“十三五”規劃將推動“中國製造”加速向“中國智造”邁進， 站在時代的前沿， 軍工製造業承載著時代賦予的使命和責任， 將成為推動新一代資訊技術和製造技術融合的重要驅動力。 當前各軍工企業已經規劃了符合自身發展要求的智慧製造演進路線， 而愈演愈烈的工業控制系統安全事件以及工業控制系統接入企業資訊辦公網路（涉密資訊系統）所面臨的安全問題已經嚴重掣肘規劃的落地。 在滿足國家相關政策要求及企業實際使用的前提下， 解決這一基礎性課題， 並提出一套切實可行的兩網互聯安全體系及工控安全系統架構，
智慧製造架構體系中， 生產管理層是資訊交互的中樞。 對下轉化企業管理指令為設備控制指令， 傳輸到控制執行層執行， 驅動現場設備按照預定軌跡和計畫運轉；對上回饋控制執行層的運行資訊， 進行邏輯運算， 支撐企業進行生產管理決策， 控制生產品質、提高生產效率。 由於工業控制網路與企業資訊辦公網路之間存在大量的資訊交換， 因此進行互聯是企業的必然選擇。 然而互聯又面臨以下問題：
1、從軍工企業工業控制系統現狀看， 現場工控設備以國外品牌或由國內廠商“打包”組成的產品為主， 存在對這些設備本身瞭解不夠深入的問題，
2、 當前我國對於工業控制系統的安全防護尚處於探索階段， 從事工控安全的廠商主要有三類：傳統資訊安全廠商向工控安全領域進行業務延伸、工控自動化廠商向安全領域拓展、專業工控安全設備廠商。 面對充斥市場的諸多產品， 其成熟度、適用性及合規性難以選擇， 在進行工業控制系統的安全體系建設時面臨較大的挑戰。
3、網路互聯後， 如何保障資料順暢的交換、解決涉密資訊系統運行環境改變後存在的安全風險，
構建網路互聯安全體系模型
針對軍工企業的特殊性以及當前資訊化發展的現狀， 需要融入工業知識， 構建量身定制的互聯系統， 重點解決資料交換問題和交換過程中的各種失洩密隱患， 解決工業控制系統的主要安全問題（圖1）。
（圖1 工業控制網路與企業涉密資訊系統安全互連體系）
網路互聯安全體系模型具體構建思路建議：
1、最小化邊界， 明確邊界結點， 加強邊界管理。
邊界劃分需從業務系統角度出發， 對系統功能和業務進行剝離， 保障企業管理系統作為業務驅動， 將所有對於設備的驅動過程剝離至工控業務系統。 資料交換程序控制在剝離後的業務系統間的後臺進行， 一方面縮短業務間的交換過程， 另一方面簡化並明確兩網互聯邊界結點。
2、控制邊界之間的交互行為， 重點控制企業資訊辦公網路內的資訊流向工業控制網路。
以資料流程向為導向， 從源頭控制資料流程的產生和傳輸。 充分利用WebService、資料庫、單向物理隔離等技術或方式進行資料交換， 一方面控制由內向外的資訊洩漏行為， 重點加強由內向外的資料審查；另一方面控制由外向內的攻擊和破壞行為， 保證工控系統邊界完整性， 對其內部異常行為進行檢查和阻斷。 最終簡化交換的手段和內容， 減少兩網直接資訊交互的範圍和接觸範圍。
3、建立兩網互聯整體安全視圖， 加強行為審計、管控力度。
建立線上監測和兩網聯動的安全視圖， 實現與工業控制網路安全管理系統的橫向整合， 有效加強對APT等攻擊行為的檢測，形成全域安全態勢感知、全過程的安全拓撲；同時將資訊即時回饋到系統及管理人員，有效消除行為無法審計、無法管控的問題。
4、提高工業控制系統自身安全防護能力。
相對於涉密資訊系統對保密性的嚴格要求，工業控制網路更加關心自身的安全性和完整性。當前工控安全技術仍在不斷演進，企業應適度加強工業控制系統資訊安全建設工作，將其作為未來整體資訊安全體系架構建設的重要部分。建議從以下幾方面入手：
1）提升邊界安全防護能力，考慮以車間為單位配置工業級存取控制產品實現對於車間網路邊界的隔離和細細微性控制，控制車間網路輸入輸出行為。同時對現場工控設備的使用行為進行監控，在其前端部署存取控制產品，實現進出雙向行為審計和存取控制。
2）針對工業控制系統已知的安全性漏洞特徵，配置工業級入侵行為檢測和漏洞分析系統，對工業控制系統中的控制設備、應用或系統進行掃描、識別，檢測工業控制系統存在的漏洞，清晰定性安全風險，給出修復建議和預防措施，最終建立工業控制網路自身安全視圖。
5、加強工控安全保密管理體系建設。
