久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

摘要：本文介紹了《密碼法》施行一年來密碼在夯實工業(yè)信息安全方面起的作用，探討了密碼對工業(yè)控制系統(tǒng)安全、工業(yè)互聯(lián)網(wǎng)發(fā)展的支撐作用。

關(guān)鍵詞：密碼；工業(yè)信息安全；工業(yè)控制系統(tǒng)；工業(yè)互聯(lián)網(wǎng)

1　引言

2019年10月26日，第十三屆全國人大常委會第十四次會議表決通過《中華人民共和國密碼法》（以下簡稱：《密碼法》）[1]，自2020年1月1日起施行。密碼法的出臺，對于加強我國在密碼管理和應(yīng)用等方面的法律保障，推廣核心、普通、商用密碼應(yīng)用，進(jìn)一步夯實工業(yè)信息安全基礎(chǔ)等指出了路徑和方向。在密碼法中，相比1999年頒布的《商用密碼管理條例》[2]，商用密碼的管理和使用在法律條款上有了較大改變，國家對商用密碼不再實行專控管理，而是給予了外資企業(yè)無差別無歧視的商用密碼從業(yè)單位稱號，這對于提升我國外資品牌市場占有率占70%以上的工業(yè)控制系統(tǒng)及大量使用開源技術(shù)設(shè)計建設(shè)的工業(yè)互聯(lián)網(wǎng)平臺的本質(zhì)安全具有重大的意義。《密碼法》發(fā)布之后，國家發(fā)展改革委、國家密碼管理局、工業(yè)和信息化部等國家有關(guān)部門啟動實施了多個密碼應(yīng)用專項，初步形成了試點示范效應(yīng)，有效推動了商用密碼在工業(yè)控制系統(tǒng)、工業(yè)互聯(lián)網(wǎng)平臺等非傳統(tǒng)領(lǐng)域的應(yīng)用。

2　密碼在工業(yè)信息安全的基礎(chǔ)支撐作用

工業(yè)信息安全是近年來新興的一個概念。國內(nèi)最早提及工業(yè)信息安全一詞的文件是《國務(wù)院關(guān)于深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的指導(dǎo)意見》（國發(fā)〔2016〕28號）[3]，該文件在“二、主要任務(wù)（十）提高工業(yè)信息系統(tǒng)安全水平”中提到：“制定完善工業(yè)信息安全管理等政策法規(guī)，健全工業(yè)信息安全標(biāo)準(zhǔn)體系……以提升工業(yè)信息安全監(jiān)測、評估、驗證和應(yīng)急處置等能力為重點，依托現(xiàn)有科研機構(gòu)，建設(shè)國家工業(yè)信息安全保障中心，為制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展提供安全支撐。”

2017年，在工業(yè)和信息化部的支持下，工業(yè)和信息化部電子第一研究所更名為國家工業(yè)信息安全發(fā)展研究中心（以下簡稱：國家工信安全中心），國家工信安全中心對工業(yè)信息安全內(nèi)涵進(jìn)行了深入研究和廣泛調(diào)研，組織起草了《工業(yè)信息安全標(biāo)準(zhǔn)體系白皮書》。白皮書中提到，一切涉及到工業(yè)領(lǐng)域的信息安全都屬于工業(yè)信息安全范疇，其內(nèi)涵十分豐富。從重要性來看，工業(yè)信息安全是網(wǎng)絡(luò)安全的重要組成，是國家總體安全觀在工業(yè)領(lǐng)域的重點體現(xiàn)，其事關(guān)經(jīng)濟發(fā)展、社會穩(wěn)定和國家安全，做好工業(yè)信息安全工作是關(guān)系國計民生和國家長治久安的大事；從保障內(nèi)容來看，工業(yè)信息安全泛指各工業(yè)相關(guān)領(lǐng)域的信息安全，包括工業(yè)控制系統(tǒng)安全、工業(yè)互聯(lián)網(wǎng)安全、工業(yè)數(shù)據(jù)安全、工業(yè)云安全等。

