《2019~2020年度工業(yè)信息安全形勢分析》發(fā)布，業(yè)內(nèi)認(rèn)為——

1月10日，由工信智庫聯(lián)盟指導(dǎo)、國家工業(yè)信息安全發(fā)展研究中心主辦的首屆工信安全智庫論壇在北京召開，會上發(fā)布了《2019~2020年度工業(yè)信息安全形勢分析》(簡稱《報(bào)告》)。根據(jù)《報(bào)告》，2019年全球工業(yè)信息安全發(fā)展環(huán)境日益嚴(yán)峻，網(wǎng)絡(luò)攻擊對于包括化工行業(yè)在內(nèi)的工業(yè)領(lǐng)域的影響進(jìn)一步加劇，針對工業(yè)企業(yè)的工業(yè)信息安全防護(hù)能力亟待提升。

網(wǎng)絡(luò)攻擊影響凸顯

《報(bào)告》顯示，2019年，全球工業(yè)信息安全發(fā)展環(huán)境日益嚴(yán)峻，網(wǎng)絡(luò)攻擊對工業(yè)領(lǐng)域的影響進(jìn)一步加劇。據(jù)國家工信安全中心不完全統(tǒng)計(jì)，2019年全球發(fā)生的工業(yè)信息安全事件數(shù)量超過了2018年總量的1.5倍，包括化工行業(yè)在內(nèi)的制造業(yè)和能源產(chǎn)業(yè)成為網(wǎng)絡(luò)攻擊的重點(diǎn)目標(biāo)，勒索病毒、APT等網(wǎng)絡(luò)安全威脅嚴(yán)重影響工業(yè)企業(yè)正常生產(chǎn)運(yùn)營。2019年3月兩家美國化工企業(yè)以及挪威的鋁業(yè)巨頭遭受勒索軟件攻擊，造成大量生產(chǎn)系統(tǒng)關(guān)鍵數(shù)據(jù)損失，部分工廠被迫關(guān)閉。

工控系統(tǒng)安全漏洞持續(xù)增多，并呈多樣化特征。中國國家信息安全漏洞共享平臺的統(tǒng)計(jì)數(shù)據(jù)顯示，截至2019年12月，本年度新增工業(yè)控制系統(tǒng)安全漏洞數(shù)量同比增長12.8%，已達(dá)到567個(gè)，其中中高危漏洞占比96.5%。在已公開詳細(xì)信息的338個(gè)新增工業(yè)控制系統(tǒng)漏洞的成因多樣化特征明顯，技術(shù)類型多達(dá)94種。從產(chǎn)品類型上看，PLC、SCADA軟件、組態(tài)軟件等產(chǎn)品的漏洞數(shù)量較多。

“這些系統(tǒng)和設(shè)備廣泛應(yīng)用于制造業(yè)、能源及市政等主要領(lǐng)域，一旦被攻擊入侵，將帶來重大安全隱患或經(jīng)濟(jì)損失。”國家工信安全中心政策所網(wǎng)絡(luò)安全研究室主任孫倩文表示，“與此同時(shí)，人員操作失誤正在成為引發(fā)安全事故的最大‘漏洞’，防火墻錯(cuò)誤配置、數(shù)據(jù)庫錯(cuò)誤配置等時(shí)常成為數(shù)據(jù)泄露、設(shè)備被攻擊的直接原因。”

問題猶存挑戰(zhàn)嚴(yán)峻

《報(bào)告》指出，隨著工業(yè)信息安全發(fā)展環(huán)境日益嚴(yán)峻，我國工業(yè)領(lǐng)域在應(yīng)對網(wǎng)絡(luò)攻擊方面的短板也凸現(xiàn)出來，挑戰(zhàn)來自于多方面。

一是工業(yè)互聯(lián)網(wǎng)進(jìn)入深耕階段，新興技術(shù)在工業(yè)領(lǐng)域融合應(yīng)用帶來的伴生效應(yīng)將進(jìn)一步顯現(xiàn)，諸如聯(lián)網(wǎng)設(shè)備、平臺和數(shù)據(jù)安全風(fēng)險(xiǎn)日益嚴(yán)峻，5G或造成毫秒級的破壞，邊緣計(jì)算加持下的物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)增加，人工智能可能導(dǎo)致攻擊效率指數(shù)級增長等。

二是工業(yè)行業(yè)的高度復(fù)雜性增大了安全防護(hù)難度。工業(yè)行業(yè)眾多，企業(yè)數(shù)量龐大，異構(gòu)化的工業(yè)數(shù)據(jù)對安全防護(hù)帶來挑戰(zhàn)。

