從帶有傳統色彩的個人電腦和移動電話，到今天充斥著科技氣味的智能手環和谷歌眼鏡，幾乎無處不在的智能硬件設備，讓從前虛擬的數據變得具象化。然而，這些硬件和技術給我們的生活帶來了巨大的影響和改變的同時，也對我們個人的信息安全產生了威脅——這樣的情況在工業領域同樣存在：越來越多開放式信息技術的應用和推廣，在保證工業數據通暢傳輸、降低信息化集成成本等方面居功至偉，但信息技術的普及對工業網絡的安全防護也提出了更為嚴格的要求。　

　　難以兩全的“透明”和“安全”

　　談及工業信息安全，首當其沖的便是工業控制系統，即ICS（Industrial Control Systems），通常被用于控制關鍵生產設備的運行，廣泛地應用于石油石化、冶金、勘探、電力、燃氣以及市政等領域。為了方便數據采集與監控系統更好地收集數據，并同時確保各組件之間通信的順暢，工業控制系統在不斷地更新換代中正在變得越來越開放。然而，這種開放在為工業用戶提供方便的同時，也降低了工業控制系統與外部網絡的隔離程度——“透明度”的提高使得工控系統在面對具有針對性、不斷升級的攻擊時顯得愈發脆弱，工業信息安全岌岌可危。

　　與此同時，工業控制系統中原本存在的安全隱患也在這種情況下變得越發突出——毋庸置疑，工控系統的任何環節受到攻擊，都有可能導致整個工業系統的癱瘓。

　　百度搜索相關案例，出現的結果觸目驚心：2000年3月澳大利亞Maroochy Shire Sewage的SCADA（即“Supervisory Control And Data Acquisition”，監視控制與數據采集）軟件遭攻擊破壞；2003年，美國Davis-Basse第一發電站遭網絡攻擊；2008年，波蘭公共電車系統遭遇黑客遠程攻擊，黑客通過電視遙控器改變了軌道扳道器，導致4節車廂脫軌；2010年，伊朗核電廠遭遇震網（Stuxnet）攻擊，震網病毒嚴重威脅到了伊朗布什爾核電站核反應堆的安全運營；2011年，黑客通過入侵數據采集與監控系統SCADA，破壞了美國伊利諾伊州城市供水系統的供水泵。

　　于是，一個問題呼之欲出：這些工控領域的信息安全事故，究竟是如何造成的？

　　顧此失彼來自設備的安全性難題

　　事實上，上述這些事件的成因大多是過多地重視“透明度”帶來的效率和實時性，而“安全性”則因此被置于了次要地位。

　　由于工控網絡存在著特殊性，許多通用的信息安全技術無法在工控系統中完全適用，解決工業控制系統安全需要有針對性地實施特殊措施。一般情況下，工控系統所執行的控制過程，通常是由HMI、控制回路和遠程診斷與維護工具三部分組件共同完成。其中，HMI（即“Human Machine Interface”，人機交互界面）執行信息交互，控制回路用以控制邏輯運算，遠程診斷與維護工具確保工業控制系統能夠穩定持續運行。這三部分設備之間的兼容性對工控系統的運行極為重要，制造企業為了保證三者之間的兼容性，犧牲部分的安全性也多是出于無奈。

　　以現場總線為例，在一個正常運轉的工控系統中，這三部分設備間會密集地進行信息交互，而作為傳統的數據通訊方式，現場總線技術被廣泛地應用在了工業控制中。經過多年的發展和演變，2003年4月，IEC61158 Ed.3現場總線標準第3版正式成為國際標準，規定10種類型的現場總線。因此，工控系統中應用的各類總線各具特點、不可互相替代。但顯而易見的是，多種現場總線的協議與標準的共存，使各總線之間的相互通訊、相互操作和相互兼容變得困難非常。

　　為了應對難題，制造業企業在設計工控系統時，系統的高可用性和業務的連續性，就成為了系統的關鍵設計理念。在這種情況下，工控系統就更加難以形成有效的工業安全防御和數據通信保密措施了。

