施耐德電氣：面對工業控制系統信息安全挑戰責無旁貸

文/梁秀璟

2014年4月17日，“工業控制系統信息安全產業聯盟”在北京正式成立。徐駿表示，施耐德電氣期待借助聯盟這個平臺，為建立完善的工業控制系統信息安全體系在國內的推進起到一定作用。

隨著計算機和網絡技術的發展，信息化與工業化深度融合以及物聯網的快速發展，工業控制系統產品越來越多地采用通用協議、通用硬件和通用軟件。網絡化浪潮又將諸如嵌入式技術、多標準工業控制網絡互聯、無線技術等新興技術融合進來，從而拓展了工業控制的發展空間，帶來新的發展機遇，同時也帶來了工業控制系統的信息安全等問題。

據相關數據統計，2011年國家信息安全漏洞共享平臺收錄了100余個對我國影響廣泛的工業控制系統軟件安全漏洞，較2010年大幅增長近10倍，這讓我們意識到，工業控制系統信息安全正面臨著嚴峻的挑戰。對此，施耐德電氣高級副總裁、工業事業部中國區負責人徐駿認為，“隱患永遠都會有，甚至會越來越多。隨著工業化與信息化的深度融合，工控系統實現與互聯網系統平臺和移動互聯平臺的廣泛互聯，隨之而來的信息安全隱患會呈幾何級數的增長。但我們不能因噎廢食，不能因為存在工業控制系統的信息安全隱患，就回避兩化融合大趨勢為整個產業升級帶來的歷史機遇，直面挑戰，是我們唯一的選擇。”

攜手聯盟 共筑信息安全防護“長城”

2014年4月17日，“工業控制系統信息安全產業聯盟”在北京正式成立。施耐德電氣作為目前為止唯一一家外資企業加入聯盟，徐駿表示，對于工業控制系統信息安全的問題，施耐德電氣責無旁貸，同時我們也有能力有義務，利用自身先進的技術、產品、解決方案推進中國工業控制系統信息安全產業的健康發展。在這一點上，與工業控制系統信息安全產業聯盟的宗旨完全一致，這是我們加入該聯盟的最基本的前提。我們期待借助聯盟這個平臺，為建立完善的工業控制系統信息安全體系在國內的推進起到一定作用。

施耐德電氣高級副總裁、工業事業部中國區負責人 徐駿

據悉，在該聯盟中，施耐德電氣將主要承擔聯盟今后的國際交流小組工作，徐駿告訴記者：“這恰恰是施耐德電氣的強項。”施耐德電氣有著非常豐富的國外經驗和成功案例，這些成功案例包括產品級、系統級和管理級等多種解決方案。我們可以將其帶到中國市場，帶到客戶群體中，幫助客戶更好地實現安全防護等級的提升。另外一方面，建立行業標準是目前國內工業控制系統信息安全迫在眉睫的工作之一，而施耐德電氣則可以將其他國家在如何建立國家標準和權威認證機構等方面的寶貴經驗引進到聯盟中，從而推廣給國家政府部門和其它相關機構。同時，他透露，施耐德電氣也會和國內的產、學、研等單位合作，共同提升中國工控系統信息安全水平。

徐駿繼續說道：“聯盟的成立對于推進中國工業控制系統信息安全產業的發展來說是一件大好事，它可以有效地使整個產業對于工業控制系統信息安全問題達成共識，促進官、產、學、研、用幾方面的互動交流，施耐德電氣作為理事單位，期待與聯盟攜手，共筑信息安全防護‘長城’。”

產品標準 嚴格恪守

眾所周知，信息安全標準在信息安全保障體系建設中發揮著基礎性、規范性作用，是確保信息安全產品和系統在設計、研發、生產、建設、使用、測評中保證其一致性、可靠性、可控性的技術規范、技術依據。沒有信息安全標準，信息化建設的安全可靠就無法保證。近年來，盡管我國頒布了《國家信息安全標準體系》、《國家信息安全“十一五”規劃》等指導性文件，進行信息化安全建設，并取得了階段性成果。但目前為止，并沒有專門針對工業控制系統信息安全的標準出臺。與此同時，工業控制系統應用的領域非常廣泛，電力、石化、冶金、市政等，所有這些行業都有各自的特點，工藝流程相差非常大，但是存在的信息安全危害都非常大。所以徐駿認為，盡快建立垂直行業的工業控制系統信息安全標準更是當務之急。當然，他也表示，羅馬不是一日建成，在相關標準未建立之前，企業應該嚴格恪守相關企業標準，保證產品達到相應的防護等級。

他強調，施耐德電氣未來推向中國的產品，首先，要符合施耐德電氣自身企業的標準，而這個標準是本著“高標準嚴要求”的原則建立的；第二，產品在推出之前，一定要通過全球的權威認證機構的認證，例如Achilles認證；第三，施耐德電氣向中國推出的任何產品在發布之前，也積極地與國內權威認證機構配合，測試并通過國內相應的認證。譬如，施耐德電氣推出的昆騰PLC以及Modicon M580系列等產品都通過了國內的相關安全認證。

三級防護 為客戶保駕護航

事實上，施耐德電氣之所以如此強調產品設備級的防護與其提出的三級縱深防御防護策略有著密不可分的聯系。

施耐德電氣提倡的是“自下而上”的三級縱深防御解決方案。其將所有的解決方案分為三級，第一級是設備級，也是施耐德電氣信息安全解決方案最為強調的一級。這一級指的是工業控制系統中的一些具體的現場設備，如PLC、RTU、DCS、變頻器等。施耐德電氣認為如果在設備級加強每一個單體設備或產品的信息安全功能，在這些產品組成一個系統之后，這個系統就必然也具備了基本的信息安全功能。同時，它也會成為整個信息安全解決方案中的最后一道防火墻。通過增強設備級的信息安全防護功能，也就可以加強整個控制系統的信息安全防護能力。

其次是系統級。所有的工業控制系統都不是獨立的信息孤島，它們之間通過網絡連接在一起組成一個更大的系統。所以需要增強整個控制系統的系統架構的信息安全防護功能。

最后，是管理級的信息安全解決方案。目前，施耐德電氣正在與一些知名的信息安全解決方案提供商合作，共同研究和定制針對管理級的信息安全的防護策略。

徐駿說道：“我們為客戶提供三級的解決方案體系，是因為我們希望客戶以最好的性價比投入，一次性解決所有相關的隱患和問題。我們的方案非常注重可操作性”。事實上，施耐德電氣目前在國內已經有不少成功的案例。而電力行業是其最先開始的行業。他透露，施耐德電氣目前已與五大電力集團之中的兩大電力集團公司旗下的分公司層面展開了合作，進行規模化的信息安全解決方案部署工作，取得了良好的效果，并獲得了行業主管部門及電力集團的認可和好評。同時，更為重要的是，在整改執行的過程中，施耐德電氣很好地完成了客戶提出的基本要求——不要影響生產的持續性，受到了客戶們的一致好評。

徐駿告訴記者，施耐德電氣的解決方案不僅是給客戶一個補丁讓客戶自己解決，而是包括事先的培訓和實踐、現場技術支持、完善的部署技術手冊、備品備件更新等，上述整套解決方案，得到了客戶的一致好評。

接下來，不僅是電力行業，施耐德電氣的解決方案還要向其他行業進行遷移，從而提升整個工業體系的信息安全的防護水平。