一、 發(fā)展現(xiàn)狀

1工控系統(tǒng)網(wǎng)絡(luò)安全的重要性及意義

工業(yè)控制系統(tǒng)廣泛應(yīng)用于石油石化、煙草、電力、核能等工業(yè)生產(chǎn)領(lǐng)域，以及航天、鐵路、公路、地鐵、水務(wù)等公共服務(wù)領(lǐng)域，堪稱中國(guó)關(guān)鍵生產(chǎn)設(shè)施和基礎(chǔ)設(shè)施運(yùn)行的“神經(jīng)中樞”。統(tǒng)計(jì)顯示，我國(guó)超過(guò)80%的涉及國(guó)計(jì)民生的關(guān)鍵基礎(chǔ)設(shè)施依靠工業(yè)控制系統(tǒng)來(lái)實(shí)現(xiàn)自動(dòng)化作業(yè)，因此，一旦發(fā)生安全事故，其造成的社會(huì)影響和經(jīng)濟(jì)損失非常嚴(yán)重。然而，根據(jù)2000年以來(lái)中國(guó)信息安全漏洞共享平臺(tái)披露的工控系統(tǒng)行業(yè)的漏洞數(shù)量來(lái)看，工控漏洞在2010年之后卻始終處于增長(zhǎng)態(tài)勢(shì)。2014年ICS-CERT所公布的數(shù)據(jù)中，工控安全事件達(dá)632件，而且多集中于能源行業(yè)（59%）和關(guān)鍵制造業(yè)（20%）�？傮w來(lái)看，隨著“兩化融合”的深入，未來(lái)工控系統(tǒng)安全漏洞和威脅還會(huì)繼續(xù)增長(zhǎng)。

由于工控系統(tǒng)被廣泛應(yīng)用到電力、石化、交通、市政以及關(guān)鍵制造業(yè)等涉及國(guó)計(jì)民生的重要行業(yè)中，如遭受攻擊，受到影響的將不僅是相關(guān)企業(yè)的經(jīng)濟(jì)損失，甚至?xí)�引起相�?yīng)的社會(huì)問(wèn)題，其重要性不言而喻。因此，工控安全問(wèn)題已成為當(dāng)前世界各國(guó)最為重視的安全問(wèn)題，在國(guó)內(nèi)已被上升到國(guó)家安全戰(zhàn)略的高度，國(guó)家的政策、標(biāo)準(zhǔn)也正在逐步的制定、完善的過(guò)程中。雖然國(guó)內(nèi)工控安全市場(chǎng)目前也僅僅是處在剛起步、培育市場(chǎng)的前期階段，但其未來(lái)市場(chǎng)潛力巨大，而且在國(guó)家層面，包括發(fā)改委、工信部等主管部委也通過(guò)設(shè)立專項(xiàng)基金，以資助國(guó)內(nèi)科研院所、企業(yè)的工控安全技術(shù)研究及工控安全產(chǎn)品研發(fā)及產(chǎn)業(yè)化。

2相關(guān)政策、標(biāo)準(zhǔn)及政府支持力度

政策驅(qū)動(dòng)：信息安全已上升至國(guó)家戰(zhàn)略

2014年2月27日，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組宣告成立。

2016 年年初，網(wǎng)絡(luò)安全被正式劃入“十三五”規(guī)劃重點(diǎn)建設(shè)方向，在政府未來(lái) 5 年的 100 項(xiàng)重大建設(shè)項(xiàng)目中排在第六位；

2016年11月7日，中國(guó)《網(wǎng)絡(luò)安全法》獲得通過(guò)，并將于2017年6月1日起施行；

2016年12月，國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布《國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略》。

2017年7月，《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（征求意見(jiàn)稿）發(fā)布；

2017年12月，《工業(yè)控制系統(tǒng)信息安全行動(dòng)計(jì)劃》發(fā)布。

標(biāo)準(zhǔn)制定：

目前已發(fā)布的標(biāo)準(zhǔn)規(guī)范有

《信息安全技術(shù) 工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》

《工業(yè)控制系統(tǒng)信息安全 第1部分 評(píng)估規(guī)范》

《工業(yè)控制系統(tǒng)信息安全 第2部分 驗(yàn)收規(guī)范》

需求驅(qū)動(dòng)：關(guān)鍵領(lǐng)域加大信息安全采購(gòu)力度

政府、電信、金融、能源、軍隊(duì)等重點(diǎn)行業(yè)，教育、電商、交通等新興行業(yè)對(duì)信息安全產(chǎn)品、服務(wù)的需求強(qiáng)勁，拉動(dòng)了信息安全市場(chǎng)的整體需求。

