導讀： 隨著信息化與自動化的融合，工業控製係統及產品越來越多的與企業管理網、互聯網等公共網絡連接，其係統本身的漏洞也在頻繁曝光，“信息安全問題越來越突出”。danmuqianzuijipoxuyaojiejuedewentizhiyishi，zengqianggongyeyonghuduixinxianquanwentidezhongshichengdu。benwencaifanglegongyekongzhixinxianquanlingyuneibuzhuanjia
，tingtingtamenduigaixingyezuizhiguandeganshouhezuipoqiedeyaoqiu。

   嘉賓：

   薛一波 清華大學信息技術研究院研究員
    胡昌振 北京理工大學兩化融合發展研究院副院長、軟件學院副院長
    王文海 浙江大學信息學院控製係研究員
    劉娜 北京石油化工學院係主任

　　“目前來看工業用戶對信息安全問題的重視程度並不高。企業領導隻重視生產和效率，而忽視安全，特別對信息安全，認為是“既麻煩，又白花錢”。”清華大學信息技術研究院研究員薛一波日前對中國工業報記者強調說。

　　“一旦工業控製係統遭到信息攻擊或破壞，其影響不僅是控製係統性能下降

，而且將造成人員傷亡、環境災難，甚至會危及公眾生活和國家安全。”

　　隨著信息化與自動化的融合，工業控製係統及產品越來越多的與企業管理網
、互聯網等公共網絡連接，其係統本身的漏洞也在頻繁曝光，“信息安全問題越來越突出”。那麼，麵對如此嚴峻的形勢我國目前在該領域主要麵臨哪些挑戰，未來的發展方向在哪
？

　　近日，記者采訪了工業控製信息安全領域內部專家，讓我們來聽聽他們對該行業最直觀的感受和最迫切的要求。

　　國內工控安全形勢嚴峻

　　從1986年前蘇聯的天然氣管道爆炸事件到2010年震驚全球的伊朗核電站“震網”病毒事件，近年來黑客、不法組織紛紛把工業控製係統作為信息攻擊的目標。

　　截至2010年10月，全球已發生200餘起針對工業控製係統的攻擊事件，尤其是2011年後
，針對工業控製係統的攻擊事件更是呈大幅度增長態勢。相關數據顯示，2011年國家信息安全漏洞共享平台就收錄了100餘個對我國影響廣泛的工業控製係統軟件安全漏洞
，較2010年大幅增長近10倍。

　　麵對如此嚴峻的形勢
，未來工控安全情形是否會好轉？清華大學信息技術研究院研究員薛一波對本報記者說，“未來工控係統安全漏洞和威脅還會繼續大幅增長
，現階段越來越多的安全人員和黑客開始關注這一領域並開始尋找新的攻擊方法。”

　　對此，北京理工大學兩化融合發展研究院副院長
、中國兵器工業信息安全與對抗技術研究中心主任，胡昌振也持同樣觀點。“工業控製係統的安全應該引起全社會的高度關注。”他表示
，隨著我國工業與信息化融合的推進，工業控製係統規模已經擴展到國家關鍵基礎設施行業，涉及水電、交通、油氣、國防等。“一旦工業控製係統遭到信息攻擊或破壞，其影響不僅是控製係統性能下降

、控製能力喪失，而且將造成人員傷亡、環境災難
，甚至會危及公眾生活和國家安全，導致國家的戰略被動、受製於人。”胡昌振強調說。

　　傳統技術麵臨挑戰

　　工業控製係統信息安全關乎經濟發展
、社會穩定、國家安全、公眾利益。業內專家紛紛表示，一旦工控係統遭到攻擊將對我國整個工業係統和社會產生巨大破壞力。

　　麵對如此緊迫的形勢，這對承擔設備傳感與檢測
、運算與控製、執行與驅動任務的工業控製係統提出了更多新的要求。然而，隨著控製裝備性能的提高、功能的豐富、尤其是基於廣域網絡的智能製造與智慧工廠，傳統的工控技術已不能夠支撐智能製造裝備、數字化生產線、數字化工廠、智慧工廠的快速發展。

