從震網病毒肆虐伊朗核材料生產基地開始，信息安全無疑引起了人們的真正關注。2014年2月27日，中央網絡安全和信息化領導小組成立，將研究制定網絡安全和信息化發展戰略、宏觀規劃和重大政策，這表明了國家對信息網絡安全開始給予高度重視；同時相關工控安全標準正在加緊制訂中。這一系列工作的開展意味著，隨著我國工業化和信息化的深度融合以及物聯網的快速發展，SCADA、DCS、PLC等工業控制系統面臨的信息安全問題已日益嚴重，保證工業信息安全刻不容緩。
　　
　　工業信息安全風險是炒作嗎？
　　
　　隨著工業領域生產系統網絡化，系統化，高度自動化的發展，信息安全問題在工業中一下子凸顯起來了，尤其是國家當前大力推進的借助互聯網基礎構建物聯網，企業可因此遠程監控自身生產數據，甚至執行遠程操作，這同時也給黑客遠程攻擊、操控生產網絡提供了理論上的可能。雖然當前國內未聽說企業因網絡安全造成重大生產安全事故，但因控制系統漏洞遭病毒攻擊，造成危險設備的狀態數據采集失效的情況當然存在。
　　
　　生產遭遇網絡攻擊，引發重大安全事故，責任在誰？
　　
　　信息安全挑戰本身就是敏感話題，升級到國家安全層面的現實令問題更加敏感。國家互聯網應急中心安全運行處王明華處長介紹，生產企業信息安全工作本著誰擁有、誰運營、誰負責的基本原則，是否涉及到國家力量的介入，有相應的“對等原則”。從受威脅對象上劃分：如網絡攻擊針對政府、整個行業，或攻擊實施者有組織有預謀，再或確認是國家行為的針對我國任何個體單位的攻擊，這都是我國政府調動力量對等介入的依據。國家響應級別又將和安全受威脅程度相關，王明華處長把這類比為是個體感冒，或是流感爆發，還是SARS爆發的應對級別，非常形象易懂。
　　
　　工業信息安全只是個技術問題嗎？
　　
　　信息安全防護問題是技術問題，更是涉及人因的系統問題。如果系統有身份認證，工程師卻嫌麻煩而不設密碼，或設置極其簡單的密碼，那這一環節的“門”就是敞開的。西門子中國研究院信息安全部負責人唐文博士說，如果給PLC的操作設置好密碼，那你就已經有了一道工業信息安全的重要屏障了，這沒有任何附加投資，但工程師往往嫌它麻煩。
　　
　　工業信息安全只是個IT問題嗎？
　　
　　工業安全在工業生產中自然是最基本的前提條件，但信息安全卻是由于生產網絡化、信息化、高集成自動化后形成的新問題。由于現場控制系統設備如PLC的計算能力有限，控制網絡的傳輸速率也參差不齊，生產控制在功能上還要確保實時性的硬性指標，所以套用傳統IT方法顯然不太現實。工控廠商的介入也是形勢所逼。
　　
　　工業信息安全投入是只見投資、不見收益的純消耗嗎？
　　
　　不出事就是好事，這也許是安全議題的一貫衡量標準。而艾默生過程管理公司全球石油石化業務負責人Larry先生對此的新近觀點讓人耳目一新。衡量工業信息安全的ROI（投入產出比）要從大處著眼。企業要實現的是生產、商業一體化，構建面向未來的物聯網、大數據的智能決策平臺，此愿景價值不可限量。作為實現這一目標必需的投資細節組成部分，工業信息安全投資量非常有限。
　　
　　工控系統未來走向何方？
　　
　　一是從定制化向通用平臺的轉變。早期工業控制系統針對特定應用需求研發，各系統之間的軟硬件產品通用性差；反觀現有控制系統，其集成化程度越來越高，越來越多地采用通用的軟硬件產品(芯片、操作系統等)。
　　
　　二是純硬件向軟硬結合的轉變，這降低了攻擊工控系統的技術門檻。早期的工業控制系統主要依賴硬件實現，系統可擴展性差，現有控制系統在通用硬件計算平臺基礎上，大量采用軟件方式實現；網絡攻擊的實施在某種程度上也是在原有系統平臺上擴展實現新的功能，工業控制系統的可擴展性也決定了其攻擊實現的難易程度。
　　
