工控安全，你还在等什么?

   随着一系列针对工控系统的网络攻击事件的不断发生，最典型的就是2010年针对伊朗核工厂的Stuxnet病毒，以及 2014年席卷欧洲众多能源设施的Havex病毒。针对工业控制系统的网络攻击越演越烈，业界对于工控安全的重要性认识越来越高，国家也陆续出台了一系列有关工控安全的标准及规范。

   但是，客观来看，国内工控安全市场还远没有形成真正的产业化，工控网最新调查数据显示，2014年，国内工控安全市场总额才不到2亿元！

   这对于中国这样一个制造大国来说，工控安全的投资跟整个国家工业自动化设备的投资比例是严重失衡的，我国一年的工业自动化投资总额超过3500亿，而工控安全的投资才2亿，占比还不到千分之一！对比传统IT安全的投资比例来看，一般安全设备的投资最少应该占到设备投资总额的5%，国外最高可能到10%。另外，我国工控安全市场从2012年开始发展，历经三年，整个市场还是非常小，离规模化、产业化的目标仍相差甚远！

   究竟是什么原因，导致工控安全的理念无法在工控界获得广泛认识？

   究竟是什么原因，导致工控安全市场长期处于不温不火的状态？

   究竟是什么原因，导致工控安全产品和方案无法实施落地？

   作为工控安全的从业人员，结合多年的工作经验，笔者认为主要有以下几个原因：

   第一，在互联网大行其道的今天，工控行业已经成为传统行业，越来越远离大众的视线；另外，工业控制系统以其独立于IT网络的特点，其封闭性也是与生俱来的。所以，在这个封闭系统里面发生的各种问题，包括安全问题，都只有管理这套系统的人知道，外人无从得知。

   第二，工业控制系统以“可用性”为第一要求，数据的机密性被明显忽视。在工业控制设备研发过程中，就有很多数据机密性要求让步于可用性要求；更不用提在工控现场，为了数据采集等操作方便，就动辄将防火墙、隔离设备旁路bypass，甚至放在仓库里蒙尘。

   第三，目前市面上的工控安全产品，基本都是传统IT安全产品在工业领域的二次包装，更多的是传统IT安全防护的理念和方法，而这些理念和方法在工业控制领域是不适用的。有关这个论点笔者在另外一篇文章《为什么传统信息安全产品不能解决工控安全问题》中有详细阐述，有兴趣的同学可以百度一下。

   面对这些阻挠工控安全发展的大问题，作为工控安全从业人员，我们该如何应对：

   如何让全产业认识到工控安全的问题？

   如何做出更符合客户要求的工控安全产品？

   如何在“高可用性”要求的工控网里部署安全设备？

   笔者认为，这些问题并非无解，只要我们工控安全业界各位同仁做到以下几点，这些问题将迎刃而解！

   首先，要在全行业深入调研工控安全的实际情况。只有了解到工控安全的实际情况，才有可能提出有针对性的、对症下药的安全解决方案。目前，在工控安全行业，各厂商都提出了自己的安全解决方案，如三零卫士的“固.隔.监”，海天炜业的“可信计算”，中科网威的“时空防御模型”以及威努特的“安全白环境”等。笔者在此不评价各厂商的方案的优劣，作为工控安全的专业厂商，我们欢迎各位同仁广泛交流，深入挖掘真实需求，让我们的解决方案更加贴近客户的需求。

   第二，结合各行业特点，做好各行业的试点。工控行业范围广泛，石油石化、冶金钢铁、电力能源等，不要妄图一家通吃，应该是各家利用现有资源优势，在各自有一定优势的行业里面深耕细作，先做好几家敢第一个吃螃蟹的客户的试点，充分测试验证之后，再向全行业推广。这种单点突破、小规模试用、全行业推广的路子是最符合客观规律，也能最大程度契合大型工业企业对稳定性、可靠性的要求。

   第三，要广泛吸取各方面的优秀实践经验，包括传统IT安全的防护理念，国内外专业的工控安全研究机构以及工控安全标准组织的最新成果，以及类似多芬诺、Wurldtech等国外先进厂商的成功经验。单打独斗，闭门造车是做不出好产品的。

总之，工控安全市场无法真正规模化的原因很多，限于篇幅，本文不做过多阐述。但笔者认为，只要业界各位同仁真正做到了文中所提到的三点，中国的工控安全市场肯定会在现有基础上有较大的提升。让我们共同努力，期待这一天早日到来！

(威努特原创，欢迎转载，转载请注明出处)