隨著“互聯網+”行動計劃的推進，移動互聯網、云計算、大數據、物聯網等先進的信息傳輸和處理技術在石化領域的應用越來越普及。毫無疑問，先進的信息通訊技術不僅大幅提升了行業的運營效率，同時也是行業節能減排、綠色發展、轉型升級的重要抓手，為行業帶來了新的升級空間和發展動力。但與此同時，在信息化與工業化融合過程中，網絡信息安全、工業控制系統安全等問題也隨之凸顯出來。

 

　　 日前有信息安全方面的專家對記者表示，目前我國石化行業的工業控制系統幾乎是在沒有任何防護的狀態下，暴露在萬網互聯、萬物互聯的環境中，這無異于一個人在人頭攢動的大街上“裸奔”。而更讓人擔憂的不是這種“裸奔”狀態本身，而是絕大多數的企業管理者對此一無所知。

 

　 　風險看不見，更危險！

 

　 　“我一直對行業的工控系統信息安全有一種擔心。”作為石化自動化行業的專家，中國石油和化工自動化應用協會秘書長陳明海表示，“這種擔心來自于兩方面：一是石化行業肩負著國家石化能源和基礎原材料供給重任，在保障國民經濟安全運行中發揮著舉足輕重的作用，生產中一旦出現任何的異常，都有可能造成嚴重的安全事故或重大的社會影響；二是目前國內大型的石化裝置所采用的高端控制系統和信息系統的軟硬件大多是進口的，幾乎被國外所壟斷，這就好比是自家的房門鑰匙拿在外人手里，讓我們毫無安全感可言。只要有人想惡意入侵，我們就毫無防御能力。” 

 

　 　據介紹，過去，石化企業作為一個獨立的運營單位，其生產系統與外界是隔離的，外面的威脅不會通過企業內部的網絡進入到生產系統。但隨著兩化融合的推進以及互聯網技術的應用，原來獨立運行的控制設備全部進行了大規模聯網和集中式管理，與互聯網等公共網絡的連接使得病毒、木馬等威脅輕而易舉地擴散到了工業控制系統，網絡安全問題也隨之而來。但這些風險都是潛在的，并不像生產現場安全隱患那樣看得見摸得著。

 

　　 “聯網后，過程控制系統就變成了開放的狀態，辦公系統的網絡病毒會對生產系統產生威脅，原來企業生產安全主要面對現場的管理，而現在，還要考慮來自于互聯網的各種威脅。如果工控系統沒有防護體系，工廠里的機器設備就會直接暴露在公共網絡上。目前在互聯網上，就可以直接掃描到許多的工控系統和設備以及軟件，外部人員可以直接聯入系統內部，如果將來一旦爆發網絡空間戰，一個國家的關鍵基礎設施將是首個被攻擊的對象。”北京力控華康科技有限公司市場部經理李光朋在接受中國化工報記者采訪時這樣表示。

 

　　 陳明海也強調了互聯網給生產系統帶來的隱患：“石化行業是一個高危行業，企業生產中涉及到有毒有害、易燃易爆、腐蝕、易揮發等化學品，多數的企業涉及高溫高壓工藝，同時，工藝復雜，生產過程又是環環相扣的連續化生產，每道工序間相互關聯、相互影響，控制系統一旦出問題就會產生重大影響。目前我國的煉油、石化等行業普遍采用DCS（分散控制系統）和PLC（可編程邏輯控制器）等數字化手段，自動化程度高，原本獨立運行的控制體系聯網后很容易受到來自互聯網的各種病毒和漏洞的影響。如果一個關鍵的大型石化裝置遭到惡意攻擊，后果將不堪設想。”

 

　 　有著多年信息安全工作經驗的中國電子科技集團公司首席專家張建軍則認為，工業控制系統的大規模聯網帶來的安全問題不容忽視，且不說工控系統的安全性問題，光是聯網本身就有許多問題。原來兩個生產廠之間的控制系統是各自獨立運行的，控制系統的信息只在企業內部傳輸，但在信息聯網后，在沒有做任何隔離的情況下，兩個工廠的控制系統之間多了一個后門。“這就好像我家和鄰居家本來各走各的門，互不相通。但忽然有一天發現，有一個通道可以直接把我家和鄰居家聯通。可想而知這種情況有多危險！”

