地取得積極成效而搭建一個(gè)交流平臺(tái)。

　　形勢(shì)嚴(yán)峻

　　我國(guó)正處于工業(yè)轉(zhuǎn)型升級(jí)的關(guān)鍵期，信息化與工業(yè)化深度融合的智能化生產(chǎn)成為發(fā)展趨勢(shì)。在工業(yè)信息化過(guò)程中，現(xiàn)有工控系統(tǒng)的軟硬件、通信協(xié)議，以及管理環(huán)節(jié)往往都存在信息安全隱患風(fēng)險(xiǎn)。工控系統(tǒng)信息安全事件在近年來(lái)逐年增加，嚴(yán)重影響國(guó)家和地區(qū)的重要基礎(chǔ)設(shè)施安全，造成的損失和危害越來(lái)越嚴(yán)重，安全形勢(shì)刻不容緩。

　　美歐等國(guó)已將關(guān)鍵基礎(chǔ)設(shè)施與工控安全列為國(guó)家戰(zhàn)略。美國(guó)高度重視工控系統(tǒng)安全，采取了一系列的措施來(lái)保障關(guān)鍵基礎(chǔ)設(shè)施和工控系統(tǒng)的信息安全，通過(guò)發(fā)布國(guó)家法規(guī)戰(zhàn)略、制定工業(yè)控制系統(tǒng)安全路線圖、制定工控信息安全深度防御策略和標(biāo)準(zhǔn)、開展工控系統(tǒng)信息安全檢查和評(píng)估來(lái)保障工控系統(tǒng)的安全。

　　反觀現(xiàn)階段我國(guó)的工控系統(tǒng)信息安全，就會(huì)發(fā)現(xiàn)我國(guó)工控系統(tǒng)信息安全產(chǎn)業(yè)的規(guī)模與國(guó)外相比還有很大差距，相關(guān)工控系統(tǒng)信息安全國(guó)家標(biāo)準(zhǔn)還不夠完善。我國(guó)工控系統(tǒng)信息安全工作起步晚，總體上技術(shù)研究尚屬起步階段，管理制度不健全，相關(guān)標(biāo)準(zhǔn)體系不完善，安全防護(hù)能力和應(yīng)急處理測(cè)評(píng)能力不高。因此，應(yīng)盡快制定相關(guān)政策及標(biāo)準(zhǔn)，將工控系統(tǒng)安全納入到工業(yè)和信息化行業(yè)，并上升到國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略高度予以部署推進(jìn)。

　　我國(guó)工控系統(tǒng)安全存在多個(gè)薄弱環(huán)節(jié)，工控系統(tǒng)國(guó)產(chǎn)化程度不高，尤其是在高端市場(chǎng)基本被國(guó)外壟斷，核心的技術(shù)和元件均掌握在國(guó)外廠商手中，工控系統(tǒng)高度依賴國(guó)外，安全形勢(shì)嚴(yán)峻。

　　首先，國(guó)外工控系統(tǒng)在產(chǎn)品設(shè)計(jì)、配置等方面不可避免地存在漏洞，這些漏洞一旦被敵對(duì)勢(shì)力、恐怖組織、商業(yè)間諜、黑客組織等利用，將帶來(lái)關(guān)鍵數(shù)據(jù)和信息被竊取、被篡改破壞等問(wèn)題，還可能使涉及國(guó)計(jì)民生的工業(yè)、能源、交通等關(guān)鍵基礎(chǔ)設(shè)施遭到破壞。

　　其次，國(guó)外廠商會(huì)對(duì)工控系統(tǒng)進(jìn)行遠(yuǎn)程維護(hù)，關(guān)鍵核心數(shù)據(jù)可能被竊取并被利用。

　　當(dāng)前我國(guó)工控系統(tǒng)的安全保護(hù)水平和安全管理偏低，表現(xiàn)在缺乏有效的管理標(biāo)準(zhǔn)來(lái)監(jiān)管工控系統(tǒng)的安全，未對(duì)工控系統(tǒng)采取有效的分層保護(hù)措施、未經(jīng)允許控制的遠(yuǎn)程訪問(wèn)等。

　　此外，我國(guó)目前還缺乏應(yīng)用于工控系統(tǒng)的安全防護(hù)產(chǎn)品，工控系統(tǒng)的安全防護(hù)產(chǎn)品門類不全、為形成應(yīng)用于各個(gè)系統(tǒng)層級(jí)、各個(gè)應(yīng)用領(lǐng)域的安全防護(hù)產(chǎn)品體系不夠健全。

　　未來(lái)重點(diǎn)