《密碼法》第二條給出了密碼的定義，是指“采用特定變換的方法對信息等進(jìn)行加密保護、安全認(rèn)證的技術(shù)、產(chǎn)品和服務(wù)”。第三條明確了密碼工作原則，“密碼工作堅持總體國家安全觀，遵循統(tǒng)一領(lǐng)導(dǎo)、分級負(fù)責(zé)，創(chuàng)新發(fā)展、服務(wù)大局，依法管理、保障安全的原則”。總體安全觀是在2014年4月15日上午，中共中央總書記、國家主席、中央軍委主席、中央國家安全委員會主席習(xí)近平主持召開中央國家安全委員會第一次會議時提出的[4]。他首次提出了總體國家安全觀，并首次系統(tǒng)提出“11種安全”，要構(gòu)建集政治安全、國土安全、軍事安全、經(jīng)濟安全、文化安全、社會安全、科技安全、信息安全、生態(tài)安全、資源安全、核安全等于一體的國家安全體系。在總體安全觀思想的指導(dǎo)下，分析密碼和工業(yè)信息安全的關(guān)系，可以說密碼是工業(yè)信息安全的基礎(chǔ)或者說其夯實了工業(yè)信息安全基礎(chǔ)。如無密碼支撐，則工業(yè)信息安全根基不牢，猶如沙堆建房。

《密碼法》對密碼進(jìn)行了分類管理。密碼分為核心密碼、普通密碼和商用密碼。核心密碼、普通密碼用于保護國家秘密信息，核心密碼保護信息的最高密級為絕密級，普通密碼保護信息的最高密級為機密級。工業(yè)領(lǐng)域中涉及到核心密碼、普通密碼使用的單位主要有工業(yè)領(lǐng)域政府管理或監(jiān)管部門和軍工企業(yè)。核心密碼、普通密碼主要側(cè)重于對涉及國家秘密信息的保護，保護載體包括涉密單臺臺式機、涉密筆記本、涉密存儲介質(zhì)，聯(lián)網(wǎng)形態(tài)包括涉密網(wǎng)及承載的涉密信息系統(tǒng)，主要執(zhí)行分級保護標(biāo)準(zhǔn)。核心密碼、普通密碼均屬于國家秘密，也屬于需要保護的范圍。然而無論是核心密碼還是普通密碼，涉密網(wǎng)絡(luò)和系統(tǒng)或者涉密單機，都側(cè)重于對信息的保護，側(cè)重于對信息的信息安全三性需求之一——“機密性”的保護，這種“機密性”保護在特定條件下可以犧牲“可用性”，實時性和并發(fā)量要求不高。

工業(yè)領(lǐng)域中海量面對的是不涉及國家秘密的生產(chǎn)數(shù)據(jù)、設(shè)備信息、工藝參數(shù)等。商用密碼可用于保護此類信息，對此類信息的保護也是工業(yè)信息安全的重要組成部分。目前對非涉密信息和系統(tǒng)的保護，多個國家標(biāo)準(zhǔn)主要參考了國際信息安全準(zhǔn)則和標(biāo)準(zhǔn)。如國際標(biāo)準(zhǔn)化組織ISO提出了OSI安全體系框架；美國國家安全局（NSA）提出了信息保障技術(shù)框架（IATF）和可信計算機系統(tǒng)評估標(biāo)準(zhǔn)（TCSEC），美國ISS公司提出了P2DR動態(tài)網(wǎng)絡(luò)安全體系模型；歐洲提出了信息技術(shù)安全評估標(biāo)準(zhǔn)（ITSEC）；我國提出了以《網(wǎng)絡(luò)安全等級保護基本要求》為基礎(chǔ)的若干標(biāo)準(zhǔn)。國際通用的“信息技術(shù)安全評價通用準(zhǔn)則標(biāo)準(zhǔn)”（簡稱CC標(biāo)準(zhǔn)），它是在美國的TCSEC、歐洲的ITSEC、加拿大的CTCPEC等信息安全準(zhǔn)則的基礎(chǔ)上，由6個國家7方（美國國家安全局和國家技術(shù)標(biāo)準(zhǔn)研究所、加拿大、英國、法國、德國、荷蘭）共同提出，綜合了已有的信息安全的準(zhǔn)則和標(biāo)準(zhǔn)，形成了一個更全面的框架。分析總結(jié)這些信息安全準(zhǔn)則和標(biāo)準(zhǔn)，會發(fā)現(xiàn)無論哪種安全準(zhǔn)則、模型、框架等，都離不開密碼。或者說信息安全三性（保密性、完整性、可用性）的實現(xiàn)離不開密碼。而如果將信息安全從三性擴充到七性（保密性、完整性、可用性、可靠性、認(rèn)證性、審計性、不可否認(rèn)性），那么可以說除可靠性外，其它六性都與密碼密不可分。

