编者按：2012年8月， 施耐德电气的莫迪康昆腾PLC产品率先通过中国两家权威测评机构：国家信息技术安全研究中心和中国电力科学研究院的双重信息技术产品安全性检测，成为目前国内首家也是唯一通过并获得此类检测认可的PLC产品系列。至此，施耐德电气也开启了在工业控制系统信息安全领域的全新征程。本期专栏，记者特别采访了施耐德电气工业事业部EU解决方案开发主任工程师王斌先生，他目前主要负责施耐德电气工业控制系统信息安全的相关工作，请他谈一下目前工业控制系统信息安全市场的情况以及施耐德电气的解决之道。
 
                         
                   施耐德电气工业事业部EU解决方案开发主任工程师 王斌 

王斌（1974-），男，汉，毕业于北京航空航天大学自动控制专业，现任施耐德电气（中国）有限公司解决方案开发经理/信息安全总监，曾编写《Quantum PLC设备信息安全解决方案操作手册》和《Quantum PLC设备信息安全解决方案简明手册》，并被国家电力监管委员会和国家能源局推广到所有电力企业。

    ■《自动化博览》：请分析一下我国目前工业控制系统信息安全的情况？与国外相比较存在哪些主要区别？

   王斌：从国际上来讲，尤其是欧美这些发达国家，他们的综合实力较强，在信息安全水平，包括网络水平、计算机知识等方面普及的比较好，整个国家和社会对于信息安全的重视程度也较高，相应的信息安全解决方案体系也比较完善，而这些恰恰是目前国内缺少的。

   虽然现在国内对于工业控制系统信息安全重视程度已经普遍提高，但依然存在一些问题。

  第一，专职人员比较缺失。我曾经去拜访过很多企业，通常，负责信息安全的部门是信息中心，信息中心的人最初主要是负责网络化的搭建、系统之间的互联以及网络维护这些工作，所以他们对于信息安全的基本知识比较清楚，但是却并不了解工业控制系统。一个企业中真正负责工业控制系统的安全生产的一般都是由安生部或者生产技术科，他们虽然非常了解PLC、DCS、RTU等工业产品及系统，但是缺失信息安全，包括网络搭建等方面的知识。所以目前来看，中国企业面临的第一个问题就是缺少真正既懂工业控制系统又懂信息安全的技术人员或者专职人员。

   第二，管理制度的落实还不到位。我曾经去过国内很多企业，比如像大型水电站，它们的管理系统就非常严格，有着严格的门禁制度，同时对技术人员的日常维护操作也有着严格规范。还有像一些核电厂，在安全管理制度方面也是非常完善的。但是对于其他的很多行业，大多都没有严格的将安全管理制度落到实处，甚至制度或规范并不完善。对于信息安全来说，三分技术，七分管理，管理是整个信息安全解决方案的核心，所以在管理制度的落实和完善方面，中国的一些企业的确还需要加强。第三，企业在生产和安全方面，往往优先考虑的是连续生产。目前中国很多企业还有一些计划经济的影子，他们会更重视企业的持续生产，但是对生产的安全性并不十分重视。我之前去拜访过很多电厂，他们对于信息安全的评估、整改、完善等工作都是被动的响应，第一要看是否有国家相关管理部门下发红头文件，第二要看本行业内的一些龙头企业是否落实了这些工作。如果这些都没有，那他们也不会主动去做。造成这种现象的最主要的原因就是安全意识的淡薄。

   除此之外，设计院对信息安全知识的普及和重视程度也都需要提升。很多设计院提出来的信息安全的解决方案，比如像“三层架构、两层网络，区域分等级”等，这些更多的都是被动的去堵、去防，并没有做到对信息安全的主动加强，这就不能从根本上解决信息安全问题。目前施耐德电气也正在积极与各行业的设计院合作，努力提升所有行业的信息安全解决方案水平。希望将项目移交给客户的时候，能够给客户提供一个安全可靠的控制系统。

  ■《自动化博览》：目前，国内的工业用户对工业控制系统信息安全的担忧和需求都有哪些？

  王斌： 2011年，工信部下发了451号文件，也就是《关于加强工业控制系统信息安全管理的通知》，国家电力监管委员会也多次要求在电力行业内加强工业控制系统信息安全工作并多次开展信息安全的检查工作。所以目前来看，电力行业对信息安全比较重视。

  另外，对于加强工业控制系统信息安全工作，国家能源局对所管辖的电力、石化和矿业三个行业也都做出了统一的要求。其中石化行业起步较早，当然，各个企业内部对信息安全解决方案的推进程度及要求也不尽相同。