　　為保障我國(guó)工控系統(tǒng)乃至關(guān)鍵基礎(chǔ)設(shè)施的安全，在有關(guān)政府主管部門的組織下，相關(guān)工控企業(yè)、標(biāo)準(zhǔn)研究機(jī)構(gòu)、測(cè)評(píng)機(jī)構(gòu)、聯(lián)盟組織應(yīng)全力合作，從建立工作機(jī)制、制定標(biāo)準(zhǔn)、提高測(cè)評(píng)能力、培養(yǎng)工控安全人員信息安全意識(shí)等方面推進(jìn)工控系統(tǒng)信息安全工作。

　　首先，應(yīng)建立主管部門和工控系統(tǒng)企業(yè)的聯(lián)動(dòng)工作機(jī)制，政府提供政策支持，企業(yè)自身做好管理和技術(shù)支持，二者協(xié)調(diào)統(tǒng)一。相關(guān)企業(yè)和科研機(jī)構(gòu)應(yīng)對(duì)出現(xiàn)的安全事件的原因分析總結(jié)，及時(shí)發(fā)現(xiàn)我國(guó)現(xiàn)有工控系統(tǒng)的隱患并給出解決方案。同時(shí)，政府指導(dǎo)推動(dòng)工控行業(yè)和優(yōu)勢(shì)企業(yè)，發(fā)展具有自主產(chǎn)權(quán)的工控系統(tǒng)的核心軟硬件，改變目前這種嚴(yán)重依賴關(guān)鍵技術(shù)產(chǎn)品進(jìn)口的不利局面，加速提升我國(guó)在工控系統(tǒng)方面的核心競(jìng)爭(zhēng)力，掌握工控產(chǎn)業(yè)發(fā)展的主動(dòng)權(quán)。

　　其次，應(yīng)加快制定工控系統(tǒng)信息安全國(guó)家標(biāo)準(zhǔn)。依據(jù)工業(yè)和信息化部發(fā)布《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》（工信部協(xié)[2011]451號(hào)文）和《國(guó)務(wù)院關(guān)于大力推進(jìn)信息化發(fā)展和切實(shí)保障信息安全的若干意見(jiàn)》（國(guó)發(fā)〔2012〕23號(hào)）等相關(guān)文件，并結(jié)合ISO/IECJTC1/SC27、IEC62443、NISTSP800-82等工控安全相關(guān)國(guó)際國(guó)外標(biāo)準(zhǔn)，從工控系統(tǒng)的技術(shù)線、管理線出發(fā)，以工控系統(tǒng)安全管理標(biāo)準(zhǔn)帶動(dòng)工控系統(tǒng)技術(shù)標(biāo)準(zhǔn)制定，統(tǒng)籌工控安全產(chǎn)業(yè)發(fā)展，建立標(biāo)準(zhǔn)體系，維護(hù)工控系統(tǒng)信息安全。

　　再次，應(yīng)加強(qiáng)工控系統(tǒng)安全評(píng)估能力建設(shè)。目前，國(guó)際上工控系統(tǒng)的物理安全測(cè)評(píng)認(rèn)證主要由歐盟、德國(guó)、英國(guó)主導(dǎo)，工控系統(tǒng)核心安全數(shù)據(jù)、核心評(píng)估工具均被國(guó)外企業(yè)和評(píng)估機(jī)構(gòu)壟斷。在工控系統(tǒng)信息安全測(cè)評(píng)領(lǐng)域，我國(guó)也剛剛起步，亟須加強(qiáng)測(cè)評(píng)技術(shù)研究、測(cè)評(píng)工具開發(fā)、測(cè)評(píng)環(huán)境建設(shè)等能力提升工作，逐步形成我國(guó)獨(dú)特的工控系統(tǒng)信息安全測(cè)評(píng)體系和工控系統(tǒng)網(wǎng)絡(luò)安全審查體系。

　　最后，應(yīng)提高工控系統(tǒng)企業(yè)信息安全意識(shí)。當(dāng)前，很多工控安全事件都是由于企業(yè)信息安全管理不當(dāng)或員工缺乏信息安全意識(shí)的誤操作引起的，因此，相關(guān)企業(yè)在對(duì)系統(tǒng)進(jìn)行管理時(shí)要對(duì)管理人員進(jìn)行信息安全培訓(xùn)，國(guó)家有關(guān)主管部門可定期對(duì)管理和操作人員進(jìn)行考核認(rèn)證，并建立問(wèn)責(zé)機(jī)制。此外還可以委托相關(guān)信息安全測(cè)評(píng)機(jī)構(gòu)建立演練模擬平臺(tái)，定期對(duì)企業(yè)員工進(jìn)行信息安全事故演練，模擬在面對(duì)工控安全突發(fā)事件時(shí)的應(yīng)急響應(yīng)。