做好新时期新形势下的工业信息安全工作 切实维护国家安全

作者：国家工业信息安全发展研究中心 尹丽波

习近平总书记在党的十九大报告中指出，“坚持总体国家安全观。统筹发展和安全，增强忧患意识，做到居安思危，是我们党治国理政的一个重大原则。”工业信息安全作为国家安全的重要组成部分，事关经济运行、社会稳定和国家安全。当前，随着云计算、大数据、人工智能等新一代信息技术与制造技术加速融合，工业信息安全形势日趋严峻，亟须加快提升工业信息安全保障能力，为工业生产安全和两化融合健康发展撑起“保护伞”，为制造强国和网络强国战略实施筑牢“防护墙”。

一、工业信息安全关乎国计民生，重要性日益凸显

工业自动化和信息化系统是工业的核心组成部分，是支撑国民经济的重要基础设施，是工业各行业、企业的“神经中枢”。工业信息安全的核心任务是确保这些“神经中枢”的安全。这些“神经中枢”一旦遭受攻击，将可能导致系统停滞、设备损坏等，影响工业生产运营，还可能造成断电、断水、断气、网络瘫痪、交通堵塞等，影响人民日常生活办公，甚至还会引发火灾、爆炸等威胁人民生命财产安全的恶性事件。随着工业互联网发展进入“快车道”，工业互联网安全问题愈发突出，一旦发生工业互联网安全事件，其后果影响更为严重，将可能造成全生产链、全产业链乃至全局性重创。近年来，“震网”病毒入侵导致伊朗上千台离心机报废、乌克兰电网被攻击导致140余万家庭断电、“WannaCry”勒索病毒导致国际知名汽车制造厂商被迫停产、工控恶意软件“Triton”导致能源工厂停运等工业信息安全事件层出不穷，对当事国的经济社会稳定运行和国家安全造成巨大冲击。

二、工业信息安全风险持续攀升，工业领域面临越来越严峻的安全形势

随着制造业向数字化、网络化、智能化、服务化方向加速发展，在促进两化深度融合、工业转型升级的同时，工业信息安全形势也变得更加复杂严峻，具体表现为，“三大风险”呈现增势，“一项短板”尤为突出。

工业信息安全领域“三大风险”愈演愈烈。一是越来越多的工业控制系统及设备暴露于互联网，极易被黑客探测发现。据国家工业信息安全发展研究中心（以下简称国家工信安全中心）监测发现，全球联网工业控制系统及设备数量持续上升，近两年增幅尤其明显，使得黑客发现攻击目标的难度大大降低。二是工控安全漏洞层出不穷，制造、能源、交通等重要领域首当其冲。据美国工业控制系统网络应急响应小组（ICS-CERT）统计，工控安全相关漏洞数量自2012年以来持续走高，且大量高危漏洞集中于装备制造、交通、能源、智能楼宇等重要领域，极易被黑客利用并发起攻击，严重威胁国家关键信息基础设施安全。三是大规模、高强度工业信息安全事件频发，工业领域成为网络攻击“重灾区”。自2010年“震网”事件爆发以来，德国钢铁厂遭受高级可持续性威胁（APT）攻击、乌克兰断电、美国网络瘫痪等事件屡屡发生，全球工业信息安全事件数量整体呈上升趋势。2018年以来，相继发生“熔断”和“幽灵”漏洞威胁工业控制系统、云服务平台及工业互联网平台安全，金雅拓Safenet软件许可服务产品漏洞对大量工业控制系统造成影响，美国天然气输气管道遭供应链攻击引发系统故障等安全事件，工业信息安全警钟长鸣。

随着我国工业互联网加速发展，加强工业互联网安全保障成为当前工业信息安全工作的前沿与重点。然而，我国工业互联网安全保障能力相对薄弱，成为现阶段工业信息安全工作的一项明显短板。目前，工业互联网标识解析、工业云平台、大数据智能分析等核心技术和产业链关键环节仍然掌控在美欧等发达国家手中，我国工业核心设备及系统自主研发能力不足，安全技术和产品相对匮乏，产业支撑效应不明显，远远难以满足当前工业信息安全发展的现实需求。

三、加快提升工业信息安全保障能力，为国家安全保驾护航

近年来，在工业和信息化部的指导下，国家工信安全中心始终坚持总体国家安全观，积极开展工业信息安全政策标准研制、检查评估、监测预警、信息通报、应急保障、产业促进、人才队伍建设等一系列工作，取得了实际成效。但是，我国仍然存在工业企业安全意识不强、关键核心技术能力不足、产业发展基础薄弱、专业人才队伍缺乏等问题和短板。今后，我们要在习近平新时代中国特色社会主义思想和党的十九大精神的指引下，做好新时期新形势下的工业信息安全工作，切实为国家安全保驾护航。

一是抓落实，强化工业企业安全主体责任。“安全为重，责任为先”，工业信息安全保障需要工业企业切实肩负起安全主体责任。下一步，我们要积极贯彻落实《国务院关于深化“互联网+先进制造业”发展工业互联网的指导意见》《工业控制系统信息安全行动计划（2018-2020年）》《工业控制系统信息安全防护指南》等政策文件，落实工业信息安全责任制，强化企业安全意识和责任义务。

二是建手段，增强工业信息安全技术实力。争取工业信息安全主动性的基石在于核心技术突破，扭转核心技术受制于人的局面已迫在眉睫。今后，要大力支持国家级工业信息安全技术机构建设全国工控安全监测网络、应急资源库、仿真测试平台、信息共享平台、信息通报平台（一网一库三平台），着力提升态势感知、隐患排查、攻击发现、应急处置等技术能力。

三是强产业，促进工业信息安全产业发展。我国工业信息安全在产业结构、资源配置、市场环境、业态发展等方面明显不足，须尽快推动建设3-5家国家新型工业化产业示范基地（工业信息安全），促进产业集聚发展。培育一批工业信息安全骨干企业，打造特色优势产业集群。优化产业发展环境，发挥产业联盟作用，增强产业链协同互动，构建协调发展的产业生态系统。

四是育人才，打造工业信息安全专业队伍。做好工业信息安全工作，人才是关键。我国工业信息安全人才缺口较大，亟须加快人才队伍建设。依托国家级工业信息安全技术机构，建立完善工业信息安全培训认证体系，加快培养领军人才、复合型人才，加强漏洞挖掘、渗透测试等技术人才储备。充分发挥产业联盟“产学研用”合作基础优势，开展意识教育、产业促进等培训，打造梯队健全、技术精湛、听从指挥、响应迅速的工业信息安全队伍。