　　三是單一設備控制向網絡互聯的轉變。早期的工業控制系統主要在單一、獨立的設備中實現，現在的工業控制系統則將大量設備互聯，工業控制系統甚至與互聯網相連，系統越來越復雜；同時網絡互聯使系統暴露更多的漏洞，為攻擊的實現提供了更多潛在的技術渠道，也為攻擊造成大規模破壞提供了條件。
　　
　　而從“防護者”的視角看，工控系統的發展同樣有三大趨勢。
　　
　　一是高穩定性要求帶來的系統技術陳舊。工業控制系統對系統的穩定性有很高的要求，一般情況下，一套系統建設完成之后，系統內的設備、平臺不會輕易地做更新換代，造成當下很多的共控制系統仍在采用Dos、WindowsXP等操作系統平臺；而對于已發現的安全漏洞若無法充分地驗證，評估補丁程序對控制系統穩定性的影響，企業也會更傾向于選擇不打補丁。不會像個人電腦一樣，下載補丁后立刻打上。在這種條件下，如何保障信息系統安全穩定運行，是個很有難度的事情。
　　
　　二是高實時性要求帶來的防護系統性能挑戰?；ヂ摼W中我們也很強調性能，但跟工業控制系統相比就是小巫見大巫了。工業控制系統對系統的實時響應要求是普通互聯網無法比擬的，因此也對各類防護系統提出了更高的性能要求。這造成一系列復雜的、智能化的分析、檢測算法都無法滿足工業控制系統的安全防護要求，限制了防護方法的應用。
　　
　　三是高可靠性要求帶來的檢測高準確性目標。工業控制系統同時具有高可靠性要求，這樣也要求防護系統的分析檢測結果要具有明確的確定性，從而造成當前基于模糊匹配、聚類分析等智能算法的入侵檢測、計算機免疫等各類模糊檢測方法無法應用。
　　
　　面對工控安全新趨勢及挑戰應如何應對？
　　
　　首先，建立以可信計算為核心的安全防護技術體系。可信計算是解決工業控制系統安全問題的重要思路之一，在解決工業控制系統安全方面具有獨特的優勢。
　　
　　一是相對穩定的環境更有利于可信計算技術的應用。工控系統中設備、系統、應用、業務均較為穩定、單一，沒有頻繁的更新；同時也可根據業務環境，執行更嚴格的安全策略，適合可信計算的應用模式。
　　
　　二是非黑即白的防御策略具有更好的檢測確定性?？尚庞嬎愀鶕踩呗裕试S運行執行代碼才能運行，具有明確的結果確定性。
　　
　　三是核心算法簡單保證了良好的防護性能。與各類復雜的智能算法相比，可信計算技術算法簡單、運行效率高，可更好地滿足工業控制系統的實時性要求，實現可信、可控、可管的目標。
　　
　　同時，安全沒有一個放之四海皆行的解決方案。不同行業面臨不同的安全威脅，因此，要針對不同的威脅制定不同的解決方案。如國家重要基礎設施面對的主要是國家級、有組織的對抗破壞，其造成的危害直接影響到國家安全；普通商業型企業面對的主要是一些競爭對手或經濟犯罪的干擾破壞，其造成的危害主要是影響到企業的發展和商業利益。此外，不同的行業也具有不同的業務背景。工業控制系統具有較為獨立的業務模擬、專有協議、專有數據格式等特殊性，需要針對不同行業建立有針對性的防護策略，研發有針對性的防護技術手段，提高工業控制系統安全防護能力。最具有針對性的安全解決方案才是最有效的?！?/span>
　　
　　其次，加強國家基礎設施中系統和產品的安全性檢測。國家基礎設施和普通企業生產系統相比，具有更高的安全需求，但我國在現階段仍不可避免地需要采用國際各類產品。同時，現有的安全檢測技術手段主要面向傳統計算機網絡，而工業控制系統中大量采用嵌入式系統或其他專用計算平臺，檢測技術手段較為薄弱。
　　
　　最后，建立專用測試驗證環境，加強聯合技術攻關。工業控制系統具有其自身的獨特性，建立專用測試驗證環境是開展深入研究工作的前提和基礎。這是理論方法體系研究的需要，也是技術產品測試驗證的需要，同時也是系統集成與評估的需要。同時工業控制系統安全與傳統計算機網絡安全有一定的共性，也有一定的特殊性，應加強兩方面團隊的聯合，推動研究的深入。