工业互联网安全存“痛点” 周鸿祎委员：加大网络安全投入护航实体经济

“工业互联网作为新一代信息技术与制造业深度融合的产物,已经成为工业现代化、发展实体经济的关键支撑。它的安全问题,对国家经济社会发展来讲至关重要。”全国政协委员、360集团董事长兼CEO周鸿祎在接受《法制日报》记者采访时强调。

周鸿祎在其提案中建议,推进工业互联网安全融合创新,为实体经济保驾护航。

工业互联网屡成攻击目标

现如今,工业互联网的发展使得现实世界和网络世界深度联通,导致网络空间的攻击穿透虚拟空间,直接影响到工业运行安全,并扩散、渗透到城市安全、人身安全、关键基础设施安全,乃至国家安全,造成的后果日益严重。

周鸿祎指出,网络安全从“信息安全”时代进入了“大安全”时代。需要加以重视的是,身处“大安全”时代的工业互联网,已成为国与国之间网络战的攻击目标。

近年来,乌克兰连续发生黑客攻击导致的大面积断电事件。美国2017年举行的“网络卫士”年度例行网络安全演习和今年“网络风暴”演习重点,都是工业基础设施。2017年发生的“永恒之蓝”勒索病毒事件利用了美国泄露的网络武器,是网络战的一次预演,造成我国众多工业企业中招,占各行业被攻击总数的17.3%,给经济社会带来严重影响。

“工业互联网由于其至关重要的特性,成为了网络攻击的首要目标。”周鸿祎说。

企业普遍不重视网络安全

周鸿祎认为,作为一个新兴融合领域,工业互联网面临着三大新的安全问题：

首先是,工业企业对网络安全不够重视,安全能力普遍缺乏,门户洞开。“比如,工业互联网的工业控制器在设计时往往重视它的功能是否好用,而忽略了它的安全性。随着工业领域网络化、智能化的推进,工业控制系统的安全隐患越来越突出。另据统计,近60%的工业企业在使用明文密码。平均每个工业应用站点存在5个高危漏洞。平均每个工业APP有4个以上安全问题。”周鸿祎在接受记者采访时,列出了一系列的统计数据。

其次是,网络安全企业的产品和服务适配度不高,难以满足工业实际需要。据周鸿祎介绍,工业有39个大类,525个小类,每个行业有特殊的网络安全需求,而网络安全专家通常不具备工业细分领域专业知识,难以形成通用的网络安全解决方案。

工业网络安全还存在许多限制条件,对实时性、可靠性等要求很高。如为了保证工业系统平稳运行,有的安全补丁就不能及时打上。

此外,工业企业和网络安全企业单打独斗多,深度合作少。

周鸿祎注意到,在国外,工业控制企业通常会与网络安全企业合作,共同研发网络安全方案,然而,这种合作模式目前在国内基本上还没有开始。

“一方面,目前还没有对工业网络必须采用安全方案的强制要求,工业企业对网络安保也没有达到足够的重视程度,难以产生合作需求。另一方面,一些工业集成企业希望自己做安全,与网络安全企业合作存在行业壁垒。”周鸿祎说。

应制定网络安全强制政策

周鸿祎介绍,作为我国最大的网络安全企业,360集团一直是国家网络安全的核心保障单位,圆满完成了十九大、九三阅兵、G20杭州峰会等重大活动安保任务。两会的网络安保工作,360也是牵头支撑单位。

“从360集团10多年的网络安全实战经验来看,工业互联网安全面临严峻挑战,亟需加大力度推进,为国家实体经济保驾护航。”周鸿祎说。

周鸿祎了解到,不少工业企业出于成本、当下运行的稳定等考虑,对网络安全系统重视不够,360集团在实际工作中发现,很多工业控制系统使用期超过10年,为保证控制的稳定性,工控系统没有安装任何补丁,也没有安装杀毒软件,存在极大的安全隐患,一旦被网络攻击,造成的影响不可估量。

“建议制定工业企业上网络安全系统的强制性政策,让工业运行系统与网络安保系统融为一体,确保工业发展长治久安。”周鸿祎说。

周鸿祎认为,工业互联网安全覆盖面广、业务差异大、敏感度高,针对“+”出来的新情况,还需要“+”起来解决,“对此,建议制定加快促进工业企业与网络安全企业合作的鼓励政策,成立国家级企业,选择汽车、航空航天、能源等重点产业进行集中攻关,合作研发高精尖安全产品和解决方案,共同打造高效、安全的工业互联网。”

周鸿祎同时强调,产业政策要重视对工业互联网安全的倾斜,“虽然我们已经逐渐意识到网络安全的重要性,但是安全不创造价值的观念依然普遍存在,相关投入依然不足。美国的网络安全投入占IT投入10%,而我国只有2%。建议国家加大对这方面的投入,以网络安全保护产业价值。”

文章来源 法制日报（记者：蒲晓磊）

---

本期编辑 席锋宇 张博 岳铼 梁成栋 见习编辑 季天