關(guān)于工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全審查工作的思考

（上海市信息安全測評認(rèn)證中心，上海 200011）

工業(yè)控制系統(tǒng)是電力、交通、能源、水利、冶金、航空航天等國家重要基礎(chǔ)設(shè)施的“大腦”和“中樞神經(jīng)”，超過80%的涉及國計民生的關(guān)鍵基礎(chǔ)設(shè)施依靠工業(yè)控制系統(tǒng)來實現(xiàn)自動化作業(yè)。隨著“中國制造 2025”戰(zhàn)略和工業(yè)互聯(lián)網(wǎng)體系架構(gòu)的提出，工業(yè)控制系統(tǒng)通過物聯(lián)網(wǎng)、互聯(lián)網(wǎng)等技術(shù)實現(xiàn)工業(yè)全系統(tǒng)多層次互聯(lián)互通，互聯(lián)網(wǎng)和新一代信息技術(shù)與工業(yè)系統(tǒng)逐漸實現(xiàn)全方位的深度融合，工業(yè)控制和基礎(chǔ)設(shè)施智能化程度不斷提高。

近年來，從封閉不斷走向開放的工業(yè)控制系統(tǒng)同時也面臨著越來越多來自互聯(lián)網(wǎng)的信息安全威脅，尤其是針對工控系統(tǒng)關(guān)鍵產(chǎn)品的攻擊不斷增多，安全防護(hù)形勢十分嚴(yán)峻。另一方面，目前我國工業(yè)控制系統(tǒng)的關(guān)鍵技術(shù)和產(chǎn)品對國外廠商依賴程度相當(dāng)高，短期內(nèi)還無法實現(xiàn)有效的自主可控。在當(dāng)前工控信息安全事件高發(fā)，國際政治、經(jīng)濟(jì)形勢復(fù)雜多變的情況下，加強(qiáng)工業(yè)控制領(lǐng)域關(guān)鍵技術(shù)和產(chǎn)品的信息安全認(rèn)證和審查，對于提高安全性和可控性具有重要意義。

1 我國工業(yè)控制系統(tǒng)安全狀況分析

1.1 我國工業(yè)控制系統(tǒng)關(guān)鍵技術(shù)和產(chǎn)品應(yīng)用狀況

近年來隨著工業(yè)互聯(lián)網(wǎng)以及工業(yè)4.0等概念的提出，我國制造業(yè)緊緊抓住新的機(jī)遇，加快轉(zhuǎn)型發(fā)展，實現(xiàn)我國制造業(yè)邁向中高端水平。作為制造業(yè)至關(guān)重要的一部分，工業(yè)自動化控制同樣迎來了廣闊的市場發(fā)展機(jī)遇?？v觀我國工業(yè)控制系統(tǒng)產(chǎn)品的應(yīng)用情況可以發(fā)現(xiàn)，目前國外主流廠商占據(jù)了SCADA、DCS等關(guān)鍵系統(tǒng)設(shè)備的大部分市場份額，在高端應(yīng)用領(lǐng)域更是處于壟斷地位[1]。

可編程邏輯控制器在自動化工程項目中占有主要地位，隨著自動化產(chǎn)業(yè)熱潮不斷升溫，PLC市場增長迅速，規(guī)模持續(xù)擴(kuò)大。但在我國PLC市場上，國產(chǎn)品牌所占據(jù)的市場份額比例較小[2]，目前市場上95%以上的PLC產(chǎn)品來自國外公司，主要有：西門子、施耐德、 歐姆龍、三菱電機(jī)、羅克韋爾、ABB、艾默生、GE等。

我國工業(yè)軟件市場增長迅速，目前市場規(guī)模已近千億元。在《中國制造2025》的大背景下，工業(yè)企業(yè)轉(zhuǎn)變發(fā)展模式、加快兩化融合成為大勢所趨，工業(yè)軟件以及信息化服務(wù)的需求仍將繼續(xù)增加，中國繼續(xù)保持著全球工業(yè)軟件市場增長生力軍的地位。盡管我國工業(yè)軟件市場成長快，但由于起步晚、積累少，在大部分工業(yè)領(lǐng)域，國外工業(yè)軟件仍占據(jù)統(tǒng)治地位[3]。目前，中國高端工業(yè)軟件市場80%被國外壟斷，中低端市場的自主率也不超過50%。國際上西門子、GE等公司紛紛投入巨資，研發(fā)未來工業(yè)軟件，我國在工業(yè)軟件上與國際主流水平差距依然很大。

此外，在數(shù)控機(jī)床領(lǐng)域[4]，發(fā)那科(FANUC)和西門子(SIEMENS)仍占領(lǐng)中高檔控制器的主導(dǎo)地位，這兩家公司在世界市場的占有率超過80%，而機(jī)器人、變頻器、伺服系統(tǒng)、傳感器等工業(yè)控制系統(tǒng)重要設(shè)備的市場份額中，國產(chǎn)廠商所占的比例也明顯低于國際廠商?？梢哉f，目前我國工業(yè)控制系統(tǒng)產(chǎn)品依賴于國外主流供應(yīng)商，國產(chǎn)可替代產(chǎn)品在數(shù)量和產(chǎn)品功能、質(zhì)量上均與進(jìn)口產(chǎn)品存在著較大的差距，工業(yè)控制系統(tǒng)的信息安全管控總體受制于人。

