來源：中國工業報 2013-9-9
近日爆發的“棱鏡門”事件，不僅為網絡信息安全敲響了警鐘，而且引發了工業控制系統信息安全的大討論。“一旦出現工業信息安全威脅，生產人員不知道‘敵人’何時入侵，也不知已潛伏的‘定時炸彈’何時爆發，一有風吹草動，不免風聲鶴唳，草木皆兵，怎么叫人安心生產?”中國儀器儀表學會技術顧問、教授級高級工程師夏德海不無憂慮地說。
誠然，隨著兩化融合的不斷深入，工業控制系統被廣泛應用于水處理、能源、電力、化工、交通運輸、金融等行業的關鍵基礎設施中，而且越來越多地采用通用協議、硬件和軟件，并與公共網絡進行互連，因此，一旦工控系統受到攻擊，將會直接導致關鍵基礎設施癱瘓，甚至對國家的經濟和社會釀成不可挽回的災難性后果。“關鍵基礎設施信息安全成為懸在各國政府頭上的達摩克利斯之劍，采取措施加強其信息安全保障能力勢在必行。”工業和信息化部賽迪智庫信息安全研究所馮偉說。
因此，如何確保工控系統的安全可控，已不僅僅是單個研究機構或企業要思考的問題，更需要國家層面進行戰略布局，產業界群策群力。為此，在近日召開的工業控制系統安全發展高峰論壇上，來自學術界、政府智庫以及信息安全廠商的工控系統研究專家濟濟一堂，共同就如何防控工控系統病毒和木馬等問題進行了熱烈地討論和交流。
建立信息安全等級保護制度
當前，工業控制信息化、三網融合、物聯網、云計算在內的多種新型信息技術的發展與應用，不僅給我國工業控制系統信息安全保障工作提出了新任務，也對信息安全等級保護工作形成了全面挑戰。
國家信息化專家咨詢委員會委員沈昌祥院士表示，在工業控制系統方面，2010年“震網”病毒事件破壞了伊朗核設施，震驚全球。這標志著網絡攻擊從傳統“軟攻擊”階段升級為直接攻擊電力、金融、通信、核設施等核心要害系統的“硬摧毀”階段。應對高強度連續攻擊(APT)已成為確保國家關鍵基礎設施安全，保障國家安全、社會穩定、經濟發展、人民生活安定的核心問題。而傳統的封堵安全防護做法難以解決封閉實時處理的工業控制系統安全問題。
“因此，應該把工控系統的信息安全納入信息安全等級保護制度的框架中。”沈昌祥表示，信息安全等級保護作為我國信息安全保障的基本制度，需要從技術和管理兩個方面進行安全建設，做到可信、可控、可管。并且，高安全信息系統要具有抵御來自敵對組織高強度連續攻擊(APT)的能力，以及防止內部人員內外勾結攻擊的能力。”
在信息安全等級保護工作方面，我國已有相關文件出臺。2004年9月15日由公安部、國家保密局、國家密碼管理局和國信辦聯合下發《關于信息安全等級保護工作的實施意見》明確實施等級保護的基本做法。2007年6月22日又由四單位聯合下發《信息安全等級保護管理辦法》(43號文件)，規范了信息安全等級保護的管理。
|
