2015 ICS高峰对话：中国工业信息安全，这8个人说了算

电影可以浪漫，现实妖魔必除。从棱镜门到震网病毒，安全危机离我们越来越近。在攻防相长的新形势下，如何以攻为守、建立智能的安全防护体系？gongkong“2015第三届ICS信息安全论坛”力邀九大天师共商工业信息安全捉妖计。

2015年8月8日下午，2015ICS论坛高峰对话环节由gongkong®总经理潘英章主持，同时邀请北京匡恩网络科技有限责任公司总裁兼首席执行官孙一桉、中国电子科技集团公司信息安全领域首席专家饶志宏、北京威努特技术有限公司副总裁赵宇、北京中科网威信息技术有限公司工控事业部总经理许鑫、北京东土科技股份有限公司高级副总经理薛百华、百通赫思曼网络系统国际贸易（上海）有限公司亚太区安全&无线产品经理王立涛、菲尼克斯（中国）投资有限公司副总裁杜品圣、青岛海天炜业自动化控制系统有限公司研发总监彭亮等嘉宾作为代表展开对话，并与现场用户进行互动。

信息安全攻防相长

潘英章：戴尔最新发布的全球性报告显示，2014年针对ICS的攻击数量同比增长近一倍。作为中国ICS信息安全市场的直接参与者，请以实际案例爆料一年以来的工控信息安全问题现状。

彭亮：目前，我们在现场给客户解决的更多是摆在眼前的紧急问题，这些问题更偏向于IT网络常规性问题，如交换机配置、常规病毒发作、设备故障等。

王立涛：实际案例显示，很多安全问题都是以点来分析、解决的，我们更应该从工业自动化角度去考虑信息安全防护工作。比如，了解某品牌DCS控制流程是怎样的，在具体行业是如何应用的，应该真正深入了解自动化。

许鑫：进入工业4.0时代，工业控制系统信息安全问题必将越来越受重视。我们碰到的安全问题有文档本身携带病毒，通过局域网传递，在工业控制系统建设之初就感染病毒；有的是维护工程师笔记本、U盘有病毒，甚至是手机充电就能传递病毒。

杜品圣：工业控制系统（ICS）信息安全，第一要重视；第二要知道ICS的进攻点在哪里；第三在没有必要的情况下，不要上网，但现在进入互联网时代，现场层也可以编程序。但要知道，并不是每一个人都要攻击工业控制系统。两句话，战略上重视它，战术上藐视它。

孙一桉：攻击—渗透—收集数据—对系统进行控制——出售数据，是工业病毒的产业链。也许你的数据已经被卖过多次，但你不知道。在冶金、烟草、军工、油田、炼化、污水处理等行业都发现信息安全问题。目前，ICS被攻击有两种情况：发起方带有很强目的性进行攻击，获得破坏的可能性是他们基本的前提，但破坏并不是其目的。第二是被动受害，比如你的系统与真正被攻击系统相类似，无辜受害。

饶志宏：智能楼宇目前遭受安全威胁，油料库油料控制也出现过安全问题。网络攻击分为国家层面的攻击，以及黑客的个人兴趣爱好。我们想要保证的安全不仅是现在的安全，还要守护未来很长时间内的安全。

薛百华：通讯协议都是国外的，可想而知，我们的防火墙的门都是开的，人家攻击你还需要走后门吗？中国ICS安全未来发展是要往下走，夯实基础。

赵宇：工业4.0、两化融合使网络更加开放，由于工业网络并不是封闭的，互联网上的病毒会渗透进去，造成停产等问题。在安全领域里，攻防相长。没有买卖就没有伤害，现在很多人开始关注信息安全，国外很多黑客在网上分享入侵ICS的工具包。国家间的对抗激烈，相互惦记，ICS攻击就像核武器，（国家层面）不会轻易动武。

技术融合以攻代守

潘英章：安全问题如此之多，但从gongkong最新的ICS信息安全白皮书看出，工控信息市场并没有相匹配的倍速增长。可见，潜在的“安全风险”通往可见的“安全市场”之路仍然漫长。

请来宾从三个层面来回答，第一，我们需要共同克服哪些障碍？第二，如何跨越部门与专业界限，有效推进工控信息安全体系的建设？第三，从产业角度出发，怎样做好融合，把信息安全问题变成看得见的市场？

孙一桉：这些年给我体会是，ICS网络安全防御体系理念经历了4个阶段。第一阶段是盲目强调隔离（病毒）。第二阶段强调ICS信息安全，由此进入纵深防御时代，但这个阶段出现问题的故障点明显增多。随后，进入第三阶段，人们希望通过学习ICS特性，逐层逐步解决信息安全问题。目前，美国、以色列处于第四阶段，维护ICS信息安全无漏洞很难，他们研究相关技术，以攻代守。

