什么是工业控制系统信息安全？如何划分安全等级？
　　在IEC62443中针对工业控制系统对信息安全（Security）的定义是：（1）保护系统所采取的措施；（2）由建立和维护保护系统的措施所得到的系统状态；（3）能够免于对系统资源的非授权访问和非授权或意外的变更、破坏或者损失；（4）基于计算机系统的能力，能够保证非授权人员和系统既无法修改软件及其数据也无法访问系统功能，却保证授权人员和系统不被阻止；（5）防止对工业控制系统的非法或有害入侵，或者干扰其正确和计划的操作。
　　IEC62443中引入了信息安全保障等级（SAL，Security Assurance Level）的概念，尝试用一种定量的方法来处理一个区域的信息安全。通过定义并比较用于信息安全生命周期的不同阶段的目标SAL、设计SAL、完成SAL和能力SAL，实现预期设计结果的安全性。它从身份和授权控制、使用控制、数据完整性、数据保密性、受限数据流、事件适时响应、资源可用性7个基本要求入手，将信息安全保障等级分为4个等级。
　　国外目前发展情况
　　国际上，针对工业控制系统的信息安全评估和认证还处于起步阶段，尚未出现一个统一的评估规范。为了抢占市场，美国ISA组织于2010年成立了专门的测试机构ISCI（ISA信息安全符合性研究院），授权第三方测试实验室进行工业自动化信息安全认证，但目前仅针对嵌入式设备进行评估。
　　专家建议
　　吴 澄：震网病毒震动了工业界，也破灭了专用网络、工业系统固有的安全基础CONTROL ENGINEERING China版权所有，我们应高度警惕物理隔离网络和工业控制系统的安全。
　　第一，加强工业控制系统漏洞及其挖掘技术研究。工业级控制软件的安全逐步得到大家的重视，通过挖掘发现存在大量的漏洞。
　　第二，进行ICS安全应用行为分析与学习能力的研究。例如对系统性能的异常检测模型、工业系统协议的内容识别模型、OPC组件的调用规则模型,以及外设和WIFI的审计报警模型等研究。知识库和各种分析模型的建立离不开对用户工业控制系统的理解和产业攻击事件与趋势的跟踪分析研究。
　　第三，建立重要ICS安全应急响应机制。建立重要工业基础设施的应急响应机制，实现对重要目标或系统的监测、防护和应急处理，采取技术手段实现追踪定位、灾害恢复和攻击反制；建立类似西方国家实战演习的工作方式，定期进行内外网的工业系统安全演练，发现技术、制度上的薄弱环节，及时应对。
　　第四，必须加强国产工业软件核心技术的研究，这其中包括国产核心基础软件的研究和国产核心网络产品的研制，另外，国产核心工业软件系统的研究也非常重要。
　　欧阳劲松：尽管工业控制系统信息安全已成为一个全球性的问题，但是我国用户与发达国家相比，在安全意识和防范措施等方面仍存在着巨大的差距，标准与法规尚未健全www.cechina.cn，第三方认证机构没有得到系统管理。工业控制系统信息安全问题必须在国家的推动和贯彻下才能得到切实解决。在传统IT信息安全领域，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，我国在2007年发布了《信息安全等级保护管理办法》，对信息系统分等级实行安全保护。同样地，为保障工业控制系统的信息安全，更加迫切地需要有关政府部门发布相关法令法规，引起各行业足够的重视CONTROL ENGINEERING China版权所有，并规范行业实践。
　　工业控制系统涉及众多行业，各行业的具体管理要求和系统设备工作环境不尽相同。因此控制工程网版权所有，我们必须深入研究我国工业控制系统的行业特点和需求，有针对性地制定相关行业信息安全保障应用行规。同时，以工业自动化标准化机构为先导，联合相关组织机构控制工程网版权所有，研究我国工业信息安全标准体系，积极开展工业控制系统信息安全评估标准的制定工作，健全工业信息安全评估认证机制，建立有效的工业控制系统信息安全应急系统，形成我国自主的工业控制系统信息安全产业和管理体系。