控制系统安全防护 “强身健骨”是关键

工业化与信息化的融合，促进工业生产的同时，也存在不少弊端。信息安全问题始终影响工业生产安全。当前工业控制系统的脆弱性，给安全问题带来巨大隐患。

随着工业化与信息化进融合发展，更多的信息技术应用到工业领域。目前，超过80%的涉及基础设施实现自动化作业需要利用工业控制系统，可以说工业控制系统已经成为国家关键基础设施的重要组成部分。因此，工业控制系统安全关系到国家战略安全。

另一个关系到工业安全的信息安全问题也得到国家的高度重视。各领域的信息安全需求不断增加，新的安全技术不断涌现。在“工业4.0”的引领下，封闭的工业控制网络逐步向着互连互通发展，并成为不可避免的趋势，这必然会产生大量的工业信息安全问题。

两化深度融合“脆弱”的控制系统亟需防护

工业与信息互联互通下，控制系统的脆弱弊端暴露无遗。但工业控制系统领域与传统的信息安全领域有很大的不同。工业控制系统强调的是工业自动化过程及相关设备的智能控制、监测与管理，而且更为关注系统的实时性与业务连续性。

当前主流的工业控制系统普遍存在安全漏洞，而这些漏洞中甚至是能造成远程攻击、越权执行的严重威胁类漏洞。近两年内，这些漏洞的数量更是呈快速增长的趋势。工业控制系统通信协议种类繁多、系统软件难以及时升级、设备使用周期长以及系统补丁兼容性差、发布周期长等现实问题，导致工业控制系统的补丁管理困难。因此，在处理威胁严重的漏洞时，十分棘手。

此外，操作管理人员的技术水平和安全意识差别较大，人员安全意识缺乏容易发生越权访问、违规操作，给生产系统埋下极大的安全隐患。同时，工业控制系统领域还没有足够的安全政策、管理制度，来规范操作管理人员。在面对新型的APT攻击时，相关人员无从下手，严重缺乏有效的应对措施。

国内系统安全防护标准化任重道远

面对如此脆弱的工业控制系统，不得不面对工控安全问题时，国家开始采取措施来弥补不足。目前，公安部牵头组织编制工业控制系统信息安全等级保护系列标准，包括基本要求、设计技术指南和测评要求三部分。针对不同的具体工业控制系统，各项标准也在加紧制定过程中，比如，报至全国工业过程测量和控制标准化技术委员会联合全国信息安全标准化技术委员会的可编程序控制器（PLC）系统信息安全要求、集散控制系统（DCS）安全防护要求等。

在工业行业领域，国家能源局信息中心和北京油气调控中心分别牵头组织编制相关专业领域安全防护标准。总体来说，国内工业控制系统信息安全领域标准正在逐步建立和完善，在翻译和消化国外类似标准规范的同时，国内工业控制系统制造企业积极参与标准制定工作，在技术要求的国产化方面起到了很大的作用。

目前，当务之急是建立切实可行且行之有效的工业控制系统等级保护强制标准，约束新建工业控制系统信息安全的同时，也能对原有工业控制系统起到很好的监督作用。此外，各个工业行业应向电力行业看齐，积极制定符合本行业特征的工业控制系统信息安全标准规范，以指导和规范本行业的工业控制系统信息安全工作。

工业控制系统安全建议

通常情况下，工业控制系统安全可以分成三个方面，即功能安全、物理安全和信息安全。功能安全是为了达到设备和工厂安全功能，受保护的、和控制设备的安全相关部分必须正确执行其功能，而且当失效或故障发生时，设备或系统必须仍能保持安全条件或进入到安全状态。物理安全是减少由于电击、火灾、辐射、机械危险、化学危险等因素造成的危害。信息安全是能够减少对系统资源的非授权访问和非授权或意外的变更、破坏或者损失。

工业控制系统安全的重要性及其普遍安全防护措施不足的现实，使得加强工业控制系统的安全性成为一项艰巨的任务。下面笔者总结了几条工业控制系统安全防护的建议：

1、加强对工业控制系统的脆弱性的合作研究，提供针对性地解决方案和安全保护措施。

2、从源头开始控制，运营组织和关键提供商建立工业控制系统开发的全生命周期安全管理。

3、分析检测及防护，积极展开与安全研究组织或机构的合作，加强对分析研究。

4、同时开发工业控制系统行业专用的漏洞扫描、补丁管理及系统配置核查工具。

5、尽可能采用安全的通信协议及规范，并提供协议异常性检测能力，建立针对ICS的违规操作、越权访问等行为的有效监管。

6、建立完善的ICS安全保障体?，加强安全运维与管理。同时更要加强针对ICS的新型攻击技术的防范研究。