如果以前不确定，那么参加了信息安全会议之后，现在你应该足以相信，社会上确实有这样一些人，他们不但没有为所做的坏事对公司或个人造成伤害而愧疚，甚至幸灾乐祸。在信息安全的话题上，我们不得不要预防对工业控制和自动化系统的威胁。

        关键的工业流程和基础设施，诸如石油、化工、电力、交通、通信等，这些关系到国计民生的重要地方，随时都面临着安全威胁。霍尼韦尔（Honeywell）收购美特利康（Matrikon）就明确显示了过程控制供应商和他们的用户正在面临这样的威胁。请不要忘记发生在工业控制系统中最知名的攻击：“震网”蠕虫通过外围设备U盘，侵入控制网络，更改PLC中的程序和数据，对伊朗的核设施造成了严重的破坏。

        蓄意的攻击和意外的事故，轻者会造成设备的停机，重者会造成人员伤亡和环境破坏的后果。例如：联合化工子公司山东新泰联合化工有限公司在2011年11月19日所发生的安全事故，导致该子公司全面进入停产状态。已有14人死亡，5人受伤。2011年日本福岛核能电厂发生的核辐射事故，漏出的放射量是遭到原子弹轰炸时广岛的一百六十八倍。我们还可以列举很多这样的例子，但对于普通公众，不一定意识到问题的严重性。
        网络攻击可能来自多种原因；黑客，职业罪犯，遭公司解雇或对公司不满而离开的员工www.cechina.cn，企图伤害公司信誉或盗窃公司机密的竞争对手。攻击有时候是明显的CONTROL ENGINEERING China版权所有，你能发现某些地方出了问题，有时候是隐秘的控制工程网版权所有，如某人潜入一台控制器、PC或通信设备中，偷听会话，窃取数据，甚至进行破坏操作。这种威胁比千年虫的威胁要大的多，因为Y2K的背后没有犯罪和政治动机。

        IEC从2009年起发布IEC 62443标准，标准的标题是：工业通信网络－网络和系统的信息安全（Industrial communication networks – Network and system security）。该标准为系列标准，有些部分已经完成发布www.cechina.cn，有些部分编写工作正在进行，今后会不断推出。流程工业将是第一批采用这些标准的行业。据保守的估计，对大型分布式控制系统（DCS）实施信息安全比可编程控制器（PLC）系统要容易得多，因为它们多数部署在大型厂内，且DCS系统的设计安装要依据最佳工程实践，有一致性的标准和验收流程。而多数安装在工厂的PLC系统，则没有统一的设计、规划、实施和验收，因为购买金额相对较小www.cechina.cn，安装和调试的管理相对简单粗狂，因此留下诸多隐患。

        为了防止网络攻击，信息安全项目需要一种有效和切实可行的机制，包括人员、规程和技术。我们不能指望多数制造商很快就对他们的自动化系统实施网络信息安全项目。对信息安全的理解和从成功的案例中学习也需要时间。重要的是我们不能有侥幸的想法，总认为网络信息安全的问题不可能在我这里出现。我们需要积极地面对当前的形势，认真研究和讨论IEC62443标准，检查工厂的自动化系统，对工厂整体的运行情况进行评估，发现可能存在的隐含漏洞，和你的团队一起讨论信息安全策略和解决方案，这不仅能提高工厂运行的效率，而且随时防止有一天可能出现的网络攻击，保护工厂的资产、人员和环境。
        我们高兴地看到，很多自动化供应商已经行动起来，英维斯（Invensys）的团队就采取了下面的步骤实现信息安全：
        1. 研发：使用业内最好的安全产品实现系统生命周期内的信息安全。
        2. 测试：通过国家实验室项目，完成伍德泰克（Wurldtech）设备认证和Invensys产品质量安全规范测试。
        3. 执行：使用工厂验收测试（FAT）和系统验收测试（SAT），实现信息安全的基准测量。
        4. 支持：借助当地团队的帮助，为系统提供整个生命周期的信息安全支持。
        5. 改进：使用最新和先进的技术，对老系统进行更新。
        这个团队包括了Invensys负责信息安全的副总监，安全部门经理，安全咨询经理，控制系统安全项目经理。为了配合团队操作，还成立了协同小组。协同小组包括了伍德技术公司（Wurldtech）、北美电气可靠性公司（NERC）、迈克菲（McAfee）公司、国家实验室和壳牌（Shell）公司的成员。
        协同小组首先花一些时间确定每个成员的需求，找到成功需要的关键元素，哪些元素已经有、哪些元素需要加。信任、信息共享和对彼此需求/工作量大小的理解是实施项目的基础，因此需要建立很好的协同环境。这对有竞争关系的部门非常重要。目标是每个人都明确自己的工作内容，并且需要不断地更新。
        协同小组的第二个任务是与用户组织建立固定的开放对话机制。小组用这种方式提供重要信息，得到参与者的理解，倾听参与者的建议，实现良性互动。例如参与的用户可以列出一张他们“最关心、最重要的10项内容”的列表，提出他们最需要支持的方面。

        更多相关内容，请访问技术专题“自动化的信息安全”。
http://www.cechina.cn/special/ce-focus/Security/index.html