 

　 　張建軍介紹說：“目前我國的工業控制系統信息安全比較薄弱，與十幾年前的商用網絡信息安全的水平相當。十幾年前我們計算機用戶沒有幾個人知道什么是防火墻，什么是入侵檢測，僅有的一點安全知識就是防病毒。目前，工業控制領域網絡技術的應用許多還處于起步階段，相關人員對這方面的知識知之甚少。”

 

　 　盡管行業管理者對工控系統安全了解還不多，但在工業系統發生的安全事故卻已經向我們發出警告。早在2009年和2010年間，伊朗核設施曾遭遇震網（Stuxnet）病毒攻擊，導致伊朗1000多臺離心機癱瘓。近幾年，石化企業因網絡病毒引起的安全事件層出不窮，美國的4家石油公司曾對外宣稱，他們的計算機系統感染了Stuxnet病毒；我國青島某煉廠的控制系統也曾因感染蠕蟲病毒導致裝置停產。工業控制系統的網絡安全問題已經日益凸顯。

 

　　 行業情況復雜，升級難！

 

　　 然而，專家們表示，與傳統企業信息化的安全不同，石化行業有自身的特點，其工業控制系統十分復雜，傳統IT安全產品對石化領域的適應性不強，解決問題的能力非常有限，很難滿足石化行業的特殊要求，要想解決好石化行業工控系統信息安全問題并不是一件容易的事。

 

　　“石化領域的工控系統信息安全問題太復雜了！行業與行業之間、企業與企業之間，甚至是一個企業的內部情況都是千差萬別的，企業生產現場的產品種類繁多，出現的問題常常是IT領域中沒有遇到過的情況。”在工控系統領域打拼了多年的李光朋對石化行業工控系統信息安全問題的復雜性有著深刻的理解。

 

　　 張建軍對此也表達了同樣的觀點：“石化行業的情況十分復雜，企業的性質不同，生產的產品不同，其所需的解決方案也就不同。比如分散的油田和集中的石化廠需要的方案就會有所區別，而危險化學品和一般化學品的生產對安全防護的要求級別也不同，系統安全解決方案提供商要針對不同系統提供定制化的解決方案。”

 

　 　關于石化行業工控信息安全復雜性的原因，業內專家將其歸納為3類。

 

　　 首先，石化生產的連續性讓系統升級變得十分困難。多數石化裝置特別是大型的石化裝置只要一開車就是長周期的連續運行，一旦發生計劃外停車，就會造成巨大的損失。這就使得企業即使發現了系統安全漏洞，也根本沒有時間來對系統進行升級和修復，而病毒與防護系統卻是實時更新的。

 

　　 其次，管理人員的主觀因素讓系統升級變得困難。現場的技術人員一般情況下是不敢貿然對系統進行主動更新和修補的，只要生產裝置不出問題，能不動就不動，因為系統升級會帶來一些不確定因素，有可能導致裝置運行不穩定，而造成經濟損失。因此，大量的工控系統存在已知卻無法得到修復的低級漏洞。 

 

　 　再次，石化行業的裝置壽命都比較長，有的一用就是幾十年，因此其控制網絡或控制系統的技術和產品跨代時間也就比較長。目前在一些企業應用的產品和技術還是30年前的，因此造成工控領域的網絡環境類型復雜多樣，新開發的信息安全技術很難全面適應不同類型的系統。同時，就網絡架構而言，不同的供應商提供的網絡系統不同，不同生產企業搭建的網絡不同，即使是同一供應商為不同用戶提供的網絡系統也是五花八門，這就使得石化行業的工控系統信息安全越發難做。

 

　 　“石化系統的復雜性要求一定要有專業的公司針對行業的特點開發針對性強的產品來滿足行業的需求，而且一個安全產品不可能包打天下，只能是先開發客戶需求最為迫切的產品。控制系統及生產網絡的安全防護是當下企業要優先考慮和解決的問題，我們開發的隔離網關系列產品

pSafetylink，就是針對連續生產的安全性和可靠性有著極高要求的石化和化工等行業的。”李光朋對記者說。

 