1.2 工業(yè)控制系統(tǒng)面臨的安全風(fēng)險

作為國家關(guān)鍵信息基礎(chǔ)設(shè)施的重要組成部分，工業(yè)控制系統(tǒng)的安全關(guān)系到國家的戰(zhàn)略安全,工業(yè)控制系統(tǒng)安全事故往往造成嚴(yán)重的經(jīng)濟(jì)損失和社會影響。2010年伊朗布什爾核電站的“震網(wǎng)病毒”攻擊、2015年底烏克蘭電力部門遭受到惡意代碼攻擊等安全事件表明，針對工業(yè)控制系統(tǒng)的漏洞攻擊正朝著關(guān)鍵控制器攻擊、網(wǎng)絡(luò)協(xié)議攻擊、專業(yè)攻擊人員攻擊、工控信息系統(tǒng)漏洞挖掘與發(fā)布同時增長等趨勢發(fā)展。攻擊威脅的快速發(fā)展對安全防護(hù)能力提出了更高的挑戰(zhàn)，安全保障難度不斷加大。目前，我國工業(yè)控制系統(tǒng)面臨的安全形勢非常嚴(yán)峻，安全防護(hù)能力嚴(yán)重不足，安全防護(hù)手段建設(shè)嚴(yán)重滯后，主要有以下四類風(fēng)險：

1.2.1 工控平臺結(jié)構(gòu)安全風(fēng)險

隨著TCP/IP 等通用協(xié)議與開發(fā)標(biāo)準(zhǔn)引入工業(yè)控制系統(tǒng)以及工業(yè)互聯(lián)網(wǎng)體系架構(gòu)的提出，開放、透明的工業(yè)控制系統(tǒng)為物聯(lián)網(wǎng)、云計算、移動互聯(lián)網(wǎng)等新興技術(shù)領(lǐng)域開辟出廣闊的想象空間。目前，多數(shù)工業(yè)控制系統(tǒng)內(nèi)部開始采取一些安全隔離或者訪問認(rèn)證的措施，但在工控網(wǎng)絡(luò)結(jié)構(gòu)上仍然面臨著網(wǎng)絡(luò)邊界防護(hù)缺失，安全區(qū)域防護(hù)較弱、外部網(wǎng)絡(luò)接入缺乏加密認(rèn)證等風(fēng)險。

1.2.2 工控本體安全風(fēng)險

目前多數(shù)工業(yè)企業(yè)的系統(tǒng)主機(jī)、工業(yè)控制設(shè)備、移動介質(zhì)及網(wǎng)絡(luò)設(shè)備等普遍采用國外品牌，因協(xié)議和配置缺陷導(dǎo)致工業(yè)控制系統(tǒng)存在大量漏洞且未修復(fù)或者未能及時修復(fù)，也缺乏必要補(bǔ)償性控制措施進(jìn)行防護(hù)。這些漏洞一旦被入侵者利用將引起設(shè)備故障或設(shè)備未經(jīng)授權(quán)的操作，影響工控系統(tǒng)和組件的安全運(yùn)行，導(dǎo)致不可控的安全威脅。整體而言，工業(yè)企業(yè)的工控系統(tǒng)漏洞風(fēng)險管理能力及對工控系統(tǒng)的漏洞分析和評估修復(fù)的技術(shù)能力相對較弱，尚不能準(zhǔn)確掌握工控設(shè)備的漏洞和后門情況，工業(yè)控制系統(tǒng)組件漏洞的數(shù)量呈逐年增加態(tài)勢。

1.2.3 工控行為安全風(fēng)險

由于承載著海量的操作數(shù)據(jù)，并可以通過篡改邏輯控制器控制指令而實現(xiàn)對目標(biāo)控制系統(tǒng)的攻擊，關(guān)鍵領(lǐng)域的工業(yè)控制系統(tǒng)基礎(chǔ)設(shè)施正在成為攻擊者滲透攻擊甚至攫取利益的重點對象。但目前工業(yè)企業(yè)工控網(wǎng)絡(luò)普遍缺乏必要的技術(shù)手段對網(wǎng)絡(luò)行為、關(guān)鍵設(shè)備、系統(tǒng)帳戶等進(jìn)行有效的監(jiān)控和審計，不能及時監(jiān)控網(wǎng)絡(luò)中的攻擊和異常行為。工控系統(tǒng)安全審計的缺失將導(dǎo)致在發(fā)生故障后不能快速進(jìn)行操作溯源以及無法及時對故障進(jìn)行定位，影響工控系統(tǒng)安全穩(wěn)定運(yùn)行。

