尹丽波，国家工业信息安全发展研究中心主任，党委副书记，享受国务院特殊津贴。长期跟踪研究工业信息化和工业信息安全技术和产业发展情况，在工业互联网、工业化和信息化融合以及网络安全等方面发表多篇文章，主持编著多部相关书籍。国家信息化和工业化融合管理技术标准委员会副主任委员。主持研究成果曾获部级一、二、三等奖。

工业是国民经济的主导，工业竞争力是国家竞争力的重要体现。当前全球范围内以信息技术为驱动的新一轮技术革命和产业变革方兴未艾，移动互联网、云计算、大数据、物联网、人工智能等信息技术的应用改变了传统封闭的工业体系和架构，工业生产设备、部件和系统智能连接，工业生产任务分配、信息交流、工作协调、资源共享等发生根本性变化。伴随新工业革命发展大趋势，网络安全风险不断向工业领域蔓延，工业信息安全态势严峻，需要不断增强对工业信息安全的认识，提升安全防护能力，保障制造强国和网络强国建设。

一、对工业信息安全内涵外延的新认识

随着两化融合走向深入，工业企业推进数字化转型升级，数字化、网络化、智能化的生产方式成为发展趋势，大量工业系统和生产设备被暴露在互联网上，关系国计民生的重要工业领域成为黑客攻击的主要目标，针对能源、交通、制造业等重要领域的网络攻击事件频发。工业信息安全的重要性日益凸显，成为制造强国和网络强国建设的重要支撑、保障国家网络安全的重要基础。

工业信息安全的本质是确保完成工业生产任务的流程不被篡改或破坏，实现正常的生产过程、完成既定的生产目标，且生产执行过程的要素流动不被监控或盗取。工业信息安全防护的目标是工业企业生产所需的通信网络和互联网服务不中断，工业生产设备、控制系统、信息系统可靠正常运行，贯穿其中的数据不因偶然的或者恶意的原因遭受破坏、更改、泄露，工业生产和业务的连续性得到保障。

信息技术在工业生产领域的广泛普及和渗透，带动工业信息安全需求的不断提升，工业信息安全的内涵和外延也在发展中不断延伸。依照工业信息系统的基本架构，工业信息安全包括属于生产区工业控制安全范畴的现场设备层安全、现场控制层安全、过程监控层安全、生产管理层安全，以及属于管理区企业管理安全范畴的管理信息层安全和企业网络层安全。随着工业互联网兴起，工业企业上云数量增多，云端安全（平台安全）也成为工业信息安全的重要组成部分，而工业数据安全则贯穿从工业设计、研发、生产到产品流通的全生命周期。

工业企业传统的信息系统中，生产区和管理区独立组网，生产区涉及的现场设备、控制、监控和生产管理层使用的生产控制网络与企业办公网络（或互联网）相对隔离，跨越隔离区的信息数据传递有较为固定的传输规则和策略，设备控制参数、关键生产数据等的上传下达仅在控制网中单向流动，企业面临的信息安全问题集中在工业控制安全。工业互联网可实现了设备互联互通、数据海量汇聚，一定程度上模糊了原有工业信息系统的各层边界，增加了数据信息跨层传递的渠道，特别是部署在现场设备层（或生产区其他层）的边缘采集设备可直接将生产区信息传递到云端平台，甚至通过一定策略接收和执行对现场设备的控制指令。工业企业应用工业互联网，打破了工业控制网络的隔离边界，使工业控制安全、工业数据安全问题凸显，也衍生出平台安全（云端安全）问题。

二、工业信息安全的特征和防护要求

工业信息安全泛指工业运行过程中的信息安全，对工业生产涉及的生产信息系统等进行防护。从典型安全事件来看，工业信息安全威胁往往针对一个或几个具有脆弱性的生产系统进行渗透和攻击，进而危害整个工业信息系统，造成设备故障、系统瘫痪和生产停滞。

信息通信技术的发展促进网络安全技术不断进步，但系统复杂度的提高、系统漏洞逐渐叠加，使得攻击和入侵成本不断降低，但系统防护成本却越来越高。与构成计算机网络、互联网的传统信息系统相比，工业信息系统在保障对象、性能要求、安全需求、技术支持、安全问题影响范围等方面有其特殊性，其防护复杂性和防护成本也更高。

