导读：目前，信息安全事件在国内工业界尚未发现，但这并不意味着我国的工业系统就是安全的。居安思危自古有之，面对工业信息安全事件，业内人士也必须有这样的意识。对于层出不穷的新型网络攻击，我们不但要从意识上保持高度的警惕，亦要从技术上加强防患，探索适合工控领域的信息保护措施，树立正确的安防理念，建立有中国特色的工控安保（security）体系。
目前，信息安全事件在国内工业界尚未发现，但这并不意味着我国的工业系统就是安全的。2012年，在拉斯维加斯举行的黑客大会上，黑客现场进攻中国重要行业的仪控系统的演示足以证明这一事实。
居安思危自古有之，面对工业信息安全事件，业内人士也必须有这样的意识。对于层出不穷的新型网络攻击，我们不但要从意识上保持高度的警惕，亦要从技术上加强防患，探索适合工控领域的信息保护措施，树立正确的安防理念，建立有中国特色的工控安保（security）体系。然而，这不是一蹴而就的事情。
威胁源自系统开放 工控人须另辟蹊径
2010年，“震网”病毒攻击伊朗核电站，造成伊朗核电站推迟发电一年半之久并且损坏大量的铀浓缩机。“震网”病毒集中攻击重要行业的基础设施，被一些专家称作是投入实战舞台的“网络武器”。除此之外，各国专家相继检测出NightDragon、Duqu、Flame等病毒。这些越来越“”的网络武器无不牵动着国内工业界人士的神经，工业控制系统信息安全正经受严峻的考验。
凡事预则立不预则废。近年来，国外频发的信息安全事件引起了我国有关部门的高度重视。为了确保国家经济安全，加强工业控制系统的信息安全迫在眉睫。2011年9月，工信部发布了“关于加强工业控制系统信息安全管理的通知”，通知一经发出，引起了国内许多专家的热烈讨论。
随着互联网技术的发展及应用，工业控制系统向着网络化、智能化以及开放式的方向发展，特别在信息化和工业化深度融合的大环境下，企业的自动化和信息化程度不断提高，为了获取及时准确的生产信息，越来越多的工业控制设备接入企业局域网中，开放式的网络带来好处的同时，也给外部的威胁提供了入侵机会。
中国仪器仪表学会教授夏德海认为，病毒入侵的源头在于系统的开放性，开放的系统为用户提供了更多的选择，也为供应商带来了更多地商机，但是，由于工控产品的生命周期为15~20年，相较于IT行业3~5年的产品周期，系统开放给工控领域带来的好处已经在系统不断的升级和维护中消耗殆尽。由此看来，在信息安全技术处于起步阶段的今天，一味的开放未必是好事。
目前，对于如何确保工控信息安全的问题上，业内还存在一些争议。夏教授认为，信息安全领域的攻防战是永无止尽的，随着病毒的不断升级和技术的日益复杂，工控安保（security）的发展将面临极大的挑战。他提出了“暂时回归封闭系统”的想法。
“当然，这种回归不是简单机械的复旧，而是螺旋式的上升。”夏教授解释道。的确如此，在安全技术尚不能满足业内需求的情况下，回归封闭也不妨为一种“曲线救国”的策略。“在研发对外封闭的企业专用云计算控制系统的同时，用户应尽量采用国产设备，这样不仅可以减少外界攻击，还可以增加网络攻击方寻找漏洞的难度。”夏教授继续说道，“当安保（security）措施足以抵抗外界攻击时，系统可重新开放。”
当然，这并不是的途径。在竞争日益激烈的环境下，转型升级成为中国制造业的主旋律，开放式的系统是大势所趋。现在，中国制造业整体进入一个平稳发展的阶段，工控界是否也应借机进行一番思考，先积聚能量，然后再全速前进。
面对如此尴尬的局面，如何找出一条“中庸之道”在加快两化融合的同时保证工业系统信息安全是每一位工控人应该思考的问题。对此，夏教授指出，建立中国特色的工控安保（security）体系，我们可以借鉴中国抵抗外侵过程中积累的经验，如自卫反击、有力有理有节等成功经验。
工控、IT联手打造特色防御体系
现在，业界讨论多的防御措施无非是纵深防御体系，“纵深防御”的概念来自于军事战略，是一种很有历史渊源的全面而深入的延迟敌人进攻的战争方式，是一种通过每道防线完成不同的使命，终达到将敌方击溃的策略。将其用于工控界“信息安全”领域，是指通过设置多层重叠的安全防护系统而构成多道防线，从企业的ERP系统逐渐深入到现场层。
暂且不论这样的引用是否合理，纵深防御体系是否真的像看上去那么牢固也很耐人寻味。夏教授说道：“实际上，在整个工控界，对于不可知的病毒攻击，目前仍然没有有效的解决办法。”更为关键的是，纵深防御体系的建立势必会带来用户成本的上升，而企业的防御能力并未成正比增长，这也是用户企业必须考虑的现实问题。
从成本和抵御风险需求这两方面看，工控领域的信息安全是有“度”的，但这个“度”只适合某些领域，例如遭受攻击后损失不大且容易恢复的领域。对于电力、石油石化、水工业、高铁等国家重点基础设施领域，涉及到国家经济发展、民生安全以及国家荣誉，简单地从可用性、可靠性和保密性的优先顺序来考虑工控信息安全“度”的问题还有待商榷。另外，保密性和安全性不能混为一谈。俗话说“千里之堤，溃于蚁穴”，在任何领域，“安全”的意识都不容忽视。
除此之外，有关专家提到了工控信息安全“三分靠技术，七分靠管理”。这一概念是否直接引自IT行业对信息安全的描述不得而知。但是，IT行业与工控行业有着本质的区别，这一点是业内公认的。工控系统对实时性、可靠性的要求甚至高于保密性的要求，这一特点决定了工控系统的信息安全技术不能照搬照抄IT行业的技术，而要结合工控的实际情况，将防火墙、纵深防御、蜜罐等IT界行之有效的安全技术加以改进和创新，真正建立适合工控系统的信息安全技术体系。工业信息安全的管理策略和人的因素当然非常重要，但管理应是技术的弥补途径，只有将技术和管理两者恰当的结合起来才能保护工控信息安全。
夏教授告诉记者，要解决工业信息安全问题，必须先从工控和IT行业的互学习开始，彼此不断了解，共同策划，才能使具有中国特色的、有效的工控安保（security）体系尽快出炉。
另外，夏教授表示，建立具有中国特色的安保（security）体系首先要制定具有自主知识产权的工控安保标准和测试方法，建立完整的、独立自主的安保（security）认证机构，打造三位一体的安保（security）防御体系；其次要重点建设电力、石油石化、水工业、高铁等重点行业的强制性安保标准，确保工控信息安全得到相应的重视。
