恐怖分子、黑客和可能存在心怀不满的雇员的威胁，以及控制系统本身脆弱、易受攻击的特点使我们必须对其安全保护给予足够的关注。不应该忽略加强控制系统安全保护的呼声，这决不是杞人忧天！
　　全球各地的保险公司、律师、政府正日益关注制造业及重要基础设施的计算机信息系统遭到“cyber”攻击的可能性与危害性。同样地，制造业和重要基础行业（例如电力、供水和油气）自身也开始广泛关注工厂中关键的控制系统（DCS、PLC、SCADA系统、HMI和控制系统网络）可能遭计算机攻击的可能性。
　　人们现在更有理由担心过程控制系统，因为传统IT系统的潜在弱点目前已经广为人知，被大家了解。而过程控制系统的安全隐患广泛存在、很多概念被错误理解，更多不安全性还未被意识到。其结果是：许多人忽然发现他们正面对着一种不确定的威胁，受到重创也许只是时间的问题。
　　在这些行业中只有极少数人已经采取措施来减轻这种危险。事实上许多人所做的恰恰相反，他们使这种危险变得更为广泛，更加不可捉摸。这也使大家感到困惑，是否灾难真的会降临？于是有些人自己安慰自己：情况并不是真的那么糟糕，不必担心。另外一些人则是抱着无能为力的态度消极等待，看灾难会在何时降临、它会怎样发生、结果有多糟糕。
　　也有少数人清楚地认识到了情况的严重性，他们已经参照其他行业的做法设立了相应的安全措施CONTROL ENGINEERING China版权所有，确保过程控制系统可靠有效的运行。确保控制系统设备的完整有效使用户可以采取更加均衡的手段来预防事故、保证安全或进行事故后的恢复工作。
　　行业文化隔阂
　　一般来说，公司的IT部门了解信息安全相关知识并且有相应的预算资金来处理此类问题，但是IT人员不了解过程控制系统。而负责操作和维护过程控制系统的人员对信息安全的了解以及可以应用于此项目的预算资金都比IT部门要少得多。另外，技术和行业文化的不同也使两者之间存在巨大差异：
　　●IT部门通常不能充分意识到控制系统需要每周7天，每天24小时长期运行的需要；
　　●IT部门也不能理解把IT技术和原则直接应用在控制系统上可能带来的问题；
　　●IT部门操作人员通常认为：系统可用性比安全性更重要。
　　当前的趋势
　　与其他领域发生的情况完全一样的是，许多工厂的控制系统遭遇过“cyber”事故，但是受害者不愿意公开这类信息，他们甚至不愿意承认发生过这种事情。不过我们还是从遍及全球的各种工厂中收集到许多关于控制系统安全事故的信息。经过对这些不断增加的信息进行客观的甄别，去除虚假信息，我们可以了解到攻击的种类、攻击强度、所造成财政损失以及工厂做出的反应等信息，还可以看出它们的变化趋势。
　　在电力（包括输配电、水力发电、火力发电、核电等）、供排水、石油/天然气、化学、制造业等行业都发生过针对控制系统的信息安全事故。美国联邦调查局正密切关注针对重要基础设施的控制系统所发生的“刺探”和分析活动，最近此类事件正在不断增加。在黑客们常去的Internet留言板“black hat”和“vulnerability”上，关于控制系统弱点的聊天交流也在不断增加。
　　目前还没有一份由独立机构完成的关于控制系统所受到计算机攻击的精确统计报告，只是有几个关于此类事件的“孤立”的数据库，根据这种很有限的数据得出的统计结果是不可靠的。但是我们至少可以从中得出一个结论：与传统IT行业所暴露出来的问题一样，控制系统的信息安全事故也呈上升趋势。（请参见图1。）

图1：在过去几年里控制工程网版权所有，恶意的和无意的信息系统攻击/入侵事件增长非常快；
从1998到2003年发生了310000起此类事件，对比1993到1997年度www.cechina.cn，
只有10000起。

　　在一个具体公司中实际发生的针对控制系统的安全事故可以被划分成3大类：（1）故意发起的黑客攻击行为（如未经授权进入机密电子文档），破坏正常的系统运行（DoS-例如用超过系统负荷的大量通信数据使网络系统瘫痪）或是欺骗活动（在发送出去的电子邮件中伪造发件人地址）；（2）由于计算机网络“蠕虫”(可自我复制但无危害)或是“病毒”造成的非故意的损害；（3）发生在内部的无意中违反安全规定的行为www.cechina.cn，例如不恰当的操作系统测试或是对控制系统的构建考虑不周。在这三大类事件中，故意发起的黑客攻击行为是最少发生的www.cechina.cn，但是它的破坏性最强，而且要求对整个控制系统和被控制对象有详细深入的了解。因此最有可能的攻击者就是心怀不满的员工、前员工或是曾经在这里工作过的人。
　　最有可能发生的是非故意的内部事故，通常由于不恰当的测试活动或是程序考虑不周而引起，由不熟悉控制系统的人来进行控制系统网络的入侵测试就是典型的自己制造麻烦的例子。最普遍的是由Internet“病毒”和“蠕虫”而引起的事故，它们一般是针对Microsoft Windows或是其他基本的IT结构，而不是针对具体终端用户的。由于绝大多数控制系统的人机界面软件通常都运行在常用的商用操作系