1　引言

為了符合工業(yè)控制系統信息安全標準要求和產(chǎn)品功能要求，工業(yè)控制系統供應商正在為工業(yè)控制系統產(chǎn)品開(kāi)發(fā)信息安全軟件，以滿(mǎn)足當今主流市場(chǎng)工業(yè)用戶(hù)的迫切需求，從而達到其產(chǎn)品在市場(chǎng)的主導地位。由于工控信息安全事故頻發(fā)，工業(yè)控制系統供應商也在為其工控產(chǎn)品開(kāi)發(fā)一些更好的、更深層次的信息安全軟件，同時(shí)，為工業(yè)用戶(hù)方便進(jìn)行工業(yè)控制系統運作管理及其信息安全運作管理，工業(yè)控制系統供應商正努力應對并開(kāi)發(fā)出相應的工業(yè)控制系統信息安全監控軟件。因此，在市場(chǎng)上開(kāi)始涌現各種各樣工業(yè)控制系統供應商的信息安全監控軟件。

隨著(zhù)網(wǎng)絡(luò )安全的快速推進(jìn)，工業(yè)控制系統網(wǎng)絡(luò )安全作為網(wǎng)絡(luò )安全的重要組成部分，已經(jīng)引起人們的高度關(guān)注，工業(yè)控制系統供應商在這方面也是短板，因此，傳統的信息安全產(chǎn)品供應商憑借其網(wǎng)絡(luò )安全專(zhuān)業(yè)優(yōu)勢，正快速進(jìn)入工業(yè)控制系統領(lǐng)域，為工業(yè)控制系統網(wǎng)絡(luò )開(kāi)發(fā)出相應的信息安全產(chǎn)品和信息安全軟件。最初，這些信息安全產(chǎn)品供應商為滿(mǎn)足工業(yè)控制系統用戶(hù)信息安全要求，為工業(yè)控制系統安裝必要的網(wǎng)絡(luò )隔離設備，為用戶(hù)配置相應的監控軟件。其次，為擴展工業(yè)控制系統整個(gè)網(wǎng)絡(luò )的監控，他們與工業(yè)控制系統供應商展開(kāi)合作，共同開(kāi)發(fā)，既擴展原網(wǎng)絡(luò )隔離設備的監控，又整合工業(yè)控制系統供應商各個(gè)控制網(wǎng)絡(luò )各設備的部分事件、網(wǎng)絡(luò )報警記錄，使得工業(yè)控制系統整個(gè)網(wǎng)絡(luò )的監控成為可能。于是，工業(yè)安全監測審計平臺、工業(yè)安全管控平臺等軟件監控逐漸出現，從而滿(mǎn)足工業(yè)控制系統用戶(hù)的信息安全要求。

同時(shí)我們還應該看到，工業(yè)控制系統供應商為工業(yè)控制系統產(chǎn)品開(kāi)發(fā)信息安全軟件，信息安全產(chǎn)品商為工業(yè)控制系統開(kāi)發(fā)網(wǎng)絡(luò )隔離設備、工業(yè)安全監測審計平臺、工業(yè)安全管控平臺等軟件監控，這基本能夠滿(mǎn)足一般工業(yè)控制系統用戶(hù)的信息安全需求。然而，工業(yè)控制系統用戶(hù)的快速發(fā)展，大型的工業(yè)控制系統用戶(hù)不斷發(fā)展壯大，對于大型廠(chǎng)級的企業(yè)用戶(hù)或者集團公司級的用戶(hù)，需要對各個(gè)工廠(chǎng)工業(yè)控制系統信息安全進(jìn)行有效管理，那么在廠(chǎng)級或集團級也需要這些信息安全信息。為此，一些專(zhuān)門(mén)從事企業(yè)資源計劃（ERP）管理軟件供應商也開(kāi)始考慮如何在原有ERP軟件產(chǎn)品中增加這些工業(yè)控制系統信息安全信息， 于是，GRC（Governance, Risk and ComplianceManagement）企業(yè)管控、風(fēng)險與符合性管理軟件正開(kāi)始走進(jìn)大眾的視野，也就是說(shuō)，大型廠(chǎng)級集團級企業(yè)用戶(hù)的工業(yè)控制系統信息安全管理可以納入GRC企業(yè)管控、風(fēng)險與符合性管理軟件平臺。
工業(yè)控制系統供應商、信息安全產(chǎn)品供應商、企業(yè)管控軟件供應商等通過(guò)相互合作，共同推進(jìn)工業(yè)控制系統信息安全軟件與監控技術(shù)的發(fā)展，為工業(yè)控制系統用戶(hù)提供更多的信息安全管控選擇。其中，工業(yè)控制系統供應商、信息安全產(chǎn)品供應商的軟件與監控是必備配置，而企業(yè)管控軟件供應商的軟件與監控則要視企業(yè)自身規模和管理要求選擇配置。

