編者按：

工業(yè)控制系統是鋼鐵、石化、電力、核工業(yè)、軌道交通、冶金、裝備制造、武器裝備等重點(diǎn)領(lǐng)域的核心中樞，是國家關(guān)鍵基礎設施的重要組成部分。工業(yè)控制系統信息安全（以下簡(jiǎn)稱(chēng)工控安全）是實(shí)施制造強國和網(wǎng)絡(luò )強國戰略的重要保障，關(guān)系到國家安全、經(jīng)濟發(fā)展和社會(huì )穩定。

為此，工業(yè)和信息化部于2017年12月12日正式印發(fā)了《工業(yè)控制系統信息安全行動(dòng)計劃（2018—2020）》（以下簡(jiǎn)稱(chēng)《行動(dòng)計劃》），明確了未來(lái)三年工信部在工控安全方面的工作重點(diǎn)和方向，為全面落實(shí)國家安全戰略，提升工業(yè)企業(yè)工控安全防護能力，加快我國工控安全保障體系建設，促進(jìn)工業(yè)信息安全產(chǎn)業(yè)健康發(fā)展指明了道路。本刊特約中控科技集團創(chuàng )始人、工控安全專(zhuān)家褚健老師對《行動(dòng)計劃》進(jìn)行深入解讀。

1 強化工控安全意識

自2010年伊朗“震網(wǎng)”病毒爆發(fā)后，工控系統安全成為網(wǎng)絡(luò )空間安全威脅新目標。針對工控系統的攻擊不是單純的“信息竊取”，而是“通過(guò)操控工控系統，達到破壞關(guān)鍵基礎設施安全運行的目的”，更有甚者引發(fā)社會(huì )動(dòng)蕩、危及國家安全。為避免此類(lèi)攻擊造成的嚴重危害，需要我們全社會(huì )增強工控安全意識，工業(yè)生產(chǎn)企業(yè)、工控系統制造商、工控安全服務(wù)商等應形成合力，著(zhù)力為中國工控安全健康穩定發(fā)展保駕護航。

但現實(shí)中，部分生產(chǎn)企業(yè)運維和管理人員認為，工控系統本身具有網(wǎng)絡(luò )分級管理、身份權限認證、建議安裝第三方安全軟件等基本安全規則和功能，工控系統也從未出現過(guò)安全威脅、攻擊等問(wèn)題，因而他們回避風(fēng)險存在的可能性，簡(jiǎn)單地認為工控系統是安全的，無(wú)需加強工控安全保護意識和行為。

《行動(dòng)計劃》明確要求，“到2020年，全系統工控安全管理工作體系基本建立，全社會(huì )工控安全意識明顯增強?！蓖瑫r(shí)，《行動(dòng)計劃》引用了《中華人民共和國網(wǎng)絡(luò )安全法》的“三同”規定，即“同步規劃、同步建設、同步運行”，要求工業(yè)企業(yè)在推進(jìn)“中國制造2025”、“兩化融合”的同時(shí)，統一規劃、分類(lèi)處理并規范工控安全管理工作，建立多層次多級工控安全管理機制，在新項目審批、老項目改造和項目運維各個(gè)環(huán)節進(jìn)行安全監管和審計，全面落實(shí)工控安全防護措施和管理制度；并加強企業(yè)內部的技術(shù)培訓、崗位輔導和相關(guān)咨詢(xún)活動(dòng)，提高全員的安全意識；定期開(kāi)展應急演練，加強對企業(yè)安全管理機制的監管和審查。

2 明確工控系統安全實(shí)施的復雜性、多樣性

一直以來(lái)，業(yè)界針對工控系統的安全問(wèn)題存在兩個(gè)誤區。第一，無(wú)論是安全檢測還是主動(dòng)防護，都希望不同行業(yè)、不同品牌控制系統的工控安全設施可以通用；第二，因工控系統品牌多、類(lèi)型多、協(xié)議多，總被認為沒(méi)有哪個(gè)組織愿意投入大量的精力針對如此繁多的工控系統進(jìn)行攻擊，并認為私有協(xié)議也很難被利用。

