工控系統(tǒng)信息安全成為新的關(guān)注點

2013-10-16 10:35:37 EP電力信息化網(wǎng)　點擊量：評論 (0)

當(dāng)前，我國工業(yè)化和信息化的深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工控系統(tǒng)獲得了前所未有的飛速發(fā)展。與此同時，工控系統(tǒng)面臨的安全威脅也越來越嚴(yán)峻。建立全面的信息安全保障體系，減少工控系統(tǒng)面臨的內(nèi)外部的威脅，為推動兩化深度融合、工業(yè)轉(zhuǎn)型升級提供支持，是當(dāng)前信息安全領(lǐng)域面臨的重大挑戰(zhàn)。

現(xiàn)階段我國工控系統(tǒng)的安全形勢非常嚴(yán)峻。調(diào)查發(fā)現(xiàn)，約80%的企業(yè)從來不對工控系統(tǒng)進行升級和漏洞修補，有52%的工控系統(tǒng)與企業(yè)的管理系統(tǒng)、內(nèi)網(wǎng)甚至互聯(lián)網(wǎng)連接;此外，一些存在漏洞的國外工控產(chǎn)品依然在國內(nèi)的某些重要裝置上使用。更為嚴(yán)重的問題還在于，我們對于發(fā)現(xiàn)風(fēng)險源頭缺乏手段，對控制風(fēng)險的技術(shù)與方法缺乏必要的研究。

工控系統(tǒng)信息安全成為新的關(guān)注點主要有兩個方面的原因：一方面，過去的工業(yè)控制系統(tǒng)是使用專業(yè)的系統(tǒng)、專業(yè)的隊伍、專業(yè)的設(shè)備，只有小范圍人群了解和掌握。隨著計算機技術(shù)的發(fā)展，很多專業(yè)的系統(tǒng)實現(xiàn)了通用化，現(xiàn)在的工控系統(tǒng)開始在通用技術(shù)的基礎(chǔ)上做專業(yè)的系統(tǒng)設(shè)計，如操作系統(tǒng)、數(shù)據(jù)庫軟件、通訊協(xié)議等計算機通用產(chǎn)品和協(xié)議，這樣一來，存在于計算機信息系統(tǒng)中的漏洞被帶到了工控系統(tǒng)里。另一方面，長期以來工控系統(tǒng)并沒有因為信息安全問題發(fā)生大的事故，人們普遍存在“病毒很少能對工業(yè)控制系統(tǒng)造成危害”的意識。但是，伊朗的“震網(wǎng)”事件，給了全世界一個警示，計算機病毒不僅可以感染到工控系統(tǒng)，而且可以對控制對象進行物質(zhì)破壞。

關(guān)鍵基礎(chǔ)設(shè)施信息安全事關(guān)國家安全，為有效應(yīng)對網(wǎng)絡(luò)攻擊的新變化，提升我國關(guān)鍵基礎(chǔ)設(shè)施安全防護能力，應(yīng)從以下幾方面著手：

抓緊建立關(guān)鍵基礎(chǔ)設(shè)施信息安全法律體系。我國雖已建立重要信息系統(tǒng)等級保護制度，但還缺乏體系化的關(guān)鍵基礎(chǔ)設(shè)施信息安全立法。建議充分借鑒國外關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護相關(guān)法律，分析我國現(xiàn)有立法的不足和主要問題，抓緊建立我國關(guān)鍵基礎(chǔ)設(shè)施信息安全法律體系,從法律層面明確關(guān)鍵基礎(chǔ)設(shè)施的定義和范圍、界定政府部門的職責(zé)、規(guī)范運營者和所有者的運營資質(zhì)要求。

盡快建立關(guān)鍵基礎(chǔ)設(shè)施風(fēng)險信息共享機制。關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全涉及部門多，影響范圍廣，共享網(wǎng)絡(luò)威脅信息有助于更好地應(yīng)對網(wǎng)絡(luò)攻擊。建議借鑒美國、歐盟等的先進經(jīng)驗，充分了解關(guān)鍵基礎(chǔ)設(shè)施設(shè)備提供商、運營單位、政府部門、信息安全承包商、專家隊伍、公眾等各方對信息共享的需求，盡快建立有效的關(guān)鍵基礎(chǔ)設(shè)施風(fēng)險信息共享機制，明確信息共享的條件，確定信息共享步驟，建立信息共享公共服務(wù)平臺。

抓緊制定關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全風(fēng)險分級規(guī)范。關(guān)鍵基礎(chǔ)設(shè)施數(shù)量眾多，其重要性和潛在的破壞力也不盡相同，有必要劃分關(guān)鍵基礎(chǔ)設(shè)施信息安全風(fēng)險等級并對其進行分級管理。建議抓緊制定關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全風(fēng)險分級規(guī)范，根據(jù)關(guān)鍵基礎(chǔ)設(shè)施的重要性、不可替代性、一旦出現(xiàn)問題之后的影響范圍，以及網(wǎng)絡(luò)攻擊的可能性等因素，提出界定關(guān)鍵基礎(chǔ)設(shè)施信息安全風(fēng)險等級的量化標(biāo)準(zhǔn)，分級別制定管理要求。

加快推動關(guān)鍵基礎(chǔ)設(shè)施相關(guān)產(chǎn)品的國產(chǎn)化替代。當(dāng)前我國關(guān)鍵基礎(chǔ)設(shè)施中信息技術(shù)產(chǎn)品高度依賴進口，存在極大信息安全隱患。建議加強高端通用芯片、操作系統(tǒng)等基礎(chǔ)技術(shù)攻關(guān)，支持國內(nèi)企業(yè)基于國產(chǎn)芯片研發(fā)信息技術(shù)裝備、大型數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)等控制設(shè)備和系統(tǒng)，加快國產(chǎn)技術(shù)產(chǎn)品的應(yīng)用推廣，逐步實現(xiàn)對國外產(chǎn)品的替代。
督促關(guān)鍵基礎(chǔ)設(shè)施運營單位加強管理。主要包括：斷開與公共網(wǎng)絡(luò)之間的所有不必要連接，對確實需要的連接，采取必要的防護措施，并定期進行風(fēng)險評估;嚴(yán)格控制在工業(yè)控制系統(tǒng)和公共網(wǎng)絡(luò)之間交叉使用移動存儲介質(zhì)以及便攜式計算機;建立控制服務(wù)器等工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備安全配置和審計制度，嚴(yán)格賬戶和口令管理，定期對賬戶、口令、端口、服務(wù)等進行檢查等措施。

責(zé)任編輯：和碩涵

免責(zé)聲明：本文僅代表作者個人觀點，與本站無關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實，對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，并請自行核實相關(guān)內(nèi)容。

我要收藏

個贊