全球已發生200余起針對工業控制系統的攻擊事件。2001年后，通用開發標準與互聯網技術的廣泛使用，使針對工業控制系統(ICS)的病毒、木馬等攻擊行為大幅度增長，結果導致整體控制系統的故障，甚至惡性安全事故，對人員、設備和環境造成嚴重的后果。比如伊朗核電站的震網病毒事件，給全球工業界控制系統的信息安全問題敲響了警鐘。工控系統信息安全的需求變得更加迫切。

我國工控領域的安全可靠性問題突出，工控系統的復雜化、IT化和通用化加劇了系統的安全隱患，潛在的更大威脅是我國工控產業綜合競爭力不強，嵌入式軟件、總線協議、工控軟件等核心技術受制于國外，缺乏自主的通信安全、信息安全、安全可靠性測試等標準。工信部發布《關于加強工業控制系統信息安全管理的通知》，要求加強與國計民生緊密相關的多個重點領域內工業控制系統信息安全管理。事實告訴我們，只有做到居安思危、未雨綢繆，才能保證工業控制系統健康穩定地運行。

控制系統信息安全大事件

2007年，攻擊者入侵加拿大一個水利SCADA控制系統，破壞了取水調度的控制計算機

2008年，攻擊者入侵波蘭某城市地鐵系統，通過電視遙控器改變軌道扳道器，致四節車廂脫軌

2010年，西門子首次監測到專門攻擊該公司工業控制系統的Stuxnet病毒，也稱為震網病毒

2010年，伊朗政府宣布布什爾核電站員工電腦感染Stuxnet病毒，嚴重威脅核反應堆安全運營

2011年，黑客入侵數據采集與監控系統，使美國伊利諾伊州城市供水系統的供水泵遭到破壞

2011年，微軟警告稱最新發現的“Duqu”病毒可從工業控制系統制造商收集情報數據

2012年，兩座美國電廠遭USB病毒攻擊，感染了每個工廠的工控系統，可被竊取數據

2012年，發現攻擊多個中東國家的惡意程序Flame火焰病毒，它能收集各行業的敏感信息

我國同樣遭受著工業控制系統信息安全漏洞的困擾，比如2010年齊魯石化、2011年大慶石化煉油廠，某裝置控制系統分別感染Conficker病毒，都造成控制系統服務器與控制器通訊不同程度地中斷。

2011年9月29日，工信部特編制下發《關于加強工業控制系統信息安全管理的通知(工信部協[2011]451號)》文件。明確指出工業控制系統信息安全面臨著嚴峻的形勢，要求切實加強工業控制系統信息安全管理。

信息安全成為企業的焦點

如果以前不確定，那么參加了信息安全會議之后，現在你應該足以相信，社會上確實有這樣一些人，他們不但沒有為所做的壞事對公司或個人造成傷害而愧疚，甚至幸災樂禍。在信息安全的話題上，我們不得不要預防對工業控制和自動化系統的威脅。

關鍵的工業流程和基礎設施，諸如石油、化工、電力、交通、通信等，這些關系到國計民生的重要地方，隨時都面臨著安全威脅。霍尼韋爾(Honeywell)收購美特利康(Matrikon)就明確顯示了過程控制供應商和他們的用戶正在面臨這樣的威脅。請不要忘記發生在工業控制系統中最知名的攻擊：“震網”蠕蟲通過外圍設備U盤，侵入控制網絡，更改PLC中的程序和數據，對伊朗的核設施造成了嚴重的破壞。

蓄意的攻擊和意外的事故，輕者會造成設備的停機，重者會造成人員傷亡和環境破壞的后果。例如：聯合化工子公司山東新泰聯合化工有限公司在2011年11月19日所發生的安全事故，導致該子公司全面進入停產狀態。已有14人死亡，5人受傷。2011年日本福島核能電廠發生的核輻射事故，漏出的放射量是遭到原子彈轟炸時廣島的一百六十八倍。我們還可以列舉很多這樣的例子，但對于普通公眾，不一定意識到問題的嚴重性。

網絡攻擊可能來自多種原因;黑客，職業罪犯，遭公司解雇或對公司不滿而離開的員工，企圖傷害公司信譽或盜竊公司機密的競爭對手。攻擊有時候是明顯的，你能發現某些地方出了問題，有時候是隱秘的，如某人潛入一臺控制器、PC或通信設備中，偷聽會話，竊取數據，甚至進行破壞操作。這種威脅比千年蟲的威脅要大的多，因為Y2K的背后沒有犯罪和政治動機。

IEC從2009年起發布IEC62443標準，標準的標題是：工業通信網絡-網絡和系統的信息安全(Industrialcommunicationnetworks–Networkandsystemsecurity)。該標準為系列標準，有些部分已經完成發布，有些部分編寫工作正在進行，今后會不斷推出。流程工業將是第一批采用這些標準的行業。據保守的估計，對大型分布式控制系統(DCS)實施信息安全比可編程控制器(PLC)系統要容易得多，因為它們多數部署在大型廠內，且DCS系統的設計安裝要依據最佳工程實踐，有一致性的標準和驗收流程。而多數安裝在工廠的PLC系統，則沒有統一的設計、規劃、實施和驗收，因為購買金額相對較小，安裝和調試的管理相對簡單粗狂，因此留下諸多隱患。

為了防止網絡攻擊，信息安全項目需要一種有效和切實可行的機制，包括人員、規程和技術。我們不能指望多數制造商很快就對他們的自動化系統實施網絡信息安全項目。對信息安全的理解和從成功的案例中學習也需要時間。重要的是我們不能有僥幸的想法，總認為網絡信息安全的問題不可能在我這里出現。我們需要積極地面對當前的形勢，認真研究和討論IEC62443標準，檢查工廠的自動化系統，對工廠整體的運行情況進行評估，發現可能存在的隱含漏洞，和你的團隊一起討論信息安全策略和解決方案，這不僅能提高工廠運行的效率，而且隨時防止有一天可能出現的網絡攻擊，保護工廠的資產、人員和環境。

我們高興地看到，很多自動化供應商已經行動起來，英維斯(Invensys)的團隊就采取了下面的步驟實現信息安全：

1.研發：使用業內最好的安全產品實現系統生命周期內的信息安全。

2.測試：通過國家實驗室項目，完成伍德泰克(Wurldtech)設備認證和Invensys產品質量安全規范測試。

3.執行：使用工廠驗收測試(FAT)和系統驗收測試(SAT)，實現信息安全的基準測量。

4.支持：借助當地團隊的幫助，為系統提供整個生命周期的信息安全支持。

5.改進：使用最新和先進的技術，對老系統進行更新。

這個團隊包括了Invensys負責信息安全的副總監，安全部門經理，安全咨詢經理，控制系統安全項目經理。為了配合團隊操作，還成立了協同小組。協同小組包括了伍德技術公司(Wurldtech)、北美電氣可靠性公司(NERC)、邁克菲(McAfee)公司、國家實驗室和殼牌(Shell)公司的成員。

協同小組首先花一些時間確定每個成員的需求，找到成功需要的關鍵元素，哪些元素已經有、哪些元素需要加。信任、信息共享和對彼此需求/工作量大小的理解是實施項目的基礎，因此需要建立很好的協同環境。這對有競爭關系的部門非常重要。目標是每個人都明確自己的工作內容，并且需要不斷地更新。

協同小組的第二個任務是與用戶組織建立固定的開放對話機制。小組用這種方式提供重要信息，得到參與者的理解，傾聽參與者的建議，實現良性互動。例如參與的用戶可以列出一張他們“最關心、最重要的10項內容”的列表，提出他們最需要支持的方面。