1.2.4 工控安全管理風(fēng)險

工業(yè)控制的信息安全管理方面的問題也不容忽視，很多已經(jīng)實施了安全防御措施的工控系統(tǒng)仍然會因為管理或操作上的失誤，出現(xiàn)潛在的安全短板。目前不少工控企業(yè)普遍缺乏完善的系統(tǒng)風(fēng)險評估、運(yùn)行維護(hù)、安全審計、突發(fā)事件處理等管理體制機(jī)制，人員培訓(xùn)、配置變更管理、災(zāi)備管理等管理制度也存在不同程度的漏洞。工控安全管理制度的不完善導(dǎo)致黑客通過社會工程學(xué)攻擊工控系統(tǒng)的案例屢見不鮮，除了可能造成生產(chǎn)流程中斷等情況，更可能發(fā)生工藝數(shù)據(jù)及配方等機(jī)密信息的泄露。

1.3 工業(yè)控制系統(tǒng)關(guān)鍵技術(shù)產(chǎn)品風(fēng)險

從總體上看，我國工控信息安全防護(hù)體系建設(shè)滯后于工控系統(tǒng)建設(shè)，產(chǎn)業(yè)基礎(chǔ)薄弱，系統(tǒng)產(chǎn)品嚴(yán)重依賴進(jìn)口，自主可控性較差，導(dǎo)致防護(hù)薄弱。截止至2017年底，在CVE、NVD、CNVD和CNNVD收錄的工控漏洞信息的基礎(chǔ)上統(tǒng)計發(fā)現(xiàn)，近年來全球工控系統(tǒng)安全漏洞數(shù)量高居不下，經(jīng)分析2008年至2017年的漏洞條目[5]，可見圖1。

圖1 近年來公開的工控漏洞數(shù)量變化

可以看出，2011年之后隨著“震網(wǎng)病毒”的出現(xiàn)，工控系統(tǒng)安全得到了空前關(guān)注，相應(yīng)的漏洞信息披露也進(jìn)入了快速增長時期，累計披露的工控信息安全漏洞超過1900條，工控系統(tǒng)面臨的安全問題日益嚴(yán)峻。

根據(jù)對2008年以來的工控信息安全漏洞進(jìn)行分析研究（見圖2），可以看出權(quán)限管理、認(rèn)證許可、資源管理、緩沖區(qū)溢出等漏洞數(shù)量最多，對工控系統(tǒng)的危害主要集中于服務(wù)器系統(tǒng)，SCADA軟件、PLC設(shè)備等。上述漏洞能夠造成工控系統(tǒng)服務(wù)中斷、系統(tǒng)停機(jī)、信息泄露甚至是物理性破壞，因此常常被黑客、病毒及惡意程序所利用。此外，通過信息泄露類漏洞，企業(yè)內(nèi)部的重要工藝流程、參數(shù)、設(shè)備參數(shù)等關(guān)鍵信息容易被攻擊者所竊取，極易造成嚴(yán)重的經(jīng)濟(jì)損失，也將成為進(jìn)一步實施攻擊的重要情報。

圖2 2008年以來工控安全漏洞類型分布

近年來工業(yè)控制系統(tǒng)關(guān)鍵控制設(shè)備及管理軟件系統(tǒng)的漏洞呈現(xiàn)快速上升的趨勢，且高風(fēng)險漏洞所占的比例逐年升高，漏洞所影響的工控系統(tǒng)類型不斷增多。由于我國目前在石化、交通、電力、先進(jìn)制造、市政等重要基礎(chǔ)設(shè)施中，國外進(jìn)口的工控設(shè)備、軟件所占的比例較高，這些重要產(chǎn)品短期內(nèi)無法實現(xiàn)自主可控，相關(guān)信息安全漏洞信息的獲取不可避免存在著滯后性，給現(xiàn)有工控系統(tǒng)帶來的潛在威脅更不容忽視，也對工控系統(tǒng)的安全保障措施提出了更高的挑戰(zhàn)。

2 國外網(wǎng)絡(luò)安全審查制度

2.1 美國網(wǎng)絡(luò)安全審查制度

美國是最早針對網(wǎng)絡(luò)安全建立審查制度的國家，在網(wǎng)絡(luò)安全審查制度的建立和執(zhí)行上具有豐富的經(jīng)驗，值得我們借鑒。

早在1975年5月，美國便成立了外國投資委員會CFIUS（The Committee on Foreign Investment in the United States）。CFIUS最初主要調(diào)查外國投資和并購是否符合產(chǎn)業(yè)政策以及是否有利于促進(jìn)競爭和不違背反壟斷法律。2007年美國的《外國投資和國家安全法》（FINSA）生效，對CFIUS進(jìn)行了法律上的確認(rèn)和制度化，由CFIUS對外國投資可能存在的影響國家安全的因素（包括美國關(guān)鍵基礎(chǔ)設(shè)施、關(guān)鍵技術(shù)等）進(jìn)行審查。

