能源信息安全应居安思危 基础设施避免重硬轻软

朱 瑞

能源信息安全应居安思危 基础设施避免重硬轻软

朱 瑞

目前世界的能源现状是，石油和天然气运输管道正被大量建立，陆上和海上石油以及液化天然气的运输规模正日趋扩大，在恐怖主义盛行的今天，这些管道和运输管线更加容易受到攻击，从而造成对国家安全的新的威胁。超级大国美国对能源安全的重视程度在今天看来前所未有。

近年来，不少美国人开始担心国家基础设施管控及数据跟踪系统遇袭。这一系统控制着水坝、电站和交通信号灯等大量重要基础设施，一些政府官员和专家担心恐怖分子可能会对控制系统发动黑客式攻击。据资料统计，目前美国大约有7200个可以直接通过互联网进行操作的关键基础设施控制设备。根据美国工业控制系统网络应急小组(ICS-CERT) 的最新报告显示，在2009—2012年间，美国关键基础设施公司报告的网络安全事件数量急剧增加。2009年，ICS-CERT仅确定了9起安全事件报告；2010年，这个数字上升到41起；2011年和2012年，接到了198起安全事件报告。急剧上升的网络攻击，严重威胁着关键基础设施的正常运转。

美国电力信息行业开始组建完善体系

信息安全专家高昆仑曾在其论文中指出，美国多个政府部门为了确保电力系统的安全有序运行，建立了多个机构、颁布了多部法律、投入了大量资金，通过上下游联动机制有效保障了国内电力信息的安全。国会发布多项法案，赋予下属多个部门管理权利与相关职能。在电力企业与机构信息安全监管方面，遵循已有的电力企业监管方式，授权联邦一级的能源管理委员会(Federal Energy Regulatory Commission，FERC)监管包括信息安全标准在内的电力可靠性标准的推行。在电力行业信息安全研究与指导方面，美国能源部(Department of Energy，DOE)下属多个能源实验室从事信息安全的研究，研发的信息安全防护措施与技术直接用于电力相关示范项目中。在信息安全标准化方面，商务部下属美国国家标准技术研究院(National Institute of Standards and Technology，NIST)致力于工业控制系统安全标准和智能电网信息安全标准的制定，形成了大量研究成果，为电力企业实施信息安全防护提供了指南。此外，美国国土安全部(Department of Homeland Security，DHS)负责信息安全威胁分析与信息安全事件的应急响应，每年都组织包含电网等基础设施在内的大规模信息安全演练。

图1 美国电力行业信息安全研究与管理组织结构

有资料显示，美国为了能源安全出台了一系列整体规划、法律法规及成立了多个部门机构。这些谋划为美国电网的产业发展提供了科学的规划和严谨的法律支持。这其中包括《电网2030规划》、《建设电网 2030的路线图》、《能源政策法》、《国家输电技术路线图》、《能源独立与安全法案2007》、《复苏与再投资法案》、《能源独立安全法》以及奥巴马政府施政计划等。在智能电网互操作性和安全性等方面：以美国商务部下属的国家标准技术研究院（NIST）为主，研究智能电网的互操作性与网络安全等各项技术标准。目前NIST 已发布了NISTIR 7628《智能电网信息安全指南》。

据信息安全专家梁潇介绍，除了政府层面从保卫国家基础设施安全的角度关注电力系统以及智能电网的安全防护外，安全厂商、监控系统与设备制造商也意识到了电力系统的安全产品与解决方案市场潜力巨大，在基于原有信息安全技术提供测控系统及设备附加安全服务的同时，厂商通过参与民间电力系统信息安全技术标准化工作来占领技术制高点，扩大影响力，提升自身竞争力。

由于美国信息技术发展起步较早，美国IT 厂商掌握着大量信息安全的核心技术，而且信息安全的标准化工作都主要是美国有实力的厂商主导。

“除了掌握核心技术知识产权，大量美国厂商还引领着信息安全技术的发展方向。随着电力监控终端的处理能力的提高和一次设备的智能化，设备自身面临的安全风险逐渐增多，大量自动控制系统生产厂商都在致力于将信息安全功能作为设备的增值能力，意图是从系统底层奠定智能电网信息安全的基础。”信息安全专家梁潇补充道。

