直面三大問題 以設備級防護為核心和基礎
——訪施耐德電氣工業信息安全技術總監王斌
http://www.199rrr.com 2014-09-29 15:36 來源：中國工業報
施耐德電氣工業信息安全技術總監 王 斌
伊朗布什爾核電站遭到震網病毒攻擊,是第一次從虛擬信息世界對現實物理世界的網絡攻擊。
現階段，網絡空間已經成為繼陸地、海洋、天空、太空之外的第五維國家安全領域，已經成為一個國家新的國家核心利益和戰略制高點。
針對我國工業用戶普遍存在的問題，全球工業控制信息安全領域領軍企業施耐德電氣提出了三級縱深防護策略。施耐德電氣工業信息安全技術總監王斌日前就此方面問題接受了中國工業報記者的專訪。
工業企業面臨三大“安全困境”
中國工業報：針對我國工業用戶普遍存在的問題，施耐德電氣提出了三級縱深防護策略。提出這一解決方案的背景是什么？
王斌：自2010年6月，專門攻擊發電站和水廠等基礎設施的震網病毒（Stuxnet）被首次檢測出以來，中國政府的相關管理部門就已經開始關注電力和其他工業領域的信息安全問題。從工信部的451號文件，到原電監會以及國家能源局的相關文件，都要求電力企業加強信息安全防護的能力。
從2013年1月起，施耐德電氣在原電監會和國家能源局的指導下，開始協助某國內大型電力集團，提升其下屬企業的工控系統信息安全防護水平。在這次信息安全整改的過程中，施耐德電氣發現企業內部出現很多措施“無法落地”的現象，我們總結為中國工業企業的三大“安全困境”。
困境一：信息安全專責缺失。很多電力企業沒有專門負責工業控制系統信息安全的人員。此外，負責信息安全的信息中心與負責安全生產的安全生產部之間的協調、配合，以及人員能力等問題都嚴重影響企業整改工作。
困境二：企業安全管理制度形同虛設。一些企業安全管理制度沒有落實；而另一些企業則把制度適用過渡，擔心出現責任問題，不允許專業人員接觸工控系統，導致無法對工控系統進行測評和整改。
困境三：安全意識薄弱。電力企業更重視企業效益和安全生產。如果信息安全整改影響到生產的連續性，有的企業就會暫時擱置整改工作。
針對中國工業企業在提升信息安全工作的現狀和挑戰，施耐德電氣推出了更加適合中國工業信息安全整改實際需要的“自下而上”的“三級縱深防御體系”，通過將信息安全功能集成到設備本身，幫助企業擺脫傳統安全解決方案中對于管理制度、人員能力和企業投入太大等諸多不可控或不完備條件限制的過度依賴，在短期內迅速提升企業工業系統信息安全防護水平，并為逐步實施完整的縱深防御安全策略奠定基礎。特別是對于當前那些數量眾多，不具備系統級防護和管理級防護能力的中國企業的工控系統，設備級防護將更有針對性。
以設備防護為核心的經營理念
中國工業報：在貴公司推出的三級縱深防御體系中，為什么將設備級防護作為安全解決方案的核心和基礎？請問有無用戶在此方面的典型案例？
王斌：目前，業界多數主流供應商普遍采用的是“自上而下”的縱深防御體系，遵循安全計劃、網絡分隔、邊界保護、網段分離、設備加固以及監視和更新6大步驟，側重于管理級、系統級安全功能的強化。“自上而下”的解決方案看似實現企業信息安全，而在實施過程中卻存在很多缺陷。
與通用的自上而下縱深防御策略不同，施耐德電氣強調自下而上、以設備級防護為基礎的安全策略，兼顧系統級和管理級防護，構建全方位的信息安全防護體系。其中，設備級防護側重于提升每個設備的信息安全能力；系統級防護的目標是設計安全的控制系統架構增強控制系統的整體信息安全功能；管理級防護的作用是規范管理、完善安全策略，增強控制系統的信息安全功能。而設備級防護是三級縱深防護體系中的核心和基礎。
把設備級防護作為工業信息安全整體解決方案的基礎和核心，在中國工業企業提升安全防護的實際應用中可以表現出三個方面的優勢：
第一、增強控制系統每個單體設備的信息安全防護，避免設備“帶病上崗”，同時不會對企業工控系統的正常活動產生影響。而采用自上而下的方案，則有可能會影響到安全生產，這是企業最關注的決定性因素。
第二、減少對人員專業技能的依賴。設備級防護，普通的維護人員就可以完成。而在自上而下的策略中，系統級、管理級的信息安全防護，對人員的專業技能要求很高。
第三、設備級防護，不需要大量資金投入。而從上而下的安全策略則要求企業購買相應的防護產品，如防火墻、網關等，包括完善整個入侵檢測、入侵防護體系，需要大量資金投入。