除了對外國投資實施嚴(yán)格的安全審查外，美國對于信息技術(shù)產(chǎn)品和服務(wù)也提出了網(wǎng)絡(luò)安全審查要求，同時針對不同領(lǐng)域采取了不同的網(wǎng)絡(luò)安全審查機(jī)制。

2.1.1 國家安全系統(tǒng)

早在2000年美國宣布在國家安全系統(tǒng)中用于保護(hù)非涉密信息的密碼類信息技術(shù)產(chǎn)品必須通過國家標(biāo)準(zhǔn)和技術(shù)研究院(NIST)的FIPS 140認(rèn)證。2002年7月起，美國進(jìn)一步規(guī)定在國家安全系統(tǒng)中使用的非密碼類信息技術(shù)產(chǎn)品必須通過美國國家信息安全保障聯(lián)盟（NIAP）所采用的信息技術(shù)安全評估通用準(zhǔn)則(Common Criteria, CC)認(rèn)證。NIAP采用了公開的標(biāo)準(zhǔn)為國家網(wǎng)絡(luò)安全審查活動提供指引。

除了對涉及國家安全系統(tǒng)的產(chǎn)品實施嚴(yán)格的認(rèn)證之外，2013年11月美國國防部在《聯(lián)邦采辦條例國防部補(bǔ)充條例》中新增了網(wǎng)絡(luò)安全臨時政策——《供應(yīng)鏈風(fēng)險要求》[6]，要求國防部對采購的信息產(chǎn)品和服務(wù)實施供應(yīng)鏈安全風(fēng)險評估。供應(yīng)鏈安全風(fēng)險評估政策并沒有公開任何流程和具體要求，且不采購的理由也不會告知供應(yīng)商。

2.1.2 聯(lián)邦信息系統(tǒng)

2002年《聯(lián)邦信息安全管理法》(FISMA)在國會通過并生效。FISMA要求各聯(lián)邦機(jī)構(gòu)制定并實施適用于本機(jī)構(gòu)的信息安全計劃(Information Security Program)，保障聯(lián)邦信息和信息系統(tǒng)的安全。FISMA明確授權(quán)國家標(biāo)準(zhǔn)技術(shù)研究院（NIST）負(fù)責(zé)有關(guān)標(biāo)準(zhǔn)和指南的制定工作，并為聯(lián)邦機(jī)構(gòu)落實標(biāo)準(zhǔn)提供技術(shù)指導(dǎo)。對于存儲了聯(lián)邦機(jī)構(gòu)的信息或者承接了聯(lián)邦機(jī)構(gòu)業(yè)務(wù)的合同商，必須滿足FISMA的安全要求。FISMA的安全標(biāo)準(zhǔn)主要來自SP800－53文件，該文件提出了針對聯(lián)邦信息系統(tǒng)的供應(yīng)鏈保護(hù)安全要求，同時對采購過程進(jìn)行了詳細(xì)的規(guī)定。

2.1.3 云計算安全服務(wù)審查

美國作為云計算服務(wù)應(yīng)用的倡導(dǎo)者和引領(lǐng)者，對云計算服務(wù)實行安全審查，也成了云計算服務(wù)推廣應(yīng)用的重要方面。2011年，NIST發(fā)布了《公共云計算安全和隱私指南》和《完全虛擬化技術(shù)安全指南》兩項標(biāo)準(zhǔn)，同時美國政府頒布了《聯(lián)邦風(fēng)險及授權(quán)管理計劃》(FedRAMP)等文件及法規(guī)，為云計算服務(wù)安全審查制度提供了標(biāo)準(zhǔn)依據(jù)。FedRAMP 明確要求聯(lián)邦機(jī)構(gòu)必須采購和使用滿足安全審查要求的云計算服務(wù)。第三方評估機(jī)構(gòu)根據(jù)FedRAMP云安全基線對云計算服務(wù)進(jìn)行安全風(fēng)險評估，聯(lián)合授權(quán)委員會根據(jù)評估結(jié)果對云服務(wù)商進(jìn)行審查。

縱觀美國網(wǎng)絡(luò)安全審查制度，主要有以下幾個特點：

一是開展審查的范圍不斷擴(kuò)大，先是國家安全系統(tǒng)中的產(chǎn)品，隨后拓展到聯(lián)邦政府信息系統(tǒng)、云計算等重點信息系統(tǒng)等，逐步實現(xiàn)全面覆蓋；

二是審查對象不僅包括產(chǎn)品和服務(wù)的安全性能指標(biāo)，還包括產(chǎn)品研發(fā)過程、程序、步驟、方法、產(chǎn)品供應(yīng)鏈等，同時產(chǎn)品和服務(wù)提供商、員工及企業(yè)背景也在審查之列；

三是部分審查標(biāo)準(zhǔn)和過程保密，不披露原因和理由，不接受申訴，且審查沒有明確的時間限制；

四是安全審查結(jié)果具有強(qiáng)制性，對于關(guān)系美國國家安全的重要信息系統(tǒng)，必須經(jīng)過網(wǎng)絡(luò)安全審查才能夠被允許進(jìn)入采購目錄。

