近年来，工业信息安全事件频频爆发。从2010年爆发的“Stuxnet”病毒到2017年连续爆发的WannaCry和Petya勒索病毒，冶金、能源、电力、天然气、通信、交通、制药等多个工业领域，遭到了安全攻击。随着智能制造的全面推进和工业数字化、网络化、智能化的快速发展，工业企业面临着安全漏洞增加、安全威胁渗透加速等诸多挑战。
8月5日，在西门子网络信息安全媒体沙龙上，西门子有限公司副总裁兼首席网络与信息安全官胡建军向与会媒体详细介绍了西门子如何应对工业领域的信息安全挑战，并分享了西门子在信息安全方面的“制胜战略”。
在数字时代，信息安全面临诸多挑战。
数字化时代，OT与IT的融合是工业企业转型的必然趋势。然而，在IT和OT融合的过程中，网络风险不断渗透到工业领域。由于人的意识、技术不成熟、操作不当或其他设计问题，漏洞或缺陷也使信息安全成为机会。
新的数字浪潮使企业面临的安全挑战更加复杂。展望未来，OT和IT的界限会慢慢消失，但融合不会一蹴而就。胡建军提到:“产业引入IT是一个渐进的过程，要从实际出发考虑两者的差异。”与IT相比，OT系统和基础设施具有较长的生命周期和稳定的运行环境。数字化带来便利的同时，也非常容易让病毒“搭便车”。根据两者的不同特点，要有不同的解决方法，分而治之。
此外，从政府和监管的角度来看，信息安全的监管越来越严格，面临越来越多的法律法规要求。欧盟、中国和美国也提出了许多监管要求，如网络安全法、数据安全法、网络安全审查等。数字经济中的网络和信息安全问题。
对于工业企业来说，信息安全从来没有像现在这样具有挑战性。在沙龙上，胡建军还强调:“信任是数字经济成功的基石。在数字时代，信息安全关乎信任，信任就是信心。在做数字化转型的时候，也要同时考虑信息安全。两者密不可分。”
数据驱动，确保信息安全
数字化转型下，如何综合考虑信息安全问题？对此，西门子给出了答案。做好工厂安全、网络安全、信息系统安全，要从物理安全到人的安全、单点安全、网络安全等多方面考虑。不能靠只有一道防线的想法，也就是纵深防御。西门子建立了“立体防护”，整合了反病毒、网络安全、应用安全、业务安全、员工意识培养、人才教育等多种技术，形成纵深防御阵地。即使一道防线被攻破，后面还有不同的入侵检测系统，或者防火墙、反病毒等防线，可以有效协同工作。例如，在徐州地铁1号线项目中，西门子提供了地铁信息系统，应用了纵深防御和下一代防火墙技术，为无线网络远程监控列车提供了立体的安全保障。
西门子提出深度防御安全的概念，涵盖物理安全、网络安全和系统完整性。
从实践的角度来看，西门子实施“三步走”战略，即“安全评估、安全实施和安全管理”。从检测到改进，并增加持续监控和优化的过程，西门子引入了管理安全。通过评估和数字化，能够实时、详细地掌握其数字资产的状况，了解企业面临的信息安全问题和困惑。时刻掌握外界的威胁感知，实时掌控外界新的安全攻击手段和来源。
未来工业安全战场的成败关键取决于态势感知能力的构建，能否快速获取外部攻击威胁信息，更重要的是能否实时动态掌握自身态势，将两者结合起来及时做出最恰当的决策和反应。
基于此，西门子推出了工业控制态势感知系统，可以实现本地化的工业控制网络安全态势感知，实现对工业控制系统的全面监控。通过采集上位机、服务器、网络设备、防火墙、工控应用以及工控网络全报文网络流量的安全日志，面向运营技术领域，对各类工控数据进行全面深入的安全智能分析。最终以多视角、多角度、多尺度的方式展现工业控制网络的安全态势。
目前，西门子已经将OSA应用于自己的数字化工厂，这意味着西门子的信息安全方案是建立在自己工厂的成功实践基础上的，而不是“楼阁空”或“纸上谈兵”。同时，西门子已成功将信息安全技术应用于工业领域的领先企业。例如，在与华润水泥的合作中，西门子在天洋试点工厂为工业网络信息安全创建了一个态势感知防御解决方案。建成的防护系统可以全面采集工业现场数据，实时监控工业控制网络流量，自动识别异常行为，直观呈现工业控制系统关键指标。
西门子可以“感同身受”工业安全。
西门子在网络信息安全领域拥有30年的经验。总部有专门的安全团队支持工业安全解决方案的研发，并进行兼容性和可行性测试。还有本地安全团队进行本地化研发，提供本地安全服务，有利于全球知识共享和协作。
在采访中，胡建军表示，作为一家传统的工业企业，与其他安全厂商相比，西门子扎根工业的信息安全领域最大的不同就是能够“移情”客户的需求。关于对信息安全目标优先级的理解和选择信息安全解决方案的考虑，西门子可以为工业客户的应用场景提供从安全评估、安全方案设计、安全运营的全方位安全服务。解决方案涉及产品安全、安全解决方案、安全运营等全生命周期安全。
