令人担忧的“智能”
     毋庸置疑的是，世界正在变得越来越便捷。当你还行驶在回家的高速路上，仅需在手机上执行一个简单操作，便可远程控制家里的灯、空调及其它设施，轻松享受便捷生活。

     近两三年来，我国智能家居市场快速发展。数据显示，2009年智能家居市场蛋糕约为420亿美元，并且该市场仍再以每年20~30%的速度递增，预计到2015年蛋糕将达1240亿元。

     然而，如此便捷的生活也暗藏着某种风险。当家居的自动化与网络挂钩时，这些联网设备的安全风险就会增高，“你可以‘黑’进别人家的智能家居系统，让他的电费单顶破天。”Trustwave公司安全专专家大卫•布莱恩表示。

     这样的案例并不孤立。一个必须正视的事实是，当我们享受“智能”的同时，也有可能为其带来的安全问题买单。

     2009年5月，国家电网公司宣布正式对外界公布了“坚强智能电网”计划，并由此带动了电网生产运行、经营管理、客户服务以及社会能源利用模式的重大变革。

     国家电网公司在对智能电网概念的界定中提到，“智能电网将是具有信息化、数字化、自动化、互动化特征的统一的坚强智能电网”，信息化作为“四化”突破口的重要性凸显。换句话说，智能电网的建设将覆盖从电源、输配电、售电和用电管理的各个环节，信息化也将成为各业务环节实现智能化的手段。在智能电网时代，无论是从电能流的方向还是从企业业务链递进方向，每个环节都伴随有大量数据生成、被采集、处理、供分析应用，并将最终以不同的形态展示在用户面前。

     “互联的系统、设备、应用、网络以及机构等的数量呈戏剧性的增长，这些都成为了智能电网的一部分，而这同时也增加了智能电网的‘表面积’，使其更容易面对攻击，黑客也有更多的机会从不同的设备中找到漏洞，从而入侵智能电网系统。最终的结果就是很难找到和隔离某个导致安全风险的漏洞。”业内人士分析认为，这样的风险是多样性的，包括为了避免缴纳电费而进行的数据篡改或欺诈；用户账户不正常登录时的隐私泄露问题；通过操纵网络中的某个设备导致整个电网或部分电网设备运转不正常等。

     事实上，目前许多国内正在部署的、用以支持智能电网项目的技术：智能电表、电动汽车、智能设备、状态检测终端、家庭互动化终端……都会加大电网受攻击的风险。其中，信息与通信安全是智能电网的基础支撑平台，因此智能电网面临的主要威胁也是信息安全。“智能电网信息安全主要体现在用户侧信息安全问题和互动化信息传输安全及安全接入问题。”国家电网信息网络安全实验室主任张涛指出。

     以智能表计采集终端为例，攻击者通过固件分析、熵分析等技术，可以恢复密钥的内容，有了密钥，攻击者就能用和观察发给标记的命令和控制消息，从而发现能够使用户停电的命令和控制技术，那么攻击者为了达到自身的目的，就可以选择攻击区域实施攻击。

     事实上，随着智能电网规模的扩大，电力系统结构的复杂性显著增加，电网的安全稳定性问题越发突出。业内人士指出，与传统电网相比，各国目前出台的智能电网几乎都具有更为广阔的开放性和复杂性，以便于实现和外界的互动，但就如人的肌体一样，接触“病菌”的机会多，也就意味着更容易受到外来侵扰。

     北京华电卓识信息安全技术测评中心技术顾问徐震认为，随着我国智能电网的建设，信息安全问题在电网调度自动化、继电保护和安全装置，发电厂控制自动化、变电站自动化、配网自动化，电力负荷装置、电力市场交易、电力用户信息采集、智能用电等多个领域都可能面临信息安全的威胁。

     “中国传统的电网实际上是一个半封闭的环境，不需要跟外界做更多的互动，随着大量智能表计、智能家电的介入，双向互动会更加频繁，网络边界进一步向用户侧衍生，用户侧的安全危险将越来越突出，也会威胁到用户的隐私，端对端的防护就显得尤为重要，信息安全防御保障的防护范围和网络边界的防护能力需要进一步增强。”张涛表示。

