当前，全球工业已全面进入数字化转型时期，我国也相继部署实施“数字中国”“网络强国”“新基建”等战略加速推动数字化转型进程。“数字化智能工厂转型”已经是当今工业自动化行业的热门话题和发展潮流，但是在制造业数字化转型步伐加快的同时，不可忽视的是大量物联网设备的部署带来的潜在威胁。

目前工业互联网安全问题和解决方案有哪些？与传统的工控系统安全和互联网安全相比，工业互联网安全所面临的挑战有哪些不同？企业为什么需要第三方认证？带着诸多问题，我们邀请TüV南德大中华区工业产品及防爆部高级经理李太伟先生分享了一些见解。

TüV南德大中华区工业产品及防爆部高级经理李太伟先生

数字化转型背景下的工业互联网安全

网络安全，既是企业数字化转型的基础保障，亦是工厂安全运行的必备条件。李太伟指出，随着互联网的发展，网络信息安全越来越受到人们的重视，世界各国和地区都陆续出台了一系列法律法规保护个人信息、保障数据安全。例如，欧盟推出的GDPR；我国推出了《个人信息保护法》等。而工业领域安全网络体系更为复杂。随着工业领域自动化程度越来越高，信息化和工业化深度融合，特别是制造业从工业3.0迈向4.0、从传统工厂向数字化工厂的转型升级，给生产模式带来了巨大转变。从大规模批量化生产，转向独立、定制化生产；生产系统从原来的专有系统转向开放式系统；控制系统逐步由集中式控制转向分散式控制。

“工厂在数字化转型的过程中所面临的问题与以往完全不同，正因如此，工业信息安全对于企业来说更加重要。这也是包括TüV南德等公司在内的行业先驱，投入人力物力研究工业互联网信息安全的重要原因。”李太伟说。

那么，与传统互联网安全相比，工业互联网安全所面临的挑战有哪些不同呢？李太伟说：“传统互联网安全的问题主要表现为数据泄漏或丢失。相比之下，工业互联网安全所面临的问题，其复杂度、风险度和产生的影响要大得多，可能导致整个生产流程停滞而产生巨大损失；也可能出现定单无法完成而遭遇巨额索赔等等。”

以2015年发生在乌克兰的电厂停电事件为例，该事件就是一起以破坏电力基础设施为目标的网络攻击事件。黑客成功破坏了电网的信息系统，并斩断了多个城市的电力供应，令几十万居民的生活陷入黑暗之中。“前两年，德国自动化服务供应商皮尔兹也曾遭勒索软件攻击并造成停产。而进行工业网络攻击的主谋，也不再是散兵游勇，通常是有组织的团伙，并伴有明确的目的性。”他说。

工业网络安全的解决方案与标准体系

尽管如此，仍有许多生产制造企业对网络安全风险认识不足，存在误区。李太伟总结了几个常见误区：我们没有连接互联网，所以是足够安全的；我们有防火墙，所以很安全；黑客不懂工业系统 SCADA/DCS/PLC；我们的设备不是攻击目标；我们的安全系统能防止任何侵害。

针对于此，工业网络安全的解决方案在安全目标和要求方面有不同的优先级。“聊到互联网安全时，我们更多的讲IT，即信息技术，在乎信息的机密性；而工业互联网安全，我们讲OT，即运营技术，更多强调信息的可用性。”李太伟进一步解释说：“如果生产线不能高效生产，甚至停产，将给企业带来不可估量的损失，因此保障系统的可用性是工业自动化与控制系统的第一优先级。”

针对工业网络安全的解决方案，目前，世界各国已有了很多的前期实践，比如一些标准体系的出台和建立，包括ISO 27000、IEC 62443等等，以及不同国家的标准。越来越多的国家和地区基于现在的实践开发适合自己的工业信息安全标准，进而指导企业完善信息安全的相关要求、降低信息安全风险。

李太伟介绍说，以IEC 62443为例，该标准通过一系列明确的过程要求，旨在以一种结构化的方式，处理所有的相关信息安全问题。此外，该标准预期建立相关过程以实现所有必要的技术信息安全功能。IEC 62443可根据相关的项目范围进行调整，从而为实现产品和系统全生命周期的信息安全奠定了基础。