2.2 歐盟網(wǎng)絡(luò)安全制度建設(shè)

目前歐盟尚未有統(tǒng)一的網(wǎng)絡(luò)安全審查制度建設(shè)，但在網(wǎng)絡(luò)安全法律制定方面，通過頒布一系列決議、指令、條例等，內(nèi)容涉及數(shù)字網(wǎng)基層服務(wù)、網(wǎng)絡(luò)準(zhǔn)入制度、信息保護(hù)等互聯(lián)網(wǎng)安全諸多方面，用以指導(dǎo)各成員國的互聯(lián)網(wǎng)管理實踐。

2016年7月，歐盟立法機(jī)構(gòu)正式通過首部網(wǎng)絡(luò)安全法—《網(wǎng)絡(luò)與信息系統(tǒng)安全指令》(NIS)，旨在加強(qiáng)基礎(chǔ)服務(wù)運(yùn)營者、數(shù)字服務(wù)提供者的網(wǎng)絡(luò)與信息系統(tǒng)之安全，要求這兩者履行網(wǎng)絡(luò)風(fēng)險管理、網(wǎng)絡(luò)安全事故應(yīng)對與通知等義務(wù)。作為歐盟首部網(wǎng)絡(luò)安全法，NIS明確了歐盟關(guān)于網(wǎng)絡(luò)安全的頂層制度設(shè)計，包括確立網(wǎng)絡(luò)安全國家策略、強(qiáng)調(diào)合作與多方參與、確立網(wǎng)絡(luò)安全事故通知與信息分享機(jī)制等。隨著NIS的實施以及不斷改進(jìn)，歐盟對于基礎(chǔ)服務(wù)運(yùn)營者的信息安全要求正在不斷提高，監(jiān)管機(jī)構(gòu)對于網(wǎng)絡(luò)安全的評估日趨嚴(yán)格，針對基礎(chǔ)服務(wù)運(yùn)營者的網(wǎng)絡(luò)安全審查已經(jīng)箭在弦上了。

歐盟內(nèi)部各國家對于網(wǎng)絡(luò)安全的審查做法也各有不同，作為信息化強(qiáng)國的德國，對于外國投資的安全考量以及網(wǎng)絡(luò)安全立法等方面具有代表性。《對外貿(mào)易與支付法》（Foreign Trade and Payments Act，AWG）是德國規(guī)范外資并購的主要法律[7]。審查部門——德國經(jīng)濟(jì)與技術(shù)部有權(quán)依據(jù)AWG 或者其他法案中的相關(guān)規(guī)定來阻止或者修改某項交易。2015年7月德國議會通過《德國網(wǎng)絡(luò)安全法》，法律中明確了“關(guān)鍵基礎(chǔ)設(shè)施”的范圍及運(yùn)營者的責(zé)任，同時要求關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營商必須履行網(wǎng)絡(luò)安全標(biāo)準(zhǔn)報告和網(wǎng)絡(luò)安全事件動態(tài)報告義務(wù)。雖然目前德國尚未實施強(qiáng)制的網(wǎng)絡(luò)安全審查政策，但通過一系列法律逐漸構(gòu)建了關(guān)鍵基礎(chǔ)設(shè)施的認(rèn)定范圍、責(zé)任歸屬以及安全報告等制度體系，這將為后續(xù)的安全審查提供了制度基礎(chǔ) 。

3 我國開展網(wǎng)絡(luò)安全審查的要求和實踐

3.1 法律法規(guī)要求

2017年6月1日，《中華人民共和國網(wǎng)絡(luò)安全法》正式實施，該法是我國第一部全面規(guī)范網(wǎng)絡(luò)空間安全管理方面問題的基礎(chǔ)性法律，是我國網(wǎng)絡(luò)空間法治建設(shè)的重要里程碑?！毒W(wǎng)絡(luò)安全法》在條文中特別強(qiáng)調(diào)要保障關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行安全。為此，《網(wǎng)絡(luò)安全法》強(qiáng)調(diào)在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，對關(guān)鍵信息基礎(chǔ)設(shè)施實行重點保護(hù)，明確關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能影響國家安全的，應(yīng)當(dāng)通過國家網(wǎng)信部門會同國務(wù)院有關(guān)部門組織的國家安全審查。目前大多數(shù)工業(yè)控制系統(tǒng)作為關(guān)鍵信息基礎(chǔ)設(shè)施，其承擔(dān)了重要的安全責(zé)任和法律義務(wù)，所采用的工控產(chǎn)品和服務(wù)可能影響國家安全，對其采取安全審查符合相關(guān)的法律依據(jù)。

