彭瑜      中國自動(dòng)化學(xué)會(huì )理事

   目前保證信息安全的5個(gè)實(shí)際步驟

   保證ICS/SACADA的信息安全，要根據不同的情況制定相應的措施。不過(guò)只要按以下5個(gè)實(shí)際步驟，不論系統的規模大小，都可以為信息安全打下堅實(shí)的基礎，達到基準的要求。也符合一些政府機構、國際標準組織所頒布的信息安全的指南、規范和標準，如ISA/IEC、ICS-CERT等。這5個(gè)實(shí)際步驟是：

   列出我們最擔心的信息安全問(wèn)題，然后進(jìn)行風(fēng)險評估，按優(yōu)先等級排序，并制定受到攻擊時(shí)的預案。

   制定全面廣泛的信息安全計劃。

   按所制定的信息安全計劃切實(shí)執行，決不“偷工減料”。

   制定維護、修改和升級的制度。

  建立信息安全不可能一勞永逸的觀(guān)念，不斷改善。

   信息安全問(wèn)題排序和風(fēng)險分析

  首先要認識到，不可能防止所有正在發(fā)生的破壞信息安全的攻擊。這就是為什么絕大多數信息安全專(zhuān)家推薦我們要做風(fēng)險評估的原因所在。

   為此需要先列出本單位ICS/SCADA系統可能發(fā)生的信息安全問(wèn)題的各種事件，然后按這些事件可能引發(fā)危害的嚴重性排序。把會(huì )產(chǎn)生最壞后果的事件列為最高的優(yōu)先處理級，評估其風(fēng)險，做出預案，設計防范措施，而且要考慮一旦不能完全防護，必需采取什么措施和步驟將其影響減至最小，并且考慮如何快速恢復的辦法。

   信息安全事件應包括來(lái)自外部和內部的攻擊，惡意和無(wú)意的攻擊，考慮系統和軟件的漏洞。

   信息安全問(wèn)題排隊和風(fēng)險分析都需要反復推敲和認證，避免小題大做或聳人聽(tīng)聞，以求恰如其分，不過(guò)度防護。

    全面廣泛地制定信息安全計劃

    在制定信息安全計劃時(shí)，應該勾畫(huà)出最廣泛的可能提供的各種選項，然后按已經(jīng)列出的信息安全問(wèn)題清單中風(fēng)險等級最高事件，以此作為重點(diǎn)選用哪些防范措施的依據。

   所列出的選擇范圍應該包括：本單位的信息安全策略和有關(guān)步驟；物理信息安全；網(wǎng)絡(luò )信息安全；設備信息安全；計算機信息安全。

   （1）本單位的信息安全策略和有關(guān)步驟：特別是在對本單位職工有關(guān)信息安全的一貫行為制定規范時(shí)常常會(huì )碰到許多實(shí)際限制，于是信息安全策略就是考慮出發(fā)點(diǎn)和決定取舍的終止點(diǎn)。

   （2）網(wǎng)絡(luò )信息安全：為了讓所有有關(guān)的人員和應用能順利地對網(wǎng)絡(luò )進(jìn)行存取，而又讓一切無(wú)關(guān)的人員和應用被網(wǎng)絡(luò )拒之門(mén)外，必須建立一種按不同的物理區間和就地功能劃分區域的以太網(wǎng)基礎結構。良好的網(wǎng)絡(luò )設計，選擇合適的工業(yè)交換機、無(wú)線(xiàn)設備和路由器，使網(wǎng)絡(luò )具有利用虛擬局域網(wǎng)（VLAN）、子網(wǎng)和第3層網(wǎng)的路由能力。整個(gè)網(wǎng)絡(luò )要增加工業(yè)信息安全設備，包括各分區之間也必須有信息安全層。

   （3）物理信息安全：主要是指所有信息安全監控用的攝像頭和傳感器，都必須納入為ICS/SCADA設置的以太網(wǎng)內，由這個(gè)以太網(wǎng)提供電源和信號。

   （4）設備信息安全：目前處于設備層的自動(dòng)化設備，有的已經(jīng)具備了信息安全的功能，但大多數尚不具備信息安全的功能。所以應該考慮的是保護控制柜的信息安全功能，暫且不要考慮設備之間信息安全功能的不協(xié)調問(wèn)題。

 （5）計算機信息安全：最基本的要求是運用知名信息安全防護公司提供的防病毒軟件；將應用軟件限定在所必需的范圍內，即只安裝非用不可的應用軟件，絕不允許安裝其它無(wú)關(guān)的應用軟件；嚴格執行公司的信息安全策略和措施；對所有要進(jìn)入ICS/SCADA系統的USB、DVD以及網(wǎng)絡(luò )流量進(jìn)行掃描；自動(dòng)下載新定義的病毒；定期對每一個(gè)系統進(jìn)行檢查，以保證其功能正常。