棱鏡門事件后，信息安全一再觸動(dòng)國(guó)家信息安全的敏感神經(jīng)。而作為國(guó)家關(guān)鍵基礎(chǔ)設(shè)施的神經(jīng)中樞，工業(yè)控制系統(tǒng)的信息安全問題被一波又一波的黑客攻擊事件推到一個(gè)新的高度。今年2月，美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究院（NIST）發(fā)布了《增強(qiáng)關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的框架規(guī)范》（以下簡(jiǎn)稱《規(guī)范》）第1版。這是棱鏡門事件后美國(guó)政府首次對(duì)國(guó)家關(guān)鍵基礎(chǔ)設(shè)施提出安全標(biāo)準(zhǔn)，也是奧巴馬政府2013年啟動(dòng)保護(hù)關(guān)鍵基礎(chǔ)設(shè)施信息安全戰(zhàn)略以來(lái)的第一個(gè)基礎(chǔ)性框架文件。

《規(guī)范》以業(yè)務(wù)驅(qū)動(dòng)指導(dǎo)網(wǎng)絡(luò)安全行動(dòng)，將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)納入到企業(yè)風(fēng)險(xiǎn)管理程序當(dāng)中?！兑?guī)范》核心包括識(shí)別、保護(hù)、檢測(cè)、響應(yīng)和恢復(fù)五項(xiàng)功能，提供全生命周期的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理戰(zhàn)略。

在實(shí)施層，《規(guī)范》將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理能力分為部分實(shí)施、風(fēng)險(xiǎn)告知、可重復(fù)和自適應(yīng)四個(gè)級(jí)別。在內(nèi)容安排上，《規(guī)范》按照功能、類和子類的順序展開，并為每個(gè)子類提供了與之對(duì)應(yīng)的標(biāo)準(zhǔn)、指南和最佳實(shí)踐等資料性參考文獻(xiàn)。

《規(guī)范》索引了6部標(biāo)準(zhǔn)、指南和實(shí)踐，其中，與工控信息安全直接相關(guān)的有兩部，分別是ANSI/ISA-62443-2-1（99.02.01）-2009《工業(yè)自動(dòng)化和控制系統(tǒng)安全：建立工業(yè)自動(dòng)化和控制系統(tǒng)安全計(jì)劃》和ANSI/ISA-62443-3-3（99.03.03）-2013《工業(yè)自動(dòng)化和控制系統(tǒng)安全：系統(tǒng)安全要求和安全等級(jí)》。

近年來(lái)，美國(guó)ICS-CERT接到的工控系統(tǒng)漏洞上報(bào)數(shù)量持續(xù)增加，從2010年的41個(gè)上升到了2013年的181個(gè)。其中，2013年181個(gè)漏洞報(bào)告中有177個(gè)被確認(rèn)為是真實(shí)的工控系統(tǒng)漏洞，87%的漏洞可通過網(wǎng)絡(luò)遠(yuǎn)程被操作利用。

《規(guī)范》的發(fā)布無(wú)疑代表了關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全特別是工控系統(tǒng)安全標(biāo)準(zhǔn)的走向。特別是信息化與工業(yè)化深度融合，物聯(lián)網(wǎng)與云計(jì)算產(chǎn)業(yè)的蓬勃發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來(lái)越多地采用通用協(xié)議、通用硬件和通用軟件，并以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接?！兑?guī)范》亦是針對(duì)這一趨勢(shì)制定了統(tǒng)一的、涵蓋傳統(tǒng)信息系統(tǒng)與工控系統(tǒng)的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。

工業(yè)互聯(lián)時(shí)代已到來(lái)，但因各國(guó)調(diào)整信息安全戰(zhàn)略導(dǎo)致的全球性“貿(mào)易技術(shù)壁壘”卻難以回避。中國(guó)正在加速研發(fā)制造自主可控的工控信息安全國(guó)產(chǎn)替代產(chǎn)品。目前，青島海天煒業(yè)、北京東土科技、深圳三旺通信、中科網(wǎng)威、上海三零衛(wèi)士、匡恩網(wǎng)絡(luò)等工業(yè)控制系統(tǒng)供應(yīng)商與通信安全設(shè)備提供商在為用戶提供各具特色的工控信息安全產(chǎn)品及解決方案。

據(jù)gongkong市場(chǎng)研究部研究分析，從2008年到2013年，中國(guó)信息安全相關(guān)市場(chǎng)規(guī)模增長(zhǎng)率一直維持在18%以上，2013年約為194億元。相比之下，工業(yè)控制系統(tǒng)信息安全市場(chǎng)正處于導(dǎo)入期，當(dāng)前市場(chǎng)規(guī)模不到2億元。從行業(yè)應(yīng)用角度分析，油氣、石化、化工、電力、冶金、煙草為工業(yè)控制系統(tǒng)信息安全的核心應(yīng)用行業(yè)，其它行業(yè)規(guī)模相對(duì)較小。工業(yè)控制系統(tǒng)信息安全涉及的硬件、軟件、安全服務(wù)三大類市場(chǎng)中，大部分細(xì)分市場(chǎng)的相關(guān)信息安全服務(wù)還處于空白階段，未來(lái)有很大發(fā)展空間和廣闊前景。（GK-zly）