控制系統漏洞頻出 安全意識亟待提高
http://www.debgrams.com 2014-09-30 08:29 來源：中國工業報
“安全問題是國家乃至全球的大事，針對自動化領域，最常見的安全問題就是工業控制系統的信息安全。”
在日前的“2014工業控制系統信息安全年”大型主題系列活動——北京站活動中，中國自動化學會副理事長、清華大學自動化系主任周東華教授如是強調說。
事實上，我國目前也在遭受著工業控制系統信息安全漏洞的困擾。據中國電子技術標準化研究院信息安全研究中心副主任范科峰博士的調研來看，從2003年到現在，我國每年都有工業控制系統的信息安全事件發生，形勢非常嚴峻。
在這場由中國自動化學會專家咨詢工作委員會主辦、工業控制系統信息安全產業聯盟（ICSISIA）協辦、主題為“環保與安全”的活動中，有來自全國30個省市自治區的百余名代表出席，他們從各自的專業領域，為我國工控系統的信息安全發展紛紛支招。
信息安全危機四伏
據報道，權威工業安全事件信息庫RISI的統計顯示，截至2011年10月，全球已發生200余起針對工業控制系統的攻擊事件。而2001年后，通用開發標準與互聯網技術的廣泛使用，使得針對工業控制系統(ICS)的病毒、木馬等攻擊行為大幅度增長，結果導致整體控制系統的故障，甚至惡性安全事故，對人員、設備和環境造成嚴重的后果。比如伊朗核電站的震網病毒等事件，給全球工業界控制系統的信息安全問題都敲響了警鐘。
“目前我國工控系統的信息安全形勢非常嚴峻，而近年來的工控安全事件也逐漸增加，嚴重影響了國家尤其是基礎設施領域的信息安全。”在中國電子技術標準化研究院信息安全研究中心副主任范科峰博士看來，我國當前工控系統的信息安全形勢不容樂觀，工控領域的安全可靠性問題比較突出。
他介紹說，美國、歐洲已經把工控安全和國家的基礎設施安全統一列為國家的安全戰略。而美國政府更是高度重視工控安全，采取很多措施來保證基礎設施的工控信息安全，同時在國家工控系統相關的法規戰略、縱深防御戰略、以及評估等方面都做了很多工作。
而國內的狀況是，工控系統的核心基礎設備依賴國外產品，嵌入式軟件、總線協議、工控軟件等核心技術都受制于國外，由于我國的工控產業綜合競爭力不強，工控系統面臨的威脅比較多，而且漏洞頻發。
“我們通過調研了解到，工控系統很多都缺乏比較完善的、安全的架構、設計，包括風險評估和基本的安全保證能力都比較缺乏，工控系統的信息安全還缺乏正式發布的、完善的標準等。”范科峰表示。
安全意識亟待提高
在會議上，北京力控華康科技有限公司副總經理龔亮華做了《工控信息安全形勢分析與風險評估》的報告，他認為，很多的信息安全問題都是由于管理不善造成的，技術只是亡羊補牢的手段，因此，“企業最應該做的就是提高安全意識，采用更加完善的管理手段。”
他表示，構建滿足工業控制系統的全廠級風險識別模型，除了需要細化工業控制系統的風險因素，還需要建立基于工業控制系統的安全管理域，實施分等級的基線建設，兼顧包括終端與鏈路、威脅與異常、安全與可用性等綜合因素的功能考慮。
而帶來《Havex病毒的“X”分析——新一代的工控網絡APT對抗》報告的匡恩網絡科技總裁兼首席執行官孫一桉，也認為，要真正解決信息安全對抗體系，必須要有前沿的技術和體系的創新，而我國現今的工業控制信息安全產業鏈是非常不完整的，因此我們更要提倡整體的解決方案。
范科峰的建議是，制定工業控制系統信息安全標準，要從技術線、管理線出發，以管理標準帶動技術標準制定，統籌工控安全產業發展，建立標準體系。針對我國工控系統信息安全檢查制度、測評體系建立的需求對工控系統安全相關概念、參考模型、安全管理要求進行規范，為工控安全分級、測評和檢查工作提供支撐和依據。
