施耐德電氣（中國）有限公司 王斌

1 引言

企業(yè)內部系統(tǒng)分為信息技術和工業(yè)控制系統(tǒng)。信息技術包含ERP，SIS系統(tǒng)，要求優(yōu)先級最高的是機密性。工業(yè)控制系統(tǒng)包括設備級產(chǎn)品、控制級產(chǎn)品和網(wǎng)絡級產(chǎn)品，包括SCADA軟件以及MES制造執(zhí)行系統(tǒng)。在工業(yè)控制系統(tǒng)里面，對于信息安全一個最重要的要求是可運行性。雖然在企業(yè)內部我們都在談信息安全，其實對于信息系統(tǒng)的信息安全要求和工業(yè)控制系統(tǒng)的信息安全要求是不一樣的。對于企業(yè)而言，我們不僅要關注解決方案的具體內容，更要關注解決方案能否部署。如果在部署的過程中會給企業(yè)增加負擔或需要投入大量的成本，那么這種解決方案也許并不能滿足企業(yè)對信息安全的要求，甚至會對企業(yè)將來對信息安全的部署和整改帶來負面的影響。

2 當前工控系統(tǒng)的信息安全形勢

2.1 工業(yè)控制系統(tǒng)分層，如圖1所示。

圖1 工業(yè)控制系統(tǒng)分層圖

2.2 工業(yè)控制系統(tǒng)面臨的威脅和缺陷

“震網(wǎng)病毒”事件發(fā)生以后，我們要做到的不是簡單的防護，而是要做到最底層的防護?！皟苫诤稀焙汀拔锫?lián)網(wǎng)”普及增加了“信息安全”風險，越來越多的信息系統(tǒng)和工業(yè)控制系統(tǒng)進行互通，最終增加了工業(yè)信息系統(tǒng)信息安全的風險。

（1） 主要的信息安全威脅

? 人為失誤；

? 黑客行為；

? 信息戰(zhàn)；

? 自然災害、意外事故；

? 病毒、惡意軟件；

? 通訊和協(xié)議的缺陷等。

（2） 主要的信息安全缺陷

? 操作系統(tǒng)；

? 應用軟件；

? 網(wǎng)絡組件；

? 硬件設備/控制設備等。

3 常見的信息安全解決方案——三層架構，二層防護

常見行業(yè)的信息安全防護都只做到系統(tǒng)級的加強，缺點是信息安全漏洞和信息安全風險本身存在于上述的四類設備中。目前，我們只做到了系統(tǒng)級防護，所以并沒有從根本上解決存在信息安全漏洞和風險的設備的信息安全問題。

3.1 軌道交通行業(yè)安全防護策略，如圖2所示。

圖2 軌道交通行業(yè)安全防護策略體系架構圖

3.2 電力行業(yè)安全防護策略，如圖3所示。

圖3 電力行業(yè)安全防護策略體系架構圖

4 信息安全部署面臨的挑戰(zhàn)

? 管理制度的落實，制約于人的因素；

? 工控設備數(shù)量繁雜；

? 安全區(qū)域過大；

? 無法對運行系統(tǒng)漏洞進行測評；

? 工控設備帶病上崗；

? 技術人員能力要求較高；

? 企業(yè)投入過大。

5 施耐德電氣的信息安全解決方案

5.1 “自下而上”的三級防護體系，設備級防護是核心

施耐德電氣提出了專門的信息安全解決方案，更強調在信息安全的解決方案里，設備級的解決方案和防護，在此基礎上輔助系統(tǒng)級的增強和管理級的軟件補充，由此搭建一個完整的信息安全解決方案和完善的信息安全防護體系。

5.2 設備級解決方案

（1）方案說明

提升每個單體設備的信息安全能力。

（2）設備類型

? PLC；

? 以太網(wǎng)交換機；

? SCADA軟件；

? 操作系統(tǒng)；

? 現(xiàn)場儀表；

? 執(zhí)行機構。

（3）設備級解決方案

? 唯一一家通過國際和國內相關認證的廠家；

? 唯一一家通過國內權威信息安全測評部門的檢測；

? 唯一一家經(jīng)過信息安全規(guī)模化部署的實際驗證；

? 唯一一家信息安全解決方案全國規(guī)?；茝V的企業(yè)；

? 唯一通過現(xiàn)場驗證和行業(yè)主管部門審核的解決方案文檔；

? 2013年起銷售的PLC產(chǎn)品符合國際和國家信息安全要求。

5.3 系統(tǒng)級解決方案

（1）方案說明

修改控制系統(tǒng)架構，增強控制系統(tǒng)的信息安全功能。

（2）防護策略

? 安全計劃；

? 網(wǎng)絡分隔；

? 邊界保護；

? 網(wǎng)段分離；

? 安全設置；

? ……

（3）方案方法

? 全網(wǎng)絡評估，發(fā)現(xiàn)潛在的弱點；

? 修改網(wǎng)絡架構，避免網(wǎng)絡風險；

? 完善安全設置和安全規(guī)則；

? 建立應急處理措施。

5.4 管理級解決方案

（1）方案說明

? 規(guī)范管理；

? 完善安全策略；

? 增強控制系統(tǒng)的信息安全功能。

（2）方案方法

? 完善管理制度；

? 建立完善的IDS/IPS體系；

? 建立完善的資產(chǎn)管理系統(tǒng)；

? 建立和完善監(jiān)控和日志體系；

? 完善軟件更新體系及變更追蹤；

? 安全策略管理和執(zhí)行功能；

? 建立完善的數(shù)據(jù)備份和災難恢復。

6 完善的信息安全解決方案

從2012年開始，施耐德的控制類產(chǎn)品就已經(jīng)具備了信息安全的基本的防護管理。所以企業(yè)在購買施耐德電氣的產(chǎn)品時，不需要針對設備做任何防護，既具備了基本的防護管理，設備組成系統(tǒng)后，也就具備了基本的信息安全防護能力。對于企業(yè)而言，我們可以減少企業(yè)在部署信息安全解決方案時的投資，如果企業(yè)在沒有能力部署系統(tǒng)級或管理級解決方案時，由于我們的設備級產(chǎn)品具備了基本的防護管理，這樣，企業(yè)就不用投入大量的人力和物力，就可以使企業(yè)的控制器滿足基本的防護要求，信息安全解決方案就很容易實現(xiàn)了。另一方面，由于施耐德電氣的控制類產(chǎn)品已經(jīng)具備了基本的防護控制能力，不要求企業(yè)內部的技術人員再具備相應的能力和技術，也不會增加維護的工作量，不會給企業(yè)增加負擔。這就是施耐德電氣倡導的從設備級開始，輔助系統(tǒng)級、管理級搭建整個信息安全防護體系的解決方案。