對此，《行動(dòng)計劃》明確要求“堅持因地制宜分類(lèi)指導”，要“準確把握工控安全在不同行業(yè)、不同地區的發(fā)展基礎和特征，結合工控安全威脅的多樣性和復雜性，分類(lèi)別、分層次、分步驟精準施策?！薄缎袆?dòng)計劃》明確指出，針對不同行業(yè)、不同地區的工控系統安全要區分實(shí)施，這就要求工控安全企業(yè)必須在工控安全方向加強探索，更加專(zhuān)業(yè)地提供針對性的安全解決方案，幫助工業(yè)生產(chǎn)企業(yè)真正的解決問(wèn)題，保障工控系統的安全運行。

3 全社會(huì )共同參與，統籌實(shí)施工控安全，工控安全不再是“口號”

一是落實(shí)企業(yè)主體責任。企業(yè)應依據《中華人民共和國網(wǎng)絡(luò )安全法》建立工控安全責任制，不但明確了其主體責任，還要求企業(yè)持續性加大工控安全投入，保障工控安全。

二是落實(shí)監督管理責任。工業(yè)和信息化部統籌制定工控安全政策標準，開(kāi)展宣貫培訓，定期組織全國檢查評估。地方工業(yè)和信息化主管部門(mén)加快工控安全地方性法規建設，持續完善地方工控安全保障體系，加強日常監督管理，安排專(zhuān)項資金推動(dòng)地方監測、預警、應急等保障能力建設。

三是培育龍頭骨干企業(yè)。面向工控安全領(lǐng)域產(chǎn)業(yè)發(fā)展需求，加快培育一批技術(shù)水平高、業(yè)務(wù)規模大、競爭能力強的工業(yè)安全控制系統生產(chǎn)企業(yè)和安全服務(wù)商，支持龍頭骨干企業(yè)突破核心技術(shù)，研發(fā)關(guān)鍵產(chǎn)品、提高服務(wù)能力、創(chuàng )新商業(yè)模式，聯(lián)合工業(yè)企業(yè)開(kāi)展優(yōu)秀產(chǎn)品及解決方案示范，推動(dòng)工控安全產(chǎn)品及解決方案的行業(yè)示范應用落地。

上述三個(gè)舉措將工業(yè)生產(chǎn)企業(yè)、工控安全主管部門(mén)、工控系統生產(chǎn)企業(yè)、工控安全服務(wù)商等四個(gè)組織的責任進(jìn)一步明確。同時(shí)，《行動(dòng)計劃》從安全管理水平、態(tài)勢感知能力、安全防護能力、應急處置能力和產(chǎn)業(yè)發(fā)展能力五個(gè)方向進(jìn)行了全面的規劃和推進(jìn)，在保障措施上則將在加強組織協(xié)調、加大政策支持、加快人才培養、工控安全培訓和技術(shù)督導、鼓勵社會(huì )參與等諸多方面給予支持，真正做到統籌安排，全社會(huì )共同參與。

4 為我國工業(yè)信息安全產(chǎn)業(yè)健康發(fā)展舉旗定向

面對復雜嚴峻的網(wǎng)絡(luò )安全形勢，2016年4月19日，習近平總書(shū)記在網(wǎng)絡(luò )安全與信息化座談會(huì )上指出，要“樹(shù)立正確的網(wǎng)絡(luò )安全觀(guān)”、“加快構建關(guān)鍵信息基礎設施安全保障體系”、“全天候全方位感知網(wǎng)絡(luò )安全態(tài)勢”、“增強網(wǎng)絡(luò )安全防御能力和威懾能力”。

《行動(dòng)計劃》結合習近平總書(shū)記的講話(huà)，在全面研判工控安全產(chǎn)業(yè)發(fā)展形勢的基礎上，圍繞工控安全態(tài)勢感知、安全防護和應急處置能力提升，設立了明確的技術(shù)體系目標，并進(jìn)一步指出要“建成全國在線(xiàn)監測網(wǎng)絡(luò )，應急資源庫，仿真測試、信息共享、信息通報平臺（一網(wǎng)一庫三平臺）”。

“一網(wǎng)”是指全國工控安全監測網(wǎng)絡(luò )。建設覆蓋國家級、省級、區域級、重點(diǎn)工業(yè)企業(yè)級的縱向在線(xiàn)監測網(wǎng)絡(luò )，加強網(wǎng)絡(luò )安全檢查，摸清家底，認清風(fēng)險，找出漏洞；利用主動(dòng)監測、被動(dòng)誘捕、威脅情報獲取等手段，準確把握網(wǎng)絡(luò )安全風(fēng)險發(fā)生的規律、動(dòng)向、趨勢，實(shí)現對全國重要工業(yè)控制系統運行狀態(tài)、風(fēng)險隱患的實(shí)時(shí)感知、精準研判和科學(xué)決策。

