編者按：2012年8月， 施耐德電氣的莫迪康昆騰PLC產(chǎn)品率先通過(guò)中國兩家權威測評機構：國家信息技術(shù)安全研究中心和中國電力科學(xué)研究院的雙重信息技術(shù)產(chǎn)品安全性檢測，成為目前國內首家也是唯一通過(guò)并獲得此類(lèi)檢測認可的PLC產(chǎn)品系列。至此，施耐德電氣也開(kāi)啟了在工業(yè)控制系統信息安全領(lǐng)域的全新征程。本期專(zhuān)欄，記者特別采訪(fǎng)了施耐德電氣工業(yè)事業(yè)部EU解決方案開(kāi)發(fā)主任工程師王斌先生，他目前主要負責施耐德電氣工業(yè)控制系統信息安全的相關(guān)工作，請他談一下目前工業(yè)控制系統信息安全市場(chǎng)的情況以及施耐德電氣的解決之道。
 
                         
                   施耐德電氣工業(yè)事業(yè)部EU解決方案開(kāi)發(fā)主任工程師 王斌 

王斌（1974-），男，漢，畢業(yè)于北京航空航天大學(xué)自動(dòng)控制專(zhuān)業(yè)，現任施耐德電氣（中國）有限公司解決方案開(kāi)發(fā)經(jīng)理/信息安全總監，曾編寫(xiě)《Quantum PLC設備信息安全解決方案操作手冊》和《Quantum PLC設備信息安全解決方案簡(jiǎn)明手冊》，并被國家電力監管委員會(huì )和國家能源局推廣到所有電力企業(yè)。

    ■《自動(dòng)化博覽》：請分析一下我國目前工業(yè)控制系統信息安全的情況？與國外相比較存在哪些主要區別？

   王斌：從國際上來(lái)講，尤其是歐美這些發(fā)達國家，他們的綜合實(shí)力較強，在信息安全水平，包括網(wǎng)絡(luò )水平、計算機知識等方面普及的比較好，整個(gè)國家和社會(huì )對于信息安全的重視程度也較高，相應的信息安全解決方案體系也比較完善，而這些恰恰是目前國內缺少的。

   雖然現在國內對于工業(yè)控制系統信息安全重視程度已經(jīng)普遍提高，但依然存在一些問(wèn)題。

  第一，專(zhuān)職人員比較缺失。我曾經(jīng)去拜訪(fǎng)過(guò)很多企業(yè)，通常，負責信息安全的部門(mén)是信息中心，信息中心的人最初主要是負責網(wǎng)絡(luò )化的搭建、系統之間的互聯(lián)以及網(wǎng)絡(luò )維護這些工作，所以他們對于信息安全的基本知識比較清楚，但是卻并不了解工業(yè)控制系統。一個(gè)企業(yè)中真正負責工業(yè)控制系統的安全生產(chǎn)的一般都是由安生部或者生產(chǎn)技術(shù)科，他們雖然非常了解PLC、DCS、RTU等工業(yè)產(chǎn)品及系統，但是缺失信息安全，包括網(wǎng)絡(luò )搭建等方面的知識。所以目前來(lái)看，中國企業(yè)面臨的第一個(gè)問(wèn)題就是缺少真正既懂工業(yè)控制系統又懂信息安全的技術(shù)人員或者專(zhuān)職人員。

   第二，管理制度的落實(shí)還不到位。我曾經(jīng)去過(guò)國內很多企業(yè)，比如像大型水電站，它們的管理系統就非常嚴格，有著(zhù)嚴格的門(mén)禁制度，同時(shí)對技術(shù)人員的日常維護操作也有著(zhù)嚴格規范。還有像一些核電廠(chǎng)，在安全管理制度方面也是非常完善的。但是對于其他的很多行業(yè)，大多都沒(méi)有嚴格的將安全管理制度落到實(shí)處，甚至制度或規范并不完善。對于信息安全來(lái)說(shuō)，三分技術(shù)，七分管理，管理是整個(gè)信息安全解決方案的核心，所以在管理制度的落實(shí)和完善方面，中國的一些企業(yè)的確還需要加強。第三，企業(yè)在生產(chǎn)和安全方面，往往優(yōu)先考慮的是連續生產(chǎn)。目前中國很多企業(yè)還有一些計劃經(jīng)濟的影子，他們會(huì )更重視企業(yè)的持續生產(chǎn)，但是對生產(chǎn)的安全性并不十分重視。我之前去拜訪(fǎng)過(guò)很多電廠(chǎng)，他們對于信息安全的評估、整改、完善等工作都是被動(dòng)的響應，第一要看是否有國家相關(guān)管理部門(mén)下發(fā)紅頭文件，第二要看本行業(yè)內的一些龍頭企業(yè)是否落實(shí)了這些工作。如果這些都沒(méi)有，那他們也不會(huì )主動(dòng)去做。造成這種現象的最主要的原因就是安全意識的淡薄。

