7月16日，在北京國家會議中心召開的首屆中國網絡安全產業大會上，關鍵基礎設施保護工作委員會宣布成立。

關鍵基礎設施保護工作委員會主任孫一桉出席會議發言并接受媒體采訪，牛君現將有關工控安全的主要內容整理如下：

一、工業控制系統領域的對抗正在改變世界安全格局

超過80%的涉及國計民生的關鍵基礎設施依靠工業控制系統來實現自動化作業，工控網絡安全涉及基礎設施、智能制造、智慧城市、軍工生產，以及事關國計民生的各個領域。但全球工控網絡安全安全事件在近幾年呈現穩步增長的趨勢，僅在2015年被美國ICS-CERT收錄的針對工控系統的攻擊事件就達到了295起。其中，機場、電網、核電站、鋼鐵廠等關鍵基礎設施，均為受攻擊的對象。

此外，工控網絡安全領域還正在成為反恐的新戰場。美國商務部已經將軟件代碼和漏洞視為潛在的武器，《瓦森納協定》更是把限制黑客技術放入全球武器貿易的條約中，而中國不在其列。

在我看來網絡空間安全有三大領域，一個是傳統的網絡安全；第二個是互聯網、云計算和移動安全；第三是工業控制網絡物聯網領域。

二、我國工控系統網絡安全面臨的的現狀與應對

我國的工業控制系統規模巨大，而且超過80%依賴進口。同時，隨著智能化改造進程，生產網絡從開放走向互聯，在線系統網絡安全威脅加劇，但大規模新建的系統依然缺乏網絡安全規劃和設計。工控網絡安全產業任重道遠，主要表現在：

1. 工控系統責任單位安全意識有待加強

2. 工控網絡安全風險感知能力欠缺

3. 現有防護手段無法防御不斷升級的網絡攻擊和數據竊取

4. 安全標準有待完善，產業生態有待構建

在工業4.0和兩化整合的大潮下，工控系統網絡安全面臨設備高危漏洞、外國設備后門、APT、病毒、無線技術應用帶來的風險等主要威脅。

國家層面高度重視網絡安全和信息化工作，中央網絡安全和信息化領導小組、網信辦、公安部、國家能源局等部門，在戰略上、組織上、政策和法律上均加大力度加強網絡安全工作。

三、如何做好工控網絡安全防御？

工業控制系統網絡安全不同與傳統網絡，有著其自身的特殊性，主要表現在：

1. 大量的工業控制系統采用私有協議，企業安全檢查人員了解程度較低。

2. 對系統穩定性要求高，因檢查而造成的誤報等同于攻擊。

3. 工控系統運行環境相對落后，相關檢測手段和工具比較缺乏。

4. 目前國內相關標準體系不完善，無統一規范的檢查標準。

工業控制系統網絡安全防護理念經歷了四個階段的演變：

強調隔離-->縱深防御-->持續性防御-->以攻為守

為此，匡恩網絡提出了工業控制系統的“4+1”安全保障體系：

結構安全：在系統架構安全規劃、網絡安全分區設計、區域訪問控 制策略、實現不同網絡之間的隔離與認證等方面進行防護。

本體安全：采用補償性措施來阻止和避免由于ICS自身的漏洞、缺陷被惡意利用或者無意的干擾造成的系統癱瘓。

行為安全：采用態勢分析、入侵檢測、審計追溯等手段發現ICS中的異常行為，分析正常行為特征，固化業務操作行為安全規則，攔截 惡意攻擊行為。

基因安全：通過可信計算、自主芯片和國產操作系統來實現基因安 全，在軟硬件體系結構上隨時準備切換國產平臺。

在以上四個安全性的基礎上，實現持續的安全管理與安全運維，建立長效的安全防護機制，在持續對抗中保障工控系統安全，即時間持續性。

想要有效地實現這個4+1的安全保障體系，就需要一個植根于工控系統的全生命周期解決方案。通過設備檢測、監測審計、智能保護、安全數據庫、威脅管理及安全服務等，形成一個豐富的產業鏈條。

四、戰略規劃

在工控安全防護工作的戰略規劃中，匡恩提出五個具體規劃路徑及其目標：

1. 擴大

努力擴大國內關鍵基礎設施安全基礎平臺的應用領域。

2. 融合

聯合“中國網絡安全 產業聯盟”，帶動產業鏈上下游企業協同 發展。

3. 轉化

通過技術研究成果的不斷轉化，促進關鍵 基礎設施安全的產品 檢測、標準驗證、信 息共享、安全保障等產業支撐平臺的共同 發展。

4. 推動

不斷推動工控網絡安全領域的技術創新， 從“工控的安全”邁 向“安全的工控”， 加速我國工業控制系統及關鍵基礎設施系 統的自主可控進程

5. 培養

匯聚和培養工控安全領域高級工程技術人才。

“我國擁有世界最大規模和最新進的基礎設施，工控安全水平完全有可能做到世界領先。”

五、兩個問題

問題1 ：工控設備廠商非常熟悉工控系統，因而在工控安全方面有著很大的優勢，匡恩和這些工控廠商如何競爭？

孫一桉：競爭關系不是很大。工控安全這個領域從一開始，工業設備廠商并不是很積極，因為從經濟利益上來講，工控安全只增加了這些廠商的成本。

工控廠商生產的設備或系統，如果存在漏洞或安全問題，客戶一般會認為作為設備廠商修補漏洞應該是免費的，從設備廠商主觀愿望上不會去主動做這種只增加成本不增加功能的事情。

另外，把安全措施放到工控設備里面雖然是必須，但是第三方安全提供商也是必須存在的，因為沒有一個真正意義上的復雜工業控制系統只用一家設備，廠商之間是存在競爭的。競爭雙方如何去相信對方所做的安全防護措施？因此引入第三方的系統保護是很自然的事情。工控廠商如果與第三方安全廠商有效合作，在設備中植入安全措施會降低生產成本，提高產品可靠性。

有幾個層次去植入安全性。第一就是最簡單的外掛式的補償性措施，第二是設備檢測，把漏洞在設計研發階段就檢測出來堵上。第三就是引入共享機制，安全加密引擎不是工控企業的基因和專長，術有專攻。安全基因的植入既可以通過產品的結合，也可以通過檢測手段去做安全規劃，美國的許多工控企業就直接收購工業安全企業。制造火箭的雷神為什么要收購數據防泄露廠商？就是要把安全基因植入。

問題2 ：匡恩做工控安全的優勢及戰略布局是什么？

孫一桉：匡恩的優勢在于起步早和專注，我們只做工業網絡安全。這種先發優勢和專注帶來的深度是我們在這個領域未來發展的基礎，任何一個廠商再進入這個行業門檻會非常高。

但是我們現在確實不是從競爭角度看這件事情，我們更多看合作。這個蛋糕足夠大，在全中國來說大家如果能夠互相協作，下半年會看到我們跟一些企業合作、合資的消息發布出來，大家合作能夠走得更遠，匡恩在取得先發優勢之后還是要更多的把安全基因植入到工業控制系統。我們的理念是專注、創新、合作。

我們的戰略布局非常簡單，多行業、全行業的去突破，而不是專注一兩個行業。另外就是工業智能化研究院，不能把工業網絡安全孤立地來看，它實際上是功能安全和生產安全的一部分。所以我們今年的布局就是要做大安全，要從工業網絡安全延伸到工業生產安全，甚至監控系統相結合，做工控安防一體化，做大的解決方案，這是我們今年的重點。