“一庫”是指工控安全應急資源庫。按照《國家網(wǎng)絡(luò )安全事件應急預案》總體要求，支持國家級工業(yè)信息安全技術(shù)機構建設應急資源庫。應急資源庫應包括工控系統漏洞、工控系統病毒特征、工控系統安全威脅、工控系統風(fēng)險等級、行業(yè)工控系統安全解決方案、行業(yè)工控系統預警及處置機制等，實(shí)現信息采集、輔助決策、預案演練等功能，在突發(fā)工業(yè)信息安全事件時(shí)，支撐行業(yè)主管部門(mén)協(xié)調技術(shù)專(zhuān)家和專(zhuān)業(yè)隊伍對事件開(kāi)展分析研判，并調動(dòng)相關(guān)應急資源及時(shí)有效地開(kāi)展處置工作。

“三平臺”是指工控安全仿真測試平臺、信息共享平臺和信息通報平臺。建設工控安全靶場(chǎng)、仿真測試等共性技術(shù)平臺，覆蓋在關(guān)鍵基礎設施上廣泛使用的工控系統，如發(fā)電、變電站控制與電網(wǎng)調度、石油煉化、油氣管道傳輸、安全儀表等（其業(yè)務(wù)流程、控制方案等與真實(shí)現場(chǎng)逼真度高）?；谠撈脚_開(kāi)展工控網(wǎng)絡(luò )攻防演練、工控安全漏洞挖掘、安全威脅探針感知、安全防護關(guān)鍵技術(shù)攻關(guān)等工作。

鼓勵全社會(huì )資源積極參與信息共享工作，建立共享清單，明確共享內容；推動(dòng)形成政府引導、企業(yè)主體、社會(huì )參與、利益共享的工作機制；充分利用云計算、大數據等技術(shù)手段，建設國家工控安全信息共享平臺，實(shí)現信息的安全、可靠、及時(shí)共享。

制定《工業(yè)信息安全信息報送與通報管理辦法》，建立信息通報員、日常信息通報、應急信息通報、風(fēng)險預警等制度；建設工控安全信息通報預警平臺，及時(shí)發(fā)布風(fēng)險預警信息，跟蹤風(fēng)險防范工作進(jìn)展，形成快速高效、各方聯(lián)動(dòng)的信息通報預警體系。

我們認為，《行動(dòng)計劃》的出臺，是工控安全工作開(kāi)展和實(shí)施的頂層設計，具有高度戰略意義，既明確了產(chǎn)學(xué)研用各方責任、今后工作方向和部署，又有效地形成了多方合力，打造高效、快速、聯(lián)動(dòng)的行動(dòng)方針，為我國實(shí)現工業(yè)強國和網(wǎng)絡(luò )強國戰略的開(kāi)展奠定了堅實(shí)的基礎，全面保障了國民經(jīng)濟安全有序穩定運行。相信在政府部門(mén)的政策引導及實(shí)施落地下，在產(chǎn)業(yè)發(fā)展聯(lián)盟、工業(yè)生產(chǎn)企業(yè)、工控系統制造商、工控安全服務(wù)商等相關(guān)單位的共同參與和努力下，我國的工控安全體系將進(jìn)入全面建設階段，更好地做到服務(wù)國家利益，保障國家安全。

作者簡(jiǎn)介

褚健（1963-），博士，教授，中控科技集團創(chuàng )始人。浙江淳安人，浙江大學(xué)和日本京都大學(xué)聯(lián)合培養，工業(yè)自動(dòng)化專(zhuān)業(yè)畢業(yè)。教育部首批長(cháng)江特聘教授；曾任浙江大學(xué)工業(yè)控制技術(shù)國家重點(diǎn)實(shí)驗室主任、國家863高技術(shù)研究計劃專(zhuān)家委員會(huì )專(zhuān)家、國家戰略性新興產(chǎn)業(yè)咨詢(xún)專(zhuān)家委員會(huì )專(zhuān)家、國家核安全專(zhuān)家委員會(huì )成員、全國工業(yè)過(guò)程測量與控制標準化技術(shù)委員會(huì )主任、中國機電一體化技術(shù)與應用協(xié)會(huì )理事長(cháng)、中國儀器儀表學(xué)會(huì )副理事長(cháng)等職務(wù)。

摘自《自動(dòng)化博覽》2018年7月刊