技術的發展都會有兩面性：給企業帶來的種種便利的同時，也會帶來病毒、木馬、黑客等對系統帶來的威脅。而工業控制領域也是如此，工控系統中通用協議和技術的廣泛應用減弱了控制系統與外界的隔離，使系統的安全性時時遭受來自外界的考驗。去年，國家發改委公布的《2013年國家信息安全專項有關事項的通知》中，強調工業控制系統信息安全是國家重點支持的四大領域之一，這也意味著打響工業信息安全的保衛戰刻不容緩。

　　如何選擇防御體系

　　縱觀當前行業的發展，工業客戶對于工業信息安全除了認知方面的不足，往往還面臨人員缺失、制度形式化和生產與安全的矛盾沖突等一系列困境，而選用實際又實用的產品或解決方案，成為企業推進工業信息安全前行的第一步。

　　工業信息安全的實現是一個系統工程，多層次的防護是必要的策略。現在，業界多數主流供應商普遍采用的是“自上而下”的縱深防御體系，遵循安全計劃、網絡分隔、邊界保護、網段分離、設備加固以及監視和更新6大步驟，側重于管理級、系統級安全功能的強化。“自上而下”的解決方案看似能實現企業信息安全，而在實施過程中卻存在很多缺陷。首先，優先實現管理級、系統級的安全功能，需要企業投入大量資金進行軟硬件設備的建設，不是所有的客戶都有這樣的實力或意愿進行投資。其次，對于本身存在信息安全缺陷的工控設備來說，“自上而下”的防護只是一些外圍防護措施，并沒有從根源上消除信息安全的隱患，相關工控設備還處在“帶病上崗”狀態。其三，通常工業企業使用的工控設備類型多、數量龐大，單純依靠管理級、系統級的防護很難確保每一臺單體設備的安全性。最后，企業現場的差異化，決定了管理級、系統級的信息安全解決方案定制化、私有化的程度非常高，不利于方案后續應用推廣。所以“自上而下”實施信息安全防御策略解決方案，不能突出實用性和有效性。為此，市場上一種稱之為“自下而上”的安全策略也應運而生。

　　“自下而上”的安全策略強調以設備級防護為基礎，兼顧系統級和管理級防護。其中設備級防護側重于提升每個設備的信息安全防護能力；系統級防護的目標是設計安全的控制系統架構，以增強控制系統的整體信息安全功能；管理級防護的作用則是規范管理、完善安全策略，增強控制系統的災難恢復和數據備份等功能。“自下而上”的部署，其意義在于通過將信息安全功能集成到設備本身，實現“細胞級”安全，企業因此可以擺脫傳統安全解決方案中對于管理政策、制度以及人員能力和操作規范等諸多不可控或不完備條件限制的過度依賴，減少投資，并能夠在短期內迅速提升企業工控系統信息安全防護水平，并為逐步實施完整的縱深防御安全策略奠定基礎。特別是對于當前那些數量眾多，不具備系統級防護和管理級防護能力的工控系統，設備級防護就顯得非常理想。在目前國內工控信息安全安全策略部署的成功案例還不多見的背景下，施耐德電氣打造的“自下而上”三級縱深防護體系已經擁有了多個成功案例。

　　如何選擇工控設備

　　根據設備級防護策略，工控系統中應用的PLC、以太網交換機和SCADA軟件等工控設備都可以變身為捍衛信息安全的衛士。例如，通過模板固件升級、軟件輔助功能設置來增強工控設備的信息安全防護能力，通過設置工業級管理型交換機的安全參數，如采用“增強型”密碼、關閉未用端口、端口地址綁定、網絡風暴限制、組播過濾等一系列具體技術措施、采用以太網環網提升網絡的容錯能力等方案，極大地提升工控系統防范物理入侵能力，提升工控系統的可用性。

　　從2011年工信部451號文件《關于加強工業控制系統信息安全管理的通知》中明確指出，有關的國家大型企業要慎重選擇工業控制系統設備，到近期，國家相關主管部門針對國有大型企業工業控制設備選型的安全性要求日趨嚴格，并逐步出臺相關政策法規，都可以窺見工控設備選型的重要性。

　　那么，對于工控設備應如何選擇呢？

　　以電力行業為例，能源局安監司提出PLC等工控設備的選用必須參照兩條標準：

　　a)禁止選用經國家相關管理部門檢測認定并經國家能源局通報存在漏洞和風險的系統及設備。

　　b)系統和設備經有資質的機構檢測認定不存在信息安全漏洞和風險。

　　對應用于重要信息系統(等保定級3級以上)的設備，宜同時滿足以上兩條標準；對于應用于一般信息系統(等保定級2級)的設備，滿足其中一條即可；對于整改的設備，應滿足第二條標準。而目前市場上可以同時滿足上述兩個標準的只有施耐德電氣UnityQuantumPLC。

　　實際上，在2012年，施耐德電氣莫迪康昆騰系列PLC產品就通過了國家信息技術安全研究中心和中國電力科學研究院這兩家國家權威測評機構的安全性檢測，成為國內首家也是目前唯一通過并獲得此類檢測認可的PLC產品系列。2014年推向市場的新一代莫迪康M580ePLC產品，也通過了中國電力科學研究院的安全性檢測，這表明施耐德電氣已經讓工業信息安全成為其PLC產品的一個核心功能。據悉，從2013年初起，施耐德電氣提供給全球客戶的所有工控產品都已經內置了信息安全防護功能，使工業企業不必依賴其它的安全防護措施就已獲得了符合國際國內相關法規要求的、過硬的信息安全保障。而對于此前已經在應用的工控設備，該公司也可提供相應的服務，幫助工業企業獲得同等的保障。

　　面對科技發展這把雙刃劍，企業只有做出有效的應對決策才能在規避可能出現的風險，盡享技術進步的成果。對于工控企業而言，選擇正確的安全策略和工控設備，無疑是有效提升信息安全防護水平、減少企業投入的重要方式。