施耐德為中國企業提供的三級解決方案體系非常注重可操作性，希望中國企業以最好的性價比投入，一次性解決所有多方面的隱患和問題。事實上，施耐德電氣目前在國內已經有不少成功的案例。而電力行業是其最先開始部署信息安全解決方案的行業。我們已與國內兩大電力集團針對旗下分公司的信息安全部署工作開展了合作。在部署前，施耐德電氣與客戶一起制定了完善的部署計劃，和客戶一起對旗下電廠的隱患進行排查和部署，目前部署工作已經全部結束，并得到了國家相關管理部門和電力集團的認可。同時，更為重要的是，在整改執行的過程中，施耐德電氣很好地完成了客戶提出的基本要求———不影響生產的持續性。
不容錯過的機會窗口
中國工業報：有專家預測，中國工業網絡有望在2015年超過20億元人民幣的市場規模，并將以每年超過30%的復合增長率增長，您如何看待這個市場？未來施耐德電氣在工控安全領域還會推出哪些新產品？
王斌：確實，從國家和國際對于信息安全的重視程度以及投入來說，工業控制系統信息安全的市場規模很大，施耐德電氣也尤為重視對于工業控制系統信息安全的研發和集成。
作為工業自動化的領導廠商，施耐德電氣在未來推向中國的產品，首先將會符合施耐德電氣自身企業的安全標準，而這個標準是本著“高標準嚴要求”的原則建立的；第二，產品在推出之前，一定要通過全球的一些相關認證機構的認證，例如Achilles認證；第三，施耐德電氣在中國推出任何一款產品之前，都會積極與國內相關認證機構配合，使這些產品通過國內認證。譬如，施耐德電氣推出的昆騰PLC以及ModiconM580系列等產品都通過了國內的相關安全認證。工業信息安全能力在今后將成為施耐德電氣在設計和制造產品中重要的新維度。
但是可以看到，國內工業控制系統信息安全基礎比較薄弱、人才儲備比較缺乏、企業的重視程度不夠、產業鏈還沒有形成。作為該領域的領軍企業，施耐德希望將國外的先進技術和成功經驗介紹到中國，并與國內的大專院校、科研機構和生產廠家一起構建一個產學研一體的健康環境，為中國的工控信息安全事業貢獻應盡的義務。
用戶該如何選擇工控產品
中國工業報：現階段國內外企業紛紛推出自己的信息安全防御方案。在您看來，作為用戶應該如何選擇？
王斌：首先，基于施耐德電氣的防護策略，企業可以利用工控系統中應用的PLC、以太網交換機和SCADA軟件等工控設備有效的迅速提升信息安全防護能力。例如，通過設備加固、軟件信息安全輔助功能設置來增強工控設備的信息安全防護能力，通過配置工業級管理型交換機、以太網環網升級等網絡升級方案，以及采用“增強型”密碼、關閉未用端口、端口地址綁定、網絡風暴限制、組播過濾等一系列具體技術措施，極大地提升用戶防范物理入侵能力，提升工控系統的可用性。
其次，PLC安全性對于工控系統安全性的重要性日益增強。從2011年工信部451號文件《關于加強工業控制系統信息安全管理的通知》中明確指出，有關的國家大型企業要慎重選擇工業控制系統設備，到近期，國家相關主管部門針對國有大型企業工業控制設備選型的安全性要求日趨嚴格，并逐步出臺相關政策法規，都可以窺見工控設備的重要性。以電力行業為例，能源局安監司提出PLC等工控設備的選用必須參照兩條標準：a）禁止選用經國家相關管理部門檢測認定并經國家能源局通報存在漏洞和風險的系統及設備。b)系統和設備經有資質的機構檢測認定不存在信息安全漏洞和風險。對應用于重要信息系統（等保定級3級以上）的設備，宜同時滿足以上兩條標準；對于應用于一般信息系統（等保定級2級）的設備，滿足其中一條即可；對于整改的設備，應滿足第二條標準。而目前市場上可以同時滿足上述兩個標準的只有施耐德電氣UnityQuantumPLC。
在2012年，施耐德電氣莫迪康昆騰系列PLC產品通過了國家信息技術安全研究中心和中國電力科學研究院這兩家權威測評機構的安全性檢測，成為國內首家也是目前惟一通過并獲得此類檢測認可的PLC產品系列。2014年施耐德電氣的新一代PLC莫迪康M580上市之初，也通過了中國電力科學研究院的信息技術產品安全性檢測，這表明施耐德電氣已經讓工業信息安全成為其PLC產品的一個核心功能。從2013年開始，施耐德電氣提供給客戶的所有工控產品都已經具備了信息安全的功能，使用施耐德電氣PLC設備的工業企業不必依賴其它保護措施就已具備符合國際國內相關法規要求的信息安全防護能力。
個人簡歷
王斌作為施耐德電氣（中國）有限公司工業事業部大客戶支持團隊經理和首席信息安全專家，目前主要致力于大客戶支持和信息安全工作的的管理。熟悉水電、火電、冶金、隧道交通、焦化、石化等多個行業應用，在加入施耐德電氣的十年多時間里，參與了多個重點項目、重點客戶的工作。作為首席信息安全專家，領導并全程參與了測評機構對施耐德電氣產品測評的所有過程、國家大型電力集團旗下分公司相關電力的信息安全方案部署、信息安全解決方案推廣和客戶支持等工作，并主導編寫了多本關于施耐德電氣信息安全解決方案手冊。
編輯精選