下面將對工業(yè)控制系統信息安全軟件與監控架構進(jìn)行介紹，對工業(yè)控制系統信息安全軟件與監控進(jìn)行詳細分析，并對工業(yè)控制系統信息安全軟件與監控趨勢進(jìn)行分析。

2　工業(yè)控制系統信息安全軟件與監控架構

工業(yè)控制系統信息安全軟件與監控架構按照ANSI/ISA-99.00.01企業(yè)分層模型，可繪制典型工業(yè)控制系統信息安全軟件與監控架構，示意圖如圖1所示。

圖1 典型工業(yè)控制系統信息安全軟件與監控架構示意圖

典型的工業(yè)控制系統包括現場(chǎng)設備層、現場(chǎng)控制層、過(guò)程監控層、制造執行系統層、企業(yè)管理層和外部網(wǎng)絡(luò )。那么，工業(yè)控制系統信息安全軟件與監控，需要考慮在現場(chǎng)設備層、現場(chǎng)控制層、過(guò)程監控層、制造執行系統層和企業(yè)管理層的部署。從圖1中可以看出，在現場(chǎng)設備層和現場(chǎng)控制層，工業(yè)控制系統供應商需要為其產(chǎn)品配置相應的工業(yè)控制系統信息安全軟件與監控；在過(guò)程監控層和制造執行系統層，工業(yè)控制系統供應商和信息安全產(chǎn)品供應商需要為各自產(chǎn)品配置相應的工業(yè)控制系統信息安全軟件與監控；在企業(yè)管理層，工業(yè)控制系統信息安全軟件與監控則由企業(yè)管控軟件供應商配置，當然，若企業(yè)規模較小，也可以由網(wǎng)絡(luò )信息安全產(chǎn)品供應商配置。

在圖1中，每個(gè)設備都是作為一個(gè)端點(diǎn)來(lái)考慮，每個(gè)網(wǎng)絡(luò )都必須考慮。因此，工業(yè)控制系統信息安全軟件與監控必須考慮所有端點(diǎn)和所有網(wǎng)絡(luò )。早期，工業(yè)控制系統信息安全軟件與監控主要集中在各端點(diǎn)上，近幾年，控制網(wǎng)絡(luò )、信息網(wǎng)絡(luò )的軟件監控也逐步形成。

3　工業(yè)控制系統信息安全軟件與監控分析

為便于分析工業(yè)控制系統信息安全軟件與監控，本節按照現場(chǎng)設備層、現場(chǎng)控制層、過(guò)程監控層、制造執行系統層、企業(yè)管理層的劃分，對各層中出現的工業(yè)控制系統信息安全軟件與監控進(jìn)行詳細分析。