地方政府投入顯著提升，2017年達(dá)1.79億元。占市場(chǎng)總量的32%

3市場(chǎng)規(guī)模

數(shù)據(jù)顯示，我國(guó)信息安全產(chǎn)業(yè)規(guī)模自2012年的157.26億元上升至2016年的341.72 億元，五年內(nèi)年均復(fù)合增速達(dá)到21.41%。2017年我國(guó)工業(yè)信息安全市場(chǎng)規(guī)模為5.57億元，市場(chǎng)增長(zhǎng)率達(dá)到53.6%，工業(yè)信息安全產(chǎn)業(yè)發(fā)展進(jìn)入“快車道”。

隨著政策的加快推動(dòng)，市場(chǎng)增速正呈現(xiàn)不斷上升趨勢(shì)，到2018年，預(yù)測(cè)我國(guó)信息安全行業(yè)市場(chǎng)規(guī)模有望達(dá)到8.66億元，2018年行業(yè)增速預(yù)計(jì)將達(dá)到 55.4%。

然而，中國(guó)工控信息安全市場(chǎng)在近年才開(kāi)始進(jìn)入發(fā)展階段，目前整個(gè)市場(chǎng)還處于市場(chǎng)預(yù)熱的階段。據(jù)估算，中國(guó)信息安全的市場(chǎng)總?cè)萘烤薮螅?013年數(shù)據(jù)統(tǒng)計(jì)為194億元，其中工業(yè)信息安全市場(chǎng)容量在23.28億元，而這其中工控系統(tǒng)信息安全容量?jī)H為2億元左右。這一市場(chǎng)中占比最大的是電力市場(chǎng)，石油化工占比第二，其他還包括冶金、煙草、煤礦等。工控信息安全市場(chǎng)的容量遠(yuǎn)未飽和。

4產(chǎn)品與服務(wù)來(lái)源

國(guó)內(nèi)的科研院所、工控系統(tǒng)廠商、信息安全廠商以及一些專注做工控安全的新興企業(yè)都將一定的研發(fā)力量投入工控安全的研究及產(chǎn)品研發(fā)領(lǐng)域，并力爭(zhēng)在工控安全領(lǐng)域獲得先發(fā)優(yōu)勢(shì)。

國(guó)內(nèi)從事工控系統(tǒng)網(wǎng)絡(luò)安全行業(yè)的廠家有啟明星辰；海天煒業(yè)；威努特；力控華康；珠海鴻瑞；綠盟；三零衛(wèi)士；立思辰；中科網(wǎng)威；華大智寶；得安信息；安策科技；安盟電子；深信服；天融信；華為；中興；聯(lián)想等。其來(lái)源可分為以下幾類：

1）專業(yè)的工控網(wǎng)絡(luò)安全公司：國(guó)內(nèi)的海天煒業(yè)、威努特、天地和興等。

2）工業(yè)控制系統(tǒng)廠家：和利時(shí)、浙江中控等。

3）傳統(tǒng)信息安全公司的新增業(yè)務(wù)：綠盟、啟明星辰、藍(lán)盾等。

4）科研院所及中石油、中石化等大型國(guó)企內(nèi)部集成商：如賽迪、中電六所、石化盈科、中油瑞飛等。

二、面臨的緊迫問(wèn)題

1工控系統(tǒng)責(zé)任單位安全意識(shí)有待加強(qiáng)

由于安全防護(hù)功能可能會(huì)影響系統(tǒng)性能，增加成本；另一方面安全防護(hù)設(shè)備對(duì)于操作人員要求較高，企業(yè)普遍缺乏相關(guān)人才；此外，工控系統(tǒng)安全設(shè)備實(shí)施時(shí)需要協(xié)調(diào)多個(gè)部門，如信息、儀表等，因此，系統(tǒng)應(yīng)用企業(yè)的工業(yè)控制系統(tǒng)信息安全工作積極性不高，讓產(chǎn)品推廣受到一定的阻力。

2缺乏標(biāo)準(zhǔn)測(cè)試和標(biāo)準(zhǔn)驗(yàn)證能力

與發(fā)達(dá)國(guó)家相比，我國(guó)信息安全領(lǐng)域的產(chǎn)品標(biāo)準(zhǔn)以及跨領(lǐng)域的安全標(biāo)準(zhǔn)研究仍有待加強(qiáng)，國(guó)家網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn)體系有待完善。

