工業(yè)化與信息化的融合，促進工業(yè)生產(chǎn)的同時，也存在不少弊端。信息安全問題始終影響工業(yè)生產(chǎn)安全。當前工業(yè)控制系統(tǒng)的脆弱性，給安全問題帶來巨大隱患。

隨著工業(yè)化與信息化進融合發(fā)展，更多的信息技術應用到工業(yè)領域。目前，超過80%的涉及基礎設施實現(xiàn)自動化作業(yè)需要利用工業(yè)控制系統(tǒng)，可以說工業(yè)控制系統(tǒng)已經(jīng)成為國家關鍵基礎設施的重要組成部分。因此，工業(yè)控制系統(tǒng)安全關系到國家戰(zhàn)略安全。

另一個關系到工業(yè)安全的信息安全問題也得到國家的高度重視。各領域的信息安全需求不斷增加，新的安全技術不斷涌現(xiàn)。在“工業(yè)4.0”的引領下，封閉的工業(yè)控制網(wǎng)絡逐步向著互連互通發(fā)展，并成為不可避免的趨勢，這必然會產(chǎn)生大量的工業(yè)信息安全問題。

工業(yè)控制系統(tǒng)太脆弱

工業(yè)與信息互聯(lián)互通下，控制系統(tǒng)的脆弱弊端暴露無遺。但工業(yè)控制系統(tǒng)領域與傳統(tǒng)的信息安全領域有很大的不同。工業(yè)控制系統(tǒng)強調(diào)的是工業(yè)自動化過程及相關設備的智能控制、監(jiān)測與管理，而且更為關注系統(tǒng)的實時性與業(yè)務連續(xù)性。

當前主流的工業(yè)控制系統(tǒng)普遍存在安全漏洞，而這些漏洞中甚至是能造成遠程攻擊、越權執(zhí)行的嚴重威脅類漏洞。近兩年內(nèi)，這些漏洞的數(shù)量更是呈快速增長的趨勢。工業(yè)控制系統(tǒng)通信協(xié)議種類繁多、系統(tǒng)軟件難以及時升級、設備使用周期長以及系統(tǒng)補丁兼容性差、發(fā)布周期長等現(xiàn)實問題，導致工業(yè)控制系統(tǒng)的補丁管理困難。因此，在處理威脅嚴重的漏洞時，十分棘手。

此外，操作管理人員的技術水平和安全意識差別較大，人員安全意識缺乏容易發(fā)生越權訪問、違規(guī)操作，給生產(chǎn)系統(tǒng)埋下極大的安全隱患。同時，工業(yè)控制系統(tǒng)領域還沒有足夠的安全政策、管理制度，來規(guī)范操作管理人員。在面對新型的APT攻擊時，相關人員無從下手，嚴重缺乏有效的應對措施。

國內(nèi)系統(tǒng)安全防護標準化任重道遠

面對如此脆弱的工業(yè)控制系統(tǒng)，不得不面對工控安全問題時，國家開始采取措施來彌補不足。目前，公安部牽頭組織編制工業(yè)控制系統(tǒng)信息安全等級保護系列標準，包括基本要求、設計技術指南和測評要求三部分。針對不同的具體工業(yè)控制系統(tǒng)，各項標準也在加緊制定過程中，比如，報至全國工業(yè)過程測量和控制標準化技術委員會聯(lián)合全國信息安全標準化技術委員會的可編程序控制器（PLC）系統(tǒng)信息安全要求、集散控制系統(tǒng)（DCS）安全防護要求等。

在工業(yè)行業(yè)領域，國家能源局信息中心和北京油氣調(diào)控中心分別牽頭組織編制相關專業(yè)領域安全防護標準?？傮w來說，國內(nèi)工業(yè)控制系統(tǒng)信息安全領域標準正在逐步建立和完善，在翻譯和消化國外類似標準規(guī)范的同時，國內(nèi)工業(yè)控制系統(tǒng)制造企業(yè)積極參與標準制定工作，在技術要求的國產(chǎn)化方面起到了很大的作用。

目前，當務之急是建立切實可行且行之有效的工業(yè)控制系統(tǒng)等級保護強制標準，約束新建工業(yè)控制系統(tǒng)信息安全的同時，也能對原有工業(yè)控制系統(tǒng)起到很好的監(jiān)督作用。此外，各個工業(yè)行業(yè)應向電力行業(yè)看齊，積極制定符合本行業(yè)特征的工業(yè)控制系統(tǒng)信息安全標準規(guī)范，以指導和規(guī)范本行業(yè)的工業(yè)控制系統(tǒng)信息安全工作。

工業(yè)控制系統(tǒng)安全建議

通常情況下，工業(yè)控制系統(tǒng)安全可以分成三個方面，即功能安全、物理安全和信息安全。功能安全是為了達到設備和工廠安全功能，受保護的、和控制設備的安全相關部分必須正確執(zhí)行其功能，而且當失效或故障發(fā)生時，設備或系統(tǒng)必須仍能保持安全條件或進入到安全狀態(tài)。物理安全是減少由于電擊、火災、輻射、機械危險、化學危險等因素造成的危害。信息安全是能夠減少對系統(tǒng)資源的非授權訪問和非授權或意外的變更、破壞或者損失。

工業(yè)控制系統(tǒng)安全的重要性及其普遍安全防護措施不足的現(xiàn)實，使得加強工業(yè)控制系統(tǒng)的安全性成為一項艱巨的任務。下面筆者總結了幾條工業(yè)控制系統(tǒng)安全防護的建議：

1、加強對工業(yè)控制系統(tǒng)的脆弱性的合作研究，提供針對性地解決方案和安全保護措施。

2、從源頭開始控制，運營組織和關鍵提供商建立工業(yè)控制系統(tǒng)開發(fā)的全生命周期安全管理。

3、分析檢測及防護，積極展開與安全研究組織或機構的合作，加強對分析研究。

4、同時開發(fā)工業(yè)控制系統(tǒng)行業(yè)專用的漏洞掃描、補丁管理及系統(tǒng)配置核查工具。

5、盡可能采用安全的通信協(xié)議及規(guī)范，并提供協(xié)議異常性檢測能力，建立針對ICS的違規(guī)操作、越權訪問等行為的有效監(jiān)管。

6、建立完善的ICS安全保障體系，加強安全運維與管理。同時更要加強針對ICS的新型攻擊技術的防范研究。

更多資訊請關注工業(yè)安全頻道