3　工業(yè)控制系統(tǒng)安全迫切需要密碼支撐

工業(yè)控制系統(tǒng)發(fā)展至今大約有70年時間，經(jīng)歷了集中控制、分層控制、基于現(xiàn)場總線的網(wǎng)絡(luò)控制、現(xiàn)場總線和工業(yè)以太網(wǎng)的混合控制等多個階段，目前主要有以下產(chǎn)品形態(tài)：數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）、過程控制系統(tǒng)（PCS）、可編程邏輯控制器（PLC）、現(xiàn)場總線控制系統(tǒng)（FCS)、安全儀表系統(tǒng)（SIS）、遠(yuǎn)程終端單元（RTU）、智能電子設(shè)備（IED）、主終端設(shè)備（MTU）。

工業(yè)控制系統(tǒng)廣泛運用于工業(yè)制造、能源、交通、水利以及市政等領(lǐng)域，隨著信息化與工業(yè)化深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件，以各種方式與企業(yè)信息內(nèi)網(wǎng)、公共互聯(lián)網(wǎng)等進(jìn)行網(wǎng)絡(luò)連接，工業(yè)控制系統(tǒng)從封閉走向開放，從專有走向通用，特別是在工業(yè)互聯(lián)網(wǎng)的發(fā)展背景下，開放互聯(lián)的趨勢更加明顯，典型工業(yè)企業(yè)工業(yè)控制系統(tǒng)體系架構(gòu)如圖1所示。

圖1 典型數(shù)字化工業(yè)企業(yè)工業(yè)控制系統(tǒng)體系架構(gòu)

工業(yè)控制系統(tǒng)安全迫切需要密碼支撐。隨著改革開放的不斷深入，兩化融合日益深化，工業(yè)控制系統(tǒng)廣泛用于國家核心領(lǐng)域，工業(yè)領(lǐng)域社會生產(chǎn)力得以迅猛發(fā)展，工業(yè)生產(chǎn)環(huán)境逐步從封閉走向開放，工業(yè)控制系統(tǒng)由單機走向互聯(lián)，計算機、網(wǎng)絡(luò)、通信、自動化等多種技術(shù)在工業(yè)生產(chǎn)環(huán)境得到充分利用。然而，全球范圍內(nèi)針對工業(yè)領(lǐng)域的網(wǎng)絡(luò)攻擊有增無減，信息竊取、勒索攻擊、病毒感染、網(wǎng)絡(luò)間諜、黑客入侵等攻擊手段花樣多變，攫取經(jīng)濟利益、盜取知識產(chǎn)權(quán)、攻擊關(guān)鍵信息基礎(chǔ)設(shè)施等大規(guī)模的安全事件屢有發(fā)生，對政治、經(jīng)濟、軍事、國家和社會安全等造成直接威脅和現(xiàn)實影響，工業(yè)控制系統(tǒng)安全成為各國政府高度關(guān)注的重大安全領(lǐng)域。解決工業(yè)控制系統(tǒng)安全問題必須適應(yīng)工業(yè)控制系統(tǒng)長期處于“有毒帶菌”的實際環(huán)境和難以整改的客觀困難，《密碼法》對提升工業(yè)控制系統(tǒng)本質(zhì)安全、加強工業(yè)信息安全具有十分重大的意義。可以說，《密碼法》的貫徹落實是提高工業(yè)控制系統(tǒng)信息安全保障能力的重要途徑。

