彭瑜      中国自动化学会理事

   目前保证信息安全的5个实际步骤

   保证ICS/SACADA的信息安全，要根据不同的情况制定相应的措施。不过只要按以下5个实际步骤，不论系统的规模大小，都可以为信息安全打下坚实的基础，达到基准的要求。也符合一些政府机构、国际标准组织所颁布的信息安全的指南、规范和标准，如ISA/IEC、ICS-CERT等。这5个实际步骤是：

   列出我们最担心的信息安全问题，然后进行风险评估，按优先等级排序，并制定受到攻击时的预案。

   制定全面广泛的信息安全计划。

   按所制定的信息安全计划切实执行，决不“偷工减料”。

   制定维护、修改和升级的制度。

  建立信息安全不可能一劳永逸的观念，不断改善。

   信息安全问题排序和风险分析

  首先要认识到，不可能防止所有正在发生的破坏信息安全的攻击。这就是为什么绝大多数信息安全专家推荐我们要做风险评估的原因所在。

   为此需要先列出本单位ICS/SCADA系统可能发生的信息安全问题的各种事件，然后按这些事件可能引发危害的严重性排序。把会产生最坏后果的事件列为最高的优先处理级，评估其风险，做出预案，设计防范措施，而且要考虑一旦不能完全防护，必需采取什么措施和步骤将其影响减至最小，并且考虑如何快速恢复的办法。

   信息安全事件应包括来自外部和内部的攻击，恶意和无意的攻击，考虑系统和软件的漏洞。

   信息安全问题排队和风险分析都需要反复推敲和认证，避免小题大做或耸人听闻，以求恰如其分，不过度防护。

    全面广泛地制定信息安全计划

    在制定信息安全计划时，应该勾画出最广泛的可能提供的各种选项，然后按已经列出的信息安全问题清单中风险等级最高事件，以此作为重点选用哪些防范措施的依据。

   所列出的选择范围应该包括：本单位的信息安全策略和有关步骤；物理信息安全；网络信息安全；设备信息安全；计算机信息安全。

   （1）本单位的信息安全策略和有关步骤：特别是在对本单位职工有关信息安全的一贯行为制定规范时常常会碰到许多实际限制，于是信息安全策略就是考虑出发点和决定取舍的终止点。

   （2）网络信息安全：为了让所有有关的人员和应用能顺利地对网络进行存取，而又让一切无关的人员和应用被网络拒之门外，必须建立一种按不同的物理区间和就地功能划分区域的以太网基础结构。良好的网络设计，选择合适的工业交换机、无线设备和路由器，使网络具有利用虚拟局域网（VLAN）、子网和第3层网的路由能力。整个网络要增加工业信息安全设备，包括各分区之间也必须有信息安全层。

   （3）物理信息安全：主要是指所有信息安全监控用的摄像头和传感器，都必须纳入为ICS/SCADA设置的以太网内，由这个以太网提供电源和信号。

   （4）设备信息安全：目前处于设备层的自动化设备，有的已经具备了信息安全的功能，但大多数尚不具备信息安全的功能。所以应该考虑的是保护控制柜的信息安全功能，暂且不要考虑设备之间信息安全功能的不协调问题。

 （5）计算机信息安全：最基本的要求是运用知名信息安全防护公司提供的防病毒软件；将应用软件限定在所必需的范围内，即只安装非用不可的应用软件，绝不允许安装其它无关的应用软件；严格执行公司的信息安全策略和措施；对所有要进入ICS/SCADA系统的USB、DVD以及网络流量进行扫描；自动下载新定义的病毒；定期对每一个系统进行检查，以保证其功能正常。