隨著工業(yè)以太網的快速發(fā)展，工控系統(tǒng)網絡信息安全問題日漸顯露。以太網可能會遇到包括病毒感染、非法操作等網絡安全隱患;而軟件的漏洞、錯誤配置或者網絡管理的失誤也會造成工控網絡異常;另外，工業(yè)控制系統(tǒng)網絡與其他網絡連接時缺乏安全邊界控制，也是常見的安全隱患。2010年的震網病毒就是例證，最近的“棱鏡門”事件又再次為信息網絡安全敲響了警鐘，對此，我們應當如何應對，這些安全隱患究其根底原因何在?另外，工信部451號文件(即《關于加強工業(yè)控制系統(tǒng)信息安全管理的通知》)已出臺近兩年，為何工控網絡信息安全依舊得不到應有的重視?最重要的是，隨著智能電網的接入環(huán)境變得更加復雜，電網調度系統(tǒng)以及電力通信網絡的信息安全又當如何保障?帶著這些疑問，記者采訪了北京中科網威信息技術有限公司(下稱中科網威)的總裁助理殷國強。

工控信息網絡缺乏安全設計 “打補丁”治標不治本

作為國內最早從事工業(yè)控制系統(tǒng)網絡安全信息安全研究的安全廠商。由中科網威研制推出的工業(yè)防火墻、網絡資產安全風險異常監(jiān)測平臺的工業(yè)網絡安全產品以及“網威工業(yè)控制系統(tǒng)網絡信息安全時空防御模型”解決方案已被廣泛應用于電力、軍工、工控等領域。對于工控信息網絡安全存在的諸多安全隱患，殷國強表示，工業(yè)控制系統(tǒng)網絡安全是一個新的課題。根據我們的研究，目前我國工業(yè)控制系統(tǒng)網絡安全問題頻發(fā)原因主要有兩方面，一方面是管理，另一方面是技術。”

在殷國強看來，管理上，目前工控網絡信息安全主要有五個方面的問題。一是組織不健全?，F(xiàn)有的工業(yè)自動化管理體系和信息安全管理體系尚未完成有機結合，難以有效應對工業(yè)控制網絡安全挑戰(zhàn);二是工業(yè)信息安全管理制度缺失。沒有可以參照的安全標準規(guī)范，缺乏經過實踐檢驗的工業(yè)控制系統(tǒng)網絡安全管理制度流程，從而難以有效實現(xiàn)工業(yè)控制系統(tǒng)網絡的安全規(guī)范管理;三是相關人員缺乏安全培訓。面對全新的課題，從管理人員到一線操作人員普遍缺乏對工業(yè)信息安全的認識，更談不上有效的針對性培訓，一旦出現(xiàn)問題，往往無力應對;四是監(jiān)管執(zhí)行不力。由于組織不健全、安全管理標準和制度缺失，加上技術方面原因，直接導致監(jiān)管措施難以落實，從而使高層管理人員對安全風險難以把控;五是技術措施不到位。在缺乏標準規(guī)范的情況下，無法安排有效的技術措施，也無法確保技術措施真正發(fā)揮作用。

同時在技術上也存在一系列問題，首先是缺乏對攻擊手段的研究和工業(yè)信息安全防護及檢測手段，對攻擊手段的一無所知直接造成了防護的無從下手。其次，缺乏對技術設備的控制，我國的工業(yè)控制系統(tǒng)中的關鍵設備95%以上都是進口的，對于其內部結構、組成、隱藏功能都缺乏了解，也沒有有效的技術和法律控制措施，很難保證沒有暗藏的后門、病毒、木馬、邏輯炸彈等破壞手段。最重要的是，缺乏信息安全設計，沒有安全模塊設計就談不上安全保障。據殷國強透露，目前，所謂的安全防護大都是通過“打補丁”的方式進行，這種方式可以暫時取得防護效果，但是從長遠來看，治標不治本，或許還會帶來更大的風險。

政策與利益脫節(jié) 企業(yè)領導不帶頭造成下游無力

近年來，工控系統(tǒng)網絡存在的諸多安全隱患也引起了國家相關部門的重視。2011年，工信部下發(fā)了451號文件《關于加強工業(yè)控制系統(tǒng)信息安全管理的通知》，其中明確規(guī)定加強重點領域工業(yè)控制信息系統(tǒng)安全管理，文件要求須斷開工業(yè)控制系統(tǒng)同公共網絡之間的所有不必要連接;工控系統(tǒng)組網時要同步規(guī)劃、同步建設、同步運行安全防護措施;另外，應加強對技術服務的信息安全管理，在安全得不到保證的情況下禁止采取遠程在線服務。

但據記者了解，目前，上述要求落實情況很不樂觀，很多企業(yè)尚未達到要求，很多解決方案還一直停留在理論階段，無法大范圍推廣實施。對此，殷國強說：“理論研究是可以理解的，而且必須有足夠的理論研究才能在實踐中加以運用，否則，遇到問題手足無措也會造成極大的浪費甚至得不償失。但是，我們不能只停留在理論層面上，只一味高喊要重視工控網絡信息安全行動上卻無動于衷，這樣止步不前終究不會有進步。而且理論實踐本就是辯證統(tǒng)一的關系，理論指導實踐，實踐驗證理論，只有兩者相結合才會有最好的結果。”

據了解，中科網威工業(yè)級防火墻在2012年通過了電力行業(yè)測評，成為中國首家通過電力協(xié)議訪問控制專業(yè)測評的工業(yè)級防火墻生產廠商。在殷國強看來，取得這樣的成果，主要在于領導重視，董事長兼總裁劉兵親自掛帥主抓工業(yè)安全產品的研發(fā)和推廣，這在目前是國內同等規(guī)模企業(yè)中唯一的一家。領導的重視帶來資源的集中，中科網威在工業(yè)控制系統(tǒng)安全方面的理論研究、產品開發(fā)、產品測試和對外合作都集中了全公司的技術力量，從而取得了長足的進步。據了解，現(xiàn)在很多企業(yè)的現(xiàn)狀是，只有主管工控的工程師重視信息安防，公司領導不重視，加上國家的相關政策大多只是一些指導意見，跟企業(yè)沒有直接的利益掛鉤，造成了目前工控網絡信息安防下游無力的局面。事實上，不僅工控領域，我國的智能電網調度系統(tǒng)和電力通信網絡也遭遇了同樣的困境。

電網調度系統(tǒng)大而龐雜 信息安全須及早防護

電網調度系統(tǒng)大而龐雜，隨著我國同步電網規(guī)模的擴大，智能化設備、新技術逐步廣泛應用到電力系統(tǒng)網絡中，使智能電網的接入環(huán)境變得更加復雜，電網的安全性及電力通信網絡信息安全面臨新的挑戰(zhàn)。據殷國強介紹，中科網威在電網的信息安全防護產品方面做出了極大努力。“首先，我們加強了對電網攻擊技術手段的研究;其次，在研究的基礎上開發(fā)了適合電力調度網的電力專用防火墻、風險監(jiān)測平臺等系列產品;最后，我們還聯(lián)合其他科研機構比如電科院等在一些電力企業(yè)進行試點，改進產品技術，使之更加可靠、有效。”殷國強說。

據記者了解，日前，中科網威參與國家電網安防設備招標并成功中標。而其電力專用防火墻及解決方案，在西北電網、東北電網和南網也均已投入使用。對于公司的未來發(fā)展，殷國強表示，公司將會一如既往的把工業(yè)控制系統(tǒng)信息安全作為戰(zhàn)略目標和發(fā)展方向，其中，電力行業(yè)信息安全防護是重中之重。