施耐德电气：以专业和专注构建工业信息安全大未来

      中国工业的进步伴随着生产力与生产关系不断演变，经历了从手工作坊、机器化生产到信息化大生产的变革与演进。信息化生产最明显的特征是使工业用户大大提升了生产效率、实现了现代化生产终极目标的同时，又面临着工业信息安全的严峻挑战。gongkong市场研究数据显示，2012年我国工业控制系统信息安全相关市场规模年约为11亿元左右，未来五年有望保持15%左右的平均增长率。面对持续增长的工业信息安全市场，使得控制系统供应商、通信/安全设备提供商、杀毒软件供应商乃至服务提供商试图分一杯羹。针对目前工业控制系统安全市场现状，施耐德电气从专业和专注两个维度出发，着力为工业领域客户构建信息安全大未来。

专业：无懈可击的三级纵深防护体系

      施耐德电气对三级纵深防御体系的提出是经历了对市场的摸索实践和深度观察。王斌介绍，起初施耐德电气提出的是纵深防御六步法则，从信息安全评估到最后的设备级防护。在配合国家电力集团完成信息安全整改工作后，施耐德电气发现，国内外用户在信息安全水平和技术能力方面差异较大。国外信息安全水平相对较高，信息安全防护体系比较全面；而我国信息安全水平还处于起步阶段，虽然政府主管部门出台了相关政策，但是大部分政策并没有在企业中完全落实。针对这种情况施耐德电气把原来“从上到下”的防御策略逐步完善为符合中国客户实际应用的、从设备级，到系统级和管理级“自下而上”的安全防护策略。

      实践出真知。施耐德电气结合在电力企业信息安全的整改经验，总结出从安全评估到设备级加固的“自上而下”的解决方案，对企业带来的影响表现在：由于要购买相应的防护产品，导致企业大量资金的投入，对企业技术人员能力要求非常高，信息安全解决方案部署可能会对企业安全生产产生影响。为避免给用户带来以上困扰，施耐德电气倡导以设备级防护优先，兼顾系统级和管理级防护的“自下而上”的安全防护策略。王斌说：“从设备级到系统级和管理级的防护策略优势非常明显，首先它不会对企业资金、设备及人员造成任何负担；其次，减少对技术人员能力的依赖，降低对其技术能力的要求；再次，设备级防护在满足信息安全防护要求的同时，可以防范工业控制系统中设备“带病上岗”的现象发生；最后，尤其是对于不具备系统级、管理级防护条件的企业来说，采用设备级防护，更容易实现。”

      优先采用设备级防护是施耐德电气立足于我国国情，它适用于不同行业，可以加强各行业防范信息安全风险的能力，避免企业大规模人员、物资的投入。王斌说：“优先采用设备级防护可以增强单体设备的信息安全防范能力，对企业的安全生产和设备的正常运行不会产生任何影响。不过，对于工业系统来说，它不仅仅涉及到控制系统和信息系统等问题，具体应用也可能比较复杂，企业仅仅通过设备级完善是不够的。因此我们希望企业在有条件的情况下，能够部署设备级、系统级和管理级的全方位信息安全策略，以提升企业整体信息安全的防护水平。”

      对不同领域的工业客户来说，企业在实施安全防护策略时不用担心来自不同品牌产品的兼容性。王斌说：“从信息安全全方位纵深防御策略来说是没有任何行业或者是产品的限制。这也就意味着从设备级到系统级、管理级安全防护策略可以推广到任何行业、任何领域，它不仅局限于施耐德电气的产品。不过如果设备级产品全部采用施耐德电气产品时，企业的信息安全防护功能针对性会更强、更完善。”

