“互聯網 ”行動計劃旨在推動生產制造模式的變革，產業(yè)的組織創(chuàng)新以及產業(yè)結構升級。傳統產業(yè)在得到信息技術的融合和滲透后，取得巨大提升的同時，工業(yè)控制系統的網絡安全也已成為業(yè)內熱議的問題。
10月17日，工業(yè)和信息化部發(fā)布《通知》表示，為貫徹落實《國務院關于深化制造業(yè)與互聯網融合發(fā)展的指導意見》（國發(fā)〔2016〕28號），保障工業(yè)企業(yè)工業(yè)控制系統信息安全，制定《工業(yè)控制系統信息安全防護指南》（簡稱《指南》），印發(fā)至地方工業(yè)和信息化主管部門。而地方工業(yè)和信息化主管部門根據工業(yè)和信息化部統籌安排，指導本行政區(qū)域內的工業(yè)企業(yè)制定工控安全防護實施方案，推動企業(yè)分期分批達到本指南相關要求。
11月3日，工信部正式在網站上發(fā)布了《指南》全文。作為工控安全領域首個重要標志性文件，《指南》對工業(yè)控制系統的系統邊界等安全提出行業(yè)性規(guī)范指導，從安全軟件、補丁管理、邊界安全、物理環(huán)境安全、身份認證等11個方面對工業(yè)控制系統應用企業(yè)以及從事工業(yè)控制系統規(guī)劃、設計、建設、運維、評估的企事業(yè)單位提出規(guī)范性指導。
在網絡互連的大背景下，工業(yè)控制系統的互連已經成為不可避免的趨勢?；ミB一方面可以提高生產力，提升創(chuàng)新能力，減少工業(yè)能源及資源消耗，助力產業(yè)模式轉型升級，另一方面也會因為互聯而誘發(fā)一系列網絡安全問題，工業(yè)控制系統一直面臨著來自內部和外部的各種惡意病毒的攻擊。因而，工業(yè)控制系統當前遭受的網絡攻擊已上升至國家安全挑戰(zhàn)之一。
目前，工業(yè)控制系統的通用化、網絡化、智能化，信息安全防護形勢日漸嚴峻：從2010-2016年國外的熱點工控事件來看，一旦系統的信息安全出現漏洞，將對工業(yè)生產運營和國家經濟安全造成重大的隱患，典型的如2010年伊朗的“震網”事件，2015年烏克蘭的電力受BlackEnergy惡意軟件攻擊事件。
在我國，工業(yè)和信息化部電子科學技術情報研究所從2012年開始，持續(xù)跟蹤、監(jiān)測工業(yè)控制系統的網絡安全風險，也發(fā)現了大量的工業(yè)控制系統網絡安全風險漏洞，并且向主管部門通報了多個地區(qū)的多起關鍵基礎設施高危網絡安全風險，涉及的行業(yè)包括能源、市政供水、供氣和供熱等。
資料顯示，黑客遠程利用的漏洞達87%。從漏洞的類型來看，身份驗證的漏洞數量最多，只要具有初步水平的網絡攻擊者就可以通過互聯網來獲得訪問工業(yè)控制系統設備和系統的一些管理員權限，并且這些漏洞的潛在威脅正在不斷加大。
對此，業(yè)內普遍認為《指南》的推出，是對原有綱領性文件的延伸和細化，具備極強的操作性，將會促使相關系統應用企業(yè)和實施商，加大在工業(yè)控制系統安全防護的資源投入、產品研發(fā)、安全防護服務開發(fā)等。
附：《工業(yè)控制系統信息安全防護指南》全文
工業(yè)控制系統信息安全事關經濟發(fā)展、社會穩(wěn)定和國家安全。為提升工業(yè)企業(yè)工業(yè)控制系統信息安全（以下簡稱工控安全）防護水平，保障工業(yè)控制系統安全，制定本指南。
工業(yè)控制系統應用企業(yè)以及從事工業(yè)控制系統規(guī)劃、設計、建設、運維、評估的企事業(yè)單位適用本指南。
工業(yè)控制系統應用企業(yè)應從以下十一個方面做好工控安全防護工作。
一、安全軟件選擇與管理
（一）在工業(yè)主機上采用經過離線環(huán)境中充分驗證測試的防病毒軟件或應用程序白名單軟件，只允許經過工業(yè)企業(yè)自身授權和安全評估的軟件運行。