從工業(yè)控制系統(tǒng)安全的調(diào)研情況來看，工業(yè)控制系統(tǒng)中使用密碼進(jìn)行保護的比率是很低的。我國工業(yè)控制系統(tǒng)的國產(chǎn)密碼應(yīng)用基礎(chǔ)薄弱，工業(yè)控制系統(tǒng)的國產(chǎn)密碼應(yīng)用程度較低，占比僅為2.08%，密碼推廣應(yīng)用挑戰(zhàn)嚴(yán)峻。原因主要有以下幾個方面：一是我國1999年頒布的《商用密碼管理條例》第三條規(guī)定：“商用密碼技術(shù)屬于國家秘密。國家對商用密碼產(chǎn)品的科研、生產(chǎn)、銷售和使用實行專控管理。”這一條款對于大量成套引進(jìn)的工業(yè)控制系統(tǒng)（國外品牌占有率70%以上）來說無疑是障礙性條款，國外廠商不愿或者難以使用商用密碼產(chǎn)品進(jìn)行安全增強，國內(nèi)安全廠商難以對國外控制系統(tǒng)進(jìn)行安全集成。二是面向工業(yè)控制系統(tǒng)的專用密碼產(chǎn)品較少，多為外掛式或者插拔式，難以嵌入工業(yè)控制系統(tǒng)業(yè)務(wù)流程。三是針對工業(yè)控制系統(tǒng)數(shù)據(jù)存儲和傳輸?shù)拳h(huán)節(jié)的密碼產(chǎn)品較少，工業(yè)控制系統(tǒng)數(shù)據(jù)加密存儲應(yīng)用占比僅為6.9%，工業(yè)控制系統(tǒng)數(shù)據(jù)加密傳輸應(yīng)用占比僅為6.0%。在工控安全領(lǐng)域，密碼產(chǎn)品和算法多用于工業(yè)控制系統(tǒng)的訪問控制和身份認(rèn)證，在數(shù)據(jù)（多為時序數(shù)據(jù)，存儲于時序數(shù)據(jù)庫）加密存儲和加密傳輸方面的密碼應(yīng)用十分缺乏，難以滿足工業(yè)控制系統(tǒng)的數(shù)據(jù)存儲和傳輸?shù)陌踩枨蟆Ｋ氖乾F(xiàn)有密碼技術(shù)產(chǎn)品難以滿足工業(yè)控制系統(tǒng)實時性、穩(wěn)定性要求，現(xiàn)有密碼技術(shù)產(chǎn)品在實時性等方面還需與工業(yè)控制系統(tǒng)進(jìn)行深度的試配與驗證。例如，采集執(zhí)行層的無線通信加密技術(shù)和串口連接加密技術(shù)尚不成熟，集中監(jiān)控層與現(xiàn)場控制層間的數(shù)據(jù)傳輸需要輕量級、低時延的密碼算法支撐。若現(xiàn)有國產(chǎn)密碼算法直接應(yīng)用于工業(yè)控制系統(tǒng)數(shù)據(jù)傳輸?shù)募咏饷懿僮鳎I(yè)控制系統(tǒng)的數(shù)據(jù)實時性所受影響的嚴(yán)重程度尚無數(shù)據(jù)支撐。同時工業(yè)控制系統(tǒng)中大量數(shù)據(jù)交互、頻繁加解密會占用計算資源、產(chǎn)生時延，降低系統(tǒng)性能和運行速度，還會在一定程度上增加信道占用時間，加劇信道沖突風(fēng)險，導(dǎo)致系統(tǒng)運行不穩(wěn)定。五是國產(chǎn)密碼技術(shù)產(chǎn)品在工業(yè)控制系統(tǒng)中的推廣應(yīng)用困難，一方面因為國產(chǎn)密碼技術(shù)產(chǎn)品在工業(yè)控制系統(tǒng)中的應(yīng)用缺乏安全測評，難以讓企業(yè)信服并推廣應(yīng)用，另一方面在工業(yè)控制系統(tǒng)環(huán)境中開展國產(chǎn)密碼技術(shù)產(chǎn)品安全性、穩(wěn)定性、可靠性測評的技術(shù)手段較為缺乏。此外，密碼技術(shù)產(chǎn)品的市場競爭力弱、企業(yè)認(rèn)可度低、應(yīng)用模式不清、標(biāo)準(zhǔn)規(guī)范缺失等因素都使得國產(chǎn)密碼推廣應(yīng)用受限。