從企業頂層規劃，落實工控安全的安全保密管理體系，明確責任和分工，建立並完善工控安全保密管理制度，建立問責機制；加強對工控設備的管理和操作人員的安全保密培訓和管理；此外還可以委託相關資訊安全測評機構建立演練模擬平臺，定期對員工進行工控安全事故演練，模擬工控安全突發事故時的應急回應。
未來發展探索及推進策略由於工業控制系統和資訊化的管理在企業單位中基本上是跨專業、跨職能的，規劃和推進起來的難度可想而知。工控安全以及網路互聯問題作為當前亟待突破的難題，既要看清形勢，也要理清現狀，要結合企業自身的發展特點，不能盲目跟從，要有針對性的佈局和推進。結合航空工業智慧製造的整體戰略和工控安全的發展趨勢，提出以下推進策略和建議：
1、以兩化深度融合為抓手。兩化深度融合既是國家的戰略方針，也是企業提高生產力的手段，要在推進的過程中明確企業資訊辦公網路和工業控制網路互聯的業務需求、安全措施，讓兩網互聯為企業發展提供基礎保障。
2、整體規劃、分步實施。盤清工業控制設備資產，分析工業控制設備的特點和使用場景，以不影響生產為前提，做好業務模型的驗證工作，保障技術落地的可行性，針對性地進行防護，小批試點逐步推進，構建工控安全和兩網互聯防護體系。
3、設立明確的工作目標，加強人才培養。成立企業頂層的聯合推進團隊和執行團隊，明確責任和分工，建立健全相關的規章制度，優化管理體系結構，培養精通業務、資訊化和工業控制的複合型人才，為企業推進兩網互聯工作提供能力支撐。
更多精彩的內容可進入“軍民融合產業圈”查看！
有效加強對APT等攻擊行為的檢測，形成全域安全態勢感知、全過程的安全拓撲；同時將資訊即時回饋到系統及管理人員，有效消除行為無法審計、無法管控的問題。4、提高工業控制系統自身安全防護能力。
相對於涉密資訊系統對保密性的嚴格要求，工業控制網路更加關心自身的安全性和完整性。當前工控安全技術仍在不斷演進，企業應適度加強工業控制系統資訊安全建設工作，將其作為未來整體資訊安全體系架構建設的重要部分。建議從以下幾方面入手：
1）提升邊界安全防護能力，考慮以車間為單位配置工業級存取控制產品實現對於車間網路邊界的隔離和細細微性控制，控制車間網路輸入輸出行為。同時對現場工控設備的使用行為進行監控，在其前端部署存取控制產品，實現進出雙向行為審計和存取控制。
2）針對工業控制系統已知的安全性漏洞特徵，配置工業級入侵行為檢測和漏洞分析系統，對工業控制系統中的控制設備、應用或系統進行掃描、識別，檢測工業控制系統存在的漏洞，清晰定性安全風險，給出修復建議和預防措施，最終建立工業控制網路自身安全視圖。
5、加強工控安全保密管理體系建設。
從企業頂層規劃，落實工控安全的安全保密管理體系，明確責任和分工，建立並完善工控安全保密管理制度，建立問責機制；加強對工控設備的管理和操作人員的安全保密培訓和管理；此外還可以委託相關資訊安全測評機構建立演練模擬平臺，定期對員工進行工控安全事故演練，模擬工控安全突發事故時的應急回應。
未來發展探索及推進策略由於工業控制系統和資訊化的管理在企業單位中基本上是跨專業、跨職能的，規劃和推進起來的難度可想而知。工控安全以及網路互聯問題作為當前亟待突破的難題，既要看清形勢，也要理清現狀，要結合企業自身的發展特點，不能盲目跟從，要有針對性的佈局和推進。結合航空工業智慧製造的整體戰略和工控安全的發展趨勢，提出以下推進策略和建議：
1、以兩化深度融合為抓手。兩化深度融合既是國家的戰略方針，也是企業提高生產力的手段，要在推進的過程中明確企業資訊辦公網路和工業控制網路互聯的業務需求、安全措施，讓兩網互聯為企業發展提供基礎保障。
2、整體規劃、分步實施。盤清工業控制設備資產，分析工業控制設備的特點和使用場景，以不影響生產為前提，做好業務模型的驗證工作，保障技術落地的可行性，針對性地進行防護，小批試點逐步推進，構建工控安全和兩網互聯防護體系。
3、設立明確的工作目標，加強人才培養。成立企業頂層的聯合推進團隊和執行團隊，明確責任和分工，建立健全相關的規章制度，優化管理體系結構，培養精通業務、資訊化和工業控制的複合型人才，為企業推進兩網互聯工作提供能力支撐。
更多精彩的內容可進入“軍民融合產業圈”查看！