　　“傳統的安全技術正麵臨新的挑戰。”浙江大學信息學院控製係研究員王文海坦言，以防火牆
、入(ru)侵(qin)檢(jian)測(ce)和(he)病(bing)毒(du)防(fang)護(hu)為(wei)主(zhu)的(de)傳(chuan)統(tong)的(de)控(kong)製(zhi)係(xi)統(tong)信(xin)息(xi)安(an)全(quan)技(ji)術(shu)僅(jin)從(cong)外(wai)部(bu)對(dui)企(qi)圖(tu)共(gong)享(xiang)信(xin)息(xi)資(zi)源(yuan)的(de)非(fei)法(fa)用(yong)戶(hu)和(he)越(yue)權(quan)訪(fang)問(wen)進(jin)行(xing)封(feng)堵(du)。對(dui)於(yu)來(lai)自(zi)於(yu)內(nei)部(bu)的(de)安(an)全(quan)威(wei)脅(xie)，常(chang)規(gui)的(de)信(xin)息(xi)安(an)全(quan)技(ji)術(shu)很(hen)難(nan)發(fa)揮(hui)其(qi)功(gong)效(xiao)
，無(wu)法(fa)防(fang)止(zhi)內(nei)部(bu)信(xin)息(xi)的(de)泄(xie)密(mi)、竊取、篡改和破壞。

　　在王文海看來，保證工業控製係統的可靠性、安全性（功能安全和信息安全）
、實時性、可用性、可維護性，以及提供一個可信賴的安全可靠的工業測控係統已成為當前十分迫切的需求。

　　據了解，工業控製係統麵臨的威脅可分為兩種：係統威脅（工業控製係統作為一個信息係統所麵臨的威脅）和過程威脅（工業控製作為一個過程所麵臨的威脅）。

　　胡昌振告訴記者
，傳統的信息安全要求實現保密性、完整性和可用性三大目標，工業控製係統信息安全則需要在協調實現這三大目標的基礎上
，突出係統的可用性。在他看來
，“係(xi)統(tong)威(wei)脅(xie)的(de)防(fang)禦(yu)可(ke)借(jie)鑒(jian)傳(chuan)統(tong)的(de)信(xin)息(xi)安(an)全(quan)成(cheng)熟(shu)解(jie)決(jue)方(fang)案(an)，過(guo)程(cheng)威(wei)脅(xie)的(de)防(fang)禦(yu)則(ze)要(yao)強(qiang)調(tiao)係(xi)統(tong)可(ke)用(yong)性(xing)的(de)保(bao)證(zheng)
，即(ji)在(zai)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)遭(zao)受(shou)攻(gong)擊(ji)時(shi)，對(dui)控(kong)製(zhi)過(guo)程(cheng)的(de)影(ying)響(xiang)不(bu)幹(gan)擾(rao)控(kong)製(zhi)任(ren)務(wu)的(de)執(zhi)行(xing)。”

　　公民意識尚淺薄弱

　　業內專家認為，對於工業控製係統信息安全防禦係統，未來在安全防禦機製以及體係構建上還需不斷探索新的技術途徑。

　　但(dan)目(mu)前(qian)最(zui)急(ji)迫(po)需(xu)要(yao)解(jie)決(jue)的(de)問(wen)題(ti)之(zhi)一(yi)是(shi)，增(zeng)強(qiang)工(gong)業(ye)用(yong)戶(hu)對(dui)信(xin)息(xi)安(an)全(quan)問(wen)題(ti)的(de)重(zhong)視(shi)程(cheng)度(du)。薛(xue)一(yi)波(bo)坦(tan)言(yan)，對(dui)於(yu)工(gong)業(ye)企(qi)業(ye)用(yong)戶(hu)來(lai)說(shuo)，國(guo)內(nei)用(yong)戶(hu)對(dui)工(gong)業(ye)網(wang)絡(luo)安(an)全(quan)普(pu)遍(bian)缺(que)乏(fa)專(zhuan)業(ye)知(zhi)識(shi)、認識不足、培訓欠缺。公司領導對計算機和網絡的了解也不足
，特別是對信息安全的危害性認識還不夠。