信息產(chǎn)業(yè)包含成千上萬(wàn)的從業(yè)者、各種供應(yīng)商，以及各類軟件、硬件設(shè)備等，因此，從上游的電信運(yùn)營(yíng)商到下游的信息企業(yè)公司等，應(yīng)建立統(tǒng)一的規(guī)范標(biāo)準(zhǔn)。

工信部某研究院從工業(yè)控制系統(tǒng)的技術(shù)線、管理線出發(fā)，制定形成了多項(xiàng)工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)草案；初步建立了工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)的標(biāo)準(zhǔn)驗(yàn)證仿真平臺(tái)，形成了火力發(fā)電、軌道交通等網(wǎng)絡(luò)安全仿真驗(yàn)證環(huán)境；提出了貫穿工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)研制各階段的標(biāo)準(zhǔn)驗(yàn)證流程；但目前已有工業(yè)控制系統(tǒng)信息安全仿真驗(yàn)證環(huán)境缺乏相關(guān)配套的標(biāo)準(zhǔn)測(cè)試工具，標(biāo)準(zhǔn)驗(yàn)證測(cè)試床尚不完備，形成的標(biāo)準(zhǔn)驗(yàn)證能力有限。

3 人才缺口大，培養(yǎng)周期長(zhǎng)

我國(guó)網(wǎng)絡(luò)安全人才結(jié)構(gòu)

據(jù)統(tǒng)計(jì)：

68.9%的網(wǎng)絡(luò)安全從業(yè)人員年齡在25歲~35歲之間，40歲以下占比高達(dá)94.6%，網(wǎng)絡(luò)安全從業(yè)人員相對(duì)年輕化。

63.2%的網(wǎng)絡(luò)安全從業(yè)人員為本科學(xué)歷，其次為碩士和大專，且研究生是重要科研力量。

網(wǎng)絡(luò)安全人才短缺

七成網(wǎng)絡(luò)安全從業(yè)人員都是5年以上資深安全人士，而從業(yè)經(jīng)驗(yàn)1年以下的僅為2.5%，網(wǎng)絡(luò)安全人才短缺一直都是網(wǎng)絡(luò)安全發(fā)展面臨的最大的挑戰(zhàn)。

好在近兩年來(lái)，用人單位提供給安全人員的薪酬有明顯漲幅，約五分之一的網(wǎng)絡(luò)安全人員年薪在30萬(wàn)以上，同比增長(zhǎng)9.2%。但年薪在10萬(wàn)~30萬(wàn)的網(wǎng)絡(luò)安全人員為主流。

一線城市安全人才需求大，人才分配不均

一線城市安全人才需求大，人才分配不均，僅北、上、廣三地對(duì)網(wǎng)絡(luò)安全人才的需求就占全國(guó)總需求的三分之一。網(wǎng)絡(luò)安全人才則主要集中在北京、深圳、上海、西安和成都。

國(guó)內(nèi)對(duì)網(wǎng)絡(luò)安全人才的需求量高達(dá)70余萬(wàn)，社會(huì)對(duì)網(wǎng)絡(luò)安全人才的需求量每年約1.5萬(wàn)人，高校每年培養(yǎng)的網(wǎng)絡(luò)安全相關(guān)專業(yè)人數(shù)不到1萬(wàn)人。

英特爾公司安全研究團(tuán)隊(duì)發(fā)布的報(bào)告顯示，美、英、法、德等8個(gè)國(guó)家的71%的企業(yè)表示，由于安全人才匱乏，每年都會(huì)因網(wǎng)絡(luò)攻擊而產(chǎn)生重大經(jīng)濟(jì)損失。

權(quán)威數(shù)據(jù)顯示，最近3年，我國(guó)高校學(xué)歷教育培養(yǎng)的信息安全專業(yè)人才僅有3萬(wàn)余人，不足70萬(wàn)需求的5%。預(yù)計(jì)到2020年，需求量將達(dá)到140萬(wàn)人，而現(xiàn)在每年培養(yǎng)的人數(shù)，尚不足1.5萬(wàn)人。

由于薪酬和福利等吸引人才的條件不足，傳統(tǒng)安全企業(yè)的大量人才流入國(guó)外企業(yè)或者BAT等互聯(lián)網(wǎng)公司，頂尖安全專家日益匱乏。