   除此之外，設計院對信息安全知識的普及和重視程度也都需要提升。很多設計院提出來(lái)的信息安全的解決方案，比如像“三層架構、兩層網(wǎng)絡(luò )，區域分等級”等，這些更多的都是被動(dòng)的去堵、去防，并沒(méi)有做到對信息安全的主動(dòng)加強，這就不能從根本上解決信息安全問(wèn)題。目前施耐德電氣也正在積極與各行業(yè)的設計院合作，努力提升所有行業(yè)的信息安全解決方案水平。希望將項目移交給客戶(hù)的時(shí)候，能夠給客戶(hù)提供一個(gè)安全可靠的控制系統。

  ■《自動(dòng)化博覽》：目前，國內的工業(yè)用戶(hù)對工業(yè)控制系統信息安全的擔憂(yōu)和需求都有哪些？

  王斌： 2011年，工信部下發(fā)了451號文件，也就是《關(guān)于加強工業(yè)控制系統信息安全管理的通知》，國家電力監管委員會(huì )也多次要求在電力行業(yè)內加強工業(yè)控制系統信息安全工作并多次開(kāi)展信息安全的檢查工作。所以目前來(lái)看，電力行業(yè)對信息安全比較重視。

  另外，對于加強工業(yè)控制系統信息安全工作，國家能源局對所管轄的電力、石化和礦業(yè)三個(gè)行業(yè)也都做出了統一的要求。其中石化行業(yè)起步較早，當然，各個(gè)企業(yè)內部對信息安全解決方案的推進(jìn)程度及要求也不盡相同。

   接下來(lái)我們再談?wù)勡壍澜煌?，去?1月深圳地鐵二號線(xiàn)和五號線(xiàn)事故使軌道交通的安全性也越來(lái)越受到全社會(huì )的關(guān)注。但軌道交通與其他行業(yè)還不太一樣。其他行業(yè)都有相關(guān)的國家級的監管部門(mén)，而軌道交通是直接受市政府管轄，所以它對于信息安全的重視與各市政府的重視程度有很大關(guān)系。

  在冶金行業(yè)，像寶鋼等一些大型冶金集團，已經(jīng)開(kāi)始對信息安全有所重視，在控制系統和信息系統中采用了一些網(wǎng)絡(luò )隔離的產(chǎn)品，但是普及并不廣泛。

   對于其他一些行業(yè)，其實(shí)對于信息安全現在都沒(méi)有投入很大的精力去重視。

  ■《自動(dòng)化博覽》：像您剛才提到的一些行業(yè)，他們現在是不是主要停留在應用一些產(chǎn)品上而沒(méi)有實(shí)施整體的工業(yè)控制系統信息安全方案？

  王斌：對，目前來(lái)說(shuō)不管是電力還是其他行業(yè)，更多的是采用系統級的防護方案，比如加一些防火墻，或網(wǎng)閘的產(chǎn)品來(lái)做系統級的隔離。還有就是把整個(gè)控制系統做分層、分級，將控制系統和信息系統分開(kāi)，這是目前應用最多的解決方案。有些行業(yè)雖然應用了防火墻的產(chǎn)品，但是都是信息系統級的防火墻，而非工業(yè)級防火墻。其實(shí)對于工業(yè)級的防火墻，如果應用到工業(yè)控制系統里，它可以加強整個(gè)控制系統信息安全的防護功能。而如果把信息系統的防火墻應用到工業(yè)控制系統里，則并不適用，因為工業(yè)級防火墻的產(chǎn)品和信息系統防火墻的產(chǎn)品從性能、指標上的要求都是完全不一樣的。

   另一方面，控制系統是一個(gè)非常復雜的系統，其內部由很多層級組成。但目前很多企業(yè)應用的信息安全解決方案只是將控制系統看成一個(gè)大的網(wǎng)絡(luò )，在外圍做了防護，卻忽略了控制系統內部多層級之間的防護與隔離，這樣的解決方案顯然是不完善的。

