2016年4月22日,工業和信息化部電子科學技術情報研究所(電子一所)聯合工業控制系統信息安全產業聯盟(ICSISIA)在北京組織召開了工業控制系統信息安全風險信息共享研討會。工業和信息化部信息化和軟件服務業司司長謝少鋒、系統安全處副處長廖凱,聯盟副理事長、電子一所總工程師尹麗波,聯盟副理事長、國家能源局信息中心副主任胡紅升,國家信息技術安全研究中心副總工宮亞峰、軍工保密資格審查認證中心副主任相長軍、聯盟常務秘書長石紅芳出席會議。來自地方工信主管部門、中央企業、研究機構的相關領導、工業控制系統廠商及工控信息安全服務提供商代表參加了會議。
北京亞控科技發展作為此次會議的協助方,為本次研討會帶來《工控系統產品漏洞應急處置經驗》主題報告,介紹分析了亞控科技在漏洞應急處理方面的工作經驗,分享了亞控多年來產品漏洞處置的案例。例如,美國ICS-CERT的漏洞信息,華盛頓郵報的“特殊報道”,以及KingSCADA弱密碼事件。亞控科技給出了自己獨到的解決方法:
首先,從公司內部著手,嚴抓質量體系:
- 主動投入,自測并修復已發布產品漏洞;
- 積極防御,對新研發產品提升軟件安全特性優先級;
- 制定內部軟件安全規范,覆蓋軟件研發的全生命周期;
- 通過培訓手段,增強軟件安全意識。
其次,積極與用戶溝通,消除客戶使用隱患
- 為客戶及時通報事件進展;
- 及時向外公布漏洞補丁及相關信息;
- 關注行業內安全問題發展情況;
最后,針對安全問題不避諱不隱瞞,及時通報媒體及相關國家安全部門,為提升工控系統安全做力所能及的事情;
亞控科技作為國內領先自動化軟件企業,充分發揮自身優勢,從國家層面、行業、企業三個層面提出問題與建議,為了今后更好的提升工業控制系統運營單位的風險防范意識,加強工業控制系統信息安全相關單位的信息共享與交流,貢獻自己的一份力量。