?。ǘ┙⒎啦《竞蛺阂廛浖肭止芾頇C制，對工業(yè)控制系統及臨時接入的設備采取病毒查殺等安全預防措施。
二、配置和補丁管理
（一）做好工業(yè)控制網絡、工業(yè)主機和工業(yè)控制設備的安全配置，建立工業(yè)控制系統配置清單，定期進行配置審計。
?。ǘχ卮笈渲米兏贫ㄗ兏媱澆⑦M行影響分析，配置變更實施前進行嚴格安全測試。
?。ㄈ┟芮嘘P注重大工控安全漏洞及其補丁發(fā)布，及時采取補丁升級措施。在補丁安裝前，需對補丁進行嚴格的安全評估和測試驗證。
三、邊界安全防護
?。ㄒ唬┓蛛x工業(yè)控制系統的開發(fā)、測試和生產環(huán)境。
?。ǘ┩ㄟ^工業(yè)控制網絡邊界防護設備對工業(yè)控制網絡與企業(yè)網或互聯網之間的邊界進行安全防護，禁止沒有防護的工業(yè)控制網絡與互聯網連接。
?。ㄈ┩ㄟ^工業(yè)防火墻、網閘等防護設備對工業(yè)控制網絡安全區(qū)域之間進行邏輯隔離安全防護。
四、物理和環(huán)境安全防護
?。ㄒ唬χ匾こ處熣尽祿?、服務器等核心工業(yè)控制軟硬件所在區(qū)域采取訪問控制、視頻監(jiān)控、專人值守等物理安全防護措施。
（二）拆除或封閉工業(yè)主機上不必要的USB、光驅、無線等接口。若確需使用，通過主機外設安全管理技術手段實施嚴格訪問控制。
五、身份認證
?。ㄒ唬┰诠I(yè)主機登錄、應用服務資源訪問、工業(yè)云平臺訪問等過程中使用身份認證管理。對于關鍵設備、系統和平臺的訪問采用多因素認證。
（二）合理分類設置賬戶權限，以最小特權原則分配賬戶權限。
?。ㄈ娀I(yè)控制設備、SCADA軟件、工業(yè)通信設備等的登錄賬戶及密碼，避免使用默認口令或弱口令,定期更新口令。
（四）加強對身份認證證書信息保護力度，禁止在不同系統和網絡環(huán)境下共享。
六、遠程訪問安全
?。ㄒ唬┰瓌t上嚴格禁止工業(yè)控制系統面向互聯網開通HTTP、FTP、Telnet等高風險通用網絡服務。
?。ǘ┐_需遠程訪問的，采用數據單向訪問控制等策略進行安全加固，對訪問時限進行控制，并采用加標鎖定策略。
?。ㄈ┐_需遠程維護的，采用虛擬專用網絡（VPN）等遠程接入方式進行。
?。ㄋ模┍Ａ艄I(yè)控制系統的相關訪問日志，并對操作過程進行安全審計。
七、安全監(jiān)測和應急預案演練
?。ㄒ唬┰诠I(yè)控制網絡部署網絡安全監(jiān)測設備，及時發(fā)現、報告并處理網絡攻擊或異常行為。
?。ǘ┰谥匾I(yè)控制設備前端部署具備工業(yè)協議深度包檢測功能的防護設備，限制違法操作。
?。ㄈ┲贫üた匕踩录表憫A案，當遭受安全威脅導致工業(yè)控制系統出現異?；蚬收蠒r，應立即采取緊急防護措施，防止事態(tài)擴大，并逐級報送直至屬地省級工業(yè)和信息化主管部門，同時注意保護現場，以便進行調查取證。
（四）定期對工業(yè)控制系統的應急響應預案進行演練，必要時對應急響應預案進行修訂。
八、資產安全
（一）建設工業(yè)控制系統資產清單，明確資產責任人，以及資產使用及處置規(guī)則。
?。ǘ﹃P鍵主機設備、網絡設備、控制組件等進行冗余配置。
九、數據安全
?。ㄒ唬o態(tài)存儲和動態(tài)傳輸過程中的重要工業(yè)數據進行保護，根據風險評估結果對數據信息進行分級分類管理。
（二）定期備份關鍵業(yè)務數據。
（三）對測試數據進行保護。
十、供應鏈管理
（一）在選擇工業(yè)控制系統規(guī)劃、設計、建設、運維或評估等服務商時，優(yōu)先考慮具備工控安全防護經驗的企事業(yè)單位，以合同等方式明確服務商應承擔的信息安全責任和義務。
?。ǘ┮员Ｃ軈f議的方式要求服務商做好保密工作，防范敏感信息外泄。
十一、落實責任
通過建立工控安全管理機制、成立信息安全協調小組等方式，明確工控安全管理責任人，落實工控安全責任制，部署工控安全防護措施。
關注本刊微信訂閱號