施耐德電氣工業信息安全技術總監 王 斌

　　伊朗布什爾核電站遭到震網病毒攻擊,是第一次從虛擬信息世界對現實物理世界的網絡攻擊。

　　現階段
，網絡空間已經成為繼陸地、海洋、天空、太空之外的第五維國家安全領域
，已經成為一個國家新的國家核心利益和戰略製高點。

　　zhenduiwoguogongyeyonghupubiancunzaidewenti
，quanqiugongyekongzhixinxianquanlingyulingjunqiyeshinaidedianqitichulesanjizongshenfanghucelve。shinaidedianqigongyexinxianquanjishuzongjianwangbinriqianjiucifangmianwentijieshoulezhongguogongyebaojizhedezhuanfang。

　　工業企業麵臨三大“安全困境”

　　中國工業報：針對我國工業用戶普遍存在的問題，施耐德電氣提出了三級縱深防護策略。提出這一解決方案的背景是什麼
？

　　王斌：自2010年6月，專門攻擊發電站和水廠等基礎設施的震網病毒（Stuxnet）被首次檢測出以來，中國政府的相關管理部門就已經開始關注電力和其他工業領域的信息安全問題。從工信部的451號文件，到原電監會以及國家能源局的相關文件
，都要求電力企業加強信息安全防護的能力。

　　從2013年1月yue起qi，施shi耐nai德de電dian氣qi在zai原yuan電dian監jian會hui和he國guo家jia能neng源yuan局ju的de指zhi導dao下xia

，開kai始shi協xie助zhu某mou國guo內nei大da型xing電dian力li集ji團tuan
，提ti升sheng其qi下xia屬shu企qi業ye的de工gong控kong係xi統tong信xin息xi安an全quan防fang護hu水shui平ping。在zai這zhe次ci信xin息xi安an全quan整zheng改gai的de過guo程cheng中zhong

，施shi耐nai德de電dian氣qi發fa現xian企qi業ye內nei部bu出chu現xian很hen多duo措cuo施shi“無法落地”的現象，我們總結為中國工業企業的三大“安全困境”。

　　困境一：信xin息xi安an全quan專zhuan責ze缺que失shi。很hen多duo電dian力li企qi業ye沒mei有you專zhuan門men負fu責ze工gong業ye控kong製zhi係xi統tong信xin息xi安an全quan的de人ren員yuan。此ci外wai，負fu責ze信xin息xi安an全quan的de信xin息xi中zhong心xin與yu負fu責ze安an全quan生sheng產chan的de安an全quan生sheng產chan部bu之zhi間jian的de協xie調tiao、配合
，以及人員能力等問題都嚴重影響企業整改工作。

　　困境二：企業安全管理製度形同虛設。一些企業安全管理製度沒有落實；而另一些企業則把製度適用過渡
，擔心出現責任問題，不允許專業人員接觸工控係統
，導致無法對工控係統進行測評和整改。

　　困境三：安全意識薄弱。電力企業更重視企業效益和安全生產。如果信息安全整改影響到生產的連續性，有的企業就會暫時擱置整改工作。

　　針對中國工業企業在提升信息安全工作的現狀和挑戰，施耐德電氣推出了更加適合中國工業信息安全整改實際需要的“自下而上”的“三級縱深防禦體係”，通過將信息安全功能集成到設備本身，幫助企業擺脫傳統安全解決方案中對於管理製度
、renyuannengliheqiyetourutaidadengzhuduobukekonghuobuwanbeitiaojianxianzhideguoduyilai
，zaiduanqineixunsutishengqiyegongyexitongxinxianquanfanghushuiping，bingweizhubushishiwanzhengdezongshenfangyuanquancelvediandingjichu。tebieshiduiyudangqiannaxieshuliangzhongduo
，bujubeixitongjifanghuheguanlijifanghunenglidezhongguoqiyedegongkongxitong，shebeijifanghujianggengyouzhenduixing。