　　“企業與政府監督也存在問題。”薛一波表示，此前政府本身也沒有意識到信息安全的重要性；安全企業也沒有開發出高效
、實用

、已用的拳頭產品

；科研機構也沒有及時跟進這一領域
，提出好的解決方案。

　　“目前在工業控製領域懂工業控製係統又懂信息安全的技術人員還比較缺乏”。

　　北(bei)京(jing)石(shi)油(you)化(hua)工(gong)學(xue)院(yuan)係(xi)主(zhu)任(ren)劉(liu)娜(na)對(dui)記(ji)者(zhe)說(shuo)，在(zai)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)領(ling)域(yu)，由(you)於(yu)企(qi)業(ye)都(dou)是(shi)分(fen)部(bu)門(men)管(guan)理(li)，嚴(yan)重(zhong)存(cun)在(zai)負(fu)責(ze)信(xin)息(xi)安(an)全(quan)的(de)人(ren)員(yuan)了(le)解(jie)信(xin)息(xi)安(an)全(quan)相(xiang)關(guan)知(zhi)識(shi)，但(dan)不(bu)了(le)解(jie)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)

；而負責操作和維護工業控製係統的人員對信息安全的了解又很有限。“ruguoanzhaoxianxingguanlifangshi
，youxinxianquanbumenfuzegongyekongzhixitongdexinxianquanfanghu，henkenengchuxianhaipachengdanyingxiangshengchandezerenershidegongyekongzhixitongxinxianquanfanghucelveliuyuxingshi。”

　　開發拳頭產品勢在必行

　　采訪中記者了解道，由於工業控製領域核心信息係統投資規模大，很多企業基礎網絡平台、服務係統平台、安全支撐平台、控製和智能化係統都被國外產品壟斷。這些非自主產品具有封閉性強、操作複雜、技術資料短缺、持續升級維護能力差等特點，國內用戶很難組織二次開發或者自主生產。

　　因此，對於這部分進口軟硬件核心部件，國內用戶很難發現設備中是否存在“後門”、“陷阱”、“漏洞”
、“軟件炸彈”、“隱蔽指令”等安全威脅。薛一波坦言，“一旦這些漏洞被用來對工業控製網絡實施攻擊，其後果將不堪設想。”

　　“近年來國內很多信息安全事件均與此類漏洞有關。”薛一波表示，提高我國工控係統自主可控能力，已成為信息化建設的戰略需要
，並且在一定程度上能夠起到堵塞信息安全漏洞、防患於未然的效果。

　　對(dui)此(ci)劉(liu)娜(na)對(dui)記(ji)者(zhe)表(biao)示(shi)
，傳(chuan)統(tong)的(de)信(xin)息(xi)安(an)全(quan)解(jie)決(jue)方(fang)案(an)已(yi)不(bu)適(shi)用(yong)於(yu)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)。加(jia)強(qiang)具(ju)有(you)自(zi)主(zhu)知(zhi)識(shi)產(chan)權(quan)產(chan)品(pin)的(de)研(yan)究(jiu)與(yu)開(kai)發(fa)，是(shi)解(jie)決(jue)我(wo)國(guo)軟(ruan)硬(ying)件(jian)依(yi)賴(lai)進(jin)口(kou)的(de)重(zhong)要(yao)方(fang)法(fa)與(yu)途(tu)徑(jing)。

　　在控製係統硬件平台與軟件平台中，掌握核心技術與自主知識產權
，包括分布式網絡操作係統、控製編程語言與實時運行環境

、分布式實時數據庫、可信計算、安全隔離網關等方麵。

　　據記者了解，目前國家正在出台一係列的政策、專項資金來鼓勵國內企業加大研發，突破技術，掌握知識產權，推出自己的工業控製領域的信息安全產品。