4新興技術(shù)在工控信息安全領(lǐng)域應(yīng)用較少

近年來(lái)，云安全、基于大數(shù)據(jù)理論的網(wǎng)絡(luò)安全防護(hù)等新興技術(shù)已經(jīng)應(yīng)用到傳統(tǒng)信息安全領(lǐng)域，這些新技術(shù)可以對(duì)終端惡意文件進(jìn)行有效識(shí)別，挖掘用戶使用習(xí)慣，建立操作模型，實(shí)現(xiàn)自動(dòng)生成防御策略，在安全方面實(shí)現(xiàn)了智能化，但這些技術(shù)在工業(yè)控制系統(tǒng)領(lǐng)域應(yīng)用的較少。

5工控信息安全廠商市場(chǎng)集中度較低

工信部于2016年10月發(fā)布的《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，從安全軟件選擇與管理、配置和補(bǔ)丁管理、邊界安全防護(hù)、物理和環(huán)境安全防護(hù)、身份認(rèn)證、遠(yuǎn)程訪問(wèn)安全、安全監(jiān)測(cè)和應(yīng)急預(yù)案演練、資產(chǎn)安全、數(shù)據(jù)安全、供應(yīng)鏈管理、落實(shí)責(zé)任11個(gè)方面對(duì)工控信息安全建設(shè)內(nèi)容進(jìn)行了規(guī)定。目前，國(guó)內(nèi)涉足這11項(xiàng)領(lǐng)域的廠商主要有幾十家。

目前，我國(guó)信息安全廠商的集中度較低，國(guó)內(nèi)前五名廠商份額占比約26%，而全球前五大廠商份額占比約40%。信息安全領(lǐng)域細(xì)分領(lǐng)域眾多，部分細(xì)分領(lǐng)域之間的技術(shù)關(guān)聯(lián)性不強(qiáng)，而信息安全技術(shù)密集型的特點(diǎn)，造成企業(yè)很難在不同的細(xì)分領(lǐng)域同時(shí)發(fā)力。預(yù)計(jì)未來(lái)市場(chǎng)將更多通過(guò)并購(gòu)的方式提高集中度。

信息安全行業(yè)分散格局的重要原因是信息安全貫穿整個(gè)信息流鏈條，涉及幾乎所有信息設(shè)備與軟件，單個(gè)信息安全企業(yè)無(wú)法掌握全部信息安全技術(shù)，只能根據(jù)自身技術(shù)優(yōu)勢(shì)和渠道特點(diǎn)進(jìn)行差異化定位，選擇部分細(xì)分領(lǐng)域參與競(jìng)爭(zhēng)。

6核心元器件、設(shè)備及系統(tǒng)依賴國(guó)外

核心部件、核心設(shè)備依靠國(guó)外廠商提供配套資源，自己未掌握核心生產(chǎn)能力、核心技術(shù)的研發(fā)能力，導(dǎo)致信息安全核心元器件、核心設(shè)備乃至產(chǎn)業(yè)發(fā)展受制于人。

國(guó)產(chǎn)基礎(chǔ)軟件尤其是核心產(chǎn)品如操作系統(tǒng)、瀏覽器等基本都依附西方技術(shù)標(biāo)準(zhǔn)，沒(méi)有自己的編程語(yǔ)言和開(kāi)發(fā)工具。

我國(guó)工控產(chǎn)業(yè)綜合競(jìng)爭(zhēng)力不強(qiáng)，嵌入式軟件、總線協(xié)議、工控軟件等核心技術(shù)受制于國(guó)外，缺乏自主的通信安全、信息安全、安全可靠性測(cè)試等標(biāo)準(zhǔn)。

三、建議及前景展望

1政府引導(dǎo)及政策支持

隨著網(wǎng)絡(luò)信息安全事件持續(xù)頻發(fā)，國(guó)家加大了在網(wǎng)絡(luò)信息安全產(chǎn)業(yè)方面的投入，并將此提升到了國(guó)家戰(zhàn)略的層面。有效應(yīng)對(duì)網(wǎng)絡(luò)信息安全問(wèn)題所帶來(lái)的威脅，需要政府、企業(yè)和用戶三方共同努力，構(gòu)建正確的網(wǎng)絡(luò)信息安全全局觀，加強(qiáng)政企合作，持續(xù)加大安全投入，推動(dòng)安全技術(shù)創(chuàng)新，多維度、多層級(jí)、全方位推進(jìn)，形成拱衛(wèi)之勢(shì)。國(guó)家層面高度重視網(wǎng)絡(luò)安全和信息化工作，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組、網(wǎng)信辦、公安部、國(guó)家能源局等部門，在戰(zhàn)略上、組織上、政策和法律上均加大力度加強(qiáng)網(wǎng)絡(luò)安全工作。

2支持國(guó)產(chǎn)工控系統(tǒng)關(guān)鍵技術(shù)產(chǎn)品研發(fā)

