施耐德電氣：面對工業(yè)控制系統(tǒng)信息安全挑戰(zhàn)責無旁貸

文/梁秀璟

2014年4月17日，“工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)聯(lián)盟”在北京正式成立。徐駿表示，施耐德電氣期待借助聯(lián)盟這個平臺，為建立完善的工業(yè)控制系統(tǒng)信息安全體系在國內(nèi)的推進起到一定作用。

隨著計算機和網(wǎng)絡技術(shù)的發(fā)展，信息化與工業(yè)化深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件。網(wǎng)絡化浪潮又將諸如嵌入式技術(shù)、多標準工業(yè)控制網(wǎng)絡互聯(lián)、無線技術(shù)等新興技術(shù)融合進來，從而拓展了工業(yè)控制的發(fā)展空間，帶來新的發(fā)展機遇，同時也帶來了工業(yè)控制系統(tǒng)的信息安全等問題。

據(jù)相關數(shù)據(jù)統(tǒng)計，2011年國家信息安全漏洞共享平臺收錄了100余個對我國影響廣泛的工業(yè)控制系統(tǒng)軟件安全漏洞，較2010年大幅增長近10倍，這讓我們意識到，工業(yè)控制系統(tǒng)信息安全正面臨著嚴峻的挑戰(zhàn)。對此，施耐德電氣高級副總裁、工業(yè)事業(yè)部中國區(qū)負責人徐駿認為，“隱患永遠都會有，甚至會越來越多。隨著工業(yè)化與信息化的深度融合，工控系統(tǒng)實現(xiàn)與互聯(lián)網(wǎng)系統(tǒng)平臺和移動互聯(lián)平臺的廣泛互聯(lián)，隨之而來的信息安全隱患會呈幾何級數(shù)的增長。但我們不能因噎廢食，不能因為存在工業(yè)控制系統(tǒng)的信息安全隱患，就回避兩化融合大趨勢為整個產(chǎn)業(yè)升級帶來的歷史機遇，直面挑戰(zhàn)，是我們唯一的選擇?！?/p>

攜手聯(lián)盟 共筑信息安全防護“長城”

2014年4月17日，“工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)聯(lián)盟”在北京正式成立。施耐德電氣作為目前為止唯一一家外資企業(yè)加入聯(lián)盟，徐駿表示，對于工業(yè)控制系統(tǒng)信息安全的問題，施耐德電氣責無旁貸，同時我們也有能力有義務，利用自身先進的技術(shù)、產(chǎn)品、解決方案推進中國工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)的健康發(fā)展。在這一點上，與工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)聯(lián)盟的宗旨完全一致，這是我們加入該聯(lián)盟的最基本的前提。我們期待借助聯(lián)盟這個平臺，為建立完善的工業(yè)控制系統(tǒng)信息安全體系在國內(nèi)的推進起到一定作用。

施耐德電氣高級副總裁、工業(yè)事業(yè)部中國區(qū)負責人 徐駿

據(jù)悉，在該聯(lián)盟中，施耐德電氣將主要承擔聯(lián)盟今后的國際交流小組工作，徐駿告訴記者：“這恰恰是施耐德電氣的強項。”施耐德電氣有著非常豐富的國外經(jīng)驗和成功案例，這些成功案例包括產(chǎn)品級、系統(tǒng)級和管理級等多種解決方案。我們可以將其帶到中國市場，帶到客戶群體中，幫助客戶更好地實現(xiàn)安全防護等級的提升。另外一方面，建立行業(yè)標準是目前國內(nèi)工業(yè)控制系統(tǒng)信息安全迫在眉睫的工作之一，而施耐德電氣則可以將其他國家在如何建立國家標準和權(quán)威認證機構(gòu)等方面的寶貴經(jīng)驗引進到聯(lián)盟中，從而推廣給國家政府部門和其它相關機構(gòu)。同時，他透露，施耐德電氣也會和國內(nèi)的產(chǎn)、學、研等單位合作，共同提升中國工控系統(tǒng)信息安全水平。

徐駿繼續(xù)說道：“聯(lián)盟的成立對于推進中國工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)的發(fā)展來說是一件大好事，它可以有效地使整個產(chǎn)業(yè)對于工業(yè)控制系統(tǒng)信息安全問題達成共識，促進官、產(chǎn)、學、研、用幾方面的互動交流，施耐德電氣作為理事單位，期待與聯(lián)盟攜手，共筑信息安全防護‘長城’。”

