工業控制系統安全檢查工作現狀分析及對策研究

　　摘要：工業控制系統的信息安全關系到經濟發展，社會穩定和國家安全的各個方面，安全檢查作為工控安全的主要抓手，能夠及時全面地了解工業控制系統的安全現狀。通過分析以往工控安全檢查取得的成效，總結現階段安全檢查存在的問題，提出有針對性的解決對策，為工業控制系統信息安全主管部門開展下一階段的安全檢查工作的提供借鑒。

　　關鍵詞：工業控制系統;安全檢查;應對措施

　　工業控制論文投稿刊物：工業控制計算機讀者群涵蓋電力、機械、石化、冶金、交通、通信、輕工、醫藥、智能建筑、儀器儀表等多個領域，成為國內知名的專業技術期刊之一，得到了廣大工控、自動化界人士的認可。本刊適合從事工業控制、自動化儀器儀表應用、開發、研究的企業技術管理人員、科研院所研究人員及高校師生。

　　工業控制系統的網絡安全事關經濟發展，社會穩定和國家安全，是網絡強國戰略，制造強國戰略的重要支撐。安全檢查作為工業控制系統安全保障的主要抓手，能夠及時發現工業控制系統存在的網絡安全風險，預防和減少重大網絡安全事件的發生，促進工業控制系統安全穩定運行。在貫徹落實葉中華人民共和國網絡安全法曳，葉國家網絡空間安全戰略曳，工信部葉關于加強工業控制系統信息安全管理的通知曳等政策文件精神的基礎上，開展安全檢查工作現狀分析及研究，總結經驗教訓，指導工作開展，為國家新一輪戰略部署夯實基礎。

　　員工控安全檢查工作取得成效自圓園員源年起，工信部每年下發文件，要求各省開展工業控制系統安全檢查工作，各級工信部門積極響應，周密部署，認真組織，開展工業控制系統安全檢查工作。通過安全檢查，一是摸清工控系統底數，了解各地重要工控系統部署，應用和管理情況;二是掌握安全防護現狀，了解工控系統存在的安全風險及采取的防護措施;三是及時糾正存在問題，查找工業企業存在工業控制系統網絡安全問題，提出防范對策和改進措施，避免重大網絡安全事件的發生，防患于未然。各級工信部門及時匯總數據報送國家部委。通過幾年的數據積累，基本做到野底數清，手段明，動態知冶。工業企業網絡安全意識正在逐年提高，工業控制系統安全管控措施也在逐步加強，企業管理層從過去的野沒意識，無思路冶到現在野有方法，有措施冶，部分工業企業已設立獨立的風險管控部門，開展頂層設計與規劃。新建工控系統已將網絡安全作為建設的主要保障內容，同步規劃，同步建設，同步實施，三位一體，確保工控系統網絡安全。

　　個別企業邀請獨立第三方，開展風險評估，實時監測，應急演練等安全服務，認真排查工控系統存在的安全隱患，避免重大網絡安全事件的發生。在各相關方的共同努力下，工控系統信息安全檢查工作取得了顯著成效。同時，還存在許多問題和不足。圓現階段工作存在問題一是體制不順暢，機制不健全。各地主管部門工控系統信息安全工作主管部門缺乏有效監管手段全面了解在線工控系統的安全風險，工作協調力度上存在不足，沒有形成順暢的工作聯動機制，在工作協調配合和協調周期上均存在一定問題。此外，由于各個工業控制系統主管部門沒有設立相關工控系統信息安全職能機構，導致工控系統信息安全相關工作落實不到位，工作實效性不強。

　　二是工控企業認識不到位，重視程度和保障力度不夠。由于工控系統信息安全檢查工作的人力和資金投入不能給企業帶來直接的利益收入，以及企業管理層對工控系統信息安全重要性缺乏認識，使得一些工控企業還沒有真正認識到開展工控信息安全檢查工作的重要性，少數工控企業沒有將開展工控信息安全檢查工作作為保障工控系統安全和業務安全的重要措施，工控系統信息安全檢查工作變成細枝末節;對工控系統信息安全政策，標準缺乏學習和掌握，研究與探索工控系統信息安全保護工作的思路，方法不夠，開展工控系統信息安全檢查工作能力不強，辦法不多。此外，工控企業中均未設立專門的工控系統信息安全管理協調機構，相關工控系統信息安全檢查工作目前主要由企業信息化部門或生產部門負責，造成相關工控系統信息安全檢查工作缺乏主動性，人員的責任意識和工作執行力不強，易出現工控系統信息安全檢查工作不認真，如問題整改不及時，跟蹤核查不到位等情況，導致檢查數據的真實性，有效性，及時性，客觀性，合規性，追溯性等無法保障。

　　三是工控信息安全專業人才短缺，檢查人員力量不均衡。由于工控系統信息安全是一個集自動化控制，計算機網絡，信息安全于一體的交叉學科，目前國內相關學科建設屬于起步狀態，教育師資力量匱乏，缺乏學科體系標準和教育服務機構，在專業人才培養方面仍處于真空期。此外，隨著工控企業工控系統建設的加快以及行業信息化程度的增高，工控信息安全風險在不斷增加，各行業對工控網絡安全類的人才需求猛增，工控信息安全專業人才短缺的問題也日益突出。所以，出現了工控信息安全檢查隊伍結構業務能力不均衡，檢查人員專業素養參差不齊等情況，部分檢查人員雖然基礎理論功底相對較深，但實踐經驗明顯不足，加上檢查人員相關的教育培訓方式單一，針對性和實效性不強，嚴重影響了工控信息安全檢查相關工作的開展。