《密碼法》的出臺為工業(yè)控制系統(tǒng)密碼推廣應(yīng)用奠定了基礎(chǔ)。《密碼法》在總則第八條明確規(guī)定：“商用密碼用于保護不屬于國家秘密的信息。公民、法人和其他組織可以依法使用商用密碼保護網(wǎng)絡(luò)與信息安全。”對于商用密碼管理和使用，《密碼法》第三章共用十一條條款規(guī)定了商用密碼管理和使用的多個方面，突破了我國1999發(fā)布的《商用密碼管理條例》的若干規(guī)定。總體來說，《密碼法》的出臺將對工業(yè)控制系統(tǒng)商用密碼應(yīng)用推廣有以下推動作用：

（1）推動外商投資企業(yè)在工業(yè)控制系統(tǒng)的密碼使用。第二十一條提出了商用密碼從業(yè)單位的概念，對外商投資企業(yè)和內(nèi)資投資企業(yè)采用無差別化對待，“國家鼓勵商用密碼技術(shù)的研究開發(fā)、學(xué)術(shù)交流、成果轉(zhuǎn)化和推廣應(yīng)用，健全統(tǒng)一、開放、競爭、有序的商用密碼市場體系，鼓勵和促進(jìn)商用密碼產(chǎn)業(yè)發(fā)展。各級人民政府及其有關(guān)部門應(yīng)當(dāng)遵循非歧視原則，依法平等對待包括外商投資企業(yè)在內(nèi)的商用密碼科研、生產(chǎn)、銷售、服務(wù)、進(jìn)出口等單位（以下統(tǒng)稱商用密碼從業(yè)單位）。國家鼓勵在外商投資過程中基于自愿原則和商業(yè)規(guī)則開展商用密碼技術(shù)合作。行政機關(guān)及其工作人員不得利用行政手段強制轉(zhuǎn)讓商用密碼技術(shù)。”這一條款的出臺將大大促進(jìn)GE、西門子、施耐德、羅克韋爾自動化、橫河電機等國外制造商在其工控產(chǎn)品中使用密碼以達(dá)到中國用戶的安全需求。同時第二十五條規(guī)定，“國家推進(jìn)商用密碼檢測認(rèn)證體系建設(shè)，制定商用密碼檢測認(rèn)證技術(shù)規(guī)范、規(guī)則，鼓勵商用密碼從業(yè)單位自愿接受商用密碼檢測認(rèn)證，提升市場競爭力。”這一條款也將改變外商對于強制條款的心理抵制，由專控管理實現(xiàn)市場引導(dǎo)。

（2）推動工業(yè)控制系統(tǒng)密碼應(yīng)用標(biāo)準(zhǔn)的制、修定。密碼法第二十二條、二十三條、二十四條都對商用密碼體系的建立和完善、商用密碼標(biāo)準(zhǔn)國際化及轉(zhuǎn)化、企業(yè)商用密碼標(biāo)準(zhǔn)制定等做出了相關(guān)規(guī)定，這些條款將大大提高工業(yè)控制系統(tǒng)用戶、安全廠商、產(chǎn)品廠商等制、修訂標(biāo)準(zhǔn)的熱情，不斷建立和完善工業(yè)控制系統(tǒng)密碼應(yīng)用標(biāo)準(zhǔn)體系。