產(chǎn)品標準 嚴格恪守

眾所周知，信息安全標準在信息安全保障體系建設中發(fā)揮著基礎性、規(guī)范性作用，是確保信息安全產(chǎn)品和系統(tǒng)在設計、研發(fā)、生產(chǎn)、建設、使用、測評中保證其一致性、可靠性、可控性的技術(shù)規(guī)范、技術(shù)依據(jù)。沒有信息安全標準，信息化建設的安全可靠就無法保證。近年來，盡管我國頒布了《國家信息安全標準體系》、《國家信息安全“十一五”規(guī)劃》等指導性文件，進行信息化安全建設，并取得了階段性成果。但目前為止，并沒有專門針對工業(yè)控制系統(tǒng)信息安全的標準出臺。與此同時，工業(yè)控制系統(tǒng)應用的領域非常廣泛，電力、石化、冶金、市政等，所有這些行業(yè)都有各自的特點，工藝流程相差非常大，但是存在的信息安全危害都非常大。所以徐駿認為，盡快建立垂直行業(yè)的工業(yè)控制系統(tǒng)信息安全標準更是當務之急。當然，他也表示，羅馬不是一日建成，在相關標準未建立之前，企業(yè)應該嚴格恪守相關企業(yè)標準，保證產(chǎn)品達到相應的防護等級。

他強調(diào)，施耐德電氣未來推向中國的產(chǎn)品，首先，要符合施耐德電氣自身企業(yè)的標準，而這個標準是本著“高標準嚴要求”的原則建立的；第二，產(chǎn)品在推出之前，一定要通過全球的權(quán)威認證機構(gòu)的認證，例如Achilles認證；第三，施耐德電氣向中國推出的任何產(chǎn)品在發(fā)布之前，也積極地與國內(nèi)權(quán)威認證機構(gòu)配合，測試并通過國內(nèi)相應的認證。譬如，施耐德電氣推出的昆騰PLC以及Modicon M580系列等產(chǎn)品都通過了國內(nèi)的相關安全認證。

三級防護 為客戶保駕護航

事實上，施耐德電氣之所以如此強調(diào)產(chǎn)品設備級的防護與其提出的三級縱深防御防護策略有著密不可分的聯(lián)系。

施耐德電氣提倡的是“自下而上”的三級縱深防御解決方案。其將所有的解決方案分為三級，第一級是設備級，也是施耐德電氣信息安全解決方案最為強調(diào)的一級。這一級指的是工業(yè)控制系統(tǒng)中的一些具體的現(xiàn)場設備，如PLC、RTU、DCS、變頻器等。施耐德電氣認為如果在設備級加強每一個單體設備或產(chǎn)品的信息安全功能，在這些產(chǎn)品組成一個系統(tǒng)之后，這個系統(tǒng)就必然也具備了基本的信息安全功能。同時，它也會成為整個信息安全解決方案中的最后一道防火墻。通過增強設備級的信息安全防護功能，也就可以加強整個控制系統(tǒng)的信息安全防護能力。

其次是系統(tǒng)級。所有的工業(yè)控制系統(tǒng)都不是獨立的信息孤島，它們之間通過網(wǎng)絡連接在一起組成一個更大的系統(tǒng)。所以需要增強整個控制系統(tǒng)的系統(tǒng)架構(gòu)的信息安全防護功能。

最后，是管理級的信息安全解決方案。目前，施耐德電氣正在與一些知名的信息安全解決方案提供商合作，共同研究和定制針對管理級的信息安全的防護策略。

徐駿說道：“我們?yōu)榭蛻籼峁┤壍慕鉀Q方案體系，是因為我們希望客戶以最好的性價比投入，一次性解決所有相關的隱患和問題。我們的方案非常注重可操作性”。事實上，施耐德電氣目前在國內(nèi)已經(jīng)有不少成功的案例。而電力行業(yè)是其最先開始的行業(yè)。他透露，施耐德電氣目前已與五大電力集團之中的兩大電力集團公司旗下的分公司層面展開了合作，進行規(guī)?；男畔踩鉀Q方案部署工作，取得了良好的效果，并獲得了行業(yè)主管部門及電力集團的認可和好評。同時，更為重要的是，在整改執(zhí)行的過程中，施耐德電氣很好地完成了客戶提出的基本要求——不要影響生產(chǎn)的持續(xù)性，受到了客戶們的一致好評。

徐駿告訴記者，施耐德電氣的解決方案不僅是給客戶一個補丁讓客戶自己解決，而是包括事先的培訓和實踐、現(xiàn)場技術(shù)支持、完善的部署技術(shù)手冊、備品備件更新等，上述整套解決方案，得到了客戶的一致好評。

接下來，不僅是電力行業(yè)，施耐德電氣的解決方案還要向其他行業(yè)進行遷移，從而提升整個工業(yè)體系的信息安全的防護水平。