   ■《自動(dòng)化博覽》：目前國內企業(yè)在上馬工業(yè)控制系統信息安全解決方案的時(shí)候，都有哪些擔憂(yōu)和顧慮？

   王斌：他們的擔憂(yōu)還是很多的。第一，不論采用的是何種信息安全方案，都需要有相應的人才儲備，對這些系統進(jìn)行基本的維護。如果企業(yè)沒(méi)有相應的技術(shù)儲備的話(huà)，即便是上馬了這些系統，如果真的出現了報警，一般操作人員很難判斷出是否是信息安全的問(wèn)題，問(wèn)題具體出現在哪里，如何處理，否則就無(wú)法充分發(fā)揮信息安全體系的功能。第二，當然是資金的投入。如果客戶(hù)要上馬信息安全解決方案，也就是說(shuō)要把相關(guān)的所有設備都納入到安全監管范圍。我們知道任何一個(gè)企業(yè)內的所有工業(yè)級設備，都是非常復雜的系統。如果要把大量龐雜的設備都監管起來(lái)，這就需要耗費企業(yè)大量的財力、物力來(lái)構建信息安全監管體系。第三，客戶(hù)還會(huì )擔心我上馬了信息安全解決方案后，是不是能夠收獲預期的效果。因為每家企業(yè)現有的設備、產(chǎn)品都不一樣，而且會(huì )涉及很多廠(chǎng)家的產(chǎn)品。因此，這些方案都必須是根據企業(yè)的實(shí)際情況進(jìn)行定制化。即便定制了專(zhuān)門(mén)的解決方案，客戶(hù)勢必會(huì )擔心這個(gè)信息安全解決方案是否真的能夠做好防護。同時(shí)，信息安全攻防技術(shù)日新月異，幾年就會(huì )發(fā)生大的變化，現在上馬的信息安全體系過(guò)幾年后是否會(huì )失效？

   ■《自動(dòng)化博覽》：針對于這些企業(yè)擔心的問(wèn)題，施耐德電氣有什么樣的解決方案？是否可以滿(mǎn)足企業(yè)定制化的需求？

   王斌：施耐德電氣在工業(yè)控制系統信息安全解決方案上面的理念與別的廠(chǎng)商不太一樣。別的廠(chǎng)商更多的是推薦采用“自上到下”的縱深防御解決方案。相當于在監控平臺中專(zhuān)門(mén)增加相應的信息安全評估、報警、日志記錄等軟件，通過(guò)管理級平臺來(lái)增強信息安全的監管功能。再往下通過(guò)加強系統架構來(lái)增強安全性，最后才是加強設備級的安全性，這種方案的核心是從管理上增強系統的信息安全。但是這樣的解決方案就會(huì )帶來(lái)一些問(wèn)題。第一，對操作人員的素質(zhì)要求較高，比如監管系統報警后，操作員就必須要做出實(shí)時(shí)判斷，立即將相應的指令通過(guò)生產(chǎn)系統發(fā)下去，準確判斷出故障點(diǎn)在哪里，再讓維修人員去維護，所以對操作人員的依賴(lài)性較強；第二，如果采用這種方案，整個(gè)系統就必須要增加很多產(chǎn)品，以保障系統架構安全性的增強，反而對設備級的具體產(chǎn)品，比如現場(chǎng)用到的每一個(gè)PLC，每一個(gè)控制產(chǎn)品和網(wǎng)絡(luò )產(chǎn)品沒(méi)有太多要求。顯然，結合中國企業(yè)目前的現狀，這種方案并不十分適用。

  施耐德電氣拜訪(fǎng)了很多企業(yè)用戶(hù)之后，我們發(fā)現企業(yè)內部對于信息安全其實(shí)有很多認識和部署等多方面的不足，就像我們最初談到的那三個(gè)問(wèn)題一樣，所以在綜合考慮之后，施耐德電氣重新修正了我們的信息安全解決方案。

  施耐德電氣現在提倡的是“自下而上”的三級縱深防御解決方案。我們將所有的解決方案分為三級，第一級是設備級，也是施耐德電氣信息安全解決方案最為強調的一級。這一級主要是指工業(yè)控制系統中的一些具體的現場(chǎng)設備，如PLC、RTU、DCS、變頻器等。如果我們在設備級加強每一個(gè)單體設備或產(chǎn)品的信息安全功能，這樣這些產(chǎn)品組成一個(gè)系統后，這個(gè)系統就必然也具備了基本的信息安全功能。同時(shí)，它也會(huì )成為整個(gè)信息安全解決方案中的最后一道“防火墻”。通過(guò)增強設備級的信息安全防護功能，也就可以加強整個(gè)控制系統的信息安全性能。這種方案的好處在于：第一，可以脫離對人的依賴(lài)。因為它不需要現場(chǎng)操作人員或者維護人員做任何操作，只要把安全設備應用在系統里，實(shí)際上就已經(jīng)增強了整個(gè)系統的安全性。第二，這種方案對整個(gè)系統架構的要求也降低了。將已經(jīng)具備了信息安全性能的單體設備集成到系統中，這個(gè)系統本身就要比不具備安全功能的單體設備組成的系統更安全。如果再加上系統級的防護后，無(wú)形中就已經(jīng)構成了兩層保護。其防護能力自然要比僅僅做系統級防護的系統信息安全防范能力更強。