（3）推動商用密碼在特定工業(yè)控制系統(tǒng)（列為關(guān)鍵信息基礎(chǔ)設(shè)施且有密碼應(yīng)用要求）中使用、應(yīng)用安全測評和國家安全審查。《密碼法》第二十七條規(guī)定：“法律、行政法規(guī)和國家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護的關(guān)鍵信息基礎(chǔ)設(shè)施，其運營者應(yīng)當(dāng)使用商用密碼進(jìn)行保護，自行或者委托商用密碼檢測機構(gòu)開展商用密碼應(yīng)用安全性評估。商用密碼應(yīng)用安全性評估應(yīng)當(dāng)與關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測評估、網(wǎng)絡(luò)安全等級測評制度相銜接，避免重復(fù)評估、測評。關(guān)鍵信息基礎(chǔ)設(shè)施的運營者采購涉及商用密碼的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能影響國家安全的，應(yīng)當(dāng)按照《中華人民共和國網(wǎng)絡(luò)安全法》的規(guī)定，通過國家網(wǎng)信部門會同國家密碼管理部門等有關(guān)部門組織的國家安全審查。”工業(yè)領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施極有可能是從涉及國家安全、國計民生、社會公共利益的工業(yè)控制系統(tǒng)中產(chǎn)生，這類工業(yè)控制系統(tǒng)是國家勢力、敵對分子、黑客蟊賊等重點關(guān)注和攻擊的對象，只有建立在密碼保障的基礎(chǔ)上，才能實現(xiàn)此類系統(tǒng)的本質(zhì)安全。

4　商用密碼促進(jìn)工業(yè)互聯(lián)網(wǎng)平臺發(fā)展

工業(yè)互聯(lián)網(wǎng)是新一代信息技術(shù)與制造業(yè)深度融合的產(chǎn)物，是實現(xiàn)生產(chǎn)制造領(lǐng)域全要素、全產(chǎn)業(yè)鏈、全價值鏈連接的關(guān)鍵支撐，是工業(yè)經(jīng)濟數(shù)字化、網(wǎng)絡(luò)化、智能化的重要基礎(chǔ)設(shè)施，是互聯(lián)網(wǎng)從消費領(lǐng)域向生產(chǎn)領(lǐng)域、從虛擬經(jīng)濟向?qū)嶓w經(jīng)濟拓展的核心載體。工業(yè)互聯(lián)網(wǎng)內(nèi)涵和外延也在不斷拓展，工業(yè)互聯(lián)網(wǎng)的兩大屬性是“工業(yè)”和“互聯(lián)”，以工業(yè)互聯(lián)網(wǎng)為紐帶，工業(yè)互聯(lián)網(wǎng)包括工業(yè)控制系統(tǒng)、工業(yè)物聯(lián)網(wǎng)、工業(yè)云、工業(yè)數(shù)據(jù)及5G、區(qū)塊鏈等其他新興的工業(yè)互聯(lián)網(wǎng)形態(tài)。工業(yè)云是工業(yè)互聯(lián)網(wǎng)平臺及工業(yè)物聯(lián)網(wǎng)的基礎(chǔ)技術(shù)，而工業(yè)互聯(lián)網(wǎng)平臺是傳統(tǒng)工業(yè)云平臺的迭代升級。工業(yè)互聯(lián)網(wǎng)平臺除工業(yè)云外，還包括邊緣層、工業(yè)應(yīng)用以及平臺上的工業(yè)數(shù)據(jù)，并且與工業(yè)物聯(lián)網(wǎng)有交叉關(guān)系。工業(yè)互聯(lián)網(wǎng)的發(fā)展模糊了物理世界和虛擬世界的界限，由此引發(fā)的網(wǎng)絡(luò)攻擊往往會造成比過去更嚴(yán)重的影響。工業(yè)互聯(lián)網(wǎng)安全不是單個企業(yè)乃至一個行業(yè)能夠獨自實現(xiàn)的。工業(yè)互聯(lián)網(wǎng)體系架構(gòu)如圖2所示。