　　此外，工控系統信息技術層面的改變同樣不容小覷。相較之前，工控系統的控制器能夠支持更多的以太網功能，性能也在變得越來越強，為了對工業生產過程進行實時的遠程監控，并將收集起來的相關數據與ERP系統和用戶需求結合起來，有些工控系統的控制器已經集成了Web服務器，可以允許來自信息層的用戶和來自控制層的用戶一道，直接獲取控制器中的當前狀態值而并不需要通過嚴密的安全認證。也正是如此，采用了以太網架構和開放軟件系統的制造企業，也被許多業內人士戲稱為“透明工廠”，這給工廠帶來的安全隱患不言而喻。

　　卓有成效的縱深防御體系

　　多年以來，工控領域的相關企業從未停止在工控信息安全方面的努力，致力于在保證“透明度”的同時，提升工控系統的信息安全系數。以施耐德電氣為例，2013年，施耐德電氣在國家電力監管委員會的指導和安排下，配合國家大型電力集團開展了五家火電廠的工控系統信息安全部署工作。

　　在整改的過程中，施耐德電氣發現中國行業客戶普遍存在三大安全困境：人員缺失、制度形式化和生產與安全的矛盾沖突。中國行業客戶在實施信息安全防御策略時需要更加重視解決方案的實用性和有效性。所以，施耐德電氣認為，中國工業客戶避免信息安全威脅最有效方法就是采用設備級防護方案，同時兼顧系統級和管理級防護方案。

　　“‘自下而上’的部署縱深防御安全策略，可為企業打造完善的防護體系。”施耐德電氣工業事業部工業信息安全首席專家王斌對縱深防御體系充滿了信心，“通過加強設備級防護能力可以讓工業客戶減少投資，短期內迅速提升企業工業系統信息安全防護能力，并為逐步實施完整的縱深防御安全策略奠定基礎。”

　　事實上，施耐德電氣正是從2013年開始正式向中國工業客戶正式推出“設備級、系統級和管理級”的三級縱深防御體系。其中，設備級防護正是三級縱深防御體系的基礎和核心。很快，整改工作起到了示范作用，隨著可靠和完善的解決方案在大型電力企業中的成功應用，施耐德電氣的工控系統信息安全解決方案被國家能源局推廣到了整個電力行業。

　　“由于我們在部署前進行了充分的論證和方案準備，在部署過程中沒有對企業安全生產產生任何影響。”王斌表示，“最終，部署工作順利完成，部署的成果也得到了行業主管部門和電力集團的肯定。”

　　2014年4月，施耐德電氣加入了“工業控制系統信息安全產業聯盟”。作為迄今為止唯一的一家外資企業，施耐德電氣擁有非常豐富的應用“三級縱深防御體系”的經驗和成功案例。談及此，王斌的自豪溢于言表，“我們可以將其帶到中國的客戶群體中，幫助他們更好地提升工控系統信息安全防護等級。”

　　據了解，施耐德電氣正在設備級層面持續加強自身產品的安全防護特性，并幫助用戶加強設備級的防護水平。在未來，相信我們將會看到施耐德電氣的安全解決方案，將出現在更多對工控系統安全有迫切需求的市場。

　　多舉措避免“禍起蕭墻”

　　在工業信息安全事故頻發之前，業界曾一度認為由于工業控制系統網絡的相對獨立性，其遭受外界攻擊的概率很低，直到來自網絡的攻擊導致企業關鍵性保密數據丟失、蒙受巨額的經濟損失、甚至造成嚴重的人員傷亡事故時，慘痛的教訓才提醒人們：信息安全的戰火已經蔓延到了工業基礎設施領域。

　　然而，造成這些信息安全事故的威脅卻并不全是來自于外部。相關統計數據顯示，只有部分的數據破壞的源頭在企業外部，而大多數的安全威脅則是來自企業內部。來自企業內部的信息安全風險包括員工操作失誤、故意破壞和知識欠缺。上文提到的震驚工控領域的伊朗核電站震網病毒事件，也正是由于將被病毒感染的U盤插入了控制系統的USB接口，震網病毒在無人察覺的情況下取得了部分工業用電腦系統的控制權。