國(guó)外產(chǎn)品對(duì)我們來(lái)說(shuō)是“黑箱”，在不能了解防護(hù)對(duì)象的情況下進(jìn)行安全防護(hù)工作十分困難，發(fā)展國(guó)產(chǎn)工控系統(tǒng)關(guān)鍵技術(shù)產(chǎn)品，加快國(guó)產(chǎn)化進(jìn)程是國(guó)內(nèi)工控信息安全相關(guān)機(jī)構(gòu)與企業(yè)必須努力的方向。

3推動(dòng)企業(yè)工控信息安全防護(hù)能力提升

工業(yè)控制系統(tǒng)的信息安全不僅可能造成信息丟失，還可能造成工業(yè)生產(chǎn)故障，引起環(huán)境問(wèn)題和社會(huì)問(wèn)題。防止工業(yè)控制系統(tǒng)安全事件的發(fā)生，已經(jīng)成為政府和企業(yè)關(guān)注的熱點(diǎn)，工業(yè)和信息化部下發(fā)的《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》，明確了加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的重要性和緊迫性、具體管理要求以及制度建設(shè)的迫切需要。應(yīng)根據(jù)相關(guān)政策文件，研發(fā)工業(yè)控制系統(tǒng)安全防護(hù)智能化技術(shù)，開(kāi)發(fā)符合標(biāo)準(zhǔn)的安全防護(hù)工具。

在國(guó)內(nèi)關(guān)鍵領(lǐng)域信息系統(tǒng)產(chǎn)品投入使用之前，應(yīng)采用第三方測(cè)評(píng)業(yè)務(wù)進(jìn)行安全評(píng)測(cè)，同時(shí)，還要完善安全測(cè)評(píng)服務(wù)體系，不斷提升信息安全服務(wù)質(zhì)量。

4進(jìn)一步開(kāi)展工控信息安全標(biāo)準(zhǔn)化工作

工控系統(tǒng)中安全問(wèn)題的發(fā)生除了傳統(tǒng)的技術(shù)原因，更重要的是網(wǎng)絡(luò)安全管理的規(guī)范化缺乏造成的。應(yīng)該有針對(duì)性的提升我國(guó)信息安全標(biāo)準(zhǔn)化工作水平，帶動(dòng)信息技術(shù)產(chǎn)業(yè)及相關(guān)產(chǎn)業(yè)行業(yè)發(fā)展實(shí)現(xiàn)更大突破，支撐國(guó)家網(wǎng)絡(luò)安全審查制度的順利實(shí)施。

5培養(yǎng)行業(yè)人才

匯聚和培養(yǎng)工控安全領(lǐng)域高級(jí)工程技術(shù)人才�？蓮谋究平逃�入手，增設(shè)網(wǎng)絡(luò)安全專業(yè)，并且在自動(dòng)化、通信、電子等專業(yè)增加工控網(wǎng)絡(luò)安全課程。在研究生教育階段，工控網(wǎng)絡(luò)安全可以作為相關(guān)專業(yè)的一個(gè)研究方向。因工控網(wǎng)絡(luò)安全涉及自動(dòng)化、網(wǎng)絡(luò)、信息安全等多學(xué)科，在專業(yè)建設(shè)及課程設(shè)置上需要做好頂層設(shè)計(jì)，自上而下的改進(jìn)教育模式。

6加快新技術(shù)應(yīng)用及自主安全產(chǎn)品研發(fā)

移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、物聯(lián)網(wǎng)等新興技術(shù)促使互聯(lián)網(wǎng)環(huán)境更加復(fù)雜，通過(guò)互聯(lián)網(wǎng)所交互的數(shù)據(jù)包數(shù)量更加龐大，因此涌現(xiàn)出的新網(wǎng)絡(luò)問(wèn)題、安全問(wèn)題、業(yè)務(wù)問(wèn)題等都需要有相應(yīng)的網(wǎng)絡(luò)產(chǎn)品、安全產(chǎn)品支撐，顯然我國(guó)在這方面的技術(shù)能力仍有待加強(qiáng)。

構(gòu)建一個(gè)植根于工控系統(tǒng)的全生命周期解決方案。通過(guò)設(shè)備檢測(cè)、監(jiān)測(cè)審計(jì)、智能保護(hù)、安全數(shù)據(jù)庫(kù)、威脅管理及安全服務(wù)等，形成一個(gè)豐富的產(chǎn)業(yè)鏈條。構(gòu)建良好的行業(yè)生態(tài)，加速產(chǎn)業(yè)鏈上下游企業(yè)資本整合速度。