守住工控系统安全 不要让外人走“后门”

2010年，伊朗核设施遭受震网病毒攻击；2015年12月，乌克兰电厂遭受黑客攻击，导致大面积居民停电；2018年4月，工业路由器摩莎EDR-810曝17个严重漏洞……在过去几年里，工业控制网络安全事件频频走进人们的视线。

“工业控制网络安全需要警钟长鸣，立足自主创新，才能摆脱核心技术产品受制于人的局面，立足自主创新，才能实现发展与安全的协同推进。”近日，在工业控制信息安全技术国家工程实验室第三次理事会上，中国工程院院士方滨兴疾呼。

什么是工业控制网？方滨兴介绍，简单来说，就是“3+3”模型，即三个要素：计算、通信和控制；三张网络形态：互联网、物联网和传感网。其中，控制是根本，在做互联时，需要依赖通信进行信息传递，所以通信是支撑。

围绕这个模型，方滨兴表示，工业控制网面临严峻的安全挑战，如工控系统日益成为黑客攻击和网络战的首要目标，有数据显示，仅2017年上半年，就发现约18000种针对工控系统的恶意软件；工业大数据作为企业核心资源面临严峻的安全风险；核心技术产品自主可控程度低，受制于人；缺乏工业控制网安全高仿真环境等。

“云计算、大数据、物联网等新技术的应用增加了工业处理流程的开放性和不确定性，安全风险进一步集中加大，工业控制网面临严峻的安全挑战，亟须构建工业控制网安全的核心关键技术体系。”方滨兴说。

国外工业设备中普遍存在后门，方滨兴说，“人家可以监控你的地理坐标，发现地理坐标改了就禁止你使用，你不知道有这个功能，也没有人告诉你有这个功能。”

“所以我们强调民族产品，因为法律的约束作用，可以限制其做坏事，而这对外国人就没有用。因此，关键技术要自主可控，就是要在法律框架下保证安全。”方滨兴说。

方滨兴表示，构建工业互联网安全综合保障体系，首先应该从自主可控开始，也就是本质安全，不能有人为的因素，自主可控可以解决没有人为的因素，再就是安全实验平台，深度防护体系和公共服务体系等。

保障工业控制网络安全，在各个层面都要自主可控，各个层面都要解决自己的问题，包括工业控制系统自动化地实施，工业核心产品设备产业化，工控核心技术的创新研究等。

来源：科技日报