华东理工大学教授、博士生导师 林家骏

   工业控制系统信息安全事件现状与趋势

   据权威工业安全事件信息库(Repository of Industrial SecurityIncidents, RISI)统计，截至2011年10月，全球已发生200余起针对工业控制系统的攻击事件。 对这些数据进行分析我们得出以下趋势：全行业覆盖的趋势、日益增多的趋势及国家经济越发达安全事件越多的趋势。

   我国工控系统也面临着严重的安全风险，主要体现在：

    （1）生产工艺设计人员和控制系统设计人员缺乏信息安全意识；

   （2）系统体系架构缺乏基本的安全保障：• 网络本身“一马平川”• 缺乏最基本的数据流向控制与管理• 无线信道保护不足• 现场总线协议普遍缺乏基本的安全机制• 远程现场设备物理安全

   （3）系统外联缺乏风险评估和必要的信息安全保障措施；

   （4）关键与核心设备信息安全保障不足；

   工业控制系统漏洞攻击现状与趋势

  “震网”病毒事件为全球关键基础设施核心要害系统安全问题敲响了警钟，分析工控系统所遭受的漏洞和攻击，可以看出工业控制系统漏洞攻击正向着简单控制器受攻击增大、利用网络协议进行攻击、专业攻击人员进行攻击、利用病毒进行攻击、工控信息系统漏洞挖掘与发布同时增长的趋势发展。同时，入侵途径可以通过办公网络、互联网或者是虚拟的专网、拨号连接、“可信”的第三方连接、无线网络、公共通信设施等。如果现场设备不介入任何网络，是一个“孤岛”的状态，仍有可能受到通过可移动存储和接入设备所传播的恶意软件的攻击。

   我国工控系统中大量存在漏洞和隐患，包括：系统体系结构存在共性安全隐患、工控系统自身存在安全漏洞、工控系统运行所处的系统和环境存在安全漏洞和隐患。随着信息化建设深入，工控系统开始同生产管理、ERP系统、电子商务系统等相连并逐渐纳入到统一的信息系统中，但在此过程中相关分区隔离等信息安全问题并未得到充分认识和重视。随着工业控制系统技术的发展，多工控系统集成、通过互联网/内联网/外联网进行Web访问等方式开始逐渐流行，工控系统直接暴露的风险也不断增加。工控系统中采用的工业协议中存在缺乏加密和认证等信息安全考虑。

   根据国家漏洞库(CNNVD)显示，我国各工业领域中所使用的众多国内外相关工控系统存在漏洞。

   工业控制系统信息安全对策的现状与趋势

   当前，美国、欧盟都从国家战略的层面在开展各方面的工作，积极研究工业控制系统信息安全的应对策略，我国也在政策层面和研究层面在积极开展工作，但我国工业控制系统信息安全工作起步晚，总体上技术研究尚属起步阶段，管理制度不健全，相关标准规范不完善，技术防护措施不到位，安全防护能力和应急处理能力不高，这些问题都威胁着工业生产安全和社会正常运作。我国工控信息安全的当务之急包括：

   （1）有关政府部门发布相关法令法规深入研究我国工业控制系统的行业特点和需求，有针对性地制定相关行业信息安全保障应用行规。

   （2）研究我国工业信息安全标准体系建立标准之后，就可以开展工业控制系统信息安全评估的制定工作，健全工业信息安全评估认证机制，建立有效的工业控制系统信息安全应急系统，形成我国自主的工业控制系统信息安全产业和管理体系。

   （3）对工业控制系统进行专业化的漏洞检测前提是不可影响控制系统的稳定、可靠与安全运行，否则容易引起不必要的灾害事故。

  （4）加快研发工业控制系统安防的技术和产品

  （5）工业控制系统信息安全人才的培养