圖2 工業(yè)互聯(lián)網(wǎng)體系架構(gòu)

在工業(yè)互聯(lián)網(wǎng)發(fā)展上，可以說我國和發(fā)達(dá)國家處于同一起跑線，我國甚至可能“集中力量辦大事”，實現(xiàn)“彎道超車”。美國有GE公司的Predix平臺，德國有西門子公司的MindSpere平臺，我國具有一定行業(yè)和區(qū)域影響力的工業(yè)互聯(lián)網(wǎng)平臺總數(shù)超過了50家，重點平臺平均連接的設(shè)備數(shù)量達(dá)到了59萬臺[5]。然而，我國工業(yè)互聯(lián)網(wǎng)技術(shù)和設(shè)備對外依存度依然高居不下，對國外技術(shù)和設(shè)備存在的后門難以掌握。2018年工業(yè)和信息化部對全國30多家大型企業(yè)共130多種關(guān)鍵基礎(chǔ)材料進(jìn)行調(diào)研，結(jié)果顯示，32%的關(guān)鍵材料在中國仍為空白，52%依賴進(jìn)口，絕大多數(shù)計算機和服務(wù)器通用處理器中95%的高端專用芯片、70%以上智能終端處理器以及絕大多數(shù)存儲芯片依賴進(jìn)口。在裝備制造領(lǐng)域，高檔數(shù)控機床、高檔裝備儀器、運載火箭、大飛機、航空發(fā)動機、汽車等關(guān)鍵件精加工生產(chǎn)線上逾95%制造及檢測設(shè)備依賴進(jìn)口。

對國外產(chǎn)品的大量使用和依賴不僅涉及信息安全，也涉及供應(yīng)鏈安全。難以確保是否存在后門，后門是否得到管控。后門是指那些人為設(shè)置的、能繞過安全性控制而獲取對系統(tǒng)控制或訪問權(quán)的秘密機制。設(shè)置方可以隨時利用后門更改系統(tǒng)設(shè)置，使用方很難發(fā)覺。后門的危害很大。它猶如“定時炸彈”或“特洛伊木馬”，可被促發(fā)或者設(shè)置時間戳，在特定時間瞬間造成嚴(yán)重?fù)p害，讓人無力反擊。我國在2000年左右，電力、民航等多個重要系統(tǒng)都曾發(fā)生過收到不明指令而出現(xiàn)系統(tǒng)事故的案例。此外，我國供應(yīng)鏈安全審查還缺乏體系化的成功經(jīng)驗，在中美貿(mào)易的復(fù)雜形勢下，如果“美國技術(shù)含量”超過25%的技術(shù)產(chǎn)品通過“穿馬甲”的方式被引入工業(yè)互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施和重要系統(tǒng)將會構(gòu)成重大的安全隱患。