软硬结合为“安全”
     以往人们更多是针对某个系统或设备进行风险评估，但现在越来越多的人意识到局部的风险一旦累加起来，通过零散信息可能会拼接出一个重要的信息，甚至可能会泄露出关系到国家的重要信息。值得庆幸的是，“棱镜门”事件把全球信息安全带到了一个更宏观层面，包括中国在内的世界各国开始意识到在大数据和云计算时代背景下，要更加重视数据安全。

     近年来伴随着国民经济的快速发展，我国电网调度系统越发大而庞杂，同步电网规模的逐渐扩大，智能化设备、新技术逐步广泛应用到电力系统网络中，使电网的接入环境变得更加复杂，电网的安全性及电力通信网络信息安全面临新的挑战。

     2010年9月，伊朗政府宣布，大约3万个网络终端感染“震网”，病毒攻击目标直指其核设施。资料显示，震网病毒又名Stuxnet病毒，于2010年发现，截止2011年，期间该病毒感染了全球超过45000个网络。

     一组微软的调查显示，“震网”主要通过U盘和局域网进行传播，是第一个利用Windows“零日漏洞”，专门针对工业控制系统发动攻击的恶意软件，能够攻击石油运输管道、发电厂、大型通信设施、机场等多种工业和民用基础设施，被称为“网络导弹”。

     今年3月，《中国解放军报》报道称，美国曾利用“震网”蠕虫病毒攻击伊朗的铀浓缩设备。分析人士在感叹病毒的巨大威力的同时，更认为这预示着网络战已发展到以破坏硬件为目的的新阶段。

     “美国通过蠕虫病毒就破坏了伊朗的核设施，而目前我国在交通、能源等方面使用的硬件、软件大量都是国外的产品和服务，一旦发生对峙甚至战争，就会存在被他国直接破坏的可能性。”宁家骏在接受媒体采访时担忧地表示。

     对此表示担忧的不仅宁家骏一人。国家信息技术安全研究中心总工程师李京春也在此前表示，目前我国互联网相关设施、金融、电信等许多核心设备和存储、交换设备等都是从国外进口，路由器、操作系统、服务器等主要产品都存在安全漏洞、后门或隐蔽通道。如果恶意人员或情报机构利用这些漏洞、“后门”去窃取相关敏感信息，窥视个人隐私，控制大量计算机，或利用他人计算机作为“跳板”搞窃密、破坏，这些恶意行为不仅对网络、系统的威胁巨大，也影响到政治、外交、军事、文化等多个领域，甚至会严重威胁到整个国家的网络空间安全。

     就电网而言，未来电网通信网络环境将更加复杂。GPRS、CDMA、3G、WIFI、智能传感网络等无线通信技术和大量智能表计、移动终端的广泛应用，造成攻击手段更加多样化和智能化，进一步加大了信息安全保障体系防护的难度。

     “针对基础网络建设和信息化应用中的采购环节，为了避免信息泄露，政府行业的用户应该严格按照国家相关规定，优先采用本国研发和设计的产品，这不只是在中国，同时也是国际惯例。‘棱镜门’事件更应该让我们认识到，这种选择不仅是一项简单的规定，更是一种责任。”国家审计署计算机技术中心主任王智玉表示。

     显然，如果在软硬件基础应用和关键技术上无法保障自主性，就无法确保包括网络、系统、终端和软件在内的各个领域的信息安全。对此，有业内人士建议，以“棱镜门”事件为契机，我国应加强对现有国家重要信息系统的安全测试和评估工作，及时发现其中存在的漏洞和隐患，最大限度地推广和应用国产信息安全产品；制定国内信息安全关键技术和重点产品研发计划，制定信息安全关键技术和重点产品目录。通过突破一批信息安全核心技术，形成一批拥有自主知识产权和市场竞争力的产品，建立和推广拥有自主知识产权的标准规范，从而构建完整的信息安全产品体系和产业链，逐步实现信息安全问题可发现、可防御，关键信息系统可替代的目标。