3.1　現場(chǎng)設備層信息安全軟件與監控

在現場(chǎng)設備層，需要對總線(xiàn)型現場(chǎng)設備、無(wú)線(xiàn)設備和RTU進(jìn)行一些信息安全軟件配置。

3.1.1　總線(xiàn)型現場(chǎng)設備

對于總線(xiàn)型現場(chǎng)設備，需要按照端點(diǎn)來(lái)保護。通常，這種端點(diǎn)保護包括以下兩個(gè)方面：

（1）現場(chǎng)設備補丁軟件；

（2）總線(xiàn)訪(fǎng)問(wèn)控制軟件。（注：目前還在開(kāi)發(fā)中）

3.1.2　無(wú)線(xiàn)設備

對于無(wú)線(xiàn)設備，需要按照端點(diǎn)來(lái)保護。通常這種端點(diǎn)保護包括以下幾個(gè)方面：

（1）無(wú)線(xiàn)設備補丁軟件；

（2）數據傳輸加密軟件協(xié)議WPA2；

（3）無(wú)線(xiàn)通信設備規范要求的軟件。

3.1.3　RTU

對于RTU，需要按照端點(diǎn)來(lái)保護。通常這種端點(diǎn)保護包括以下幾個(gè)方面：

（1）RTU補丁軟件；

（2）監視、控制與數據采集要求的軟件。（注：這點(diǎn)與下面提到的端點(diǎn)保護類(lèi)似）

3.2　現場(chǎng)控制層信息安全軟件與監控

在現場(chǎng)控制層，需要對包括數據采集與監控系統（SCADA）、分散型控制系統（DCS）、安全儀表控制系統（SIS）、可編程邏輯控制系統（PLC）的控制器或控制站進(jìn)行一些信息安全軟件配置。

對于每個(gè)控制器或控制站，均需要按照端點(diǎn)來(lái)保護。通常，這種端點(diǎn)保護包括以下幾個(gè)方面：

（1）補丁軟件

工業(yè)控制系統供應商應提供合格的相關(guān)補丁，包括產(chǎn)品用到的操作系統制造商和工業(yè)控制系統應用軟件的安全補丁。

（2）風(fēng)暴保護

對于控制器和通信模塊，一旦出現網(wǎng)絡(luò )風(fēng)暴，可以通過(guò)網(wǎng)絡(luò )過(guò)濾，阻止不支持的流量并保護各控制節點(diǎn)。

3.3　過(guò)程監控層信息安全軟件與監控

在過(guò)程監控層，需要對包括數據采集與監控系統（SCADA）、分散型控制系統（DCS）、安全儀表控制系統（SIS）、可編程邏輯控制器（PLC）的工程師站、操作站、OPC服務(wù)器、實(shí)時(shí)數據庫、監控中心等進(jìn)行信息安全軟件與監控配置，可分為各端點(diǎn)保護和工業(yè)安全監測審計平臺。

3.3.1　各端點(diǎn)保護

對于工程師站、操作站、服務(wù)器等，均需要按照端點(diǎn)來(lái)保護。通常，這種端點(diǎn)保護包括以下三個(gè)方面軟件：

（1）內置型軟件

·補丁和防病毒軟件

工業(yè)控制系統供應商應提供合格的相關(guān)補丁，包括產(chǎn)品用到的操作系統制造商和工業(yè)控制系統應用軟件的安全補丁，對此層各端點(diǎn)也是適用的。

防毒軟件進(jìn)行定時(shí)查毒和殺毒，發(fā)揮入侵檢測和預防的作用，確保各端點(diǎn)的安全。目前常見(jiàn)的防毒軟件有McAfee、Symantec等。

·訪(fǎng)問(wèn)與賬戶(hù)管理軟件

訪(fǎng)問(wèn)與賬戶(hù)管理通常采用基于用戶(hù)、角色、位置的訪(fǎng)問(wèn)與賬戶(hù)管理，也可基于對象和屬性等級進(jìn)行訪(fǎng)問(wèn)與賬戶(hù)管理。

·主機型防火墻軟件

基于主機的防火墻技術(shù)是部署在工作站或控制器的軟件解決方案，用于控制進(jìn)出特定設備的流量。

·備份與恢復軟件

通過(guò)有效的災難性恢復，避免由于事故導致系統數據和應用數據的大量丟失。同時(shí)通過(guò)系統管理特點(diǎn)，可選擇全部備份與恢復、部分備份與恢復。

（2）基本型軟件

·審計跟蹤軟件

審計跟蹤（audit trail），是系統活動(dòng)的流水記錄。該記錄按事件從始至終的途徑，順序檢查審計跟蹤記錄、審查和檢驗每個(gè)事件的環(huán)境及活動(dòng)。審計跟蹤通過(guò)日志方式提供應負責任人員的活動(dòng)證據以支持職能的實(shí)現。審計跟蹤記錄系統活動(dòng)和用戶(hù)活動(dòng)。系統活動(dòng)包括操作系統和應用程序進(jìn)程的活動(dòng)；用戶(hù)活動(dòng)包括用戶(hù)在操作系統中和應用程序中的活動(dòng)。通過(guò)借助適當的工具和規程，審計跟蹤可以發(fā)現違反安全策略的活動(dòng)、影響運行效率的問(wèn)題以及程序中的錯誤。

