摘自：《今日自動化》，第7期
目前，信息安全事件在國內工業界尚未發現，但這并不意味著我國的工業系統就是安全的。2012年，在拉斯維加斯舉行的黑客大會上，黑客現場進攻中國重要行業的儀控系統的演示足以證明這一事實。
居安思危自古有之，面對工業信息安全事件，業內人士也必須有這樣的意識。對于層出不窮的新型網絡攻擊，我們不但要從意識上保持高度的警惕，亦要從技術上加強防患，探索適合工控領域的信息保護措施，樹立正確的安防理念，建立有中國特色的工控安保（security）體系。然而，這不是一蹴而就的事情。
威脅源自系統開放 工控人須另辟蹊徑
2010年，“震網”病毒攻擊伊朗核電站，造成伊朗核電站推遲發電一年半之久并且損壞大量的鈾濃縮機。“震網”病毒集中攻擊重要行業的基礎設施，被一些專家稱作是全球首個投入實戰舞臺的“網絡武器”。除此之外，各國專家相繼檢測出Night Dragon、Duqu、Flame等病毒。這些越來越“高級”的網絡武器無不牽動著國內工業界人士的神經，工業控制系統信息安全正經受嚴峻的考驗。
凡事預則立不預則廢。近年來，國外頻發的信息安全事件引起了我國有關部門的高度重視。為了確保國家經濟安全，加強工業控制系統的信息安全迫在眉睫。2011年9月，工信部發布了“關于加強工業控制系統信息安全管理的通知”，通知一經發出，引起了國內許多專家的熱烈討論。
隨著互聯網技術的發展及應用，工業控制系統向著網絡化、智能化以及開放式的方向發展，特別在信息化和工業化深度融合的大環境下，企業的自動化和信息化程度不斷提高，為了獲取及時準確的生產信息，越來越多的工業控制設備接入企業局域網中，開放式的網絡帶來好處的同時，也給外部的威脅提供了入侵機會。
中國儀器儀表學會教授夏德海認為，病毒入侵的源頭在于系統的開放性，開放的系統為用戶提供了更多的選擇，也為供應商帶來了更多地商機，但是，由于工控產品的生命周期為15~20年，相較于IT行業3~5年的產品周期，系統開放給工控領域帶來的好處已經在系統不斷的升級和維護中消耗殆盡。由此看來，在信息安全技術處于起步階段的今天，一味的開放未必是好事。
目前，對于如何確保工控信息安全的問題上，業內還存在一些爭議。夏教授認為，信息安全領域的攻防戰是永無止盡的，隨著病毒的不斷升級和技術的日益復雜，工控安保（security）的發展將面臨極大的挑戰。他提出了“暫時回歸封閉系統”的想法。
“當然，這種回歸不是簡單機械的復舊，而是螺旋式的上升。”夏教授解釋道。的確如此，在安全技術尚不能滿足業內需求的情況下，回歸封閉也不妨為一種“曲線救國”的策略。“在研發對外封閉的企業專用云計算控制系統的同時，用戶應盡量采用國產設備，這樣不僅可以減少外界攻擊，還可以增加網絡攻擊方尋找漏洞的難度。”夏教授繼續說道，“當安保（security）措施足以抵抗外界攻擊時，系統可重新開放。”
當然，這并不是唯一的途徑。在競爭日益激烈的國際環境下，轉型升級成為中國制造業的主旋律，開放式的系統是大勢所趨。現在，中國制造業整體進入一個平穩發展的階段，工控界是否也應借機進行一番思考，先積聚能量，然后再全速前進。
面對如此尷尬的局面，如何找出一條“中庸之道”在加快兩化融合的同時保證工業系統信息安全是每一位工控人應該思考的問題。對此，夏教授指出，建立中國特色的工控安保（security）體系，我們可以借鑒中國抵抗外侵過程中積累的經驗，如自衛反擊、有力有理有節等成功經驗。
工控、IT聯手打造特色防御體系
現在，業界討論最多的防御措施無非是縱深防御體系，“縱深防御”的概念來自于軍事戰略，是一種很有歷史淵源的全面而深入的延遲敵人進攻的戰爭方式，是一種通過每道防線完成不同的使命，最終達到將敵方擊潰的策略。將其用于工控界“信息安全”領域，是指通過設置多層重疊的安全防護系統而構成多道防線，從企業的ERP系統逐漸深入到現場層。
暫且不論這樣的引用是否合理，縱深防御體系是否真的像看上去那么牢固也很耐人尋味。夏教授說道：“實際上，在整個工控界，對于不可知的病毒攻擊，目前仍然沒有有效的解決辦法。”更為關鍵的是，縱深防御體系的建立勢必會帶來用戶成本的上升，而企業的防御能力并未成正比增長，這也是用戶企業必須考慮的現實問題。
從成本和抵御風險需求這兩方面看，工控領域的信息安全是有“度”的，但這個“度”只適合某些領域，例如遭受攻擊后損失不大且容易恢復的領域。對于電力、石油石化、水工業、高鐵等國家重點基礎設施領域，涉及到國家經濟發展、民生安全以及國家榮譽，簡單地從可用性、可靠性和保密性的優先順序來考慮工控信息安全“度”的問題還有待商榷。另外，保密性和安全性不能混為一談。俗話說“千里之堤，潰于蟻穴”，在任何領域，“安全第一”的意識都不容忽視。
除此之外，有關專家提到了工控信息安全“三分靠技術，七分靠管理”。這一概念是否直接引自IT行業對信息安全的描述不得而知。但是，IT行業與工控行業有著本質的區別，這一點是業內公認的。工控系統對實時性、可靠性的要求甚至高于保密性的要求，這一特點決定了工控系統的信息安全技術不能照搬照抄IT行業的技術，而要結合工控的實際情況，將防火墻、縱深防御、蜜罐等IT界行之有效的安全技術加以改進和創新，真正建立適合工控系統的信息安全技術體系。工業信息安全的管理策略和人的因素當然非常重要，但管理應是技術的彌補途徑，只有將技術和管理兩者恰當的結合起來才能保護工控信息安全。
夏教授告訴記者，要解決工業信息安全問題，必須先從工控和IT行業的互學習開始，彼此不斷了解，共同策劃，才能使具有中國特色的、有效的工控安保（security）體系盡快出爐。
另外，夏教授表示，建立具有中國特色的安保（security）體系首先要制定具有自主知識產權的工控安保標準和測試方法，建立完整的、獨立自主的安保（security）認證機構，打造三位一體的安保（security）防御體系；其次要重點建設電力、石油石化、水工業、高鐵等重點行業的強制性安保標準，確保工控信息安全得到相應的重視。