   接下来我们再谈谈轨道交通，去年11月深圳地铁二号线和五号线事故使轨道交通的安全性也越来越受到全社会的关注。但轨道交通与其他行业还不太一样。其他行业都有相关的国家级的监管部门，而轨道交通是直接受市政府管辖，所以它对于信息安全的重视与各市政府的重视程度有很大关系。

  在冶金行业，像宝钢等一些大型冶金集团，已经开始对信息安全有所重视，在控制系统和信息系统中采用了一些网络隔离的产品，但是普及并不广泛。

   对于其他一些行业，其实对于信息安全现在都没有投入很大的精力去重视。

  ■《自动化博览》：像您刚才提到的一些行业，他们现在是不是主要停留在应用一些产品上而没有实施整体的工业控制系统信息安全方案？

  王斌：对，目前来说不管是电力还是其他行业，更多的是采用系统级的防护方案，比如加一些防火墙，或网闸的产品来做系统级的隔离。还有就是把整个控制系统做分层、分级，将控制系统和信息系统分开，这是目前应用最多的解决方案。有些行业虽然应用了防火墙的产品，但是都是信息系统级的防火墙，而非工业级防火墙。其实对于工业级的防火墙，如果应用到工业控制系统里，它可以加强整个控制系统信息安全的防护功能。而如果把信息系统的防火墙应用到工业控制系统里，则并不适用，因为工业级防火墙的产品和信息系统防火墙的产品从性能、指标上的要求都是完全不一样的。

   另一方面，控制系统是一个非常复杂的系统，其内部由很多层级组成。但目前很多企业应用的信息安全解决方案只是将控制系统看成一个大的网络，在外围做了防护，却忽略了控制系统内部多层级之间的防护与隔离，这样的解决方案显然是不完善的。

   ■《自动化博览》：目前国内企业在上马工业控制系统信息安全解决方案的时候，都有哪些担忧和顾虑？

   王斌：他们的担忧还是很多的。第一，不论采用的是何种信息安全方案，都需要有相应的人才储备，对这些系统进行基本的维护。如果企业没有相应的技术储备的话，即便是上马了这些系统，如果真的出现了报警，一般操作人员很难判断出是否是信息安全的问题，问题具体出现在哪里，如何处理，否则就无法充分发挥信息安全体系的功能。第二，当然是资金的投入。如果客户要上马信息安全解决方案，也就是说要把相关的所有设备都纳入到安全监管范围。我们知道任何一个企业内的所有工业级设备，都是非常复杂的系统。如果要把大量庞杂的设备都监管起来，这就需要耗费企业大量的财力、物力来构建信息安全监管体系。第三，客户还会担心我上马了信息安全解决方案后，是不是能够收获预期的效果。因为每家企业现有的设备、产品都不一样，而且会涉及很多厂家的产品。因此，这些方案都必须是根据企业的实际情况进行定制化。即便定制了专门的解决方案，客户势必会担心这个信息安全解决方案是否真的能够做好防护。同时，信息安全攻防技术日新月异，几年就会发生大的变化，现在上马的信息安全体系过几年后是否会失效？

   ■《自动化博览》：针对于这些企业担心的问题，施耐德电气有什么样的解决方案？是否可以满足企业定制化的需求？

   王斌：施耐德电气在工业控制系统信息安全解决方案上面的理念与别的厂商不太一样。别的厂商更多的是推荐采用“自上到下”的纵深防御解决方案。相当于在监控平台中专门增加相应的信息安全评估、报警、日志记录等软件，通过管理级平台来增强信息安全的监管功能。再往下通过加强系统架构来增强安全性，最后才是加强设备级的安全性，这种方案的核心是从管理上增强系统的信息安全。但是这样的解决方案就会带来一些问题。第一，对操作人员的素质要求较高，比如监管系统报警后，操作员就必须要做出实时判断，立即将相应的指令通过生产系统发下去，准确判断出故障点在哪里，再让维修人员去维护，所以对操作人员的依赖性较强；第二，如果采用这种方案，整个系统就必须要增加很多产品，以保障系统架构安全性的增强，反而对设备级的具体产品，比如现场用到的每一个PLC，每一个控制产品和网络产品没有太多要求。显然，结合中国企业目前的现状，这种方案并不十分适用。

  施耐德电气拜访了很多企业用户之后，我们发现企业内部对于信息安全其实有很多认识和部署等多方面的不足，就像我们最初谈到的那三个问题一样，所以在综合考虑之后，施耐德电气重新修正了我们的信息安全解决方案。

