“十三五”开始，我国将进入几十个城市同时建设城市轨道交通的大发展阶段，2020年规划线路里程将超过10000公里。在提升信息安全水平方面，施耐德电气对轨道交通行业的用户有什么建议？企业应该如何防止信息安全事故的发生？与传统解决方案相比，施耐德电气在信息安全解决方案上有哪些特点？

　　就以上这些问题，施耐德电气工业信息安全技术总监王斌日前接受了中国工业报记者的专访。他强调，企业应该提升主动防御和全面防御的理念，而不只是被动地防御，被动地发现问题、解决问题。

　　安全隐患无处不在

　　中国工业报：很多人认为，工业控制系统之所以面临着信息安全的问题，主要是因为它采用了大量的通用以太网协议。您怎么看待这个问题?

　　王斌：工业控制系统中除了存在通用以太网协议外，还大量存在着控制设备、通讯组件、应用软件、操作系统等四类设备或资产，而这些设备或资产本身也会存在信息安全风险和隐患，最终导致整个工控系统存在信息安全风险或隐患。震网病毒事件就是一个很好的例子，虽然核电厂里的控制系统与其办公自动化系统和信息系统是隔离的，但事实证明，还是依然存在信息安全的隐患。

　　传统解决方案缺陷多

　　中国工业报：与传统的信息安全解决方案相比，施耐德电气在信息安全解决方案上有什么特点？

　　王斌：目前，多数安全服务供应商的解决方案是“自上而下”的，侧重于管理级、系统级安全功能的强化。但这种模式有四点缺陷。首先，优先实现管理级、系统级的安全功能，对于绝大多数此前没有相应的软硬件设备准备的工业企业来说，意味着需要投入大量的成本来进行从无到有的建设，其间投入的人力物力也会比较多；其次，对于本身存在信息安全缺陷的工控设备来说，“自上而下”的防护只是一些外围措施，并没有从根源上消除信息安全的隐患，相关工控设备实际上还是处在“带病上岗”的状态下；再其次，工业企业内部涉及的工控设备类型很多、数量很大，完全依靠管理级、系统级的防护很难保证照顾到每一台单体设备，而如果顾此失彼，也称不上真正实现了安全保障；最后，每个工业企业使用的现场设备的类型和数量都不一样，这决定了管理级、系统级的信息安全解决方案，其定制化、私有化程度将是非常高的，一套方案即使在集团企业旗下的各个分公司中间也无法推广，更不要说在某个行业，甚至整个工业领域里面了。这种可复制性差的缺陷同样意味着成本将居高不下；尤其是对于大型的集团性企业来说，每个下属单位的方案都要独立定制，投入压力之大显然是难以接受的。

　　而施耐德电气的工业信息安全解决方案之所以不同，就在于施耐德电气主张采取“自下而上”的防护策略，更加侧重设备级防御、辅以系统级和管理级的三级防御体系，也就是说从设备级的防护入手来构建工业信息安全系统。

　　瞄准靶心聚准焦点

　　中国工业报：工控设备的停运、损坏导致生产活动中断无疑是企业最为忧心的信息安全事故，企业应该如何防止这种情况的发生？

　　王斌：我们的建议是，让企业关注的焦点回归到工业信息安全威胁的“靶心”，即工控设备本身上来，设法提升工控产品自身的信息安全防护能力，从根源上消除工控产品的信息安全漏洞。

　　具体的做法是，在不影响工控设备功能与性能的前提下，将信息安全的功能集成到每一个单体设备上。对于工业企业来说，实现了这种设备级的信息安全防护，意味着已经获得了完整的多层次工业信息安全防护中最核心的部分功能；此后根据自身情况，在具备了相应的条件和能力时，逐步完善系统级、管理级的辅助策略即可。

　　这种“自下而上”的模式，初期因为不需要额外采购软硬件设备，因此需要的投入少；工业企业只需要针对自身使用的工控设备进行建设，实施的难度也不高；对工业企业内部的技术人员的能力要求也不高。

