專門針對工業控制系統的“震網”病毒感染了全球超過45000個網絡，它被稱為有史以來最復雜的網絡武器，因為它悄然襲擊伊朗核設施的手法極其陰險。這給全球工業控制系統的安全敲響了警鐘。

　　“目前我國工業控制系統尤其是高端系統還處于無設防的狀態，一旦遇到信息安全事故后果不堪設想！”工業控制系統信息安全技術國家工程實驗室主任宋黎定在接受《中國電子報》記者采訪時說。

　　12月1日，我國工業控制系統信息安全技術國家工程實驗室（以下簡稱實驗室）在北京正式揭牌宣告成立，這標志著國家對工控系統信息安全的重視程度上升到新的高度，“可發現、可防范、可替代”將成為我國工控系統建設目標。

　　我國工控安全形勢嚴峻

　　工控系統逐漸采用通用的通信協議、硬軟件系統，不設防地暴露于互聯網上。

　　隨著物聯網等信息技術高速發展，以往相對封閉的工業控制系統逐漸采用通用的通信協議、硬軟件系統，部分工業控制系統也能夠以某些方式連接到互聯網等公共網絡上，越來越多的工業控制系統暴露于互聯網上。

　　由于工業控制系統廣泛采用通用軟硬件和網絡設施，以及與企業管理信息系統的集成，導致工業控制系統越來越開放，并且與企業內網，甚至是與互聯網產生了數據交換。傳統信息網絡所面臨的病毒、木馬、入侵攻擊、拒絕服務等安全威脅也正在向工控系統擴散。

　　根據美國國土安全部的工業控制系統網絡應急響應小組（ICS-CERT）的統計，從2012年10月~2013年5月，該組織響應的針對關鍵基礎設施的攻擊報告超過200起，已超過2012年全年，其中能源領域111起，占53%，關鍵制造業32起，占17%。

　　我國工控安全形勢更為嚴峻，原因有三個方面：首先，現有系統未建立安全防線。傳統工業控制系統封閉運行，產品設計安全意識薄弱，基本未考慮安全防護，也沒有形成針對工業控制的安全產品和技術。隨著工業控制系統越來越多地采用公開協議、接入互聯網，通用信息系統安全問題蔓延到工業控制系統，而現有工業控制系統基本處于沒有任何信息安全防護措施的局面。

　　其次，產品和服務對外依存度高，“帶病上崗”普遍。據統計，我國22個行業900套工業控制系統主要由國外廠商提供產品，相關系統運維也由國外廠商直接接管，存在漏洞的國外工業控制產品大量應用于我國重點領域工業控制系統，在數據采集與監控系統（SCADA）、分布式控制系統（DCS）、過程控制系統（PCS）中國外產品分別占據了55.12%、53.78%及76.79%的份額，在大型可編程控制器（PLC）中則占據了94.34%的份額。

　　最后，缺少工控系統信息安全仿真驗證環境。工業控制系統多為實時在線系統且影響重大，不易進行安全故障分析排查、產品檢測和替換、解決方案驗證等工作的開展。

　　可以說實驗室的成立的目的就是對這些短板逐漸補齊。“成立實驗室首先要做三件事：制定標準，這是基礎；成立系統檢測、漏洞掃描的專業機構；加快國產化步伐。”宋黎定表示。

　　當然，實驗室只是產業協同發展的一個平臺部門。“要想切實保障我國工業控制系統的信息安全，還需產、學、研、用以及各方面通力配合。”西安電子科技大學副校長楊銀堂說。

　　正在完善安全標準體系

　　完善工控安全標準體系迫在眉睫，檢測、評估、認證服務領域隱藏巨大商機。

　　我國工控領域現有系統在設計之初，并未考慮工控系統信息安全防護，而且傳統信息安全技術不適應工控領域的特殊情況，因此，系統的頂層設計就顯得格外關鍵。對于頂層設計而言，標準制定是其主要內容，也是基礎。

　　記者了解到，目前國內工控信息安全相關標準仍在建設之中，同時缺少自主可控的檢測認證技術與工具，而且安全咨詢評估等相關服務體系的建設仍在探索中，這一系列因素也造成了我國的大多數工控系統處于不設防狀態。

　　工業控制系統信息安全技術檢測認證研究室副主任李航告訴《中國電子報》記者，一個完善的工控系統信息安全標準體系必須適應工控系統所有應用領域，比如石油、化工、冶金和電力；不僅要涵蓋現場設備層，還要涵蓋現場控制層、過程監控層，以及MES層；還要貫穿于產品全生命周期，包括產品設計、制造、使用、維護和回收。

　　據了解，實驗室在制定標準方面的主要任務就是積極跟蹤和參與國際相關標準規范制定，實現與國際認證機構的互認，體現我國工業安全意志；加快推動我國相關標準規范的制定，建立完善的標準體系；加速人才隊伍培養，依據標準建設工控信息安全檢測認證能力。

　　制定標準完善標準體系只是第一步，接下來根據標準衍生出的檢測、評估、認證服務也至關重要。

　　“目前，我國工控領域對信息安全服務認可度不高，一方面是因為缺少可供參考的標準規范，另一方面是因為針對工控領域信息安全的檢測、評估、認證服務技術手段匱乏。”李航坦言。

　　他建議，為提升工控領域信息安全整體服務水平，在不斷健全國家相關標準和發展自主可控安全技術體系的基礎上，應該建設工業控制系統安全試驗仿真平臺服務支撐環境，從而為行業用戶提供定制化的安全評估、安全咨詢、安全防護等服務。

　　在楊銀堂副校長看來，隨著整個工控系統信息安全市場環境不斷改善和市場規模不斷擴大，檢測認證和安全防護等技術和服務將有巨大的市場空間。