中国一半以上工控系统带毒运行 网友：何止

导读

我国的工业互联网安全状况不容乐观，仅去年工业和信息化部网络安全管理局委托相关专业机构对20余家典型工业企业、工业互联网平台企业安全检查评估时就发现了2000多个安全威胁。

随着万物互联的时代来临，随之而来的是各种数据、设备信息安全的风险挑战。

6月22日，在“2019年中国工业信息安全大会”现场，由国家工业信息安全发展研究中心、工业信息安全产业发展联盟撰写的《中国工业信息安全产业发展白皮书(2018-2019年)》发布。白皮书显示，2018年我国工业信息安全产业规模为70.32亿元，市场增长率达33.55%，工业信息安全产业规模加速扩容。预计2019年市场增长率将达19.23%，市场整体规模增长至93.91亿元。

会议现场  图片来源：两化融合咨询服务平台

随着自身防护能力较差的传统工业控制系统和设备接入互联网，海量工控系统、业务系统成为网络攻击的重点对象。

工业和信息化部网络安全管理局副局长杨宇燕说：“互联网和工业的深度融合，打破了传统工业领域相对封闭可信的环境，将互联网的安全威胁渗透进工业领域。网络攻击直达生产一线。”他表示，一方面工业互联网平台连接海量工控系统、业务系统、网络，同时承载了大量工业互联网数据，成为网络攻击的重点对象；另一方面，工业互联网数量种类繁多，流动数据复杂，使用场景也比较多，所以数据篡改、泄漏、滥用以及数据跨境流动等安全问题进一步凸显。

安恒信息技术股份有限公司董事长范渊介绍，工业环境最大的威胁是专有的靶向类恶意代码，如大家熟知的震网、火焰等病毒，它们的攻击对象是工业控制系统中的工程师站、操作员站、服务器等主机以及DCS、PLC等控制器。目的是，通过逐级渗透至现场层控制网络，直接对主机及现场控制设备进行恶意操控和逻辑篡改，达到破坏工业生产流程和损伤物理实体的目的。

我国的工业互联网安全状况不容乐观，仅去年工业和信息化部网络安全管理局委托相关专业机构对20余家典型工业企业、工业互联网平台企业安全检查评估时就发现了2000多个安全威胁。

中国科学院院士王小云说：“工控安全十分重要，应用密码加强工控安全保障能力充满机遇和挑战。我国的工控系统由各种自动化控制组件构成，运行环境相对落后，大量的工控系统采用私有协议通信，缺少安全设计和论证。多数情况是牺牲安全性、换取稳定性，安全更新维护不及时，这与我国的科技水平有关，特别是不能实现自主可控有密切关系。”

工业互联网涉及诸多设计及全产业链各环节，我国正在从政策、标准、规范、体系框架角度勾勒工业互联网安全的大蓝图。

奇安信集团副总裁左英男认为，工业信息安全一定要构建一个完整的闭环的安全体系，才能最终解决问题，但目前阶段最需要解决的是工业主机的安全防护。

左英男对科技日报记者说：“工业主机如同信息世界通往物理世界的大门，所有的生产控制指令、数据的获取都通过工业主机下发给具体的工业控制设备，如果守护好这个大门，就能从根本上解决非常多的安全问题。”

一个非常严重的问题是，过去一年很多工业企业遭遇的勒索病毒，并非专门针对工业控制设备特定的勒索软件，通用的勒索软件从信息化网络溜进了工控网络，而80%的病毒来源或入侵攻击源，都是通过USB的数据导入。

北京威努特技术有限公司首席技术官黄敏说：“以前的工控系统很封闭，但并没有带来工控系统的安全，50%以上的工控系统带毒运行，100%的工控系统带漏洞运转。短期甚至未来几年都不可能改变上述状况，因为大量的工控系统需要7？24小时不间断运转，没有机会及时修复补丁，一些未知的漏洞我们还没有掌握。”

左英男强调：“工业环境里大量的存量设备替换代价很高，步骤也很漫长，当前阶段以相对低的成本解决大存量的工业设备安全问题是首要命题。”

工业自动化和信息化系统广泛应用在能源、交通、电力、供水等关系国计民生的重点领域，一旦遭受攻击，将对经济社会发展和广大人民群众生命财产安全带来严重影响。

范渊说：“工业互联网是5G应用的大舞台，多样智能终端在工业互联网应用场景中广泛使用，未来安全将向设备、网络、控制、数据、应用全方面渗透。亟须从技术、管理、服务等多角度协同构建工业互联网安全发展环境。”

工业和信息化部副部长陈肇雄说：“近年来，委内瑞拉电网大规模断电、乌克兰氯气站受网络攻击等安全事件，给相关行业敲响了警钟。我们必须从维护国家安全的政治高度，进一步提高对工业信息安全工作极端重要性的认识。”

工业和信息化部副部长陈肇雄 图片来源：两化融合咨询服务平台

陈肇雄认为，关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标。他还表示，要从四方面提升工业信息安全工作。一完善工业信息安全政策法规体系，二是提升工业信息安全技术保障能力，三是打造工业信息安全产业生态，四是壮大工业信息安全人才队伍。

中央网信办网络安全协调局副局长李爱东表示，针对加强关键信息基础设施的安全保护，将进一步强化供应链和重要数据安全管理，明确行业主管、监管部门的指导监督责任，落实运营单位主体责任，建立健全网络安全责任制。

网友众说纷纭：

网友A: “一半以上工控系统带毒运行”,这个评估过于乐观了，从我目前接触的情况看，绝大多数DCS系统都带毒，如果要实现连接互联网远程控制操作，系统基本不能正常运行。

网友B：方便和风险同时存在。互联网本身就是个不安全的平台，要安全就和互联网物理断开。

网友C：芯片和操作系统都不是自己的，怎么可能安全。

网友D：是时候建立互联网国防！

网友E：现在IIoT这块简直了，都是问题，这个要赶紧去补齐安全啊

网友F：不到百亿，真的吓人，整个互联网几乎都在裸奔

网友G：信息裸奔是常态，安全产业不过是个堵了的下水道，摆在那里装装样子。

任何新事物包括新技术的发展，都是伴随着问题一起来。如同以前的互联网，以及现在更种便捷支持，极大的提升了我们的生活质量。而随之产生的各种问题，也将在磨合中一步步找到解决方案。不过，工控系统关乎整个国家的技术信息机密安全，如网友所说，应加快研发核心技术是根本，补齐安全课。