　　四是工控安全技術力量薄弱，檢查手段不足。由于國外技術支撐服務成本高，響應速度慢，連續性低，國內工控安全服務廠商數量少，技術能力不夠，工業控制系統設備類型多，通信協議不統一，在開展工業控制系統信息安全檢查工作時，針對不同的工業控制系統設備需要使用特定的檢查工具，導致檢查工具標準不統一，使用有局限。此外，工業控制系統信息安全缺少相關技術研究及標準支持，檢查工具在產品的功能和性能，安全服務能力上仍處于起步階段，使得在相應的工業控制系統信息安全檢查工作中不能及時有效發現工業企業存在的安全隱患及漏洞等，對分析工控系統面臨的安全威脅和風險，評估網絡安全整體防護能力和安全防護水平產生一定影響。

　　應對措施淵員冤完善工控檢查工作管理機制在工業控制系統安全領域，建立分工明確，相互協作的檢查工作管理機構，確保檢查工作領導協調通暢，相關部門按照檢查職責分工協作，確保檢查管理機制良性運行。工業控制系統主管部門與工業企業，技術機構，科研：所，安全廠商等建立工控安全聯絡機制，在開展工業控制系統信息安全檢查工作時，制定檢查工作方案，成立工控安全檢查專家組對檢查工作中遇到的問題和風險進行研判，組建檢查技術隊伍，并結合工作實際，明確檢查內容和人員。

　　加強工控檢查工作責任意識在開展工業控制系統信息安全檢查工作中，應進行檢查工作專項培訓和責任劃分，增強責任感和使命感，認識到工業控制系統信息安全檢查工作的重要性，切實落實檢查工作管理制度，以對行業高度負責的態度開展檢查工作。淵猿冤制定工控檢查工作實施標準借鑒國內外已經建立的相關標準，如信息安全等級保護，風險評估，安全事件應急處置以及工業控制系統信息安全防護指南等方式方法，制定工業控制系統信息安全檢查工作相關標準，保障檢查工作在實施過程中科學化，規范化，制度化。淵源冤提升工控檢查工作技術能力引導社會科研力量加強工業控制系統安全基礎理論，關鍵技術等重大課題研究，吸引社會資源研發安全檢查相關技術手段和技術產品，制定切合實際的工控安全檢查技術體系。

　　根據實際檢查情況，對工控系統的特點，威脅和漏洞進行檢查技術研發，涵蓋工業控制系統安全項目開發與部署和相關網絡架構，工控系統安全控制的管理控制，運行控制和技術控制等內容，從管理，操作，技術出發，包含信息系統安全和風險管理，人的實施執行，系統實施的技術控制，安全評估等方面的安全措施;研究工業控制系統安全標準轅協議，工業控制安全威脅和脆弱性，安全控制等技術;采取多元化的檢查防護措施，變被動為主動，既有針對性又有整體性，既有重點又有全面，制定相關的工業控制系統安全檢查技術體系。同時，集中產業力量，加強對工業控制系統行業的管理，集中不同行業，產業的力量和優勢，建立共享機制，加強工業控制系統信息安全檢查技術的研發，提升工業控制系統信息安全檢查工作技術能力。加大工控檢查工作力度我國工業控制系統涉及行業多，分布廣泛，應用部署在多個條塊分割的垂直體系中，從橫向和縱向兩個層面加大安全檢查深度和力度，摸清工業控制系統資產底數，深度檢查關鍵工業控制系統中存在的安全風險，及時排除安全隱患。

　　對檢查中發現工業控制系統安全漏洞整改修復情況進行跟蹤驗證，通過現場再次檢查確保漏洞修復，風險消除。淵遠冤開展工控檢查工作試點工作工業控制系統涉及行業廣泛，針對不同行業所采取的檢查方式方法及內容都有所差異，有針對性地選擇工業控制系統，開展安全檢查試點工作，發現檢查中存在不足和問題，評估檢查工作是否能夠對某一特定的工業控制系統安全情況進行適用，并可以提出有針對性的防護措施，為防范和化解不同行業的工業控制系統信息安全風險，保障系統的正常運行和安全提供依據。工業控制系統信息安全檢查工作的順利開展，需要建立綜合保障體系，如檢查主管部門機構和人員的設置，檢查人員責任的追究，檢查工作制度的落實，技術支撐隊伍的建設，專家隊伍的建設，安全廠商和科研：所等社會資源的信息共享與合作，檢查技術平臺和管理平臺的研發，檢查工具的儲備，檢查工作的資金保障等。

　　結束語

　　目前，大多數關鍵工業控制系統基礎設施是依靠工業控制系統實現自動化，工控安全已成為維系國家安全的重要戰略組成部分。然而，我國的工控信息安全檢查工作還處于起步階段，安全落后于建設，檢查管理機制，標準規范，評價機制，技術對策，安全產品等亟待加強，結合國外的做法和國內的實際情況，通過完善檢查管理體系，加強技術創新，發揮產業力量等方面著手，逐步提高我國工業控制系統信息安全檢查能力。

轉載請注明來自發表學術論文網：http://www.zpfmc.com/jzlw/22014.html