2017年5月2日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布了《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行）》（以下簡稱“《審查辦法》”），并于2017年6月1日起正式實施?！秾彶檗k法》構(gòu)建了網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查的基本制度框架，是《網(wǎng)絡(luò)安全法》確立的網(wǎng)絡(luò)安全整體制度建設(shè)的重要組成部分?！秾彶檗k法》在第二條和第九條分別確定了網(wǎng)絡(luò)安全審查的范圍：“關(guān)系國家安全的網(wǎng)絡(luò)和信息系統(tǒng)采購的重要網(wǎng)絡(luò)產(chǎn)品和服務(wù)”；“可能影響國家安全的公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)”。因此針對關(guān)鍵信息基礎(chǔ)設(shè)施，在涉及國家安全事項時，還需要在通用性安全測試認(rèn)證的基礎(chǔ)之上實施國家安全審查。

在審查內(nèi)容方面，重點審查的是網(wǎng)絡(luò)產(chǎn)品和服務(wù)的安全性、可控性?！秾彶檗k法》除關(guān)注產(chǎn)品和服務(wù)自身的安全風(fēng)險外，著重強(qiáng)調(diào)了產(chǎn)品及關(guān)鍵部件生產(chǎn)、測試、交付、技術(shù)支持過程中的供應(yīng)鏈風(fēng)險。隨著信息技術(shù)全球化供應(yīng)趨勢的發(fā)展，安全風(fēng)險通過供應(yīng)鏈進(jìn)行滲透的渠道越來越多樣化，并成為安全威脅的主要來源。供應(yīng)鏈安全審查應(yīng)當(dāng)綜合判斷涉及技術(shù)、管理和人員安全層面的可信狀態(tài)，同時結(jié)合第三方機(jī)構(gòu)檢測等技術(shù)審查措施，為網(wǎng)絡(luò)產(chǎn)品和服務(wù)搭建完善的安全審查程序。

3.2 認(rèn)證認(rèn)可實踐

2003年9月，國務(wù)院發(fā)布了《認(rèn)證認(rèn)可條例》，規(guī)定認(rèn)證是指由認(rèn)證機(jī)構(gòu)證明產(chǎn)品、服務(wù)、管理體系符合相關(guān)技術(shù)規(guī)范、相關(guān)技術(shù)規(guī)范的強(qiáng)制性要求或者標(biāo)準(zhǔn)的合格評定活動。認(rèn)證的對象分為三類：產(chǎn)品、服務(wù)和管理體系。目前在我國信息安全領(lǐng)域，目前針對這三類對象的認(rèn)證活動都已展開，即信息安全產(chǎn)品認(rèn)證、信息安全服務(wù)認(rèn)證和信息安全管理體系認(rèn)證[8]。目前，由中國信息安全認(rèn)證中心開展了針對防火墻、入侵檢測系統(tǒng)（IDS）、網(wǎng)絡(luò)脆弱性掃描產(chǎn)品、安全審計產(chǎn)品、網(wǎng)站恢復(fù)產(chǎn)品等八類十三種產(chǎn)品實施國家信息安全產(chǎn)品認(rèn)證。

2017年6月，根據(jù)國家《網(wǎng)絡(luò)安全法》規(guī)定，國家互聯(lián)網(wǎng)信息辦公室、工業(yè)和信息化部、公安部、國家認(rèn)監(jiān)委《關(guān)于發(fā)布〈網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄（第一批）〉的公告》（2017年第1號），明確了對服務(wù)器、交換機(jī)、路由器和PLC設(shè)備等四類網(wǎng)絡(luò)關(guān)鍵設(shè)備和防火墻、入侵檢測系統(tǒng)（IDS）、網(wǎng)絡(luò)脆弱性掃描產(chǎn)品、網(wǎng)絡(luò)綜合審計系統(tǒng)等十一類網(wǎng)絡(luò)安全專用產(chǎn)品實施檢測或認(rèn)證的制度。

當(dāng)然，審查絕不單單是一個單純的技術(shù)性的審查，而是將企業(yè)聲譽(yù)、背景、資質(zhì)，產(chǎn)品研發(fā)、制造、交付的過程等各種指標(biāo)和因素都納入，從多角度衡量產(chǎn)品和供應(yīng)商的可控性與安全性[9]。我國的信息安全產(chǎn)品認(rèn)證認(rèn)可制度應(yīng)該算是安全審查工作體系的一部分。

3.3 工作面臨的困難

3.3.1 制度體系尚不健全

國家《網(wǎng)絡(luò)安全法》要求關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能影響國家安全的，需要進(jìn)行國家安全。《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行）》要求金融、電信、能源、交通等重點行業(yè)和領(lǐng)域主管部門，根據(jù)國家網(wǎng)絡(luò)安全審查工作要求組織開展本行業(yè)、本領(lǐng)域安全審查工作。但目前對于關(guān)鍵信息基礎(chǔ)設(shè)施中的工業(yè)控制系統(tǒng)技術(shù)和產(chǎn)品的認(rèn)定及安全審查實施實施的主體、程序等內(nèi)容尚缺乏進(jìn)一步的法律和法規(guī)要求。