　　以設備防護為核心的經營理念

　　中國工業報：在貴公司推出的三級縱深防禦體係中

，為什麼將設備級防護作為安全解決方案的核心和基礎？請問有無用戶在此方麵的典型案例？

　　王斌：目前，業界多數主流供應商普遍采用的是“自上而下”的縱深防禦體係，遵循安全計劃、網絡分隔
、邊界保護、網段分離、設備加固以及監視和更新6大步驟，側重於管理級、係統級安全功能的強化。“自上而下”的解決方案看似實現企業信息安全，而在實施過程中卻存在很多缺陷。

　　與通用的自上而下縱深防禦策略不同，施耐德電氣強調自下而上、yishebeijifanghuweijichudeanquancelve
，jianguxitongjiheguanlijifanghu，goujianquanfangweidexinxianquanfanghutixi。qizhong，shebeijifanghucezhongyutishengmeigeshebeidexinxianquannengli；係統級防護的目標是設計安全的控製係統架構增強控製係統的整體信息安全功能；管理級防護的作用是規範管理、完善安全策略，增強控製係統的信息安全功能。而設備級防護是三級縱深防護體係中的核心和基礎。

　　把設備級防護作為工業信息安全整體解決方案的基礎和核心，在中國工業企業提升安全防護的實際應用中可以表現出三個方麵的優勢：

　　第一、增強控製係統每個單體設備的信息安全防護，避免設備“帶病上崗”，同tong時shi不bu會hui對dui企qi業ye工gong控kong係xi統tong的de正zheng常chang活huo動dong產chan生sheng影ying響xiang。而er采cai用yong自zi上shang而er下xia的de方fang案an，則ze有you可ke能neng會hui影ying響xiang到dao安an全quan生sheng產chan，這zhe是shi企qi業ye最zui關guan注zhu的de決jue定ding性xing因yin素su。

　　第二
、減少對人員專業技能的依賴。設備級防護，普通的維護人員就可以完成。而在自上而下的策略中，係統級、管理級的信息安全防護，對人員的專業技能要求很高。

　　第三、設備級防護，不需要大量資金投入。而從上而下的安全策略則要求企業購買相應的防護產品

，如防火牆、網關等
，包括完善整個入侵檢測、入侵防護體係，需要大量資金投入。

　　施(shi)耐(nai)德(de)為(wei)中(zhong)國(guo)企(qi)業(ye)提(ti)供(gong)的(de)三(san)級(ji)解(jie)決(jue)方(fang)案(an)體(ti)係(xi)非(fei)常(chang)注(zhu)重(zhong)可(ke)操(cao)作(zuo)性(xing)，希(xi)望(wang)中(zhong)國(guo)企(qi)業(ye)以(yi)最(zui)好(hao)的(de)性(xing)價(jia)比(bi)投(tou)入(ru)，一(yi)次(ci)性(xing)解(jie)決(jue)所(suo)有(you)多(duo)方(fang)麵(mian)的(de)隱(yin)患(huan)和(he)問(wen)題(ti)。事(shi)實(shi)上(shang)，施(shi)耐(nai)德(de)電(dian)氣(qi)目(mu)前(qian)在(zai)國(guo)內(nei)已(yi)經(jing)有(you)不(bu)少(shao)成(cheng)功(gong)的(de)案(an)例(li)。而(er)電(dian)力(li)行(xing)業(ye)是(shi)其(qi)最(zui)先(xian)開(kai)始(shi)部(bu)署(shu)信(xin)息(xi)安(an)全(quan)解(jie)決(jue)方(fang)案(an)的(de)行(xing)業(ye)。我(wo)們(men)已(yi)與(yu)國(guo)內(nei)兩(liang)大(da)電(dian)力(li)集(ji)團(tuan)針(zhen)對(dui)旗(qi)下(xia)分(fen)公(gong)司(si)的(de)信(xin)息(xi)安(an)全(quan)部(bu)署(shu)工(gong)作(zuo)開(kai)展(zhan)了(le)合(he)作(zuo)。在(zai)部(bu)署(shu)前(qian)，施(shi)耐(nai)德(de)電(dian)氣(qi)與(yu)客(ke)戶(hu)一(yi)起(qi)製(zhi)定(ding)了(le)完(wan)善(shan)的(de)部(bu)署(shu)計(ji)劃(hua)，和(he)客(ke)戶(hu)一(yi)起(qi)對(dui)旗(qi)下(xia)電(dian)廠(chang)的(de)隱(yin)患(huan)進(jin)行(xing)排(pai)查(zha)和(he)部(bu)署(shu)，目(mu)前(qian)部(bu)署(shu)工(gong)作(zuo)已(yi)經(jing)全(quan)部(bu)結(jie)束(shu)，並(bing)得(de)到(dao)了(le)國(guo)家(jia)相(xiang)關(guan)管(guan)理(li)部(bu)門(men)和(he)電(dian)力(li)集(ji)團(tuan)的(de)認(ren)可(ke)。同(tong)時(shi)，更(geng)為(wei)重(zhong)要(yao)的(de)是(shi)
，在(zai)整(zheng)改(gai)執(zhi)行(xing)的(de)過(guo)程(cheng)中(zhong)，施(shi)耐(nai)德(de)電(dian)氣(qi)很(hen)好(hao)地(di)完(wan)成(cheng)了(le)客(ke)戶(hu)提(ti)出(chu)的(de)基(ji)本(ben)要(yao)求(qiu)———不影響生產的持續性。

