工业控制系统信息安全的创新需要构建高端产学研用合作平台

2015-03-15王燕平

自动化博览 2015年3期

关键词：刘娜信息安全工业

文/王燕平

文/王燕平

刘娜

博士，北京石油化工学院自动化专业教授。现为北京石油化工学院自动化专业教授。主要研究方向为流程工业自动化、离散工业自动化等领域，在信息化与自动化融合进入业务深层次方面有一定的研究。

安全问题是中国乃至全球的大事，而随着近年来发生的“震网”、“蜻蜓”等侵害工业控制系统的病毒相继出现，工业控制系统的信息安全问题逐渐走进公众视野。由于其可以植入到不同工业行业的现场设备中，使这一问题变得更为复杂。对此，北京石油化工学院教授刘娜和我们分享了她对工业控制系统信息安全问题的诸多看法。

记者：您能就所熟悉的石化、电力等行业关于工业控制系统信息安全问题谈一下自己的认识吗？

刘娜：石化、电力等行业都属于流程工业，在信息化与自动化融合的背景下，目前采用的是基于ERP、MES和PCS三层架构，系统之间互联、互通，控制和管理网络并存。MES系统作为企业的生产指挥平台，首先从控制网络实时提取过程控制数据，控制数据被保存在实时数据库中，通过各MES系统中的物料平衡、公用工程、运行管理等系统功能的业务化处理，以Web方式为企业生产管理者提供数据分析及统计报表。在这种方式下，使得各种来自外网的入侵有可能通过共享信息服务器或Web服务器攻击控制系统，使系统带来的信息安全问题俱增；而工业控制系统的规模庞大和复杂，使得实施信息安全防护的难度增大。因此，工业控制系统信息安全防护的重点是抵御黑客、木马、病毒等通过各种形式对企业网络发起的恶意破坏和攻击，特别要保护实时闭环监控系统及调度数据网络的安全，防止由此引起的自动控制系统故障。

记者：相比IT信息安全，工业控制系统信息安全具有哪些不一样的特点？基于这样的特点，使得保障工业控制系统信息安全的过程中存在哪些难度？

刘娜：工业控制系统是一个独立的系统，使用专用的控制协议，安装特定的软件和硬件。随着计算机技术、网络技术、信息技术的不断发展，加速了控制与管理一体化的进程。使现在的工业控制系统从以前的孤岛状态，逐渐增多了与外部世界的联系，这也就增加了信息安全漏洞和信息事故的可能性。但与IT信息安全相比，工业控制系统信息安全具有不一样的特点：

（1）可用性要求不同

工业控制系统对于网络带宽、信息处理量要求不高，但对系统响应时间的要求较高，不允许关键信息的延迟和处理延误，生产过程要求一年365天不间断工作。与此相反，IT系统可以忍受很大程度上的延迟和抖动，并且可以接受重新启动。

（2）信息安全焦点不同

IT系统最关注的是数据保密性和完整性，主要的关注点在于保护存储或传输的信息。工业控制系统最关注的是可靠性和稳定性，生产过程的一些客户端（如PLC系统、DCS控制器、操作员站等）需要加以特别保护。

（3）系统维护管理不同

IT系统的软件更新（包括信息安全的补丁）是及时自动进行。工业控制系统的软件更新通常不能及时实现，甚至在其生命周期内不采取任何更改和升级措施，因为这些更新需要技术专家仔细评估，并进行完全彻底的测试。

正是基于上述特点，使得保障工业控制系统信息安全具有一定的难度：

（1）现有信息安全评估对非IT类设备缺乏漏洞库和运行脚本；评估工具和方法对工业控制系统及其相连的信息系统进行在线评估可能会对工业控制系统的正常运行造成冲击，甚至有可能造成安全生产事故。

（2）工业控制系统如何有针对性地进行防护，需要在大量行业实践的基础上才能提炼出来。

记者：您认为应对工业控制系统信息安全的挑战，当前最紧迫的问题是什么？如何解决？

刘娜：（1）“双料”人才的缺失

工业控制系统主要用于国家关键基础设施中，这些企业有着非常严格的管理系统、规范的日常维护操作要求。由于分部门管理，严重存在着负责信息安全的人员了解信息安全相关知识，但不了解工业控制系统；而负责操作和维护工业控制系统的人员对信息安全知识的了解又很有限的现象。如果按照现行管理方式，由信息安全部门负责工业控制系统的信息安全防护，很可能出现害怕承担影响生产的责任而使得工业控制系统信息安全防护策略流于形式。因此，当前最紧迫的问题之一是需要既懂工业控制系统又懂信息安全的“双料”人才。

（2）加强具有自主知识产权产品的研究与开发

随着信息化与自动化的融合，工业控制系统缺乏自主可控技术的问题凸显，安全问题受制于人。依靠现有的信息安全技术和产品，采用传统的信息安全解决方案已不再适用于工业控制系统。因此，加强具有自主知识产权产品的研究与开发，以解决软硬件依赖进口问题外，当务之急在系统设计中要融入信息安全的理念，加强控制技术与信息安全技术融合的研究。

面对工业控制系统信息安全的挑战，最有效的办法是：构建高端产学研用合作平台，以共同的愿望，落实协同创新。实行“政府推动、企业为主、科研院所支持、用户参与，市场化运作、产学研用相结合”的产业技术创新团队。合作平台中的企业要参与到高校人才培养方案的制定和培养过程中，从而将企业和社会对大学生素质的实际需求提前反馈给学校。要以技术创新需求为基础，主要解决整个产业信息安全关键技术和前沿技术，而不是个别企业的技术问题。增加“用”的原因是技术创新根本目的是应用，让用户参与技术创新的过程，有利于减少创新环节，降低创新成本，加快科技成果的应用。