隨著工業以太網的快速發展，工控系統網絡信息安全問題日漸顯露。以太網可能會遇到包括病毒感染、非法操作等網絡安全隱患;而軟件的漏洞、錯誤配置或者網絡管理的失誤也會造成工控網絡異常;另外，工業控制系統網絡與其他網絡連接時缺乏安全邊界控制，也是常見的安全隱患。2010年的震網病毒就是例證，最近的“棱鏡門”事件又再次為信息網絡安全敲響了警鐘，對此，我們應當如何應對，這些安全隱患究其根底原因何在?另外，工信部451號文件(即《關于加強工業控制系統信息安全管理的通知》)已出臺近兩年，為何工控網絡信息安全依舊得不到應有的重視?最重要的是，隨著智能電網的接入環境變得更加復雜，電網調度系統以及電力通信網絡的信息安全又當如何保障?帶著這些疑問，記者采訪了北京中科網威信息技術有限公司(下稱中科網威)的總裁助理殷國強。

        工控信息網絡缺乏安全設計 “打補丁”治標不治本

        作為國內最早從事工業控制系統網絡安全信息安全研究的安全廠商。由中科網威研制推出的工業防火墻、網絡資產安全風險異常監測平臺的工業網絡安全產品以及“網威工業控制系統網絡信息安全時空防御模型”解決方案已被廣泛應用于電力、軍工、工控等領域。對于工控信息網絡安全存在的諸多安全隱患，殷國強表示，工業控制系統網絡安全是一個新的課題。根據我們的研究，目前我國工業控制系統網絡安全問題頻發原因主要有兩方面，一方面是管理，另一方面是技術。”

       在殷國強看來，管理上，目前工控網絡信息安全主要有五個方面的問題。一是組織不健全。現有的工業自動化管理體系和信息安全管理體系尚未完成有機結合，難以有效應對工業控制網絡安全挑戰;二是工業信息安全管理制度缺失。沒有可以參照的安全標準規范，缺乏經過實踐檢驗的工業控制系統網絡安全管理制度流程，從而難以有效實現工業控制系統網絡的安全規范管理;三是相關人員缺乏安全培訓。面對全新的課題，從管理人員到一線操作人員普遍缺乏對工業信息安全的認識，更談不上有效的針對性培訓，一旦出現問題，往往無力應對;四是監管執行不力。由于組織不健全、安全管理標準和制度缺失，加上技術方面原因，直接導致監管措施難以落實，從而使高層管理人員對安全風險難以把控;五是技術措施不到位。在缺乏標準規范的情況下，無法安排有效的技術措施，也無法確保技術措施真正發揮作用。

       同時在技術上也存在一系列問題，首先是缺乏對攻擊手段的研究和工業信息安全防護及檢測手段，對攻擊手段的一無所知直接造成了防護的無從下手。其次，缺乏對技術設備的控制，我國的工業控制系統中的關鍵設備95%以上都是進口的，對于其內部結構、組成、隱藏功能都缺乏了解，也沒有有效的技術和法律控制措施，很難保證沒有暗藏的后門、病毒、木馬、邏輯炸彈等破壞手段。最重要的是，缺乏信息安全設計，沒有安全模塊設計就談不上安全保障。據殷國強透露，目前，所謂的安全防護大都是通過“打補丁”的方式進行，這種方式可以暫時取得防護效果，但是從長遠來看，治標不治本，或許還會帶來更大的風險。

        政策與利益脫節 企業領導不帶頭造成下游無力

        近年來，工控系統網絡存在的諸多安全隱患也引起了國家相關部門的重視。2011年，工信部下發了451號文件《關于加強工業控制系統信息安全管理的通知》，其中明確規定加強重點領域工業控制信息系統安全管理，文件要求須斷開工業控制系統同公共網絡之間的所有不必要連接;工控系統組網時要同步規劃、同步建設、同步運行安全防護措施;另外，應加強對技術服務的信息安全管理，在安全得不到保證的情況下禁止采取遠程在線服務。

       但據記者了解，目前，上述要求落實情況很不樂觀，很多企業尚未達到要求，很多解決方案還一直停留在理論階段，無法大范圍推廣實施。對此，殷國強說：“理論研究是可以理解的，而且必須有足夠的理論研究才能在實踐中加以運用，否則，遇到問題手足無措也會造成極大的浪費甚至得不償失。但是，我們不能只停留在理論層面上，只一味高喊要重視工控網絡信息安全行動上卻無動于衷，這樣止步不前終究不會有進步。而且理論實踐本就是辯證統一的關系，理論指導實踐，實踐驗證理論，只有兩者相結合才會有最好的結果。”

       據了解，中科網威工業級防火墻在2012年通過了電力行業測評，成為中國首家通過電力協議訪問控制專業測評的工業級防火墻生產廠商。在殷國強看來，取得這樣的成果，主要在于領導重視，董事長兼總裁劉兵親自掛帥主抓工業安全產品的研發和推廣，這在目前是國內同等規模企業中唯一的一家。領導的重視帶來資源的集中，中科網威在工業控制系統安全方面的理論研究、產品開發、產品測試和對外合作都集中了全公司的技術力量，從而取得了長足的進步。據了解，現在很多企業的現狀是，只有主管工控的工程師重視信息安防，公司領導不重視，加上國家的相關政策大多只是一些指導意見，跟企業沒有直接的利益掛鉤，造成了目前工控網絡信息安防下游無力的局面。事實上，不僅工控領域，我國的智能電網調度系統和電力通信網絡也遭遇了同樣的困境。

        電網調度系統大而龐雜 信息安全須及早防護

       電網調度系統大而龐雜，隨著我國同步電網規模的擴大，智能化設備、新技術逐步廣泛應用到電力系統網絡中，使智能電網的接入環境變得更加復雜，電網的安全性及電力通信網絡信息安全面臨新的挑戰。據殷國強介紹，中科網威在電網的信息安全防護產品方面做出了極大努力。“首先，我們加強了對電網攻擊技術手段的研究;其次，在研究的基礎上開發了適合電力調度網的電力專用防火墻、風險監測平臺等系列產品;最后，我們還聯合其他科研機構比如電科院等在一些電力企業進行試點，改進產品技術，使之更加可靠、有效。”殷國強說。

       據記者了解，日前，中科網威參與國家電網安防設備招標并成功中標。而其電力專用防火墻及解決方案，在西北電網、東北電網和南網也均已投入使用。對于公司的未來發展，殷國強表示，公司將會一如既往的把工業控制系統信息安全作為戰略目標和發展方向，其中，電力行業信息安全防護是重中之重。