當前，我國工業(yè)化和信息化的深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工控系統(tǒng)獲得了前所未有的飛速發(fā)展。與此同時，工控系統(tǒng)面臨的安全威脅也越來越嚴峻。建立全面的信息安全保障體系，減少工控系統(tǒng)面臨的內外部的威脅，為推動兩化深度融合、工業(yè)轉型升級提供支持，是當前信息安全領域面臨的重大挑戰(zhàn)。

        現(xiàn)階段我國工控系統(tǒng)的安全形勢非常嚴峻。調查發(fā)現(xiàn)，約80%的企業(yè)從來不對工控系統(tǒng)進行升級和漏洞修補，有52%的工控系統(tǒng)與企業(yè)的管理系統(tǒng)、內網(wǎng)甚至互聯(lián)網(wǎng)連接;此外，一些存在漏洞的國外工控產品依然在國內的某些重要裝置上使用。更為嚴重的問題還在于，我們對于發(fā)現(xiàn)風險源頭缺乏手段，對控制風險的技術與方法缺乏必要的研究。

        工控系統(tǒng)信息安全成為新的關注點主要有兩個方面的原因：一方面，過去的工業(yè)控制系統(tǒng)是使用專業(yè)的系統(tǒng)、專業(yè)的隊伍、專業(yè)的設備，只有小范圍人群了解和掌握。隨著計算機技術的發(fā)展，很多專業(yè)的系統(tǒng)實現(xiàn)了通用化，現(xiàn)在的工控系統(tǒng)開始在通用技術的基礎上做專業(yè)的系統(tǒng)設計，如操作系統(tǒng)、數(shù)據(jù)庫軟件、通訊協(xié)議等計算機通用產品和協(xié)議，這樣一來，存在于計算機信息系統(tǒng)中的漏洞被帶到了工控系統(tǒng)里。另一方面，長期以來工控系統(tǒng)并沒有因為信息安全問題發(fā)生大的事故，人們普遍存在“病毒很少能對工業(yè)控制系統(tǒng)造成危害”的意識。但是，伊朗的“震網(wǎng)”事件，給了全世界一個警示，計算機病毒不僅可以感染到工控系統(tǒng)，而且可以對控制對象進行物質破壞。

        關鍵基礎設施信息安全事關國家安全，為有效應對網(wǎng)絡攻擊的新變化，提升我國關鍵基礎設施安全防護能力，應從以下幾方面著手：

        抓緊建立關鍵基礎設施信息安全法律體系。我國雖已建立重要信息系統(tǒng)等級保護制度，但還缺乏體系化的關鍵基礎設施信息安全立法。建議充分借鑒國外關鍵基礎設施網(wǎng)絡安全保護相關法律，分析我國現(xiàn)有立法的不足和主要問題，抓緊建立我國關鍵基礎設施信息安全法律體系,從法律層面明確關鍵基礎設施的定義和范圍、界定政府部門的職責、規(guī)范運營者和所有者的運營資質要求。

         盡快建立關鍵基礎設施風險信息共享機制。關鍵基礎設施網(wǎng)絡安全涉及部門多，影響范圍廣，共享網(wǎng)絡威脅信息有助于更好地應對網(wǎng)絡攻擊。建議借鑒美國、歐盟等的先進經(jīng)驗，充分了解關鍵基礎設施設備提供商、運營單位、政府部門、信息安全承包商、專家隊伍、公眾等各方對信息共享的需求，盡快建立有效的關鍵基礎設施風險信息共享機制，明確信息共享的條件，確定信息共享步驟，建立信息共享公共服務平臺。

        抓緊制定關鍵基礎設施網(wǎng)絡安全風險分級規(guī)范。關鍵基礎設施數(shù)量眾多，其重要性和潛在的破壞力也不盡相同，有必要劃分關鍵基礎設施信息安全風險等級并對其進行分級管理。建議抓緊制定關鍵基礎設施網(wǎng)絡安全風險分級規(guī)范，根據(jù)關鍵基礎設施的重要性、不可替代性、一旦出現(xiàn)問題之后的影響范圍，以及網(wǎng)絡攻擊的可能性等因素，提出界定關鍵基礎設施信息安全風險等級的量化標準，分級別制定管理要求。

        加快推動關鍵基礎設施相關產品的國產化替代。當前我國關鍵基礎設施中信息技術產品高度依賴進口，存在極大信息安全隱患。建議加強高端通用芯片、操作系統(tǒng)等基礎技術攻關，支持國內企業(yè)基于國產芯片研發(fā)信息技術裝備、大型數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)等控制設備和系統(tǒng)，加快國產技術產品的應用推廣，逐步實現(xiàn)對國外產品的替代。

        督促關鍵基礎設施運營單位加強管理。主要包括：斷開與公共網(wǎng)絡之間的所有不必要連接，對確實需要的連接，采取必要的防護措施，并定期進行風險評估;嚴格控制在工業(yè)控制系統(tǒng)和公共網(wǎng)絡之間交叉使用移動存儲介質以及便攜式計算機;建立控制服務器等工業(yè)控制系統(tǒng)關鍵設備安全配置和審計制度，嚴格賬戶和口令管理，定期對賬戶、口令、端口、服務等進行檢查等措施。