　　不容錯過的機會窗口

　　中國工業報：有專家預測
，中國工業網絡有望在2015年超過20億元人民幣的市場規模，並將以每年超過30%的複合增長率增長，您如何看待這個市場？未來施耐德電氣在工控安全領域還會推出哪些新產品？

　　王斌：確que實shi，從cong國guo家jia和he國guo際ji對dui於yu信xin息xi安an全quan的de重zhong視shi程cheng度du以yi及ji投tou入ru來lai說shuo，工gong業ye控kong製zhi係xi統tong信xin息xi安an全quan的de市shi場chang規gui模mo很hen大da，施shi耐nai德de電dian氣qi也ye尤you為wei重zhong視shi對dui於yu工gong業ye控kong製zhi係xi統tong信xin息xi安an全quan的de研yan發fa和he集ji成cheng。

　　作為工業自動化的領導廠商，施耐德電氣在未來推向中國的產品，首先將會符合施耐德電氣自身企業的安全標準，而這個標準是本著“高標準嚴要求”的原則建立的
；第二，產品在推出之前，一定要通過全球的一些相關認證機構的認證，例如Achilles認證；第(di)三(san)，施(shi)耐(nai)德(de)電(dian)氣(qi)在(zai)中(zhong)國(guo)推(tui)出(chu)任(ren)何(he)一(yi)款(kuan)產(chan)品(pin)之(zhi)前(qian)，都(dou)會(hui)積(ji)極(ji)與(yu)國(guo)內(nei)相(xiang)關(guan)認(ren)證(zheng)機(ji)構(gou)配(pei)合(he)，使(shi)這(zhe)些(xie)產(chan)品(pin)通(tong)過(guo)國(guo)內(nei)認(ren)證(zheng)。譬(pi)如(ru)，施(shi)耐(nai)德(de)電(dian)氣(qi)推(tui)出(chu)的(de)昆(kun)騰(teng)PLC以及ModiconM580係列等產品都通過了國內的相關安全認證。工業信息安全能力在今後將成為施耐德電氣在設計和製造產品中重要的新維度。

　　但是可以看到，國內工業控製係統信息安全基礎比較薄弱、人才儲備比較缺乏

、企業的重視程度不夠
、產業鏈還沒有形成。作為該領域的領軍企業，施耐德希望將國外的先進技術和成功經驗介紹到中國
，並與國內的大專院校、科研機構和生產廠家一起構建一個產學研一體的健康環境
，為中國的工控信息安全事業貢獻應盡的義務。

　　用戶該如何選擇工控產品

　　中國工業報：現階段國內外企業紛紛推出自己的信息安全防禦方案。在您看來
，作為用戶應該如何選擇
？

　　王斌：首先
，基於施耐德電氣的防護策略，企業可以利用工控係統中應用的PLC、以太網交換機和SCADA軟件等工控設備有效的迅速提升信息安全防護能力。例如
，通過設備加固、軟件信息安全輔助功能設置來增強工控設備的信息安全防護能力，通過配置工業級管理型交換機

