工控安全，你還在等什么

工控安全，你還在等什么?
隨著一系列針對工控系統(tǒng)的網絡攻擊事件的不斷發(fā)生，最典型的就是2010年針對伊朗核工廠的Stuxnet病毒，以及?2014年席卷歐洲眾多能源設施的Havex病毒。針對工業(yè)控制系統(tǒng)的網絡攻擊越演越烈，業(yè)界對于工控安全的重要性認識越來越高，國家也陸續(xù)出臺了一系列有關工控安全的標準及規(guī)范。????????
但是，客觀來看，國內工控安全市場還遠沒有形成真正的產業(yè)化，工控網最新調查數(shù)據顯示，2014年，國內工控安全市場總額才不到2億元！
這對于中國這樣一個制造大國來說，工控安全的投資跟整個國家工業(yè)自動化設備的投資比例是嚴重失衡的，我國一年的工業(yè)自動化投資總額超過3500億，而工控安全的投資才2億，占比還不到千分之一！對比傳統(tǒng)IT安全的投資比例來看，一般安全設備的投資最少應該占到設備投資總額的5%，國外最高可能到10%。另外，我國工控安全市場從2012年開始發(fā)展，歷經三年，整個市場還是非常小，離規(guī)?；?、產業(yè)化的目標仍相差甚遠！

究竟是什么原因，導致工控安全的理念無法在工控界獲得廣泛認識？
究竟是什么原因，導致工控安全市場長期處于不溫不火的狀態(tài)？
究竟是什么原因，導致工控安全產品和方案無法實施落地？
?
作為工控安全的從業(yè)人員，結合多年的工作經驗，筆者認為主要有以下幾個原因：
??第一，在互聯(lián)網大行其道的今天，工控行業(yè)已經成為傳統(tǒng)行業(yè)，越來越遠離大眾的視線；另外，工業(yè)控制系統(tǒng)以其獨立于IT網絡的特點，其封閉性也是與生俱來的。所以，在這個封閉系統(tǒng)里面發(fā)生的各種問題，包括安全問題，都只有管理這套系統(tǒng)的人知道，外人無從得知。
第二，工業(yè)控制系統(tǒng)以“可用性”為第一要求，數(shù)據的機密性被明顯忽視。在工業(yè)控制設備研發(fā)過程中，就有很多數(shù)據機密性要求讓步于可用性要求；更不用提在工控現(xiàn)場，為了數(shù)據采集等操作方便，就動輒將防火墻、隔離設備旁路bypass，甚至放在倉庫里蒙塵。
?第三，目前市面上的工控安全產品，基本都是傳統(tǒng)IT安全產品在工業(yè)領域的二次包裝，更多的是傳統(tǒng)IT安全防護的理念和方法，而這些理念和方法在工業(yè)控制領域是不適用的。有關這個論點筆者在另外一篇文章《為什么傳統(tǒng)信息安全產品不能解決工控安全問題》中有詳細闡述，有興趣的同學可以百度一下。
面對這些阻撓工控安全發(fā)展的大問題，作為工控安全從業(yè)人員，我們該如何應對：
如何讓全產業(yè)認識到工控安全的問題？
如何做出更符合客戶要求的工控安全產品？
如何在“高可用性”要求的工控網里部署安全設備？
筆者認為，這些問題并非無解，只要我們工控安全業(yè)界各位同仁做到以下幾點，這些問題將迎刃而解！
首先，要在全行業(yè)深入調研工控安全的實際情況。只有了解到工控安全的實際情況，才有可能提出有針對性的、對癥下藥的安全解決方案。目前，在工控安全行業(yè)，各廠商都提出了自己的安全解決方案，如三零衛(wèi)士的“固.隔.監(jiān)”，海天煒業(yè)的“可信計算”，中科網威的“時空防御模型”以及威努特的“安全白環(huán)境”等。筆者在此不評價各廠商的方案的優(yōu)劣，作為工控安全的專業(yè)廠商，我們歡迎各位同仁廣泛交流，深入挖掘真實需求，讓我們的解決方案更加貼近客戶的需求。
?第二，結合各行業(yè)特點，做好各行業(yè)的試點。工控行業(yè)范圍廣泛，石油石化、冶金鋼鐵、電力能源等，不要妄圖一家通吃，應該是各家利用現(xiàn)有資源優(yōu)勢，在各自有一定優(yōu)勢的行業(yè)里面深耕細作，先做好幾家敢第一個吃螃蟹的客戶的試點，充分測試驗證之后，再向全行業(yè)推廣。這種單點突破、小規(guī)模試用、全行業(yè)推廣的路子是最符合客觀規(guī)律，也能最大程度契合大型工業(yè)企業(yè)對穩(wěn)定性、可靠性的要求。
?第三，要廣泛吸取各方面的優(yōu)秀實踐經驗，包括傳統(tǒng)IT安全的防護理念，國內外專業(yè)的工控安全研究機構以及工控安全標準組織的最新成果，以及類似多芬諾、Wurldtech等國外先進廠商的成功經驗。單打獨斗，閉門造車是做不出好產品的。
總之，工控安全市場無法真正規(guī)模化的原因很多，限于篇幅，本文不做過多闡述。但筆者認為，只要業(yè)界各位同仁真正做到了文中所提到的三點，中國的工控安全市場肯定會在現(xiàn)有基礎上有較大的提升。讓我們共同努力，期待這一天早日到來！