      长期以来，施耐德电气将提升工控系统信息安全作为产品设计和研发的关键指标，倡导为客户提供安全可靠的产品及应用并加以实践。据了解，2012年施耐德电气莫迪康昆腾系列PLC通过了国家信息技术安全研究中心和中国电力科学研究院的权威检测，这进一步体现了施耐德电气在设备级安全防护解决方案的有效性。王斌指出：“施耐德电气作为产品供应商来说，我们有义务提升设备级产品本身的信息安全能力。除此之外，建议在国家和行业主管部门的指导和监督下，所有的产品供应商，积极主动地提升各自产品本身的信息防护能力，最终为中国用户搭建一个安全的控制系统环境。”

专注：构建完美工业信息安全解决方案

      施耐德电气在服务于工业信息安全的过程中，通过长期以来形成的品牌专业性为不同领域的行业客户打造了让人无懈可击的三级纵深防御体系；进而凭借专注的企业态度，从内部安全评估体系的建立到积极参与安全标准规范制定，彰显了其在构建工业信息安全解决方案的实力与能力。

      首先，施耐德电气在信息安全评估方面建立了完善的解决方案。王斌说：“施耐德电气对于用户信息安全评估通过五步骤实现的。第一，明确信息安全人员的职责，评估相关人员行为或操作对系统可能产生的影响；第二，评估整个控制系统的网络连接情况，找出所有网络中的薄弱环节，评估其对系统可能产生的影响；第三，针对每个单体设备，查找并评估每个设备可能存在的信息安全隐患以及参数设置等方面的隐患，评估每个设备对系统可能产生的影响；第四，针对存在的信息安全漏洞，评估哪些攻击手段会利用漏洞，会产生什么样的后果；第五，根据上述评估结果，制定详细的信息安全整改措施，减缓受到攻击时产生的影响，以提升整个工业控制系统的可用性、可靠性和安全性。”

      信息安全防范是一项系统工程，需要和用户、IT系统供应商、工业系统供应商及管理部门的紧密协作，才能打造一个安全的工业系统网络。施耐德电气通过自身努力，在工信部、国家能源局等主管部门的指导和安排下，与中国电力行业和其他行业客户积极合作，致力于信息安全知识的普及和解决方案的推广；作为国家标准化委员会成员，施耐德电气在工业控制系统信息安全的标准化制定方面，帮助中国政府和行业主管部门完善相应的法规和标准制定；并加强与国家权威信息安全检测机构合作，做好新产品的信息安全检测工作，保证交付给中国客户的所有产品是满足国家和行业的信息安全要求，减少用户在信息安全方面的投资。今年以来，施耐德电气交付给所有客户的产品都已具备设备级防护能力，满足了国家和行业信息安全的相关要求。未来，施耐德电气的新产品都将满足Achilles SL2认证标准及IEC 62443标准。

      在推广和实现工业信息安全防护解决方案进程中，施耐德电气率先在电力、交通等行业取得了卓越的成绩。在电力行业，施耐德电气在国家能源局的指导和部署下，与国家权威的信息安全测评机构合作，完善了信息安全解决方案，通过了国家信息技术安全研究中心和中国电力科学研究院权威的信息安全检测，成为目前业内唯一一家产品通过信息安全检测、并被政府主管部门认可的厂家。今年，施耐德电气配合国家大型电力集团开展了部分省份电力企业的信息安全实施工作，提升其设备级、系统级和管理级的安全防护水平，通过实践，证明了施耐德电气信息安全纵深防御解决方案的可行性、可靠性和安全性。在交通行业，虽然系统网络相对比较封闭。不过针对产品类型繁杂、数量庞大、产品供应商较多的具体应用特点，施耐德电气首先通过采用设备级加固方案，然后加强系统级架构的完善，最后对管理级采取相应的预防举措，进而达到提升整个控制系统的信息安全。

      整体来说，施耐德电气信息安全防护策略适用于不同行业的应用，由于客户需求存在着差异化，施耐德电气也将根据自身积累的行业经验，结合客户实际需求，基于工业信息安全解决方案，对不同的行业做出相应调整，以实现定制化、让客户满意的工业信息安全解决方案。