德国菲尼克斯电气公司研发的FL MGUARD工业信息安全组件

     为了维护我国经济稳定可持续发展，防范工业控制系统潜在风险，保证生产设备运行的准确性和可靠性，中华人民共和国工业和信息化部于 2011 年 9 月印发了编号为（工信部协〔2011〕451 号）的《关于加强工业控制系统信息安全管理的通知》。这份通知着重强调了工业控制系统广泛应用于包括工业、能源、交通、水利及市政工程在内的多项领域，具有控制生产设备运转的重要职能。然而，一旦工业控制系统的信息安全因疏忽而出现漏洞，将会给工业生产正常运作及国家经济安全带来严重威胁。因此，强化工业控制系统信息安全的重要性愈发凸显。尤其如今伴随着计算机及网络科技的突飞猛进，信息化与工业化深度融合进程不断深入推进，以及物联网如火如荼的发展态势，工业控制系统产品已经大量采用通用协议、通用硬件和通用软件，通过多样化的连接方式，无缝融入互联网、公共网络等跨域领域，病毒、木马等相关威胁已逐步渗透至工业控制系统之中，工业控制系统信息安全问题日益受到各界关注。

      为了进一步提升工业控制系统及其工业通信网络的信息安全保障水平，国际电工委员会借鉴先进经验，从技术层面和管理层面两方面着手，精心编制出IEC 62443“用于工业过程测量和控制的网络与系统信息安全”这一国际标准。本项标准详细规定了工业控制系统应依照五大层次进行划分，每个层次均需具备严密的信息安全防护措施，以此构建起一套多层分布式纵深防御体系结构。例如，在第 5 级（企业层）的工厂企业防火墙能够有效抵御来自 Internet 的各类安全威胁；在第3/4 级（监控层），具有 DMZ 隔离区间的防火墙形成从管理层到控制系统的整体防护；而在第 1/2 级（现场设备层），分布式安全组件主要用来保护诸如 PLC 或 DCS 等核心设施。

     基于以上信息安全标准理念，德国菲尼克斯电气公司突破创新，成功研发出名为 FL MGUARD 的工业信息安全组件。这款装置可以在构建分布式安全系统架构中发挥巨大价值，无论是保护部分系统网络、各个生产单元还是单独的自动化设备，都能游刃有余。FL MGUARD 平台作为一款完整独立的系统，可直接集成到接入工业网络的工业计算机中，必要时亦可以借助 PCI 卡的灵活性完成这项工作。值得注意的是，工业信息安全组件在采用硬件安全协议实现的基础上，无需对计算机配置做出任何更改，且无需频繁进行软件升级。相较之下，该组件几乎不受保护系统所用处理器和操作系统的影响，因而绝对不会对系统性能产生负面冲击。

     鉴于工业信息安全组件为每个工业系统的中心计算机、控制计算机或者生产机器人分配一套专属的 industrial information security component, 因此其安全级别得以独立确立，并特别配置了访问权限以及其他相关的中央管理功能。值得一提的是，工业信息安全组件采取与受保护计算机相同的 IP 地址设置策略，因此不易被入侵者察觉，大大降低被发现的可能性，进而避免暴露在可能遭受的攻击面前。除此之外，该组件还搭载了基于 Kaspersky Lab 顶尖技术的病毒扫描引擎，用以监测数据源头，识别协议中可能存在的病毒（如 HTTP、SMTP 和 FTP），进而确保工业自动化系统具备全面保护 from DOS、DDOS 以及网络病毒攻击的能力。

     当下，部分国家正致力于研发攻势型与防守型两类网络战备体系。对于我国而言，务必防微杜渐，从宏观战略视角出发，参照国际通行准则对各个工矿企业在信息化构筑初期便作出明确的要求——根据服务运营的具体需求，准确判断潜在风险及其对应的安全需求，同时制定出公司信息安全体系架构的全面规划以及施行方案，根据实际情況及需求选取适当的安全功能组件。物资生产企业应从技术层面着手，健全系统的安全防护措施，设防多重安全屏障，提高系统的入侵监测能力、应急响应进度与系统快速恢复能力，构建起全方位、立体化的网络安全技术防护体系，逐步推动关键领域工控系统信息安全实现深度防御。