据了解美国在电力安全项目扶持上规模也是空前。早在2004年，DHS就向11家小公司提供了10万美元基金进行包括入侵检测系统(intrusion detection systems，IDS)和密码算法在内的数据采集与监视控制系统（Supervisory Control And Data Acquisition，SCADA）安全相关研究。2005年，为支持研究机构从事SCADA系统安全研究，DHS和NIST共同出资850万美元作为由Sandia实验室领导的信息架构保护协会(institute for information infrastructure protection，I3P)2a期的研究经费。2007 年，DOE向5个项目提供了790万美元进行电网以及其他能源基础设施的安全设备集成与先进技术应用。2009年底奥巴马提出政府将拨款34 亿美元带动美国智能电网建设。2010年美国能源部为10个智能电网信息安全项目提供了3040万美元作为资金支持。2009年底确定的智能电网示范项目中很多项目都不同程度地包含信息安全的工作，其中DOE提供850多万美元示范项目基金，采用波音公司的军用级别信息安全软件技术改进区域输电系统计划与运行软件。

由此可见，美国的电力行业信息安全战略目前已经建立了比较完善的战略体系。美国的电力行业信息安全战略体系包括政策主体、决策进程、制度保证和法律保障等庞大系统，总体上是制度化、机制化和法制化的产物，是其他国家无法比拟的。

电力行业信息安全仍面临诸多挑战和风险

2015年2月11日，国家能源局在北京召开“2015年电力行业网络与信息安全工作通报会”。国家能源局总工程师杨昆在会上指出，在能源安全领域的规章制度建设上取得了长足进展，超前谋划制定了能源领域网络安全规划，安全责任进一步落实，安全管理工作不断强化，安全防护技术措施不断完善，应急水平不断提高，网络安全防护体系持续改进机制逐步建立，宣传教育培训广泛开展，电力行业网络与信息安全形势保持了持续稳定态势，全年未发生较大以上网络安全事件，保证了电力行业重要信息基础设施的安全、稳定和高效运行。

即使是美国，在能源信息安全领域也是战战兢兢，且也不敢保证自己的电力系统就绝对安全。居安思危才能保证一个国家的电力系统的有序发展，也能保证一个国家的实力稳中有升。中国目前也在不遗余力地发展自己的电力信息系统，丝毫不敢懈怠。

在报告会上，杨昆指出电力行业网络与信息安全工作仍面临诸多风险和挑战，对此他对网络与信息安全工作提出6项要求：一是推进依法治网，提高电力行业网络与信息安全工作法制化、规范化水平。二是注重事前预防，构建网络与信息安全隐患排查和整改长效机制。三是坚持问题导向，做好电力行业网络与信息安全监督管理工作。四是加强纵深防御，提升重要信息基础设施安全可控性。五是立足长远，做好能源领域网络安全规划贯彻落实和滚动修编工作。六是加强基础建设，提升网络与信息安全保障能力。

新的规定再为电力行业安全保驾护航

2014年9月1日，国家发展改革委2014年第14号令《电力监控系统安全防护规定》（以下简称《规定》）正式施行，为电力系统深入开展安全防护工作打下了坚实基础。我国电力监控系统安全防护工作经历了一个艰辛探索、不断完善的过程，短短十几年间，实现由弱到强、由单一安全逐渐向全方位安全过渡，最终形成了一个相对完善的安全防护体系，这是政府、企业以及科研院所共同努力的结果。

在电力监控系统安全防护领域摸爬滚打了30多年的国家电力调度通信中心副主任辛耀中在接受记者采访时表示，“综合电力系统自身的重要性以及国际局势的危险性和不确定性来看，我国电力监控系统安全防护工作仍然任重道远，《规定》的适时出台为电力系统安全稳定运行提供了一份重要的法律和制度保障。”

“电力行业作为关系国计民生的重要基础行业，同时也是技术、资金密集型行业，在注重信息化建设的同时，对于网络安全工作也历来高度重视。”国家能源局副局长史玉波在接受媒体采访时表示。

