工業(yè)控制系統廣泛應用于能源、水利、石化化工、裝備制造等工業(yè)生產領域，堪稱是國家關鍵生產設施和基礎設施運行的“神經中樞”，一旦遭到破壞，可能造成人員傷亡、環(huán)境污染、停產停工等嚴重后果，將嚴重威脅國家經濟安全、政治安全、社會穩(wěn)定和國家安全。當下，互聯網與工業(yè)融合創(chuàng)新帶來的安全問題日益嚴峻，新興需求也使工控安全領域備受關注。今年針對工控安全領域國家還將出臺多項政策，在政策的密集鼓勵和推進下，工控安全行業(yè)是否會真正迎來爆發(fā)?
工控安全存在兩大威脅
2015年5月，《中國制造2025》正式發(fā)布，其內涵核心是把信息互聯技術與傳統工業(yè)制造相結合，形成生產智能化，提高資源利用率，以此來推動整個國家競爭力。未來，隨著《中國制造2025》的推進，工業(yè)領域設備聯網實現智能化將成為必然的趨勢。
“在信息技術全面滲透至人民生產生活各方面的今天，重視工控安全會讓中國制造的實施和關鍵信息基礎設施的運行更加可靠。”國家工業(yè)信息安全發(fā)展研究中心網安部副主任張格在接受《中國電子報》記者采訪時表示，加強我國工控安全的管理和保障，提升我國工控系統安全防護水平，是保障《中國制造2025》安全實施推進的迫切需求，對保障國家安全和社會穩(wěn)定具有重要意義。
與此同時，“互聯網+”時代，工業(yè)控制系統互聯互通的發(fā)展趨勢愈發(fā)明顯，在實現數據高效交互、信息資源共享的同時，也給針對工業(yè)控制系統的網絡攻擊提供了可能。“早期的工控系統和企業(yè)管理系統是封閉、隔離的，隨著時代發(fā)展，為了實時數據采集與生產控制，需要將工控系統和企業(yè)管理系統直接通信交互。”在中國科學院院士何積豐看來，工控安全存在兩大威脅，一是系統相關的威脅，二是工控過程相關的問題，就是在生產過程中遭受攻擊。
從工控領域被攻擊所可能導致的后果來看，潛在威脅極大。“工業(yè)控制系統廣泛應用于能源、水利、石化化工、裝備制造等工業(yè)生產領域，堪稱是國家關鍵生產設施和基礎設施運行的‘神經中樞’，一旦遭到破壞，可能造成人員傷亡、環(huán)境污染、停產停工等嚴重后果，將嚴重威脅國家經濟安全、政治安全、社會穩(wěn)定和國家安全。”賽迪智庫網絡空間研究所所長劉權對《中國電子報》記者表示，“震網”、“烏克蘭電網遭遇網絡攻擊”以及“以色列電力局遭網絡攻擊事件”等一系列針對工業(yè)控制系統的攻擊實例業(yè)已充分證明了通過網絡攻擊工業(yè)控制系統，進而癱瘓一國關鍵信息基礎設施的可行性。
可以看到，工控安全正深刻地影響著工業(yè)控制網絡產業(yè)的發(fā)展，是智能制造順利推進的前提保障。工信部信息化和軟件服務業(yè)司司長謝少鋒在日前召開的全國信息化和軟件服務業(yè)工作座談會上也強調，工控安全關乎企業(yè)安全、社會安全、經濟安全乃至國家安全，在大力推動《中國制造2025》、兩化融合的今天，工控安全應放在越來越重要的位置并加以重視。
政策推動工控安全防護升級
2016年可以說是中國工控安全市場的重要節(jié)點。這一年，我國先后出臺了多項政策法規(guī)來推動工業(yè)控制系統信息安全保障體系建設，工業(yè)控制系統的信息安全政策環(huán)境進一步優(yōu)化，工控安全正在成為國家安全新戰(zhàn)場。
去年5月頒布的《國務院關于深化制造業(yè)與互聯網融合發(fā)展的指導意見》明確提出，要實施工業(yè)控制系統安全保障能力提升工程，制定完善工業(yè)信息安全管理等政策法規(guī)，健全工業(yè)信息安全標準體系，提高工業(yè)信息系統安全水平。
去年10月，工業(yè)和信息化部印發(fā)了《工業(yè)控制系統信息安全防護指南》(以下簡稱《防護指南》)，明確了工業(yè)企業(yè)開展工控安全防護工作的指導方針。
去年11月，第十二屆全國人大常委會第二十四次會議審議通過了《中華人民共和國網絡安全法》(以下簡稱《網絡安全法》)，并將于2017年6月1日起施行。《網絡安全法》明確提出，要保障關鍵信息基礎設施運行安全，對關鍵信息基礎設施的安全風險進行抽查檢測，提出改進措施等。
