IT观察：应尽快建立工控系统安全测评体系

我国工业控制系统安全存在多个薄弱环节，主要有：对工控系统安全问题认识不足，工控系统核心关键产品被国外垄断，检测手段和检测平台缺乏等。为保障我国工控系统和关键基础设施安全，我们应该从以下几方面着手：

第一，高度重视我国工控系统安全，营造良好氛围。将工业控制系统提升到国家安全战略高度，在政府相关文件、信息化规划、信息安全规划以及相关规划中突出工业控制系统的重要性，明确在推进信息化建设中优先保障工业控制系统安全。提高各级领导以及全社会对工控系统风险的认识，加速制定工控系统安全相关政策，推动工业控制系统信息安全防护体系建设，重点对可能危及生命和公共财产安全的工控系统加强监管，加强核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要领域工控系统，以及物联网应用、数字城市建设中的安全防护和管理，定期开展安全检查和风险评估。

第二，推广国产工控系统核心技术产品，确保我国工业控制系统安全可靠。追踪研究工业控制系统国际动态，重点研究新型网络攻击的主要特点和趋势，分析针对关键基础设施及控制系统的新型网络威胁。加强高端通用芯片、操作系统、数据库等基础技术攻关，支持国内企业基于国产芯片研发信息技术装备、大型SCADA等控制设备和系统，加快国产技术和产品的应用推广，加速国产工控系统核心技术产品替代国外产品。

第三，开展系统可靠性和安全性测试评估，构建工控系统安全测评体系。推广国产化通用检测设备应用，支持国内企业对高端、高速、高精度工控检测设备的研发。建立国家级工控系统可靠性、安全性测试评估平台，对工控系统进行测试，并对关键领域的工控系统，根据不同的安全等级进行网络脆弱性评估。建立工控系统漏洞数据库，实行安全风险和漏洞通报制度，收集并及时发布有关漏洞、风险和预警信息。建立健全工控系统安全测评机制，形成工控系统安全性测试和评估的长效机制。

第四，加快研制工业控制系统国家标准，构建工业控制系统国家标准体系。参照国际电工委员会(IEC)工业控制安全的国际标准，以及美国等国家的相关标准，在实践中逐步研制我国工业控制系统国家标准，涵盖可靠性和安全性两方面，构建工业控制系统国家标准体系。(作者系赛迪智库信息安全研究所博士)