目前匡恩向用户提出的可行性方案包括几个方面。一是深入培训，提高安全防范意识。二是进行安全规划。三是开展监测，对于很谨慎的用户，我们采用离线系统，探讨是否需要在某些节点设置安全产品。四是在（ICS）特定节点上设置防护设备，发挥其安全防护作用。因为用户自己会算账，工业病毒造成的系统停产会带来哪些损失。五是展开持续性威胁管理，随着防护措施的实施，长久维护系统信息安全。六是进行有效的数据共享。我们需要思考如何实现有效共享或有效协作。比如，一家炼钢厂成功对其系统信息安全进行防护，如何未雨绸缪地在整个行业进行推广。这就需要搭建一个公共服务平台，需要政府的力量。

IT与工控的融合是技术融合，这两者要先聚合，再融合。这个行业刚刚兴起，市场很大，谈竞争还太早，现在更多的是需要协作。

饶志宏：回答这个问题从三个层面来讲。首先要明确两个概念，传统信息安全和工控信息安全的概念要理清。在实际发现问题的时候，如果将计算机病毒当作工控安全问题，用户会抵触。我们需要客观地和客户分析问题。

第二，从安全厂商角度讲，不能过分推荐某一款产品。如今，仅仅靠隔离手段并不能解决工控领域的安全问题，应从体系上以问题为导向提供解决方案。从用户角度讲，会遇到很多信息安全方面的问题。如何让用户放心？一个是追责，国家目前没有出台相关政策法规，用户万一出问题是否能理清是谁的责任，需要安全厂商、设备制造商、政府等多方面共同解决这个问题。一个是用户要重视信息安全问题，要高层牵头把安全落实到每一个细节、每一个环节。

第三是政府层面，一是落实责任，从规范行业的角度出台相关法规、制度，明确责任，追责到底。二是标准、规范缺失，有待完善。建立ICS信息安全预警保护机制。

目前，信息安全已经到了4.0阶段。所谓信息安全4.0就是网络空间安全，并不单纯只是网络物理域、逻辑域、认知域三个层面的安全，而是除了硬件设备之外，所有软件都属于4.0版的泛安全。

杜品圣：我们不能只讲信息安全，还要讲工业安全。工业安全，是将信息安全、现场安全、操作安全、应用安全等有机结合起来。随着时代的进步，数据安全在智能工业中越来越重要。

赵宇：如何有效推进工控信息安全体系的建设，让产业落地，我们一直在思考。工控安全厂商为什么不被很多工业企业认可、不被系统集成商认可？作为信息安全从业者，我们思考的安全价值与客户理解的价值并不相同，如何让他们认可我们的价值。相互了解是必要的，我们要对ICS有更加深入的了解，他们也需要了解信息安全，这个市场就会兴起。

智能安全期待国产化    

潘英章：工业互联、工业4.0、智能制造乃大势所趋，而智能系统本身则意味着更加复杂的流程、更为巨量的大数据，简言之工业系统要具备“自决策”的能力，这就意味着安全风险更大，安全形式、内容和要求更加复杂。面对未来，各位所在企业又有哪些布局？

饶志宏：大多数用户还在使用外资品牌工业设备，现在中国的工控安全还是“穿马甲”式的安全，“中国制造2025”的提出正是从内在解决安全隐患，从设备端进行内生式改造，加入安全基因。工业控制系统设备的国产化研制，从某种意义上讲，能有效保证信息安全。

中国网安成立之初就成立了工控安全事业部，我们采用两种方式，基于现有打补丁、与各个行业能源、交通研究院所深度合作，从设备、体系设计，把安全作为一个基因放入。安全不是一蹴而就，需要长久维护。

杜品圣：做好工业安全，既不能夸大（问题）也不能缩小（问题）。工业安全不能只抓某个点上的安全，要抓系统安全，系统性解决问题，考虑元器件、系统安全与信息安全。

孙一桉：匡恩的布局是把网络安全放在整个工业安全中，使智能工业网络安全与智能工业生产安全深度融合。我们正在做几项工作，第一是学习，第二是融合，虽然工业网络安全涉及不同行业，但工业网络安全问题什么时候爆发很难说，爆出什么问题也很难说，我们不准备就某个行业进行单点突破。第三，工业网络安全维护是一项长期工程，我们需要与有效资本进行结合。在这个大谈工业网络安全、数据安全的阶段，希望借助这个机遇，将工控产品国产化，不能单就网络安全谈网络安全，我们的定位是智能工业下的安全企业。（GK-zly）