2011年工信部下發(fā)了《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》（工信部協(xié)〔2011〕451號），要求對重點領(lǐng)域工業(yè)控制系統(tǒng)進(jìn)行安全檢查和管理。工信部近年先后印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》和《工業(yè)控制系統(tǒng)信息安全行動計劃（2018-2020年）》，旨在指導(dǎo)和管理全國工業(yè)企業(yè)工控安全防護(hù)和保障工作。但以上文件均未明確工業(yè)控制領(lǐng)域有關(guān)關(guān)鍵技術(shù)和產(chǎn)品的安全審查工作的制度性安排，同時相關(guān)的國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)遲遲未能出臺。

3.3.2 工控產(chǎn)業(yè)體系尚未形成

近年來我國在工業(yè)控制自動化產(chǎn)品研發(fā)制造上取得了長足的進(jìn)步，涌現(xiàn)出了一大批優(yōu)秀的工業(yè)自動化設(shè)備產(chǎn)品制造商，如和利時、新華控制、浙大中控、南瑞集團(tuán)等，國產(chǎn)設(shè)備逐漸在能源、智能制造、市政等工業(yè)控制系統(tǒng)中站穩(wěn)腳跟并逐漸擴(kuò)展了市場份額。但同時也必須看到，在工業(yè)控制系統(tǒng)關(guān)鍵軟硬件產(chǎn)品上，我國尚未形成自主的產(chǎn)業(yè)體系。

目前我國工業(yè)自動化系統(tǒng)中PLC、DCS、HMI 等關(guān)鍵設(shè)備產(chǎn)品，主要由橫河公司，GE、ABB、SIMENS、施耐德、研華，霍尼韋爾等國際廠商占據(jù)，特別是在高端領(lǐng)域，國際產(chǎn)品幾乎處于壟斷狀態(tài)。根據(jù)不完全統(tǒng)計，國際廠商產(chǎn)品大概在我國高端的SCADA數(shù)據(jù)采集和監(jiān)視市場擁有91%的份額，在DCS分散型數(shù)字控制系統(tǒng)占據(jù)70%。與此同時，對相關(guān)產(chǎn)品的安全性處于不可知不可控狀態(tài)，完全受制于人。由于國內(nèi)在工控核心芯片、基礎(chǔ)軟件、關(guān)鍵設(shè)備等領(lǐng)域的核心技術(shù)研發(fā)能力不足，加上知識產(chǎn)權(quán)、商業(yè)模式等方面的問題，我國工控產(chǎn)品的自主產(chǎn)業(yè)體系尚未形成，開展工業(yè)控制技術(shù)和產(chǎn)品安全審查工作將面臨技術(shù)標(biāo)準(zhǔn)制定制、保護(hù)國內(nèi)產(chǎn)品、潛在國際貿(mào)易糾紛等困難。

4 幾點建議

4.1 加快工業(yè)控制安全審查制度建設(shè)

《網(wǎng)絡(luò)安全法》從法律層面明確了我國正式實施網(wǎng)絡(luò)安全審查制度。網(wǎng)絡(luò)安全審查制度不應(yīng)當(dāng)?shù)韧谕赓Y并購國家安全審查或其中的網(wǎng)絡(luò)安全部分，其應(yīng)當(dāng)具有制度獨立性[10]。因此，迫切需要建立與制度相關(guān)的監(jiān)管執(zhí)行機(jī)制、第三方評估機(jī)制、結(jié)果通報機(jī)制和社會監(jiān)督機(jī)制等等。

作為關(guān)鍵信息基礎(chǔ)設(shè)施的最重要組成部分和重要行業(yè)領(lǐng)域，工業(yè)控制領(lǐng)域的安全審查執(zhí)行主體需要盡快予以明確，由主管部門推動建立工控領(lǐng)域關(guān)鍵技術(shù)和產(chǎn)品的安全審查組織和技術(shù)體系，并確定工業(yè)控制系統(tǒng)技術(shù)產(chǎn)品的審查范圍和內(nèi)容。

4.2 加強(qiáng)工業(yè)控制技術(shù)支撐能力建設(shè)

一是要建立工控信息安全標(biāo)準(zhǔn)體系，并納入國家網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化體系建設(shè)。針對工業(yè)控制系統(tǒng)，應(yīng)盡快建立包括安全分級、安全基本要求、安全防護(hù)要求和能力評估各層面的技術(shù)標(biāo)準(zhǔn)；對于工業(yè)控制技術(shù)和產(chǎn)品，應(yīng)建立覆蓋訪問控制、授權(quán)、審計、評估等技術(shù)門類的安全技術(shù)要求，用以指導(dǎo)相關(guān)技術(shù)產(chǎn)品的研發(fā)、檢測和審查評估工作。二是建設(shè)安全態(tài)勢感知與驗證、通報預(yù)警和應(yīng)急處置等共性技術(shù)設(shè)施，為相關(guān)技術(shù)產(chǎn)品研發(fā)、驗證和評估提供試驗平臺。三是建設(shè)提升網(wǎng)絡(luò)安全審查專業(yè)機(jī)構(gòu)對工業(yè)控制技術(shù)產(chǎn)品和服務(wù)的漏洞挖掘、病毒分析、軟件逆向、代碼分析、滲透測試等方面檢測評估能力，為工業(yè)控制領(lǐng)域的安全審查提供專業(yè)技術(shù)支撐。

