高端市場被國外壟斷，我國工控系統安全隱患普遍存在
http://www.debgrams.com 2014-09-04 16:16 來源：中國電子報
當前，我國正處于工業轉型升級的歷史時期，信息化與工業化深度融合的智能化生產成為發展趨勢。在工業信息化過程中，現有工業控制系統(以下簡稱工控系統)的軟硬件、通信協議，以及管理環節往往都存在信息安全隱患風險。
工控系統安全隱患普遍存在
以“保密性-完整性-可用性”為設計要求的信息安全解決方案和標準很難滿足工控行業對信息安全的需求。
工控系統信息安全事件在近年來逐年增加，嚴重影響國家和地區的重要基礎設施安全，造成的損失和危害越來越嚴重，安全形勢刻不容緩。美歐將關鍵基礎設施與工控安全列為國家戰略。美國高度重視工控系統安全，采取了一系列的措施來保障關鍵基礎設施和工控系統的信息安全，通過發布國家法規戰略、制定工業控制系統安全路線圖、制定工控信息安全深度防御策略和標準、開展工控系統信息安全檢查和評估來保障工控系統的安全。
隨著我國工業轉型升級進程的加快，電子計算機和計算機網絡等技術在工業控制中的應用日益廣泛，許多工業設備均已配備各種類型的現場總線通訊接口和各種類型的工業以太網通訊接口，具有強大的上行、下行網絡通訊能力。然而，工控系統的智能化、網絡化的發展在推進工業生產發展的同時，也帶來了諸多的安全隱患。例如，企業遠端用戶通過互聯網連接至SCADA系統(數據采集與監視控制系統)，因此該系統面臨著遠程控制和網絡入侵等多種安全威脅。通用通信協議、軟硬件及大量的TCP/IP技術在工業控制系統中的應用，使得工業控制系統在與傳統企業網絡高度一體化的同時，也引入了傳統IT領域的信息安全問題。另外，能夠提供工業安全技術或服務能力的企業少之又少。據統計，在出席SPS IPC Drivers展覽會的1429家參展商中，大多數工控系統供應商專注于工控系統本身的發展，只有寥寥16家展商涉及工控安全。
對工控系統重視程度和投入不足，導致了當前工控系統領域安全隱患普遍存在的現狀。長期以來，我國信息安全不是工控系統的首要設計目標，以“保密性-完整性-可用性”為設計要求的信息安全解決方案和標準很難滿足工控行業對信息安全的需求，因此存在著適用程度低等問題。
現階段我國的工控系統信息安全產業的規模與國外相比還有很大差距，相關國家標準大多處于研究階段，我國工業控制系統信息安全工作起步晚，總體上技術研究尚屬起步階段，管理制度不健全，相關標準體系不完善，安全防護能力和應急處理測評能力不高。因此，應盡快制定相關政策及標準，將工控系統安全納入到工業和信息化行業，并上升到國家網絡安全戰略高度予以部署推進。
工控系統高端市場被國外壟斷
核心技術和元件均掌握在國外廠商手中，例如在“震網”病毒中中招的西門子SCADA系統在我國應用就相當廣泛。
今天，工業控制系統已經成為電力、水利、石油化工、天然氣和交通運輸等關鍵設備的基石，工控系統的安全事件會對國家、企業造成巨大的經濟損失和社會損失，直接關系到國家的戰略安全。2011年7月，從杭州開往福州的D3115次列車與從北京開往福州的D301次列車追尾事故，造成40人死亡、172人受傷，中斷行車32小時35分，直接經濟損失19371.65萬元；2012年4月，深圳遭遇10年來最大范圍的停電事故，福田、羅湖、龍崗3個區停電2個小時，經濟損失達8個億；2013年11月，中石化輸油儲運公司濰坊分公司輸油管線破裂，直接經濟損失7.5億元。
這些事件反映出我國工控系統存在多個薄弱環節，國產化程度不高，尤其是高端市場基本被國外壟斷，核心技術和元件均掌握在國外廠商手中，安全形勢嚴峻。
首先，國外工業控制系統在產品設計、配置等方面不可避免地存在漏洞，這些漏洞一旦被敵對勢力、恐怖組織、商業間諜、黑客組織等利用，不僅會帶來關鍵數據和信息被竊取、被篡改破壞等問題，還可能使涉及國計民生的工業、能源、交通等關鍵基礎設施遭到破壞。例如，2010年爆發的“震網”病毒，專門針對西門子的SCADA系統，可以造成鋼鐵、電力、能源、化工等重要行業運行異常，商業資料失竊，甚至停工停產。而西門子公司的該套系統在我國的應用相當廣泛。
其次，國外廠商會對工業控制系統進行遠程維護，關鍵核心數據可能被竊取并被利用。例如，我國的SCADA系統普遍采用Windows等操作系統，這就給該系統中可能存在的后門程序提供了可乘之機。而我國工控系統的安全保護和安全管理水平又偏低，缺乏有效的管理標準來監管系統安全。
此外，我國目前還缺乏應用于工控系統的安全防護產品，產品門類不全，體系也不夠健全。(中國電子技術標準化研究院信息安全研究中心副主任 范科峰)
編輯精選
