拒絕“裸奔”——中國工控網絡安全的挑戰和機遇

2014年我國成立中央網絡安全和信息化領導小組，標志著中國進入了全面防護網絡空間安全的戰略時期。

2015年6月、7月，我國相繼頒布了《中華人民共和國網絡安全法（草案）》和第29號主席令《中華人民共和國國家安全法》，全面闡述了我國網絡安全戰略、規劃，網絡安全運行的原則和要求，使我國網絡安全立法達到了前所未有的高度。

匡恩網絡總裁孫一桉告訴《中國經濟周刊》：我國的工控網絡安全行業起步晚，發展快，雖然面臨著不小的挑戰，但也蘊含著巨大的機遇。

“這幾年，我們去了十幾個行業進行調研和對接，聽到的最多的詞就是‘裸奔’。許多企業是假定沒有人來攻擊自己，花了很大的精力做生產安全，但沒有網絡安全規劃，也沒有相關預算，驗收只做功能驗收，沒有做網絡安全驗收。比如煙草行業，項目建設周期是四到五年，進進出出的人比較復雜，設備供應商、運維人員，都帶電腦、帶設備，四五年以后驗收了，沒人管里面是不是已經被病毒感染了，被控制了，是不是有后門沒關上。直到發生事故了，才想起來。有一個煙廠，2012年發生過一次病毒攻擊事件，造成兩天停產；還有一次，設備被遠程關閉了。這些案例是很典型的，國內的一些基礎設施也會發生類似情況。例如：地鐵綜合監控系統傳統上大家都認為是一個相對比較封閉的，自成一體的網絡系統，隨著地鐵企業管理決策層越來越依賴數據決策時，綜合監控系統和上層企業ERP系統的對接將不斷推進，綜合監控系統也面臨著來自信息網絡的惡意代碼的攻擊。除了軌道交通，在城市燃氣、智能汽車與車聯網、石油化工、冶金、數控機床等行業，隨著兩化融合的不斷深入，傳統的生產控制網絡都面臨著同樣的問題。工控系統網絡安全的防范意識、規劃、驗收都沒有，裸奔狀態比較常見。”孫一桉說。

孫一桉告訴《中國經濟周刊》，這些企業為什么會形成“裸奔”的狀態？一個最大的誤區就是潛意識里認為“隔離就安全了”。“其實從‘震網’病毒事件發生以來，大家就意識到簡單的物理隔離是解決不了安全問題的。現在的攻擊手段有一整套方法都是針對隔離系統進行的。而且因為有了隔離，隔離就成了‘馬奇諾防線’，大家認為有了隔離，系統里面就不用防了，所以系統內部其實非常脆弱。最典型的惡性事件就是沙特阿拉伯的一家石油公司，聽了設備供應商的建議，做了工業4.0改造，把40個煉油廠全部聯網、智能化了，生產效率是極大提高了，但是他忽略了一點，在此之前，它的內部網因為是完全隔離的，所以就完全不設防，結果聯網沒多久就遭到一次攻擊，3萬臺電腦、40個煉油廠全部停產損失不可計量。”

2015年，隨著“互聯網+”、中國制造2025等國家戰略方針的出臺，隨著“兩化融合”政策的深入推進，國內工業控制網絡的網絡化、智能化水平迅速提高。同時，工業控制網絡的信息安全持續2014年的熱度，繼續被政府部門、科研機構、安全廠商、自動化廠商密切關注。雖然國內工控系統相對較弱，整體安全形勢不容樂觀，但各方都在積極推進國內工控安全的發展。

我國工業規模大，具備完整的現代工業體系，擁有全球最大的工業智能化市場，信息化、智能化建設存在后發優勢，比如我國工業新建系統多，自動化水平高等。

“恰恰因為我們基礎設施大，又在做智能化，而且我們的國有經濟體量大、執行力強，我們在工控安全領域反而會形成一個發展的機遇，彎道超車也好，超越也好，是很有可能的。”孫一桉說。“關鍵的問題是，我們要建立威脅感知能力，要培育持續的防御能力、防御體系。”