工業(yè)互聯(lián)網(wǎng)安全是工業(yè)信息安全的重要組成部分，工業(yè)互聯(lián)網(wǎng)的發(fā)展迫切需要同步應(yīng)用和發(fā)展密碼。后門可以通過密碼進(jìn)行避免，使用密碼技術(shù)，對人員、軟硬件、進(jìn)程等進(jìn)行可信驗證，就可以保證沒有后門。同時，工業(yè)互聯(lián)網(wǎng)的發(fā)展迫切需要在“端管云”中全方位體系化地應(yīng)用密碼。“端”可以理解為采集端或執(zhí)行器，端的身份在接入時需要認(rèn)證，端在執(zhí)行重要指令時需要對發(fā)令方身份進(jìn)行認(rèn)證；“管”可以理解為通信信道，端采集的數(shù)據(jù)在向平臺傳輸時需要加密，平臺向特定執(zhí)行器下發(fā)數(shù)據(jù)時也需要加密；“云”可以理解為平臺，平臺的安全策略需要以密碼為保障。工業(yè)互聯(lián)網(wǎng)上使用的重要商用密碼產(chǎn)品和服務(wù)需進(jìn)行檢測認(rèn)證，《密碼法》第二十六條規(guī)定：“涉及國家安全、國計民生、社會公共利益的商用密碼產(chǎn)品，應(yīng)當(dāng)依法列入網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄，由具備資格的機構(gòu)檢測認(rèn)證合格后，方可銷售或者提供。商用密碼產(chǎn)品檢測認(rèn)證適用《中華人民共和國網(wǎng)絡(luò)安全法》的有關(guān)規(guī)定，避免重復(fù)檢測認(rèn)證。商用密碼服務(wù)使用網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品的，應(yīng)當(dāng)經(jīng)商用密碼認(rèn)證機構(gòu)對該商用密碼服務(wù)認(rèn)證合格。”

5　結(jié)束語

我國已發(fā)布一系列的商用密碼標(biāo)準(zhǔn)，包括SSF33、SM1（SCB2）、SM2、SM3、SM4、SM7、SM9、祖沖之密碼（ZUC）算法等。其中，SSF33、SM1、SM4、SM7、ZUC算法是對稱算法，SM2、SM9是非對稱算法，SM3是雜湊算法。這些算法相比MD5、RSA、DES等國外算法來說在安全性和速率方面更具優(yōu)勢，且在電力、銀行、交通、社保等多個行業(yè)都得到成功應(yīng)用。貫徹落實密碼法，將大大促進(jìn)密碼在工業(yè)信息安全領(lǐng)域的應(yīng)用，夯實工業(yè)信息安全基礎(chǔ)，促進(jìn)工業(yè)生產(chǎn)力的爆發(fā)。

作者簡介：

何小龍（1969-），四川成都人，高級工程師，碩士，現(xiàn)任國家工業(yè)信息安全發(fā)展研究中心副主任，主要研究方向為工業(yè)信息安全、數(shù)據(jù)安全、兩化融合等。

陳雪鴻（1976-），湖南懷化人，高級工程師，碩士，現(xiàn)任國家工業(yè)信息安全發(fā)展研究中心保障技術(shù)所所長，主要研究方向為工業(yè)信息安全、密碼學(xué)、工業(yè)控制系統(tǒng)安全、電力監(jiān)控系統(tǒng)安全。

楊帥鋒（1989-），浙江紹興人，工程師，碩士，現(xiàn)任國家工業(yè)信息安全發(fā)展研究中心保障技術(shù)所研究總監(jiān)，主要研究方向為工業(yè)信息安全、數(shù)據(jù)安全、關(guān)鍵信息基礎(chǔ)設(shè)施安全。

張雪瑩（1992-），河南安陽人，工程師，碩士，現(xiàn)就職于國家工業(yè)信息安全發(fā)展研究中心保障技術(shù)所，主要研究方向為工業(yè)信息安全、數(shù)據(jù)安全、關(guān)鍵信息基礎(chǔ)設(shè)施安全。

參考文獻(xiàn)：

[1] 全國人民代表大會. 中華人民共和國密碼法[EB/OL]. http://www.npc.gov.cn/, 2019.

[2] 國家密碼管理局. 商用密碼管理條例[EB/OL]. http://www.oscca.gov.cn/, 1999.

[3] 國務(wù)院. 國務(wù)院關(guān)于深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的指導(dǎo)意見[EB/OL]. http://www.gov.cn/, 2016.

[4] 中央國家安全委員會第一次會議召開 習(xí)近平發(fā)表重要講話[EB/OL]. http://www.gov.cn/, 2014.

[5] 我國工業(yè)互聯(lián)網(wǎng)已實現(xiàn)全方位突破[EB/OL]. http://www.xinhuanet.com/, 2019.

摘自《自動化博覽》2020年12月刊