工业互联网分论坛专家发言讲了什么？

强网工业互联网分论坛专家发言

发言人：张格，国家工业信息安全发展研究中心检查评估所所长

从去年开始，工业互联网这5个字在整个IT领域、OT领域都非常热，今天我们从安全的角度来看，工业互联网为什么这么受到关注？

工业互联网的技术领域终端，已经变成国际间强国与强国竞争的一个指标参数。

首先，看一看工业互联网安全和国家安全的关系。

大家都知道中国制造2025这个概念，这也是现在中美贸易战一个最核心的争端，后来我们又提出了智能制造。德国提出了工业4.0，美国也提出了工业互联网的概念。我国提出了自己的工业互联网的概念，从工业互联网的发展、中国制造、智能制造整个的发展，再加上充分参考了国际上各个国家先进的经验，提出了我们自己，结合中国特色的工业互联网发展之道。

我们国家工业互联网在新工业革命里面的优势在哪里？主要有两类。

第一，体制优势，这是我们在全球引以为傲的，也是咱们国家在全球能够快速发展的一个根本捷径。第二，我们有庞大的市场和人才优势。

工业互联网解决了什么问题？以前工业制造以功能制造为主，就是所有的制造听命于器件的提供机构，也就是工业设备的厂商他们能够提供什么样的制造能力，那企业才有什么样的制造能力。大家知道在八十年代、九十年代，我们国家引进国外淘汰的技术，发展到现在，我们国家通过中国制造各项工作的推进，包括现在推出工业互联网这套技术体系，广泛的用外脑、大家的智慧来共同解决工业领域面临的难题，以此真正从根本上提高工业生产力，带动工业生产关系的转变。

进入工业互联网时代，安全是如何定义的？在工业互联网时代，安全和之前传统的网络安全不同，和之前说的工控安全可能也不同。2017年国家发布的《深入推进制造业和融合发展意见》里面，国务院第一次把安全作为一项重点任务，在文件中第一次提出来。之前在所有的文件里边，一般都是信息化网络安全，网络安全是信息化的一个补充，基本上都是这么提，但是在宏观层面，对于一个大的事项的布置，能够把安全和信息化与网络平台并重是首次，为什么这么做？

在整个互联网的推进过程中，安全是必不可少的，如果在工业互联网里面，安全问题没有解决好，工业互联网就是给别人干的，让自己的系统随时随地的为别人去服务。

今年3月份，委内瑞拉停电事件，就是一个典型的基于联网控制系统的攻击案例。

再看去年的勒索事件。台积电勒索事件去年炒的很热，台积电也公布了自己的损失和数据。最近全球最大的飞机零部件供货商，他的四家工厂在全球遭受勒索病毒的攻击。

2017年年底，当时很多主管部门做工控安全的预测，或者工业信息趋势预测的时候就谈到，这个勒索事件、勒索病毒，已经成为了未来工业互联网、工业信息安全，或者说工控安全主要的事件爆发趋势，应该排在非常前的位置，而且他会变成一个常态化的事情，尤其是给利用工业互联网技术的企业敲响一个警钟，如用你安全没有做好，信息化投入越多，损失越大。

目前我们国家工业互联网的风险主要存在以下几个方面。

首先是工业领域关键信息基础设施日益成为黑客重点攻击目标。现在攻击一台服务器、拿下一个网站，是学生级别、或者刚入门级别的黑客就能干的事，真正有水平的，或者说想拿到高附加值的，取得成绩的黑客，目标全都盯在了工业控制领域，或者说大的工业领域，这一块能拿到很高的黑色收入。

第二，传统信息网络所有的病毒、木马、一系列的攻击手段，在工业领域都可以复现。三四年前，中心的实验室成功的制作出来在PLC直接传播的病毒，这几年类似的各种病毒木马非常多，包括美国被公布出来攻击代码库里面的很多工具和攻击手段，都是直接指向工业控制领域的，现在的工业信息安全防护的速度也没法完成目前工业灵活性的需求。这几年在工控领域大家发现的攻击手法、各种漏洞跟前几年相比是呈几何级数上升的。 

最后就是数据安全的问题。

中国整体工业互联网的发展速度是居世界领先定位的，国家非常重视工业互联网的安全，全国人大立法《中华人民共和国网络安全法》，国务院发的各种文件里面都对这方面极其重视。我们部里面也是一直以来针对工业互联网的发展、工业信息的安全发展提很多的指导意见，开展这方面的研究和这方面防护的工作。

保障工业互联网的安全，就要加强检测。系统是动态运行的，不是静态的，在动态的系统上，只有动态的评估才能跟得上的发展。检测分三类，一个是现场检查、远程检查、实验室检测，进行持续性的检测和评估，针对各类突发的新问题，开展一些实验室层次的检测。

另外，建立态势感知和应急保障技术。现在从国家层面，我们要先做到安全的可知性，总书记告诉我们“未知的风险是最大的风险”，那我们怎么把未知风险变成已知的风险，现在安全领域有两个抓手，一是持续性的监测评估，二是建立自己的态势感知体系，通过这两个抓手能够让所有的未知风险显露出来，让冰山下面的东西显露出来，然后我们来真正的发现风险、解决风险。

关于应急，国家正在逐步的通过标准规范、通过政策文件来予以规范。希望能够在全国建立一个庞大的、能够支持全国几百家工业企业的网络安全保障的一套应急保障体系，能够保障好最后一道防线，一旦出现问题还有机构、有队伍、有人员能够用，而不是看工业企业面对纷纭复杂的问题自生自灭。

最后，整个网络安全问题，最核心的问题还是人的问题，所有的技术都是人来产生的，我们现在这两年一直致力于人才的培养和推动的工作，一直在持续举办工业信息安全技能大赛，通过工业信息技能大赛和工业互联网专门的比赛来发现人才、发现队伍，然后把这些人才队伍纳入到国家的事业中来，纳到国家的需求上面来，做好人才队伍、企业队伍、科研机构、大型企业、工业企业之间的信息交流，资源交换的纽带。

工业信息安全领域还要构筑靶场，不能什么事情都在真实的环境下去测试、真实的环境下去发现问题。靶场也是我们一个重中之重的工作，国家对此很重视，也有很多的任务和很多的项目在支撑这个项目的建设，我相信在未来几年之中，通过靶场不断的完善和建立，能够真正在工业信息安全领域，包括工业互联网整个的防护体系中，通过这些靶场实现更多、更重要的一些技术成果的研发，能够找出适合工业企业、适合我们国家应用的一些防护方案和防护的技术。