近日爆發(fā)的“棱鏡門”事件，不僅為網絡信息安全敲響了警鐘，而且引發(fā)了工業(yè)控制系統(tǒng)信息安全的大討論。“一旦出現(xiàn)工業(yè)信息安全威脅，生產人員不知道‘敵人’何時入侵，也不知已潛伏的‘定時炸彈’何時爆發(fā)，一有風吹草動，不免風聲鶴唳，草木皆兵，怎么叫人安心生產？”中國儀器儀表學會技術顧問、教授級高級工程師夏德海不無憂慮地說。

誠然，隨著兩化融合的不斷深入，工業(yè)控制系統(tǒng)被廣泛應用于水處理、能源、電力、化工、交通運輸、金融等行業(yè)的關鍵基礎設施中，而且越來越多地采用通用協(xié)議、硬件和軟件，并與公共網絡進行互連，因此，一旦工控系統(tǒng)受到攻擊，將會直接導致關鍵基礎設施癱瘓，甚至對國家的經濟和社會釀成不可挽回的災難性后果。“關鍵基礎設施信息安全成為懸在各國政府頭上的達摩克利斯之劍，采取措施加強其信息安全保障能力勢在必行。”工業(yè)和信息化部賽迪智庫信息安全研究所馮偉說。

因此，如何確保工控系統(tǒng)的安全可控，已不僅僅是單個研究機構或企業(yè)要思考的問題，更需要國家層面進行戰(zhàn)略布局，產業(yè)界群策群力。為此，在近日召開的工業(yè)控制系統(tǒng)安全發(fā)展高峰論壇上，來自學術界、政府智庫以及信息安全廠商的工控系統(tǒng)研究專家濟濟一堂，共同就如何防控工控系統(tǒng)病毒和木馬等問題進行了熱烈地討論和交流。

建立信息安全等級保護制度

當前，工業(yè)控制信息化、三網融合、物聯(lián)網、云計算在內的多種新型信息技術的發(fā)展與應用，不僅給我國工業(yè)控制系統(tǒng)信息安全保障工作提出了新任務，也對信息安全等級保護工作形成了全面挑戰(zhàn)。

國家信息化專家咨詢委員會委員沈昌祥院士表示，在工業(yè)控制系統(tǒng)方面，2010年“震網”病毒事件破壞了伊朗核設施，震驚全球。這標志著網絡攻擊從傳統(tǒng)“軟攻擊”階段升級為直接攻擊電力、金融、通信、核設施等核心要害系統(tǒng)的“硬摧毀”階段。應對高強度連續(xù)攻擊(APT)已成為確保國家關鍵基礎設施安全，保障國家安全、社會穩(wěn)定、經濟發(fā)展、人民生活安定的核心問題。而傳統(tǒng)的封堵安全防護做法難以解決封閉實時處理的工業(yè)控制系統(tǒng)安全問題。

“因此，應該把工控系統(tǒng)的信息安全納入信息安全等級保護制度的框架中。”沈昌祥表示，信息安全等級保護作為我國信息安全保障的基本制度，需要從技術和管理兩個方面進行安全建設，做到可信、可控、可管。并且，高安全信息系統(tǒng)要具有抵御來自敵對組織高強度連續(xù)攻擊(APT)的能力，以及防止內部人員內外勾結攻擊的能力。”

在信息安全等級保護工作方面，我國已有相關文件出臺。2004年9月15日由公安部、國家保密局、國家密碼管理局和國信辦聯(lián)合下發(fā)《關于信息安全等級保護工作的實施意見》明確實施等級保護的基本做法。2007年6月22日又由四單位聯(lián)合下發(fā)《信息安全等級保護管理辦法》(43號文件)，規(guī)范了信息安全等級保護的管理。

總的來說，我國信息安全等級保護工作要堅持正確的技術路線，從國情出發(fā)，按需適度安全，逐步發(fā)展完善。具體來講，沈昌祥認為要做到以下五點：第一，要加強定級對象信息系統(tǒng)整體防護，建設管理中心支持下的計算環(huán)境、區(qū)域邊界、通信網絡三重防護體系結構。第二，要重點做好操作人員使用的終端防護，把住攻擊發(fā)起的源頭關，做到操作使用安全。第三，防內為主，內外兼防，提高計算節(jié)點自身防護能力，減少從外部入口上的封堵。第四，加強技術平臺支持下的安全管理，應與業(yè)務處理、監(jiān)控及日常安全管理制度相結合。第五，為便于技術方案實施，整改時不改或少改原有的應用系統(tǒng)，以信息處理流程制定安全策略，實施訪問控制。

加強工控系統(tǒng)安全保障能力

隨著兩化深度融合的推進，網絡化管理操作成為關鍵基礎設施發(fā)展的趨勢的同時也使得針對關鍵基礎設施的病毒和木馬攻擊也呈現(xiàn)出攻擊來源復雜化、攻擊目的多樣化以及攻擊過程持續(xù)化的特征。此外，由于我國芯片、操作系統(tǒng)等軟、硬件產品，以及通用協(xié)議和標準90%以上依賴進口，這使得我國工控系統(tǒng)的核心技術受制于國外，高端市場擁有自主知識產權的產品和系統(tǒng)較少。加之棱鏡門事件的爆發(fā)，如何夯實工控系統(tǒng)信息安全保障能力成為當務之急。為此，馮偉建議從以下幾個方面著手：抓緊建立關鍵基礎設施網絡安全法律體系；加速打造自主可控的IT和工業(yè)控制系統(tǒng)產業(yè)生態(tài)體系；加強對外國企業(yè)在華業(yè)務的管理，明確外國企業(yè)在國內提供產品、技術和服務時的責任和義務，防范外國企業(yè)對我國信息網絡的窺探。

自主可控安全網關引關注

在信息安全廠商的典型經驗介紹中，基于國產芯片的信息安全裝備———南方工業(yè)控制安全網關吸引了包括記者在內的與會聽眾的關注。

廣東南方信息安全產業(yè)基地有限公司總裁陳洪表示，之所以研制工業(yè)控制安全網關，是為了確保工業(yè)控制系統(tǒng)敏感數(shù)據的安全。

陳洪及其研究團隊認為，要確保工業(yè)控制網絡敏感數(shù)據安全，必須很好地解決發(fā)送設備與接收設備之間敏感數(shù)據的采集、傳輸、存儲、利用過程中的信息安全問題，即通過研發(fā)工業(yè)控制網關，解決工業(yè)控制系統(tǒng)設備遠程訪問安全問題。工業(yè)控制網絡攻擊防御對抗的焦點在于對遠程通信數(shù)據的保護。

陳洪表示，南方團隊工業(yè)控制安全網關基站使用自主知識產權芯片SSX1019，算法位于獨立的算法區(qū)中。實現(xiàn)了利用自主知識產權技術保障用戶敏感數(shù)據安全。

“工業(yè)控制系統(tǒng)網絡部署工業(yè)控制安全網關后，確保了工業(yè)控制網絡通信的安全性、數(shù)據的保密性，最大程度的避免了網絡病毒、黑客入侵等行為導致的工業(yè)控制系統(tǒng)信息安全問題。與此同時，應該看到工控設備漏洞、工業(yè)應用漏洞、平臺系統(tǒng)漏洞等工業(yè)控制網絡存在的安全隱患，需要更多的信息安全企業(yè)一起研發(fā)自主知識產權的技術或產品，增強我國工業(yè)控制網絡設施