　　無獨有偶，2012年的兩座美國電廠同樣是遭遇了USB病毒攻擊，該病毒感染了電廠內所有工廠的工控系統，將所有數據置于被竊取的風險之下。由此可見，流程安全及監管有時并不比技術級的信息安全防護重要性低。事實上，基礎的設置門衛、密碼保護、采用門禁卡保護敏感區域等也是工業信息安全的一部分。安全管理分安全流程和安全監管，在工廠生產過程中，若要確保每一個環節的安全性，就需要專門的設備或者人員對其進行監督管理。在很多時候，這樣的流程監管可能比技術關系更重要——一個好的流程和監管體系，是信息安全技術良好應用的前提。

　　然而，國內對信息安全的忽視由來已久：工控系統的安全防護策略和管理制度的制定、對工作人員安全意識的培養多流于表面，長期的“安全”淡薄了相關工作人員的安全意識。

　　見招拆招，施耐德電氣針對設備級的信息安全防護可在較短的時間內，高效率地提升企業的信息安全水平，還可有效地減少企業對信息安全人員的專業能力和管理制度的過度依賴。“這種以設備級防護為基礎，‘自下而上’逐步推進的安全防護整體解決方案，可以讓企業逐步擺脫傳統信息安全解決方案中過渡依賴管理政策、制度以及人員能力和操作規范等諸多不可控或不完備的條件限制。”王斌如是說。

　　盡管如此，提高相關人員的信息安全意識，并對關鍵生產和制造流程進行全方位監管仍然是長久之計。“不論采用的是何種信息安全方案，都需要有相應的人才儲備，對這些系統進行基本的維護。”王斌表達了他對企業中信息安全相關人才缺失的憂慮，“如果企業沒有相應的技術儲備，即便是上馬了這些系統，也無法充分發揮信息安全防護體系的功能。”

　　他表示，與中國相比，歐美發達國家在網絡水平、計算機知識普及等方面起步較早，國家和社會對于信息安全的重視程度也相對較高。與此相對應的信息安全解決方案體系也相對趨于完善，而這些正是國內缺少的。

　　產業攜手共建“信息安全標準”

　　眾所周知，行業標準的缺失是行業發展的巨大障礙，而目前國內工業信息安全市場正面臨著這樣的關鍵性問題，標準體系的缺失嚴重阻礙了整個工業信息安全事業的發展。“在這方面，施耐德電氣在國有很多成功的經驗和先進的理念，我們非常愿意與國內一些檢測機構和相關行業協會合作，將標準盡快建立并完善。”談及安全標準的建立，王斌神情嚴肅，“作為這個市場的主要參與者，這是施耐德電氣的義務和責任。”

　　據了解，施耐德電氣在確保自身產品和系統絕對安全的同時，還積極地參與到了整個標準體系的建立、檢測、認證等工作中；不僅如此，施耐德電氣能夠將其他國家在如何建立國家標準和權威認證機構等方面的經驗引進中國，從而推廣給國家政府部門和其它相關機構。與此同時，施耐德電氣也正在謀劃與第三方權威機構合作，未來或將在中國建立一個專業的認證平臺和實驗室。

　　“站在產業的角度來看，無論是建立信息安全標準，還是為企業建立完善的工業信息安全體系，都不是某一家企業可以獨立完成的，這需要整個產業鏈的通力合作。”談及產業合作，王斌感慨頗深。他表示，政府、企業、大專院校、研究單位和行業協會都需要加入到這個進程中，缺一不可。“從行業整體意識理念的建立到現代規章制度的落地，中國需要一個產、學、研三位一體并緊密結合的有機生態圈，共同推進我國工業控制系統信息安全事業的建設。”

　　新一輪產業變革的核心正是信息網絡技術的應用，以信息網絡、智能制造、新能源和新材料為代表的新一輪技術創新浪潮正漸行漸近，這些新興技術對產業發展產生了日益深刻的影響，與此同時，工業信息安全的市場潛力正在這樣的趨勢下快速釋放。讓我們攜手在這樣的信息化浪潮中構筑一面堅實的“透明”壁壘，在各種攻擊面前固若金湯的同時，讓信息之光在工控系統中暢行無阻地自由穿行——前事不忘，警鐘長鳴。