     有消息指出，“棱镜门”事件爆发后，包括工信部、公安部在内的多个部委都曾广泛邀请厂商参加各类座谈及调研。分析人士指出，类似于美国排斥中国的华为、中兴，国内相关部门在进行设备采购时有可能会调整对IBM、思科和EMC等厂商的态度。在此形势下，电力系统作为国家经济发展一大命脉，其数据安全设备也可能更加趋向“国产化”。

     张涛表示，目前我国智能电网的发展对于信息安全提出了更高要求，主要表现在智能电网对信息安全提出了一些新的需求。

     第一是物理安全。这是对智能电网终端进行保护时需要重点关注和考虑的问题，包括智能表计、测量仪器、传感设备，要保证这些设备物理环境的安全，防止外界人为破坏的保护，需要进一步提高物理安全防护的强度。

     第二是网络安全。这对于国内的传统电网也是非常重要的一个环节，比如采用边界隔离的手段来阻止一些信息的入侵，包括防火墙的技术，VPN的技术等。

     第三是数据安全。在智能电网的环境中，数据安全有两点含义，一是数据本身的安全，这其中需要采用密码技术对数据进行保护，还有对数据完整性的保护等；二是数据防护的安全，比如通过备份的机制、云计算、云搜索的一些机制来保证数据的安全。

     此外，重要的还有在安全管理方面，应该加强业务系统全生命周期的安全管控。这也是国内外的一些大型软件公司在做的一种设计，在开发阶段、设计阶段都要把对信息安全的需求考虑进去。最后，还有供应链的安全，在中国，国家电网公司提出整个智能电网自主可控，尽量采取国产的设备、操作系统，这也是为了在源头上保证信息安全的做法。

     “针对智能电网存在的安全问题，最好的防御方式是提高安全水平，一方面强化信息管理的安全意识，规范员工操作行为；另一方面要有规划，并成体系的部署相应的信息安全产品，做到管理与技术并重。包括构建特种木马防御体系、密码技术等，多种信息安全手段和产品相互配合，互为补充，实现使用价值最大化，这也是统一坚强智能电网的深刻含义。 ”中投顾问能源行业研究员宋智晨表示。

完善信息安全标准及机制
     当前，信息化的风险和风险管理已经成为各个国家和组织普遍关注的问题，各国在加快研发、建设智能电网的同时，还建立起相应的组织保护智能电网的安全。例如美国国家标准与技术研究所特别成立了名为“智能电网协作网络安全工作组”的专业研究机构，以保卫智能电网的安全。

     目前在我国，相关智能电网安全的标准制定、技术研究和产业推进也在积极进行中。据悉，国家电网将在未来10年投资超过4万亿人民币，用于推进坚强智能电网的建设，有分析人士预计其中15%将用于与安全相关的建设。

     面对如此巨大的市场前景，“电信基础设施已经成为电网系统的关键，数据和传输的安全性都是智能电网面临的主要安全类型，但是在规范方面还是比较缺失的。”张涛表示。

     对此，有业内人士同时认为，除了尽快完善电网信息安全的相关标准、规划之外，国家也应有相应部门牵头管理基础网络和重要信息系统的安全。

     据了解，目前我国政府和重点行业部门在信息建设过程中所参照的法律，主要是2001年制定的《政府采购法》和《招标投标法》，其中的很多内容已经很难适应日新月异的网络时代了，而且这两部法律对政府采购国产化产品的界定比较模糊。除了立法上的因素，我国家信息安全管理体制仍然处在多头管理、难以协调的状态。

     我国把信息安全分成两类，一是信息技术安全，主要归工信部管理；二是信息内容安全，主要归国务院信息办管理，主要关注意识形态方面的问题。上述业内人士建议，要想从根本上解决中国信息安全令人担忧的局面，应该尽快成立国家级的权威信息安全，在信息安全管理上坚持一元化管理，坚持依法管理。

     “信息安全工作的开展亟需一个强有力的协调部门。前几年高层设立的国家网络与信息安全协调小组办公室发挥了很好的协调作用，现在这个机构在工信部信息安全协调司层面开展工作，层次低了，难于协调，在很多地方难以发挥协调作用。”李京春表示，与此同时，我国应加强在此方面的国际合作，制定相关政策方针，与发达国家共同进步，结成国际信息安全产业联盟。