、以太網環網升級等網絡升級方案，以及采用“增強型”密碼

、關閉未用端口、端口地址綁定、網絡風暴限製、組播過濾等一係列具體技術措施，極大地提升用戶防範物理入侵能力，提升工控係統的可用性。

　　其次

，PLC安全性對於工控係統安全性的重要性日益增強。從2011年工信部451號文件《關於加強工業控製係統信息安全管理的通知》中(zhong)明(ming)確(que)指(zhi)出(chu)，有(you)關(guan)的(de)國(guo)家(jia)大(da)型(xing)企(qi)業(ye)要(yao)慎(shen)重(zhong)選(xuan)擇(ze)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)設(she)備(bei)，到(dao)近(jin)期(qi)，國(guo)家(jia)相(xiang)關(guan)主(zhu)管(guan)部(bu)門(men)針(zhen)對(dui)國(guo)有(you)大(da)型(xing)企(qi)業(ye)工(gong)業(ye)控(kong)製(zhi)設(she)備(bei)選(xuan)型(xing)的(de)安(an)全(quan)性(xing)要(yao)求(qiu)日(ri)趨(qu)嚴(yan)格(ge)，並(bing)逐(zhu)步(bu)出(chu)台(tai)相(xiang)關(guan)政(zheng)策(ce)法(fa)規(gui)，都(dou)可(ke)以(yi)窺(kui)見(jian)工(gong)控(kong)設(she)備(bei)的(de)重(zhong)要(yao)性(xing)。以(yi)電(dian)力(li)行(xing)業(ye)為(wei)例(li)，能(neng)源(yuan)局(ju)安(an)監(jian)司(si)提(ti)出(chu)PLC等工控設備的選用必須參照兩條標準：a）禁止選用經國家相關管理部門檢測認定並經國家能源局通報存在漏洞和風險的係統及設備。b)係統和設備經有資質的機構檢測認定不存在信息安全漏洞和風險。對應用於重要信息係統（等保定級3級以上）的設備，宜同時滿足以上兩條標準；對於應用於一般信息係統（等保定級2級）的設備
，滿足其中一條即可；對於整改的設備
，應滿足第二條標準。而目前市場上可以同時滿足上述兩個標準的隻有施耐德電氣UnityQuantumPLC。

　　在2012年，施耐德電氣莫迪康昆騰係列PLC產(chan)品(pin)通(tong)過(guo)了(le)國(guo)家(jia)信(xin)息(xi)技(ji)術(shu)安(an)全(quan)研(yan)究(jiu)中(zhong)心(xin)和(he)中(zhong)國(guo)電(dian)力(li)科(ke)學(xue)研(yan)究(jiu)院(yuan)這(zhe)兩(liang)家(jia)權(quan)威(wei)測(ce)評(ping)機(ji)構(gou)的(de)安(an)全(quan)性(xing)檢(jian)測(ce)，成(cheng)為(wei)國(guo)內(nei)首(shou)家(jia)也(ye)是(shi)目(mu)前(qian)惟(wei)一(yi)通(tong)過(guo)並(bing)獲(huo)得(de)此(ci)類(lei)檢(jian)測(ce)認(ren)可(ke)的(de)PLC產品係列。2014年施耐德電氣的新一代PLC莫迪康M580上市之初，也通過了中國電力科學研究院的信息技術產品安全性檢測

，這表明施耐德電氣已經讓工業信息安全成為其PLC產品的一個核心功能。從2013年開始

，施耐德電氣提供給客戶的所有工控產品都已經具備了信息安全的功能，使用施耐德電氣PLC設備的工業企業不必依賴其它保護措施就已具備符合國際國內相關法規要求的信息安全防護能力。

　　個人簡曆

　　王斌作為施耐德電氣（中國）有限公司工業事業部大客戶支持團隊經理和首席信息安全專家
，目前主要致力於大客戶支持和信息安全工作的的管理。熟悉水電、火電、冶金
、隧道交通、焦化
、石化等多個行業應用，在加入施耐德電氣的十年多時間裏，參與了多個重點項目、重點客戶的工作。作為首席信息安全專家
，領導並全程參與了測評機構對施耐德電氣產品測評的所有過程、國家大型電力集團旗下分公司相關電力的信息安全方案部署、信息安全解決方案推廣和客戶支持等工作，並主導編寫了多本關於施耐德電氣信息安全解決方案手冊。