去年12月，國家互聯網信息辦公室發(fā)布《國家網絡空間安全戰(zhàn)略》，明確將保護關鍵信息基礎設施作為戰(zhàn)略任務。
此外，政府相關部門和安全主管部門組織實施了專門針對工控安全的大檢查，引起了整個社會的重視。去年，工信部組織開展了工業(yè)控制系統信息安全檢查和風險通報，在全國31個省、區(qū)、市進行工控安全檢查，涵蓋重要工業(yè)信息系統68022個，工業(yè)控制系統79457個，基本掌握我國工業(yè)企業(yè)工控安全現狀和面臨的風險。而公安部也在去年5月份首次將工控系統納入國家安全執(zhí)法工作。
2017年將會是工控安全領域暖風頻吹的一年。據謝少鋒透露，工信部今年將加快出臺《工業(yè)控制系統信息安全保障行動計劃》，進一步完善相關政策及標準體系。制定《工業(yè)控制系統信息安全防護能力評估方法》等系列規(guī)范標準，開展工控系統信息安全檢查評估，推動形成常態(tài)化檢查評估機制。
據記者了解，今年工信部還將實施工業(yè)控制系統信息安全保障能力提升工程，建設運營好國家工業(yè)信息安全發(fā)展研究中心，并繼續(xù)抓好《防護指南》的宣貫落實，在全國范圍內進行《防護指南》宣貫，強化工業(yè)企業(yè)責任主體意識，先期在電力、鋼鐵、石化、汽車、煙草等行業(yè)開展防護試點示范。
“作為關鍵信息基礎設施的‘核心中樞’，我國對工業(yè)控制系統信息安全的重視程度日漸加深，政策帶動效應將顯現。”在劉權看來，政策層層推進有望推動工控安全防護升級。從政策的數量和內容來看，2017年工控安全行業(yè)有望迎來多重實質性利好。
企業(yè)工控安全意識待提高
雖然國家在政策層面給予了高度重視，但是和利時集團總工程師朱毅明對工控安全行業(yè)市場卻沒有那么樂觀。作為一家自動化方案提供商，和利時也一直關注工控安全，“從買方市場看，市場還未很好地成形，需求也不是很明顯。”朱毅明在接受《中國電子報》記者采訪時表示，工控安全尚處于市場發(fā)展早期，成本相對偏高，出于安全意識淡薄以及節(jié)省成本的原因，除了一些央企和大型國企，很多中小企業(yè)似乎沒有購買工控安全設備的打算。
“通過我們近兩年的統計發(fā)現，只有不到5%的企業(yè)會自發(fā)地定期巡檢，發(fā)現企業(yè)信息安全問題，95%以上的企業(yè)是被動告知，甚至有的是在遭受到相關網絡安全的問題以后才重視的。”360副總裁、工業(yè)互聯網協會安全組成員陶耀東也表達了類似的觀點，在他看來，企業(yè)自身首先一定要重視安全的問題。
“從性質上判斷，工控安全是生產經營安全，應當以人為本，堅持安全發(fā)展，堅持安全第一、預防為主、綜合治理的方針，強化和落實工業(yè)企業(yè)主體責任，建立工業(yè)企業(yè)負責、職工參與、政府監(jiān)管、行業(yè)自律的管理機制。”謝少鋒強調，工控安全頂層設計滯后、工控安全工作機制不健全，企業(yè)工控安全責任意識淡薄，安全技術和產業(yè)基礎薄弱等問題都需要引起高度重視。
“從技術上講，我國工控安全防護技術相對落后，技術攻關有待進一步加強。”劉權表示，我國的仿真驗證測試、在線監(jiān)測預警等共性技術保障能力建設尚處于起步階段，漏洞分析、芯片級硬件安全分析、態(tài)勢感知、協議分析等技術能力嚴重不足，難以及時發(fā)現和應對針對工控系統的網絡攻擊，這些領域需要我國盡快實現突破。
“從用戶端統計，2016年我國工控安全市場規(guī)模不到3億元，占全國信息安全市場規(guī)模的比重僅為1%左右，仍處于市場導入期。“依照張格的判斷，隨著這兩年的市場培育以及國家政策、《防護指南》的逐步推進實施，我國工控安全市場正在逐步成長，并有望在未來3～5年進入快速成長期。張格預計，5年后，我國工控安全市場規(guī)模將達到約20億～30億元，占信息安全市場規(guī)模的比重將達到5%～6%左右。