4.3 加緊工業(yè)控制自主產(chǎn)業(yè)體系建設(shè)

一方面，針對我國工業(yè)自動化自主產(chǎn)業(yè)體系較為薄弱的現(xiàn)狀，應(yīng)加大對核心控制設(shè)備和產(chǎn)品的自主研發(fā)力度，特別是加大對工控核心芯片、高端工業(yè)軟件、關(guān)鍵裝備等重要軟硬件的攻關(guān)，強(qiáng)化科研成果在重點領(lǐng)域的示范應(yīng)用和成果轉(zhuǎn)化，逐步實現(xiàn)工業(yè)控制系統(tǒng)國產(chǎn)替代，保障工業(yè)控制產(chǎn)業(yè)供應(yīng)鏈安全。

同時，打造工業(yè)控制安全產(chǎn)業(yè)生態(tài)鏈。聚集工業(yè)互聯(lián)網(wǎng)設(shè)備、控制、網(wǎng)絡(luò)、平臺、數(shù)據(jù)的安全需求，突破工業(yè)網(wǎng)絡(luò)攻防、安全隔離、工業(yè)協(xié)議解析和漏洞挖掘等關(guān)鍵技術(shù)，形成覆蓋工業(yè)網(wǎng)絡(luò)不同層面的各類安全防護(hù)產(chǎn)品體系；并強(qiáng)化重要工業(yè)軟件和大型工業(yè)裝備的安全設(shè)計和安全技術(shù)集成，融合工控系統(tǒng)安全需求與生產(chǎn)企業(yè)裝備產(chǎn)品的設(shè)計目標(biāo)，提升軟件和裝備自身可靠性和安全性，為國家工業(yè)控制領(lǐng)域的網(wǎng)絡(luò)安全審查工作提供良好樣本。

4.4 加快工業(yè)控制專業(yè)人才隊伍建設(shè)

無論是工業(yè)控制安全防護(hù)還是網(wǎng)絡(luò)安全審查工作，都需要大量的安全專業(yè)人才。在人才教育方面，既需要在網(wǎng)絡(luò)安全學(xué)科中補(bǔ)充工業(yè)控制自動化知識的教學(xué)，也需要在自動化專業(yè)中融合網(wǎng)絡(luò)安全知識教學(xué)。同時，強(qiáng)化工業(yè)控制領(lǐng)域的安全技能職業(yè)教育培訓(xùn)，鼓勵企業(yè)與院校合作，聯(lián)合培養(yǎng)跨學(xué)科、跨專業(yè)的復(fù)合型工控安全專門人才。極力培育工控系統(tǒng)網(wǎng)絡(luò)安全保障專家隊伍和安全審查評估的可靠人才，為工業(yè)控制領(lǐng)域安全審查提供專業(yè)化的智力和技術(shù)支持。

[1]2016中國PLC市場分析[EB/OL].[2016-06-06].http://www.gongkong.com/news/201606/343866.html.

[2]中國PLC未來市場前景廣闊，物聯(lián)網(wǎng)發(fā)展帶來新機(jī)遇[EB/OL].(2016-03-01).http://www.gongkong.com/news/201603/338779.html.

[3]工業(yè)軟件成智造核心，構(gòu)建工業(yè)技術(shù)體系勢 在 必 行 [EB/OL].（2017-10-13）.http://gongkong.ofweek.com/2017-10/ART-310000-8420-30170677.html.

[4]兩大巨頭占據(jù)中高檔數(shù)控機(jī)床控制器80%份額[EB/OL].(2013-01-07).http://www.gkong.com/item/news/2013/01/71083.html.

[5]國家工業(yè)信息安全產(chǎn)業(yè)發(fā)展聯(lián)盟（NISIA）.工業(yè)信息安全態(tài)勢白皮書（2017年）[R].2017.12.

[6]顧偉，劉振宇.英美網(wǎng)絡(luò)安全審查機(jī)制及其啟示[J].信息安全與通信保密，2017（03）：72-76.

[7]徐芳，張夢迪.歐盟體制下的外國投資國家安全審查制度探析[J].吉林工商學(xué)院學(xué)報，2015（3）：81-82.

[8]崔占華，左曉棟.我國信息安全認(rèn)證認(rèn)可事業(yè)回顧與展望[J].信息網(wǎng)絡(luò)安全，2010（09）：8-10.

[9]王珞.美國網(wǎng)絡(luò)安全審查制度的戰(zhàn)略效應(yīng)[J].中國信息安全，2015（03）：52-55.

[10]馬寧.淺析《國家安全法》中的網(wǎng)絡(luò)安全審查制度[J].中國信息安全，2015（08）40-42.