通常，審計日志包含信息如操作的時(shí)間與日期、操作的節點(diǎn)、操作的用戶(hù)名稱(chēng)、操作的類(lèi)型、受操作影響的對象和屬性、涉及系統的其他信息。

·工作站、網(wǎng)絡(luò )和軟件監控軟件

工作站、網(wǎng)絡(luò )設備的正確運行直接影響到控制系統的運行和可靠性，通過(guò)連續監控這些設備，可以主動(dòng)發(fā)現一些異常行為，優(yōu)化系統的可用性。

·移動(dòng)介質(zhì)和設備信息安全軟件

移動(dòng)介質(zhì)和移動(dòng)設備的使用，直接影響系統的安全。通過(guò)掃描和監控這些移動(dòng)介質(zhì)和設備，可以主動(dòng)阻止對系統的攻擊。

（3）增強型軟件

·數字簽名軟件

系統可以為一些配置信息、報表或控制運用定義為某個(gè)用戶(hù)簽名，從而保證這些信息不會(huì )輕易修改。

·白名單軟件

通過(guò)白名單策略，在用戶(hù)端和服務(wù)器端阻止未批準的軟件運行。

·高級訪(fǎng)問(wèn)控制軟件

為方便后期維修支持，提供高級訪(fǎng)問(wèn)控制，實(shí)現安全遠程訪(fǎng)問(wèn)。

3.3.2　工控審計與監測平臺

工控審計與監測平臺是一款專(zhuān)門(mén)針對工業(yè)控制系統的審計和威脅監測平臺。其主要功能包括：

（1）檢測針對工業(yè)控制協(xié)議的網(wǎng)絡(luò )攻擊、工控協(xié)議畸形報文、用戶(hù)異常操作、非法設備接入以及蠕蟲(chóng)、病毒等惡意軟件的傳播，并實(shí)時(shí)報警。

（2）支持對工控系統通訊記錄的回溯，便于后續的事故調查。

（3）與工業(yè)控制系統供應商進(jìn)行整合，提取其設備運行日志信息。

工控審計與監測平臺與下面講到的管控平臺是獨立運作且信息共享的關(guān)系。一方面，監測審計平臺為管控平臺提供日志及分析數據，助其更好的監管全網(wǎng)系統與安全設備。另一方面，管控平臺也為監測審計平臺更好地運行提供監控助力，保證其運行穩定、數據真實(shí)可信。

工控審計與監測平臺已開(kāi)始出現并投入使用，其典型工控審計與監測平臺信息示意圖如圖2所示。

圖2 典型工控審計與監測平臺信息示意圖

3.4　制造執行系統（MES）層信息安全軟件與監控

在制造執行系統（MES）層，需要對包括工廠(chǎng)信息管理系統（PIMS）、先進(jìn)控制系統（APC）、歷史數據庫、計劃排產(chǎn)、倉儲管理等進(jìn)行信息安全軟件與監控配置，通?？煞譃楦鞫它c(diǎn)保護和工業(yè)安全管控平臺。

3.4.1　各端點(diǎn)保護

對于服務(wù)器等，均需要按照端點(diǎn)來(lái)保護。通常，這種端點(diǎn)保護軟件與第3.3節提到的各端點(diǎn)保護軟件類(lèi)似，在此不再展開(kāi)分析。

3.4.2　工業(yè)安全管控平臺

工業(yè)安全管控平臺是一種對工業(yè)控制生產(chǎn)網(wǎng)和管理網(wǎng)中部署的系統和工控安全設備進(jìn)行監控、配置和運維的產(chǎn)品。主要通過(guò)行為審計、事件追蹤、日志管理和安全域管理等功能，感知和分析網(wǎng)絡(luò )中的安全風(fēng)險態(tài)勢，提升網(wǎng)絡(luò )安全事件的預判能力，以便于及時(shí)遏制可能的威脅。