  在設備級之后，我們強調的是系統級。所有的工業(yè)控制系統都不是獨立的信息孤島，它們之間會(huì )組成一個(gè)大的系統，通過(guò)網(wǎng)絡(luò )連接在一起。所以我們需要增強整個(gè)控制系統架構的信息安全防護功能。這其中我們有針對交換機等產(chǎn)品的信息安全的防護方案，也有例如防火墻等的專(zhuān)門(mén)產(chǎn)品等，來(lái)增強整個(gè)系統級的信息安全防護功能。

  最后，施耐德電氣也有專(zhuān)門(mén)的針對管理級的信息安全解決方案，目前我們正在與一些國際知名的信息安全解決方案提供商合作，共同研究針對管理級的信息安全的方案。雖然管理級的安全防護在施耐德電氣所推崇的信息安全解決方案中并不是最核心的，但管理無(wú)疑是整個(gè)信息安全方案能否真正落地的最關(guān)鍵因素，所以也不能忽視管理級的信息安全防護。

  ■《自動(dòng)化博覽》：既然單體設備的安全防護能力是施耐德電氣信息安全解決方案的關(guān)鍵，針對于提升單體設備防護能力，施耐德電氣做了哪些工作呢？

   王斌：從去年開(kāi)始，施耐德電氣一直在做PLC產(chǎn)品的信息安全相關(guān)測試和認證，我們的目的就是為了加強單體設備的信息安全防護能力。2012年8月，施耐德電氣昆騰PLC系列率先通過(guò)國家信息技術(shù)安全研究中心和中國電力科學(xué)研究院的雙重信息技術(shù)產(chǎn)品安全性檢測，成為首家且唯一獲得此類(lèi)檢測認可的工控PLC產(chǎn)品系列。

   ■《自動(dòng)化博覽》：為什么要選擇昆騰PLC系列進(jìn)行測試？

   王斌：昆騰PLC是90年代推向市場(chǎng)的產(chǎn)品，經(jīng)過(guò)每年的不斷更新和完善，一直到現在都占有非常高的市場(chǎng)份額。目前，該PLC主要應用在幾大行業(yè)：第一是火電行業(yè)，所占份額在50%~60%，之后在水電行業(yè)，占有率在80%以上，在冶金、石化和軌道交通，也分別有著(zhù)廣泛的應用。所以國家和行業(yè)主管部門(mén)也非常希望施耐德電氣能夠拿市場(chǎng)占有率非常高的昆騰PLC產(chǎn)品進(jìn)行信息安全的測評，這樣更具有代表性，影響力也比較廣。當然，不管從企業(yè)責任還是社會(huì )責任的角度，施耐德電氣都非常愿意做類(lèi)似的產(chǎn)品測評。

  ■《自動(dòng)化博覽》：未來(lái)，是否還會(huì )將一些產(chǎn)品陸續進(jìn)行相關(guān)的測評？

   王斌：這將會(huì )是施耐德電氣未來(lái)持續要做的工作，增強工業(yè)信息安全性能將繼續作為施耐德后續發(fā)布的PLC產(chǎn)品的基本性能之一。很快，我們還會(huì )做Modicon M580產(chǎn)品的測評。ModiconM580提供了一個(gè)開(kāi)放、可靠和更安全的系統，目前已經(jīng)通過(guò)國際上信息安全領(lǐng)域最知名的“Achilles L2”健壯性測試。先進(jìn)的網(wǎng)絡(luò )安全功能能夠最大限度減少病毒攻擊事件的發(fā)生，有效增強網(wǎng)絡(luò )信息安全防護能力。施耐德電氣希望提供給中國用戶(hù)的是一個(gè)安全、可靠的工業(yè)控制系統產(chǎn)品。

   ■《自動(dòng)化博覽》：施耐德電氣的自下而上的縱深防御系統解決方案是否已經(jīng)有了成功的行業(yè)應用實(shí)例？

  王斌：2013年，施耐德電氣與國內某大型電力集團，針對其山東分公司所有電廠(chǎng)的工業(yè)控制系統成功部署過(guò)信息安全解決方案。當時(shí)國家電力監管委員會(huì )的相關(guān)領(lǐng)導，以及電力集團的領(lǐng)導都到現場(chǎng)進(jìn)行了驗收，效果非常好。目前，施耐德電氣的信息安全解決方案已經(jīng)推廣到全國所有的電力企業(yè)，成為首家也是唯一把信息安全解決方案推廣到全國的設備廠(chǎng)商。 

   摘自《自動(dòng)化博覽》2013年12月