“目前已向世界提出了全新的網絡安全理念，而這些理念也被世界認同接受，創建全新未來網絡安全體系刻不容緩。”原工信部科技司網絡標準工作組秘書長劉亞東透露說，他在會上做了《網絡安全存在的問題與未來網絡安全的要求》的報告。
會上，作為國家工控機及系統工程研究中心、北京康拓科技有限公司的代表，王迎春結合安全計算機研制與生產銷售的情況，介紹了當前安全計算機的若干問題。他表示，安全計算機是在工業控制計算機的基礎上，結合國際安全規范，進行了系統化、工程化的軟、硬件設計。近年來，隨著國家戰略需求與行業應用需求的不斷增多，安全計算機逐漸成為了熱點話題。
“工業4.0標志著工業生產進入了互聯網時代，網絡物理生產系統將成為第四次工業革命的基礎。”菲尼克斯電氣（南京）研發工程中心有限公司副總裁杜品圣博士在活動上做了題為《互聯自動化，實現工業4.0的關鍵》的報告，他表示，工業4.0是生產制造模式的變革，生產力推動了社會的發展，生產制造方法的改革提高了生產力。生產制造系統采用聯網的嵌入式系統，以及物聯網和基于WEB的服務，將帶我們走上第四次工業革命的道路。“而要進行工業4.0的變革，首先要完成工業3.0，IT行業專家與自動化專家必須合作，要有長期的規劃，跨行業，跨專業整合協調作戰。”
此外，在此次會議上，施耐德電氣工業事業部工業信息安全首席專家王斌，國核柏斯頓新能源科技（北京）有限公司副總工程師羅凱，淮南聯合大學洪濱，清華大學教授蕭德云，中國自動化學會專家咨詢工作委員會主任委員孫柏林等都帶來了精彩的報告。
在高速發展30多年后，中國已成為世界第二大經濟體，但在GDP增長的同時，巨額的“生態赤字”已經出現，大范圍曠日持久的霧霾天氣、嚴重的水污染等都在威脅著人們的安全。實現中國夢、建設美麗中國，必須更加重視轉變發展方式，提高發展質量。這對自動化產業來說，既是動力，亦是壓力。未來，隨著“兩化融合”的持續深入，信息技術與自動化技術必將大有可為。
相關鏈接
我國工控系統安全非常脆弱
“現在無線、網絡系統提高了工控效率，但開放的體系使得信息安全問題暴露無疑，目前工控最大隱患是很多行業和企業還沒有意識到工控安全非常脆弱。很多重點行業企業應該要考慮如果明天一旦出現世界級的安全危險，目前的工控系統是否能夠引導工廠正常安全地生產。”工業和信息化部電子科學技術情報研究所（工業和信息化部電子第一研究所）副所長李新社在中國工業信息化及信息安全發展論壇上發出的警示。
記者了解到，我國工業控制系統信息安全管理工作中仍存在不少問題，主要是對工業控制系統信息安全問題重視不夠，管理制度不健全，相關標準規范缺失，技術防護措施不到位，安全防護能力和應急處置能力不高等，威脅著工業生產安全和社會正常運轉。
李新社表示，原先工控系統是封閉的，但信息化帶來的是體系的開放互聯，病毒等威脅無處不在，形勢非常嚴峻。近幾年以來，政府、企業等各方都在積極參與工控系統安全建設，很多企業都帶來自主研發的自主知識產權的工控產品。但國內工控安全水平、發展速度與歐美發達國家相比差距仍非常大。
工業控制系統信息安全事關工業生產運行、國家經濟安全和人民生命財產安全。李新社表示，國家對工業控制安全高度重視，2011年底發布的《關于加強工業控制系統信息安全管理的通知》已經成為了推動國內工控安全的指導性文件。他認為“自主可控，安全可靠”應該是國內工控信息安全發展的技術指導思想。
編輯精選