　 　據悉，力控華康工業隔離網關系列產品pSafetylink，在雙主機之間采用專有網絡隔離技術PSL，可徹底阻斷任何網絡形式的連接，從物理層面斷開了控制網絡和信息網絡的直接網絡連接，同時保證生產數據的安全交換。pSafetylink通過內嵌的高性能工業通信軟件，支持各種主流工業SCADA通信標準（如OPC、Modbus、DNP3等），在為工業控制系統網絡間的實時數據交換提供綠色通道的同時，又有效解決了工業控制網絡外連時面臨的安全問題。

 

　　 目前國內開發的可用于石化行業的工控安全產品還有工業通訊隔離網關、工業防火墻、安全監控裝置、工控可信技術安全平臺、安全數采網關等。

     揚子石化和華東理工大學聯合研發的高級過程控制（APC）系統在揚子乙烯裝置得到成功應用。該系統先進高效，改變了過去傳統的基本控制方式，提高了乙烯裝置的安穩運行水平。圖為揚子石化乙烯裝置崗位職工正在操作APC控制系統。 

 

　　安全產品開發，沒有人！

 

　 　石化行業的復雜性，讓行業工控系統信息安全面臨著巨大的挑戰，雖然市場已經啟動，但企業需求卻難以滿足。記者在采訪中了解到，目前國內專門從事工業控制系統信息安全產品開發的公司屈指可數，而針對石化行業提供解決方案的更是鳳毛麟角。行業的復雜性讓一些大型的通用產品的供應商望而卻步，而與此同時，那些專業的解決方案提供商也面臨著諸多困擾，開發周期長、產品利潤率低、專業復合型技術人員的缺乏制約了行業和企業的發展。

 

　 　石化行業的復雜性也決定了其信息安全產品將以定制化為主，市場比較單一，用戶少，產品復制性差，因此，產品開發企業利潤率低，人均產出少，員工的待遇自然不像其他商用安全產品的開發商那么優厚，高素質的開發人才也就很難留住。而一個產品從開發到成熟穩定一般需要3~5年的時間，一些成熟的產品在行業中的推廣速度也不像商用產品推廣速度那么快。

 

　　 李光朋告訴記者，專業人才的缺乏對產品開發和公司的發展形成了一定制約。工業控制系統信息安全是一個新興的交叉領域，要求該領域的技術人員既要懂工業控制，又要有信息化的知識，同時還要對網絡信息安全有所了解。目前市場沒有現成的復合型人才可用，都是企業自己培養。

 

　　 力控華康是國內最早從事工業控制系統信息安全技術研發的廠商之一，這家公司面臨的問題具有很強的代表性。

 

　 　在對企業的采訪中記者也了解到，目前石化企業中在生產現場負責工業控制的技術人員基本上都是學自動化出身的，由于缺乏信息安全知識，使得本來就十分脆弱的工控信息安全問題變得更為嚴峻。

 

　　 張建軍也表示，目前在石化行業中，無論是管理人員還是技術人員，對工控系統的安全意識十分薄弱，同時基本的安全知識、安全技能和技術手段都很缺乏。

 

　　 工業和信息化部賽迪智庫的研究員安琳曾撰文指出，面對工控系統的安全隱患，用戶企業延續了信息安全防護的舊思路，認為工控系統安全屬于純技術問題，要求工控系統廠商提供整改方案，或者轉向第三方廠商購買安全解決方案。但安琳認為，安全防護不只是技術問題，更重要的是通過流程制度對安全脆弱性進行控制，并保證人員對流程制度的堅決執行。很多情況下，安全事故的發生和關鍵信息的泄露與人的因素直接相關。

 

　 　如何使安全管理融入到日常管理的流程中，并強化落實流程的執行，加強人員的管理，提供人員素質，是工業企業必須認真思考和解決的問題。

        據目前已知的數據顯示，工業控制系統的信息安全事件主要集中于能源、水利、化工、政府機構以及核設施等領域。在中國，這類事件的發生呈逐年上升的趨勢。