随着工业化与信息化的深度融合，我国进入了工业转型的快速发展期，智能制造推动着两化的不断融合，导致工业控制系统的信息安全问题更加突出。近年来生产事故的频发，工业生产运行面临的安全形势越来越严峻，因此，构建工控网络防护体系意义重大。
众所周知，我国基础设施和高端制造企业中存在大量的国外工业设备，这些工业系统在相当长的时间内还会继续使用；同时，由于技术水平和制造能力的限制，国内高端数控机床、高端发动机、发电控制系统，以及高端PLC器件等工控设备依赖国外发达国家，这些核心元器件和设备的内部机理和通信协议往往不被我们掌握，以及自身存在设计漏洞和被植入后门的问题，造成重要工业资产和装备制造信息可能被国外非法收集。
相关资料显示，目前我国的工控系统存在的以下安全问题：
一、组织与人员
未实安全责任：管理层重视不足，部门间安全职责不清晰，无明确安全部门或岗位。
安全意识薄弱：员工对工控系统的安全意识相对薄弱，特别是生产或一线员工。传统型企业的“隐匿式安全”（security by obscurity），认为严格物理安全和访问管理即可确保安全，认为未发生安全事件即是安全，这往往使得企业忽略对网络安全的建设，未能及时补救隐患。
二、管理与监督
“经验式”管理：工控系统自身缺乏安全设计与考量，是很多企业存在的普遍现象，通过实施适当安全保障措施，可以有效弥补。但很多企业并没有建立有效的安全策略和措施，仅依靠个人经验和历史经验进行管理。
应急响应机制缺失：缺少应急响应机制，出现突发事件时无法快速组织人力和部署应对措施来控制事件进一步蔓延，并在最短时间内解决问题和恢复生产。
缺少恰当的口令策略：未设置恰当的口令策略和管理，如弱口令，共享口令，多台主机或设备共用一个口令，以及口令共享给第三方供应商等情形，增加密码泄露风险。
缺乏安全审计日志：系统出现安全事件后，无法追踪和分析事件源头和原因，以避免类似情形的再次发生。
三、网络与架构
“防君子式”网络隔离：内部办公网络和工厂网络缺乏有效隔离，未划分安全域进行防护，导致办公网络的攻击或病毒蔓延至工厂网络，造成生产影响。
不安全的通讯协议：工业控制协议非标准化，且大多存在安全隐患，例如CAN、DNP3.0、Modbus、IEC60870-5-101。
不安全的远程访问：为方便维修工程师和供应商的远程调试，未对远程访问部署安全措施和监控，此类远程访问功能可能是攻击者利用率最高的漏洞之一。
复杂的结构：工控系统的结构相对于IT环境而言更为复杂，攻击面较多。典型的工控环境一般会有以下组成部件：控制器（PLC、数控车床、DCS）、SCADA系统、工业计算机、工业软件、HMI、网络、交换机、路由器、工业数据库等，其中任意一个环节或者部件出现问题就有可能导致整个工控系统被攻击。
四、主机与设备
认证与授权：为了日常使用方便，重要控制系统未设置密码、设置弱密码或共用密码，将密码贴在现场机器上，这些“便利”往往也为攻击者的入侵提供了极大的便利。
防病毒软件：未安装病毒防护软件，未及时更新病毒库，非正版软件等。
操作系统陈旧性：现在的工厂环境中，使用越来越多的计算机系统，然而由于工业控制系统的更新迭代的时间相比于IT系统要长很多，使得工业控制系统中存在大量陈旧的计算机系统，如windows xp、windows 2003等操作系统，存在大量可被攻击利用的高危漏洞。
默认配置：许多工厂在安装设备时，使用了默认口令、默认路径，开启不必要且不安全的端口和服务等默认配置。
离线设备管理：对于离线设备，往往认为是安全的，忽视网络安全保护措施。但随着企业数字化的推进或在业务需要时进行网络连接时，此类设备可能会成为安全体系的短板和缺口。
五、物理防护
硬件调试接口：重要控制系统的机架未上锁，或暴露在外的调试接口未有效防护。
物理端口：未对IPC等通用接口进行有效管理或禁用，如USB、PS/2等外部接口，可能存在设备未授权接入风险，导致病毒感染或者程序非法修改。
外部人员访问：人员进出车间管控不严，特别是外部人员，如供应商等。
尽管如上所述工控系统存在很多安全问题，但推进制造业数字化、网络化、智能化发展进程的脚步不能停止，应重视蕴含的网络安全风险，做好顶层设计，强化统筹协调，确保工业互联网安全健康发展。结合现阶段我国关键基础设施情况,特别是采用国外工控设备的重要设施的高端制造企业，如何检测是否已被攻击、发现现有系统存在安全隐患，是企业首先要解决的心头之患。
航天大道遵照工信部印发的《加强工业互联网安全工作的指导意见》，结合我国工业互联网的现状和技术水平，面向工业生产运行安全这个现实重大需求，开展可信工控系统基础技术研究，建设“长征云工业互联网平台”，以5G、边缘计算、工业互联网等新一代信息化技术，建立从产线的自主控制、设备身份与整体运行状态可信、生产工艺工况的监测、工控系统网络安全实时监测与在线处置等服务平台，通过典型行业、典型企业的示范创新应用，建立“面向工业生产运行安全”的工业互联网创新服务平台模板和解决方案，推动在工业企业中应用。
长征云平台以“极简、安全、价值”为宗旨，打造工业互联网平台与生态，以安全生产为行业应用，构建安全生产平台社区。深入挖掘安全、自主、可控的软硬件底层核心能力，在突破“微服务化的PaaS云平台构建技术”、“数据挖掘多引擎集成”等关键技术基础上，积极开展“安全级自主可控PLC双核硬解题芯片”、“全国产化高可靠可信PLC控制器研制技术”、“面向安全可信工控系统的轻量级密码应用技术”、“5G+云边端一体化安全可信工业互联网架构技术”、“面向工控互联的5G+云边端跨域数据协同安全”等国产自主核心关键技术的攻关。
同时，基于长征云平台成立的DAO安全技术实验室，将联合国内安全技术专家，强化工业控制系统安全自主可控技术，立足产品与技术的自主研发，从基础防护、设备安全、控制系统安全、数据安全等方面，为工业客户提供安全、可信的工业互联网控制系统产品和系统解决方案；构建工业互联网安全测评能力，为客户提供一站式的评测服务。
未来，长征云平台将充分发挥DAO安全技术实验室的研发作用，以科技创新手段使工业互联网更安全，做到“三跟综、一搭建”。跟踪国际工业互联网先进技术，不断增加国产自主可控（可信）的软硬件产品研制能力；跟踪国际工业互联网攻击技术，具备国际先进的工控安全扫描与评估能力； 跟踪国际工业互联网防护技术，构建国际先进的工控安全防护体系；搭建工业互联网安全技术产学研合作平台，促进特种行业工业互联网安全技术应用落地，进一步服务保障工业生产运行安全。
(审核编辑: 小王子)