其主要功能有：

（1）統一的安全設備及信息資產(chǎn)管理；

（2）全網(wǎng)網(wǎng)絡(luò )及安全設備態(tài)勢監視、整體安全感知；

（3）閉環(huán)流程的事件處理管控。

工業(yè)安全管控平臺已開(kāi)始出現并投入使用，其典型工業(yè)安全管控平臺示意圖如圖3所示。

圖3 某系統工業(yè)安全管控平臺示意圖

3.5　企業(yè)管理層信息安全軟件與監控

在企業(yè)管理層，需要對包括財務(wù)管理、銷(xiāo)售管理、人事管理、供應鏈管理等進(jìn)行信息安全軟件與監控配置，這些均需信息技術(shù)部門(mén)負責。由于工業(yè)安全管控平臺并不能完全滿(mǎn)足大型廠(chǎng)級集團級企業(yè)用戶(hù)對工業(yè)控制系統信息安全管理的需求，這時(shí)它們可以接入GRC企業(yè)管控平臺。因此，在這層的信息安全軟件與監控配置，一般可分為工業(yè)安全管控平臺和GRC企業(yè)管控平臺。

3.5.1　工業(yè)安全管控平臺

通常，這種工業(yè)安全管控平臺軟件與第3.4節提到的工業(yè)安全管控平臺軟件相同，在此不再展開(kāi)分析。

3.5.2　GRC企業(yè)管控平臺

GRC（Governance, Risk and ComplianceManagement）的概念在國內才剛剛興起，但其在國外已經(jīng)發(fā)展相當長(cháng)時(shí)間。GRC以美國安然、法國興業(yè)銀行等一系列反面教材為觸發(fā)點(diǎn)，以《薩班斯法案》（Sarbanes-Oxley Act ，簡(jiǎn)稱(chēng)SOX法案）為源泉，貫穿企業(yè)治理、風(fēng)險管理和合規經(jīng)營(yíng)等各方面。隨著(zhù)企業(yè)的發(fā)展，以整體管控、戰略執行為目標，實(shí)現企業(yè)管控、風(fēng)險規避、戰略績(jì)效、業(yè)務(wù)流程管理及包括質(zhì)量、安全、環(huán)境等在內各種符合性管理，服務(wù)于管理層和決策層的GRC管控系統被認為是企業(yè)在日益復雜的競爭環(huán)境下賴(lài)以生存和發(fā)展的必然和有效選擇 。

中國經(jīng)濟快速增長(cháng)帶動(dòng)中國企業(yè)不斷做大、做強，并邁出國門(mén)，但在擴張并走向世界的過(guò)程中，中國企業(yè)逐漸暴露出低效率低績(jì)效、管控能力薄弱、不合規不透明等諸多管控問(wèn)題，不少企業(yè)也因此遭受了重大損失，GRC正是很好解決這些問(wèn)題的管理方法與工具。

（1）GRC完整定義

GRC是在企業(yè)的各經(jīng)營(yíng)業(yè)務(wù)之上，以戰略為中心，以流程管理為基礎，通過(guò)績(jì)效管理和風(fēng)險內控管理措施，對各項經(jīng)營(yíng)管理過(guò)程進(jìn)行管理和控制，保障戰略和經(jīng)營(yíng)目標達成的管理方法和工具的總稱(chēng)。GRC涉及以下三個(gè)組成部分：

·Governance（治理/管控）：建立完整的制度安排和治理框架，公平對待各利益相干者，制定公司戰略目標和政策，監督績(jì)效，遵從法律及制度規定，透明和披露經(jīng)營(yíng)狀況，對各項經(jīng)營(yíng)管理過(guò)程本身進(jìn)一步進(jìn)行管理和監督。

·Risk Management（風(fēng)險管理）：對所有業(yè)務(wù)和法規風(fēng)險進(jìn)行結構化的識別、評估、緩解、監視和控制。

·Compliance Management（符合性管理）：通過(guò)內部控制管理機制和體系，確保各項制度和法規得以遵從、政策得以貫徹、各項經(jīng)營(yíng)和管理目標得以有效達成。

