石化信息基础设施安全亟待加强

    关键信息基础设施是国家安全的重要基石。随着”云大物移”、5G、AI技术的应用日益广泛，安全隐患不容小觑。在近日召开的2019天府杯国际网络安全高峰论坛期间，由绿盟科技主办的关键信息基础设施安全保护论坛上，多位专家表示，5G时代，保障石油石化等能源行业的关键信息基础设施安全，是国家网络信息安全保护工作的重点之一。
　　信息安全形势日益严峻
　　石油化工是关系国计民生的重点行业，对安全等级要求很高。根据我国网络安全法的规定，能源行业的信息基础设施被列为关键信息基础设施，要实行重点防护。
　　绿盟科技副总裁李晨介绍说，在石油化工等能源企业中，关键信息基础设施在生产领域发挥了重要作用，涵盖了采油、输油、炼化等各个环节。目前，国家已出台《关键信息基础设施保护条例（征求意见稿）》，对关键信息基础设施的范围和防护措施作出了明确规定。公安部信息安全等级保护评估中心常务副主任张宇翔也表示，中央明确提出要建立实施关键信息基础设施保护制度，加强能源等重要领域关键信息基础设施安全保护。即将落地的《网络安全等级保护条例》将扩充等级保护对象扩充，全面覆盖云计算、移动互联、物联网、工业控制系统和大数据。
　　“随着智慧油田、智慧化工的建设，石油石化关键信息基础设施已深度融合到各个业务系统中，一旦遭受网络攻击，将造成重大国民经济损失。因此，加强我国石油石化行业的关键信息基础设施安全防护建设，是我国网络安全工作的重点。”李晨告诉记者。
　　据介绍，目前我国石油石化行业的关键信息基础设施面临许多的安全风险，网络基础设施、业务系统以及重要的数据库资产等都可能遭到攻击。比如，攻击者可以通过网络入侵的方式，远程修改控制策略、修改测控参数等，从而造成原油泄漏、设备爆燃等事故，或造成停产损失；病毒可以通过网络、USB口传播或随服务商的服务过程植入等方式侵入视频监控系统，从而造成生产安全隐患或导致生产安全事故。
　　5G技术带来全新挑战
　　2019年被称为5G元年。能源化工等传统行业开始借力5G技术，加速转型升级步伐，镇海炼化、赛轮集团、新安集团等示范企业纷纷试水。对此，专家提醒，5G时代，信息安全也面临着新兴技术带来的全新挑战。
　　李晨提出，随着5G技术未来的大规模应用，网络与业务安全的异常场景将日益复杂，攻击模式增多。同时，随着接入网络设备的快速增长，每天产生着海量的数据，对关键信息基础设施进行安全保障，本身也考验着安全厂商自身安全防护体系的完备性、实时性和可自我进化的能力。“在网络安全方面，5G引入的新架构与新技术也带来了新的安全威胁点。在终端安全方面，5G支持更多更大规模的智能物联网终端、工控设备同时接入网络，同时也对终端接入认证、业务访问控制、脆弱性发现与加固等安全防护能力方面，提出了更高的要求。”李晨说。
　　中国信息通信研究院副院长余晓晖此前也提出，要重视5G技术给工业互联网带来的潜在安全问题。工业互联网中涉及到的设备安全、工控系统、网络安全、数据安全、应用安全，平台安全等要素越来越多，所以这迫使企业需要考虑在新的体系下，如何设计好安全边界、安全保障的方向以及相应的功能体系。
　　安全防护体系亟待完善
　　国家互联网应急中心发布的《2019年上半年我国互联网网络安全态势》显示，在工业互联网安全方面，累计监测发现我国境内暴露的联网工业设备数量共计6814个；在云平台安全方面，2019年上半年，云平台上的网络安全事件或威胁情况相比2018年进一步加剧。
　　对此，国家计算机网络与信息安全管理中心杨鹏博士表示，加快构建和完善我国关键信息基础设施的安全防护体系刻不容缓。关键信息基础设施防护需要技术与管理手段互相结合，综合运用管理、技术、法律宣传等手段加强内部自身能力建设，通过分层次的防御体系，构建关键信息基础设施的外部保护屏障。同时还要构建关键信息基础设施安全管理秩序，优化关键信息基础设施保护机构的职责分工，完善关键信息基础设施保护政策的标准规范，构建协同保护机制。
　　绿盟科技高级安全专家李栎认为，近期针对关键信息基础设施的网络攻击层出不穷，手法也愈加专业化，必须建立起面向场景的结构化团队和运营体系，充分发挥应急响应团队的作用，增强自身攻防能力建设，利用情报体系打通预警和运营，才能有效提升自身安全防护能力。
　　“为应对新技术给能源等行业带来的信息安全挑战和风险，相关企业要提供灵活的安全策略、一定的安全隔离、全面的隐私保护和自动化的安全配置机制，同时要考虑新技术驱动和垂直服务产业下，灵活多变和个性化的服务安全，以实现不同利益群体在不同应用场景下的多级别安全保障。”李晨说。