三是工業(yè)企業(yè)實(shí)施安全防護(hù)上缺乏可落地的具體指導(dǎo)。由于缺乏相關(guān)市場準(zhǔn)入機(jī)制、行業(yè)標(biāo)準(zhǔn)、檢測認(rèn)證規(guī)范和技術(shù)手段，企業(yè)在工業(yè)信息安全產(chǎn)品和服務(wù)質(zhì)量上缺乏判斷能力。

四是網(wǎng)絡(luò)安全產(chǎn)業(yè)對工業(yè)領(lǐng)域針對性的支撐能力不足。我國的網(wǎng)絡(luò)安全企業(yè)規(guī)模小、研發(fā)能力不足，且大多是以網(wǎng)絡(luò)安全業(yè)務(wù)為主，在工業(yè)信息安全、工業(yè)互聯(lián)網(wǎng)安全等領(lǐng)域的產(chǎn)品積累和服務(wù)經(jīng)驗(yàn)不足。而專注于工業(yè)互聯(lián)網(wǎng)安全的廠商多為初創(chuàng)企業(yè)，處于技術(shù)研發(fā)實(shí)力爬坡階段，同時(shí)由于安全廠商對于工業(yè)領(lǐng)域制造技術(shù)、工藝流程等工業(yè)知識缺乏系統(tǒng)性掌握，無法提供部署在控制系統(tǒng)內(nèi)部的安全產(chǎn)品和解決方案。

業(yè)內(nèi)人士表示，在化工行業(yè)，智慧園區(qū)、智能工廠、智能車間等正呈燎原之勢，且化工生產(chǎn)存在諸多易燃易爆的高危環(huán)節(jié)，一旦遭受攻擊后果不堪設(shè)想，因此加強(qiáng)信息安全、工控安全防護(hù)尤為必要。“網(wǎng)絡(luò)安全產(chǎn)業(yè)對工業(yè)領(lǐng)域的支撐力度亟待加強(qiáng)。”孫倩文說。

貼近需求提升能力

展望未來信息安全形勢，孫倩文提出，未來工業(yè)企業(yè)應(yīng)對網(wǎng)絡(luò)攻擊將成為常態(tài)，應(yīng)對網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的能力將成為企業(yè)生存和發(fā)展的重要指標(biāo)。同時(shí)，隨著新技術(shù)的推廣和應(yīng)用，工業(yè)信息安全將更多關(guān)注供應(yīng)鏈安全，5G的應(yīng)用會進(jìn)一步釋放工業(yè)企業(yè)網(wǎng)絡(luò)安全防護(hù)需求，網(wǎng)絡(luò)安全企業(yè)需要深耕工業(yè)領(lǐng)域信息安全防護(hù)特點(diǎn)，開發(fā)設(shè)計(jì)適合工業(yè)現(xiàn)場和控制系統(tǒng)等使用的安全產(chǎn)品和解決方案。

IT管理軟件公司SolarWins發(fā)布的一份調(diào)查報(bào)告顯示，造成網(wǎng)絡(luò)安全事故的因素中內(nèi)部人員因素占六成。工業(yè)企業(yè)作為網(wǎng)絡(luò)安全威脅的直接作用主體，自身防護(hù)能力的提升也顯得尤為重要，在采購?fù)獠堪踩雷o(hù)產(chǎn)品解決方案的同時(shí)，工業(yè)企業(yè)還應(yīng)更加注重優(yōu)化自身的安全管理機(jī)制和防護(hù)手段，加強(qiáng)企業(yè)內(nèi)部的組織管理，減少人為事故。

對此，孫倩文強(qiáng)調(diào)：“未來一段時(shí)間，工業(yè)企業(yè)最迫切的任務(wù)是建立起有實(shí)操能力的、能快速有效更新安全補(bǔ)丁、彌補(bǔ)漏洞的安全團(tuán)隊(duì)，在組織管理層面加強(qiáng)網(wǎng)絡(luò)安全管理，提升專業(yè)技能，堵住‘人為漏洞’是降低網(wǎng)絡(luò)安全事故最有效的和最直接的方法。”

針對越發(fā)嚴(yán)峻的工業(yè)信息安全形勢，《報(bào)告》提出建議，下一階段，我國應(yīng)健全安全風(fēng)險(xiǎn)評估管理機(jī)制;加快建設(shè)國家、省、企業(yè)三級協(xié)同的安全監(jiān)測體系，針對不同企業(yè)實(shí)施差別化管理和防護(hù)，完善以企業(yè)為主體的防護(hù)標(biāo)準(zhǔn)體系;建立工業(yè)軟硬件安全檢測手段;構(gòu)建綜合性、協(xié)同性工業(yè)信息安全防護(hù)體系;進(jìn)一步加強(qiáng)政產(chǎn)學(xué)研用優(yōu)勢資源整合，提升我國工業(yè)領(lǐng)域網(wǎng)絡(luò)安全保障能力。