（2）GRC治理模型

GRC管控的主要目的是保障基于企業(yè)管控和治理的戰略執行，因此企業(yè)治理是一個(gè)結果，更是一個(gè)手段。而對齊戰略目標，以業(yè)務(wù)運營(yíng)為基礎，注重業(yè)務(wù)執行與監控，關(guān)注防范風(fēng)險與合規，并引入績(jì)效考核的企業(yè)管控閉環(huán)（如圖4所示）保證了企業(yè)管控的有效性，也保證了企業(yè)治理的持續性。

圖4 企業(yè)管控閉環(huán)模型圖

（3）GRC與工業(yè)控制系統信息安全

針對快速崛起與發(fā)展的中國企業(yè)來(lái)說(shuō)，GRC是用于改善企業(yè)做強、做大過(guò)程中所面對突出管理問(wèn)題（如經(jīng)營(yíng)績(jì)效、集團管控、合規透明）的管理方法體系和工具集合。

GRC管控軟件是一個(gè)集成化的解決方案，其大致可以包含決策支持（集團管控、董事會(huì )治理、領(lǐng)導交辦、領(lǐng)導駕駛艙、辦公平臺、決策系統等）、戰略績(jì)效管理（業(yè)務(wù)戰略體系、全面預算管理、平衡計分卡、戰略監控、戰略報告、績(jì)效管理、人力資源管理、報告管理等）、流程管理（業(yè)務(wù)流程管理、流程績(jì)效、工作任務(wù)管理、協(xié)同管理等）、風(fēng)險管理（風(fēng)險管理、審計管理、合同管理、安全管理、質(zhì)量管理等）、合規管理（SOX合規、行業(yè)合規、內控系統等）、信息安全管理（信息安全合規、信息安全風(fēng)險管理、訪(fǎng)問(wèn)控制管理、信息安全服務(wù)、安全與目錄管理、策略管理等）及展現（門(mén)戶(hù)、與其它業(yè)務(wù)系統的集成等）等幾大類(lèi)。通常，GRC的集合視圖如圖5所示。

圖5 GRC的集合視圖

工業(yè)控制系統信息安全，作為信息安全管理的重要組成部分，基于定義商業(yè)影響、理解常規和運作風(fēng)險、流程化處理等方面考慮，在GRC管控平臺信息安全管理模塊中，提供以下解決方案：

· 建立信息安全策略和標準；

· 檢測和響應攻擊；

· 識別和更正信息安全缺陷；

· 執行風(fēng)險評估和監控。

通過(guò)以上解決方案，實(shí)現降低整個(gè)信息安全風(fēng)險，盡可能降低由信息安全事件和符合性帶來(lái)的成本開(kāi)銷(xiāo)，以及精簡(jiǎn)識別、測量和監控信息安全流程。

一般地，GRC企業(yè)管控平臺中關(guān)于信息安全管理的主要內容包括以下幾點(diǎn)：

· 信息安全問(wèn)題管理；

· 信息安全與策略程序管理；

· 信息安全常規管理；

· 信息安全控制保障；

· 信息安全漏洞程序；

· 信息安全事件管理；
· 信息安全運作與違規管理；

· 信息安全風(fēng)險管理；

· 外設部件互連（PCI）管理。

GRC企業(yè)管控平臺中信息安全管理的監控畫(huà)面有多種，取決于用戶(hù)信息安全管理的需求。 GRC-信息安全風(fēng)險管理示意圖如圖6所示。

圖6 GRC-信息安全風(fēng)險管理示意圖

 （4）GRC產(chǎn)品供應商

· 國外GRC服務(wù)廠(chǎng)商及解決方案

國外GRC市場(chǎng)中處于引領(lǐng)者地位的主要有Axentis、BWise、MetricStream、OpenPages、Thomson Reuters、Oracle等。這些GRC廠(chǎng)商通過(guò)持續更新，提升GRC理念和技術(shù)產(chǎn)品水平，贏(yíng)得越來(lái)越廣泛的市場(chǎng)和越來(lái)越龐大的客戶(hù)群體；這些廠(chǎng)商不僅在其技術(shù)實(shí)力方面占有絕對領(lǐng)先地位，而且通過(guò)理念研究和戰略指導等也正在塑造其GRC領(lǐng)導者的角色。