  施耐德电气现在提倡的是“自下而上”的三级纵深防御解决方案。我们将所有的解决方案分为三级，第一级是设备级，也是施耐德电气信息安全解决方案最为强调的一级。这一级主要是指工业控制系统中的一些具体的现场设备，如PLC、RTU、DCS、变频器等。如果我们在设备级加强每一个单体设备或产品的信息安全功能，这样这些产品组成一个系统后，这个系统就必然也具备了基本的信息安全功能。同时，它也会成为整个信息安全解决方案中的最后一道“防火墙”。通过增强设备级的信息安全防护功能，也就可以加强整个控制系统的信息安全性能。这种方案的好处在于：第一，可以脱离对人的依赖。因为它不需要现场操作人员或者维护人员做任何操作，只要把安全设备应用在系统里，实际上就已经增强了整个系统的安全性。第二，这种方案对整个系统架构的要求也降低了。将已经具备了信息安全性能的单体设备集成到系统中，这个系统本身就要比不具备安全功能的单体设备组成的系统更安全。如果再加上系统级的防护后，无形中就已经构成了两层保护。其防护能力自然要比仅仅做系统级防护的系统信息安全防范能力更强。

  在设备级之后，我们强调的是系统级。所有的工业控制系统都不是独立的信息孤岛，它们之间会组成一个大的系统，通过网络连接在一起。所以我们需要增强整个控制系统架构的信息安全防护功能。这其中我们有针对交换机等产品的信息安全的防护方案，也有例如防火墙等的专门产品等，来增强整个系统级的信息安全防护功能。

  最后，施耐德电气也有专门的针对管理级的信息安全解决方案，目前我们正在与一些国际知名的信息安全解决方案提供商合作，共同研究针对管理级的信息安全的方案。虽然管理级的安全防护在施耐德电气所推崇的信息安全解决方案中并不是最核心的，但管理无疑是整个信息安全方案能否真正落地的最关键因素，所以也不能忽视管理级的信息安全防护。

  ■《自动化博览》：既然单体设备的安全防护能力是施耐德电气信息安全解决方案的关键，针对于提升单体设备防护能力，施耐德电气做了哪些工作呢？

   王斌：从去年开始，施耐德电气一直在做PLC产品的信息安全相关测试和认证，我们的目的就是为了加强单体设备的信息安全防护能力。2012年8月，施耐德电气昆腾PLC系列率先通过国家信息技术安全研究中心和中国电力科学研究院的双重信息技术产品安全性检测，成为首家且唯一获得此类检测认可的工控PLC产品系列。

   ■《自动化博览》：为什么要选择昆腾PLC系列进行测试？

   王斌：昆腾PLC是90年代推向市场的产品，经过每年的不断更新和完善，一直到现在都占有非常高的市场份额。目前，该PLC主要应用在几大行业：第一是火电行业，所占份额在50%~60%，之后在水电行业，占有率在80%以上，在冶金、石化和轨道交通，也分别有着广泛的应用。所以国家和行业主管部门也非常希望施耐德电气能够拿市场占有率非常高的昆腾PLC产品进行信息安全的测评，这样更具有代表性，影响力也比较广。当然，不管从企业责任还是社会责任的角度，施耐德电气都非常愿意做类似的产品测评。

  ■《自动化博览》：未来，是否还会将一些产品陆续进行相关的测评？

   王斌：这将会是施耐德电气未来持续要做的工作，增强工业信息安全性能将继续作为施耐德后续发布的PLC产品的基本性能之一。很快，我们还会做Modicon M580产品的测评。ModiconM580提供了一个开放、可靠和更安全的系统，目前已经通过国际上信息安全领域最知名的“Achilles L2”健壮性测试。先进的网络安全功能能够最大限度减少病毒攻击事件的发生，有效增强网络信息安全防护能力。施耐德电气希望提供给中国用户的是一个安全、可靠的工业控制系统产品。

   ■《自动化博览》：施耐德电气的自下而上的纵深防御系统解决方案是否已经有了成功的行业应用实例？

  王斌：2013年，施耐德电气与国内某大型电力集团，针对其山东分公司所有电厂的工业控制系统成功部署过信息安全解决方案。当时国家电力监管委员会的相关领导，以及电力集团的领导都到现场进行了验收，效果非常好。目前，施耐德电气的信息安全解决方案已经推广到全国所有的电力企业，成为首家也是唯一把信息安全解决方案推广到全国的设备厂商。 

   摘自《自动化博览》2013年12月