工业信息系统的实时性和可用性要求较高，工业通信时延需要控制在较低水平，以使生产系统能够7*24小时不间断有序运行。工业设备和系统通常依照生产需求和工艺要求进行定制配置，设备系统组合种类多、技术手段差异大、通信协议通用性低，即使是同一型号的设备，根据行业或场景不同也有不同的配置方式和零部件。这些设备和系统的设计重点在于完成生产过程所需的动作，对数据处理能力和安全防护能力的设计不足。工业信息系统变更（或升级）需要提前制定详细计划，并由设备制造商、系统集成商等供应体系的专业人员进行操作，系统变更使用的补丁也需要提前进行全面测试，以确保系统变更不影响正常的生产流程，并尽量减少产能损失。

工业设备和系统的这些特性导致其防护方式有所不同。工业信息安全优先保障工业生产过程的稳定性，保证生产过程的实时控制，其次才考虑传统网络安全优先保障的数据保密性和完整性。工业信息安全无法使用安全可靠性高但计算资源消耗大的商用计算机设备加密算法、通用防护软件等安全产品，需要针对不同设备系统采取专用防护措施。工业生产使用的多数设备和系统无法使用第三方服务或置入第三方信息安全解决方案，设备和系统出现问题需要特定设备提供商、系统集成商进行处理。

三、工业信息安全保障体系的推进重点

工业生产涉及的设备和系统种类繁多、技术手段差异较大、通用性较低，传统互联网安全保障体系难以全覆盖，亟需加快构建更专业的新型工业信息安全保障体系，有效维护工业信息安全，为制造强国和网络强国顺利实施提供坚实保障。

（一）完善工业信息安全政策和标准规范

持续完善工业信息安全政策制度，建立完善检查评估、产品和服务安全审查、检测认证、数据跨境评估等机制，加强工业互联网安全、工业控制系统安全、工业企业及数据分级分类保护、关键基础设施保护等标准规范和管理要求。面向工业控制系统、工业互联网平台、工业数据等安全防护需求，研究制定工业企业设备层、网络层、管理层等的安全防护、测试验证等标准，加强设备接入安全认证、工业控制系统协议解析、企业内外网流量监测、数据全生命周期安全防护。

（二）推动工业信息安全技术攻关

围绕工业企业访问认证、数据加密、权限管理、日志审计等安全需求，着力推动研发工业信息安全防护技术工具集，加强设备特征智能提取、网络和数据分区隔离、流量审计与清洗、实时动态阻拦等关键技术攻关，强化面向多种工业场景、兼容不同生产设备种类的工业系统威胁防护、监测预警等技术方案供给。积极探索在工业场景中使用拟态安全、可信计算、欺骗防御等主动防御理念和手段，着力推动高可靠低资源占用的漏洞自动挖掘、自动攻防技术和新型密码算法研发，提升工业信息系统风险防范能力。

（三）加强安全产品和解决方案应用

推动产学研用合作，研究适合当前我国工业互联网发展的安全防护解决方案，利用工业信息安全关键技术研发形成攻击防护、漏洞挖掘、入侵检测、态势感知、安全审计、可信芯片等安全产品，推动创新应用。加快工业信息安全攻防靶场建设，模拟真实工业生产环境有效开展攻防技术试验验证、生产系统安全检测和风险评估、攻防演练等，提升各类生产场景下的识别、防护、检测、响应和恢复的针对性和有效性，切实保障工业信息安全。

（四）健全工业信息安全工作机制

加快建设国家级工业信息安全在线监测网络，提升设备层、控制层、管理层等层面的全方位态势感知能力。持续组织开展工业信息安全检查，形成“以查促建、以查促改、以查促防”的工作机制，压实企业主体防护责任。依托工业信息安全产业发展联盟力量，加强工业信息安全信息报送与通报能力建设和管理，完善工业信息安全风险共享工作机制。推动网络安全、自动化等工业信息安全相关学科交叉融合建设，加强产教结合，鼓励企业建立实训基地，培养一批工业信息安全专业型、复合型人才。

（本文刊登于《中国信息安全》杂志2019年第6期）