國外GRC市場(chǎng)中僅隨其后開(kāi)始向引領(lǐng)地位沖擊的主要有Archer、Cura、Mega、Methodware、 Protiviti、Strategic Thought等。在過(guò)去兩年，這些廠(chǎng)商GRC理念與產(chǎn)品取得大幅改善，他們逐漸向世界領(lǐng)先企業(yè)提供GRC各個(gè)領(lǐng)域的優(yōu)秀解決方案和產(chǎn)品；雖然理念水平、技術(shù)平臺及市場(chǎng)占有率等還沒(méi)有達到領(lǐng)導者的地位，但他們仍然會(huì )在繁雜的GRC市場(chǎng)中繼續保持強勁的競爭地位。

國外GRC市場(chǎng)中還有SAI Global、SAP、Trintech、Aline、IDS Scheer、CA、Compliance360、DoubleCheck、Neohapsis、List Group、Optial、Sword Achiever、Trintech、Xactium等參與者。這些廠(chǎng)商對于GRC理念的研究大多基于自己原有解決方案，GRC產(chǎn)品也限定在其本身產(chǎn)品線(xiàn)相關(guān)的某GRC領(lǐng)域。雖然目前他們的解決方案還不夠全面，市場(chǎng)份額還不夠大，但其長(cháng)期積累的客戶(hù)群體和強大的技術(shù)實(shí)力也將幫助他們在GRC市場(chǎng)中快速成長(cháng)。

· 國內GRC服務(wù)廠(chǎng)商及解決方案

國內對于GRC理論和實(shí)踐的研究相對較晚，國內廠(chǎng)商的管理經(jīng)驗和客戶(hù)積累與國外也存在一定差距，所以國內GRC管控軟件提供商的GRC解決方案大多是基于原有解決方案的擴展，而很少有形成涉及GRC領(lǐng)域全方位的解決方案集合。目前國內提供GRC領(lǐng)域服務(wù)的廠(chǎng)商主要有慧點(diǎn)科技、用友、博科資訊、炎黃盈動(dòng)、第一會(huì )達等。

4 工業(yè)控制系統信息安全軟件與監控趨勢
工業(yè)控制系統信息安全已然引起工業(yè)控制系統用戶(hù)密切關(guān)注，工業(yè)控制系統信息安全軟件與監控是工業(yè)控制系統信息安全必不可少的環(huán)節。在工業(yè)現代化快速發(fā)展的今天，工業(yè)控制系統信息安全軟件與監控顯得尤為重要，工業(yè)控制系統供應商、網(wǎng)絡(luò )信息安全產(chǎn)品供應商、企業(yè)管控軟件供應商、工業(yè)控制系統用戶(hù)都必須認真對待工業(yè)控制系統信息安全軟件與監控。

從工業(yè)控制系統市場(chǎng)發(fā)展和市場(chǎng)出現的來(lái)自不同工業(yè)控制系統信息安全軟件與監控來(lái)看，工業(yè)控制系統信息安全軟件與監控產(chǎn)品正逐步走向規范化、集成化和產(chǎn)品更完善的趨勢。

4.1　信息安全軟件與監控規范化

工業(yè)控制系統信息安全事件的頻繁發(fā)生以及其導致的嚴重后果，必然引起各國政府和相關(guān)工業(yè)控制系統用戶(hù)的高度重視，如何有效推進(jìn)工業(yè)控制系統信息安全，加強管理工業(yè)控制系統信息安全，應用軟件與監控產(chǎn)品是大勢所趨。那么，這必將對軟件與監控產(chǎn)品提出規范化的要求。

正如前文所述，工業(yè)控制系統供應商、信息安全產(chǎn)品供應商和企業(yè)管控軟件供應商都在努力開(kāi)發(fā)這些工業(yè)控制系統信息安全軟件與監控產(chǎn)品，目前市場(chǎng)上的軟件與監控產(chǎn)品種類(lèi)繁多，對于工業(yè)控制系統用戶(hù)而言，如何正確選擇配置是關(guān)鍵，因此，市場(chǎng)上也需要更加規范化的要求。顯然，工業(yè)控制系統信息安全軟件與監控產(chǎn)品規范化是必然的大趨勢。