TüV南德意志集团的工业网络安全服务

“TüV南德意志集团根据积累了多年的在工业过程方面的丰富经验，以及在工业信息安全方面的深厚专业知识，设计了相关的认证体系和流程。”李太伟说，“同时基于流程层面和产品技术层面这两个维度，对于用户来说，可以得到清晰的认知：如果想把信息技术做好，该如何做；以及如何一步步去实现目标，最终能够提供给行业满足工业企业需求的产品和系统。”

针对组件供应商，TüV南德提供基于IEC 62443-4-1《安全产品开发生命周期》, IEC 62443-4-2《IACS组件的技术安全要求》的认证服务。针对系统集成商，提供基于IEC 62443-2-4《服务提供商安全程序》， IEC 62443-3-2《系统设计的安全风险评估》， IEC 62443-3-3《系统安全要求和安全级别》的认证服务。“在此过程中，我们的专家会验证通用过程的符合性，以及安全过程与参考构架或蓝图的符合性。在认证过程中，审核人员将通过文件审核、面谈和现场检查进行符合性评估。在通过认证确认符合标准的要求后，我们将出具报告以及TüV南德认证标志。”

根据行业领域信息安全水平的参差不齐。TüV南德将用户分为三个类型阶段：T0阶段：对信息安全仅有些意识和基本了解，刚刚开始考虑。针对这部分用户，TüV南德提供从基础培训开始，建立起信息安全意识，帮助其了解信息安全的架构，并有能力进行下一步规划；接下来是T1阶段：客户已经开始生产和设计产品，针对这部分客户，TüV南德提供偏差分析和知识服务，帮助客户梳理政策以及技术流程并找出安全漏洞、确定安全对策，同时进行测试和评估，帮助客户了解自己系统和最终目标系统之间的差距。到此阶段，即T2阶段，客户已经具备了相当的能力，这时需要业内的第三方企业，就其产品符合相关标准和体系要求进行背书和证明。

“典型的例子是TüV南德为国电南瑞颁发首张工业信息安全认证证书。该项目从2019年初启动，那时南瑞对IEC 62443体系并不了解，是个典型处于T0阶段的状态。TüV南德国内与海外的专家展开了多次培训与沟通，并借鉴了国外相关经验；在此阶段，我们也确定下来需要评估的范围。接下来，我们的现场工程师进行偏差分析，进行了一些调整，包括组织架构、人员配置、企业流程、设计技术方案上、功能上的调整，保障最终产品能够满足工业信息安全的要求。之后水到渠成，进入评估阶段。整个项目前后进行了两年多，但最后的评估阶段只用了大约3个月。”李经理举例说。

另外一个具有说服力的例子是德国西门子公司。2016年8月，TüV南德根据 IEC 62443-4-1 系列标准在西门子位于德国的七个研发中心顺利完成了工业自动化及驱动系统产品总体设计及开发过程的认证。此后，西门子过程控制系统－Simatic PCS 7于2017年获得基于 IEC 62443-4-1 及IEC63443-3-3 标准的认证。

在谈到TüV南德工业网络安全服务的优势时，李太伟表示：“在技术上，TüV南德在工业过程方面的丰富经验，以及在工业信息安全方面的深厚专业知识，为我们开展安全过程和解决方案的评估提供了独特的优势。我们的风险分析方法结合了信息安全和安全两方面要素，且已经过实践检验，以及国家政府部门的认可。在一些敏感领域，我们采取更灵活的方法，从而打消企业有信息泄露的顾虑，有些信息资料可以在评审现场才给到评审老师；一些特别核心信息，客户可以只介绍方法论、原理等。评审项目组的成员，都是来自于世界各地行业经验丰富的专家。”

今后，随着公共领域互联的复杂程度越来越高，设备的互联、互通、互操作程度越来越高，人们对信息安全愈发重视，同时面临的风险也越高。“不管是行业层面，还是国家层面，都应该提前做好应对新技术发展带来的信息安全问题。就像TüV南德的宗旨：‘通过保护人员、环境和资产免受技术相关风险，推动科技的发展进步’，通过提前准备，趋利避害，减少新生事物可能造成的负面影响，创造一个更加安全和更加可持续的未来。”李太伟最后总结说。