　　优先部署设备级防护

　　中国工业报：在提升信息安全水平方面，施耐德电气对轨道交通行业、石化和煤化工行业用户有什么建议？

　　王斌：目前来说不管是电力还是轨道交通或其他行业，更多的是采用系统级的防护方案，比如加一些防火墙，或网闸的产品来做系统级的隔离，还有就是把整个控制系统做分层、分级，将控制系统和信息系统分开。有些行业虽然应用了防火墙的产品，但是都是信息系统级的防火墙，而非工业级防火墙。而信息系统的防火墙应用到工业控制系统里，则由于可靠性、实时性等因素和无法提供工业以太网协议解析等功能，因此并不适用。

　　另一方面，控制系统是一个非常复杂的系统，其内部由很多层级组成，系统内任何一个接入点受到影响，就可能会引发整个系统内所有设备全部瘫痪。但目前很多企业应用的信息安全解决方案只是将控制系统看成一个大的网络，在外围做了防护，却忽略了控制系统内部多层级之间的防护与隔离，这样的解决方案显然是不完善的。

　　针对不同行业安全防护的整改和提升，施耐德电气的经验可以概括为：在强调整体安全解决方案的设计的同时，企业也要注重实效性和紧迫性。从不同行业的信息安全实际出发，在不具备条件的情况下，可以自下而上的优先部署设备级防护。当各种条件成熟后，企业再进一步实施设备级、系统级和管理级三级纵深防御体系，来提升整个企业信息安全的全面防护水平。

　　相关链接：企业应该如何选择信息安全防御方案？

　　对于工业控制系统而言，主要涉及四类设备——控制设备、通讯组件、应用软件和操作系统。这四类设备都各自存在着信息安全的风险和漏洞，最终会导致整个工业控制系统存在信息安全的风险。那么企业应该如何对设备级进行防护？施耐德电气工业信息安全技术总监王斌对记者坦言，施耐德电气提倡增加每一个单体设备的信息安全防护能力，当这些小设备放到一起组成一个大系统的时候，这个大系统就具备了信息安全防护的最基本的能力。

　　从2013年初起，施耐德电气提供给客户的所有工控产品都已经具备了信息安全的功能，工业企业使用这样的工控产品，不必依赖其它的保护措施就已经获得了符合国际国内相关法规要求的、过硬的信息安全保障。最近，施耐德电气全球首款ePAC产品——莫迪康M580(ModiconM580)通过了中国电力科学研究院的信息技术产品安全性检测，这是继2012年施耐德电气莫迪康昆腾PLC产品成功获得国家权威信息安全测评机构的安全性认证之后，旗下的最新PLC产品再次获得权威检测机构的认可。另一方面，对于此前已经在应用的工控设备，施耐德电气也可提供相应的服务，帮助工业企业获得同等的保障。

　　对于降低这种危害发生的概率，施耐德电气也有很多的解决方案。比如对于控制类产品，在控制系统发生失效后，产品内置的故障状态预置功能，可以让所有受控的设备全部处于安全状态，不会对系统产生更大规模的次生灾害。如果事故发生了，产品完善的故障诊断、带电插拔等维护特性又可以大大缩短系统恢复的时间。

　　据了解，所有的工业控制系统都不是独立的信息孤岛，它们之间会组成一个大的系统，通过网络连接在一起。对此，王斌表示，企业需要不断增强整个控制系统的系统架构的信息安全防护功能。如施耐德电气可以提供通讯组件设备中所需完善的以太网交换机、防火墙等的专门产品，来增强整个信息安全的系统级信息安全的功能。为了减少发生的概率，施耐德电气也有很多解决方案，从前期的全网络评估，发现潜在的弱点，到网络分隔，边界保护，网段分离等。通过修改网络架构，来减少网络风险。

　　王斌介绍说，施耐德电气除了可以提供设备级、系统级和管理级的防御方案外，还可以提供完善的信息安全服务。目前，在施耐德电气的官方网站上，公开了施耐德所有的信息安全的解决方案，上面有一些详细的信息安全部署方案和完善的手册，可以免费下载。施耐德电气对于信息安全的防护来说，从前期的评估到解决方案的设计到集成到最后培训等各个方面，都可以提供完善的解决方案。