4.2　信息安全軟件與監控集成化

由于工業(yè)控制系統中的產(chǎn)品和網(wǎng)絡(luò )多種多樣，工業(yè)控制系統供應商會(huì )為其工控產(chǎn)品開(kāi)發(fā)自身設備的軟件與監控，信息安全產(chǎn)品供應商會(huì )為其網(wǎng)絡(luò )產(chǎn)品開(kāi)發(fā)自身設備的軟件與監控，那么，工控產(chǎn)品和網(wǎng)絡(luò )產(chǎn)品信息安全軟件與監控只有做好集成，才可以統一集成至企業(yè)管控軟件供應商的監控平臺。因此，工業(yè)控制系統信息安全軟件與監控必須集成設計。

同時(shí)，工業(yè)控制系統信息安全軟件與監控是由工業(yè)控制系統供應商、信息安全產(chǎn)品供應商和企業(yè)管控軟件供應商各自開(kāi)發(fā)設計，如何將這些軟件與監控整合在一起，這是對工業(yè)控制系統信息安全有效管理提出的要求，也是工業(yè)控制系統用戶(hù)提出的要求。

4.3　信息安全軟件與監控更完善

從上面幾節介紹可以看出，目前出現的工業(yè)控制系統信息安全軟件與監控還在起步階段，隨著(zhù)工業(yè)控制系統信息安全技術(shù)的深入開(kāi)發(fā)，其軟件與監控將走向更完善。

（1）信息安全技術(shù)軟件更完善

工業(yè)控制系統信息安全技術(shù)有很多種類(lèi)，目前市場(chǎng)上出現的工業(yè)控制系統信息安全技術(shù)軟件還是比較有限的。因此，工業(yè)控制系統信息安全軟件將有待于進(jìn)一步推進(jìn)和完善。

（2）信息安全監控更完善目前，工業(yè)控制系統信息安全監控市場(chǎng)紛繁復雜，需要工業(yè)控制系統供應商、網(wǎng)絡(luò )信息安全產(chǎn)品供應商和企業(yè)管控軟件供應商各自開(kāi)放并兼容設計，努力建立一個(gè)統一的信息安全監控，為工業(yè)控制系統用戶(hù)節約時(shí)間、人力和物力，實(shí)現工業(yè)控制系統信息安全的集中監控。因此，工業(yè)控制系統信息安全監控需要工業(yè)控制系統供應商、信息安全產(chǎn)品供應商和企業(yè)管控軟件供應商通力合作，并不斷走向完善。

5 結語(yǔ)

通過(guò)上述工業(yè)控制系統信息安全軟件和監控分析可知，工業(yè)控制系統信息安全軟件和監控已逐漸形成，在整個(gè)工業(yè)控制系統信息安全方案部署中，是不可缺少的部分。只有認真而系統地學(xué)習和運用這些軟件與監控，才能有效解決工業(yè)控制系統信息安全事件頻發(fā)，保證工業(yè)控制系統正常運行，為國民經(jīng)濟建設和發(fā)展保駕護航。

同時(shí)，我們也應該看到，工業(yè)控制系統信息安全軟件和監控部署還剛剛起步。隨著(zhù)工業(yè)控制系統不斷發(fā)展和廣泛運用，其信息安全軟件和監控必將快速推進(jìn)。因此，我們應對工業(yè)控制系統信息安全軟件和監控統籌兼顧，積極運用和部署，真正做好工業(yè)控制系統信息安全建設。

作者簡(jiǎn)介

肖建榮（1969-），男，高級工程師，現就職于巴斯夫（中國）有限公司，從事工業(yè)自動(dòng)化儀表的工程設計、調試、運行維護工作，先后完成多個(gè)國內、國際項目的工程設計、調試工作。

參考文獻：

[1] http://www.smartdot.com / [EB / OL].

[2] https://new.abb.com / control-systems / system-800xa / cyber-security [EB / OL].

摘自《工業(yè)控制系統信息安全專(zhuān)刊（第五輯）》