安全防護應貫穿工控系統全生命周期

褚健

工業(yè)控制系統是冶金、石油/石化、電力、核電、軌道交通、水處理、公共衛(wèi)生等重點領域的核心中樞，是國家關鍵信息基礎設施的重要組成部分。工業(yè)控制系統信息安全（以下簡稱“工控安全”）是實施制造強國和網絡強國戰(zhàn)略的重要保障，是關系到國家安全、經濟發(fā)展和社會穩(wěn)定的關鍵因素。

近年來，隨著“兩化融合”走向深入，工業(yè)數字化、網絡化、智能化快速發(fā)展，大量工業(yè)系統和生產設備與工業(yè)互聯網連接。以往由物理環(huán)境的封閉性和專用性所帶來的安全性將不復存在，關系到國計民生的諸多重要工業(yè)領域成為網絡攻擊的主要目標，針對能源、交通、制造業(yè)等重要領域的網絡攻擊事件頻發(fā)。

工控安全要求對系統核心部件有效保護

2016年10月17日，工業(yè)和信息化部為保障工業(yè)企業(yè)工業(yè)控制系統信息安全，制定了《工業(yè)控制系統信息安全防護指南》（以下簡稱《指南》）。《指南》堅持“安全是發(fā)展的前提，發(fā)展是安全的保障”，以近年來我國工業(yè)控制系統面臨的安全問題為出發(fā)點，注重防護要求的可執(zhí)行性，從管理、技術兩方面明確了工業(yè)企業(yè)工控安全防護要求。

中控科技集團在《指南》發(fā)布后，針對“兩化”融合之后日益復雜的工業(yè)信息安全風險，通過對相關國際、國內標準的研究，并結合自身豐富的工程實踐經驗，提出了“內建安全、縱深防御、全生命周期管理”綜合工控系統深度安全防護體系，突破安全隔離、內核自主可控等關鍵技術，從內在機理上逐步規(guī)避信息安全風險。經過實踐，中控工控信息安全整體解決方案及產品在各種大型項目中進行應用，并取得了良好的效果。

《指南》發(fā)布前，工控安全防護聚焦于工控系統的邊界防護，事實證明這種單一的防護模式無法完全保障工控系統的安全運行。在《指南》發(fā)布后，工控安全技術向多元化發(fā)展，基于縱深防御、適用于工控現場環(huán)境的解決方案被普遍提出。同時，越來越多的工控安全廠商認識到，工控安全不同于傳統的信息安全，其要求是對工控系統核心部件——控制設備的有效保護，這要求工控安全防護必須覆蓋工控系統的所有部件，并緊密結合生產工藝和操作流程，貫穿工控系統的全生命周期。

亟須加快構建新型工控安全防護體系

基于《指南》三年的實踐，工控安全防護取得了諸多成績和進步，但現有的工控安全防護體系仍難以保證所有工控系統的安全運行，亟須加快構建更專業(yè)的新型工控安全防護體系，有效維護工業(yè)信息安全，為制造強國和網絡強國順利實施提供堅實保障，為此提出五點建議。第一，要加強頂層設計，整合資源，統

一標準。工控系統網絡安全問題不能一概而論，作為國家層面要明確對工控系統網絡安全進行分類。

第二，工控系統要逐漸實現自主、安全可控。自主可控的同時，也不能忽視安全。為了實現工控系統核心部件——控制設備安全，工控系統廠商需研究適合工控環(huán)境的安全防護技術并融合到控制系統內，研制具備內生安全的控制系統，通過內生安全加固提升控制系統自身的防攻擊防護能力。

第三，重要工控系統必須部署工控網絡安全防護系統。重要工控系統部署的工控網絡安全防護系統應具備以下特點：針對內置預埋代碼，切斷危害，進行應急處置;在安全區(qū)域、系統出口，加強預警防范;以不影響生產和生產安全為前提，注意數據保護和操作保護;對系統重要性識別、系統資產識別、系統脆弱性識別、系統威脅識別及系統風險識別等維度進行安全防護;采用軟件防護、邊界維護、PLC嵌入式代碼防護、控制異常監(jiān)測與阻斷等措施進行立體防護;對工控系統進行無擾動實時在線修復，并啟動安全應急系統，實現數字化、網絡化、智能化環(huán)境中工業(yè)企業(yè)的工控網絡安全。

第四，盡快建設針對行業(yè)建設工控系統網絡安全測試床。國家、企業(yè)應加快建設其所在領域行業(yè)的工控系統網絡測試床，以測促評，以評促用，測試控制設備自身的安全性;檢驗安全產品的功能、可用性、安全性、可靠性及對工控系統是否有影響等;模擬工控安全攻擊行為，建設威脅庫，增強工控系統及其安全產品的主動防御能力。

第五，要加強工控網絡安全人才隊伍建設，完善或制定工控網絡安全產品標準體系。工控系統網絡安全攻防技術研究攻防兼顧，以攻促防。人才隊伍不僅要懂工業(yè)控制系統的各類技術，還要懂使用工業(yè)控制系統的具體對象的工藝、設備技術，只有這樣才能做到定點攻擊或精確防護。

另外，由于工業(yè)控制系統運行連續(xù)性、操作周期性、功能實時確定性和現場環(huán)境易燃、易爆、有毒、強腐蝕、強電磁干擾的工程特征，面對日益復雜的縱深滲透、動態(tài)協同的集團化攻擊，僅依靠傳統信息安全技術體系已無法有效應對，亟須在攻防地位嚴重不對稱、存在大量被利用的漏洞或后門的現實環(huán)境中，建立覆蓋設計、建設、驗收、運維和退役等全生命周期安全防護技術體系，突破信息物理空間深度融合場景下的工控安全防護難題，完善或制定工控網絡安全產品標準體系。