在谈到下一步电力行业在安全方面将围绕哪些环节展开时，史玉波认为，一是进一步扩展安全防护体系的覆盖范围，包括：（1）加强对110千伏及以下低压配电网的安全防护；（2）加强对电力负荷管理系统、用电管理系统等相关系统的安全防护；（3）进一步规范和加强核电站电力监控系统的安全防护；（4）进一步规范和加强对风电、光伏等可再生分布式能源电力监控系统的安全防护；（5）进一步规范和加强对智能变电站等新技术、新应用的安全防护工作；二是强化纵深防御，包括：（1）积极推进电力监控系统的国产化工作；（2）继续推进电力工控设备信息安全漏洞的检测和整改工作；（3）不断推进电力企业内网监视平台的建设工作；（4）扎实推进电力监控系统安全防护评估工作和电力行业信息安全等级保护测评工作（两项工作同步完成，不增加企业重复工作量），形成电力监控系统安全防护体系的不断改进和持续完善机制；（5）积极研发并逐步推广应用基于可信计算技术的系统安全免疫。

专门为电力行业服务的科研机构也在技术上做着积极探索。信息安全专家高昆仑介绍，目前中国电科院实验室通过国家、行业及国家电网公司多年来的资助建设，已经拥有了多款国际、国内高端信息安全检测仪器仪表。随着技术的不断进步，在漏洞安全检测、协议安全检测、源代码检测等领域，需要通过引进国内外高端信息安全检测工具、与国家和电力行业知名信息安全检测机构开展合作与技术交流、自主研发检测专用工具等多种方式，促进内部检测人才及检测能力的提升，构建服务于电力用户、服务于现场的电力监控系统信息安全实验环境和人才队伍，进一步提升电力监控系统及设备的安全检测能力。

华北电力大学电气与电子工程学院李庚银老师表示，学校将依托新组建单位的电力自动化和信息安全技术的工程化成果，结合技术发展趋势，研究能源电力工控安全关键技术，构建电力信息安全防护体系和管控平台，以工程化实践和组建能源电力工控信息安全工程中心，为能源电力行业培养信息安全工程技术研究与管理的高层次人才。

加强信息共享和“软件”建设

有专家谈到，自从“斯诺登”事件爆发后，美方的做法让人感到新鲜：在出现了斯诺登这种重大泄密事件后，美方反而继续把推动信息共享作为其未来发展的重大举措。通过信息共享来推动快速发展，进而降低泄密风险，同时甩开模仿者，减小今后泄密和遭遇入侵事件的后果影响，成为美方的选择。而全面的信息共享同时也推动了美国安全技术有了全新的发展和施展空间。

目前国内电力行业信息化的标准体系不统一，电力企业存在内部信息系统的信息编码、技术标准、行为规范不统一的现状，容易造成企业内部“信息孤岛”无处不在、系统不能集成、资源不能共享的局面，严重制约企业信息化建设。标准体系的缺乏影响了企业内部、上下级企业之间信息的共享与交互。

对于我国能源信息安全的考虑，笔者认为，应充分借鉴国外关键基础设施网络安全保护相关法律，抓紧建立我国关键基础设施信息安全法律体系；尽快建立关键基础设施风险信息共享机制；加快推动关键基础设施相关产品的国产化替代，慎重购买国外的硬件设备。仅仅一个芯片，有资料统计，全球半导体市场规模达3200亿美元，全球54%的芯片都出口到中国，但国产芯片的市场份额只占10%。全球77%的手机是中国制造，但其中不到3%的手机芯片是国产的。

在石油天然气、交通运输、电力、污水处理、制药、化工、矿业等关系国计民生的公共基础设施领域，芯片无处不在。有专家指出，国外芯片制造厂商有可能通过在芯片面板某一程序上植入木马来窃取商业数据或机密，也可以通过病毒、恶意软件来操控控制系统，引发安全事故。

只有把“软件”方面的东西做足了，做细了，那么问题自身也就无处躲藏。而仅仅是通过购买硬件，有的国外公司还会把芯片同设备绑定出售，而不单卖芯片，这种受制于人的局面让人是可忍孰不可忍。在笔者看来仅仅购买一些“坚船利炮”犹如以网汲水，收不到预期的效果。提高设备国产化率，逐步实现信息设备和电力工控系统的自主可控才是今后要解决的最重要问题。