在瞬息万变的网络世界里，没有百分百的安全。对于西门子来说，对技术创新的不懈追求始终激励着这家百年企业在构建安全数字世界的道路上坚定前行。信任是构建数字世界的基石，安全是企业运营的保险。从理念到技术创新，再到行业实践，西门子像一位技术娴熟的医生，以卓越的创新技术、广博的行业知识和多年的实践经验，为工业信息安全这一“顽疾”开出了一剂良方，为数字化征程保驾护航。
近日，国内权威研究机构赛迪顾问发布了《中国工控安全市场发展白皮书》。和利时作为工控安防领域的优秀企业，凭借其先进的技术水平和专业的服务能力，被列为中国工控安防重点企业。同时，四款工控安防产品也在重点推荐之列。《安全工控设备竞争格局白皮书》数据来源显示，和利时在安全工控设备领域获得市场地位和开发能力“冠军”，彰显了其在工控安全领域的领先地位。狄认为:“安全工控设备的关键厂商集中在提供工控设备的厂商中。在网络安全的环境下，通过底层技术路线实现工控设备的自主研发，从而达到安全可控的目的。其中和利时在市场上接受度较高，2019年市场销量领先。和利时采用的可信架构的工控安全设备技术已经得到市场验证，未来发展潜力巨大。”在安防控制系统产品领域，和利时主动防护可信控制系统依托可信计算主动防护技术，选用国产加解密芯片作为硬件基础，采用轻量级双系统可信计算技术，提升工业嵌入式可编程控制器领域的可信计算技术水平。和利时安全控制系统产品实现了工控系统从内到外的主动防护，保证了网络安全关键技术和算法的自主性。通信保护能力通过Achilles II认证的国内控制系统。工控网闸的竞争格局CCID认为:“工控网闸产品在工控市场需求量很大，产品也比较成熟。合水布局较早，市场份额和发展潜力都在领跑者队列。”工业隔离与信息交换系统HOLLiSec-GAP利用Hollis在安全架构方面的研究经验和自身的技术优势，推出了一款全新、高效、安全的工业控制系统网络隔离产品。该产品采用“2+1”系统架构，通过信息落地、恢复、扫描、过滤、反病毒、入侵检测、审计等安全处理，有效防止黑客攻击、恶意代码和病毒的渗透。同时，可以防止内部机密信息的泄露，实现工业控制环境的网络安全隔离和信息交换，保护工业控制系统与生产管理系统的边界以及工业控制系统内部不同控制区域的边界。工控安全审计产品CCID认为:“国内工控安全审计产品侧重于监控和审计的功能，是符合合规性要求的安全产品，在工控市场竞争激烈。从实际工业场景客户需求出发，和利时产品市场接受度较高，2019年销售在市场上有较大优势，发展潜力较好，被列为重点企业。”Hollis工业网络安全审计系统Hollis sec-SAS是一个专门针对工业控制系统的安全审计系统。通过旁路部署连接到核心交换机，可以实时采集和分析工业控制网络中的网络流量。通过部署特定业务场景的安全策略，审计系统能够快速有效地识别工业控制网络中的异常网络行为和网络攻击，并实时报警，从而保障工业控制系统的安全运行。工控安全管理平台竞争格局CCID认为:“国内工控安全管理平台专注于提供控制安全产品，传统网络安全厂商在该领域优势明显。从发展潜力来说，和利时在工控市场有很强的认知度和竞争力，也有很好的发展潜力。”Hollis的工业网络管理平台Hollis sec-SMP基于对工业自动化业务的深入理解，针对电力、能源、制造、轨道交通等行业，，并通过对工业控制系统中各种IT和OT设备的数据采集，进行实时分析和可视化展示，感知工业网络的异常行为和事件。对上位机、服务器、控制器、网络设备、工控安全设备等终端设备进行集中的性能状态监控和安全策略管理。在工业网络中，从而全面掌控工业网络的安全态势，连接安全防护孤岛，为安全管理者提供决策依据，实现工业网络安全处置闭环。信息安全关系到国计民生和国家长治久安，是国家安全的重要组成部分。宁波和利时信息安全研究院有限公司，依托和利时集团在工业控制领域多年的综合实力，承担着提升工业控制系统安全能力的重要责任，致力于推动相关技术的创新和研究。随着这份白皮书的发布，四款和利时产品进入领导者行列，和利时工控安防产品的实力和服务能力得到了行业和市场的高度认可。未来，和利时将继续加大在工业信息安全领域的投入，聚焦工业信息安全战略方向，充分发挥核心技术的积累和优势，全力加强工业互联网安全的自主研发和创新，为网络强国战略建设贡献力量。
随着各行业信息技术的快速发展，业务应用信息系统越来越多。作为业务应用信息系统和信息数据的主要载体，计算设备终端面临着越来越多的安全威胁。基于漏洞的攻击不断升级，计算机架构缺乏防护组件，导致操作系统漏洞层出不穷，针对硬件的攻击也时有发生。然而，传统的“拦截和查杀”已经难以完全保证关键信息基础设施的安全。因此，“用可信计算构建网络安全”已经成为广泛共识，基于可信计算技术的可信环境是解决系统安全的关键之一。北京集智达智能科技有限公司推出了基于可信Bios的网络信息安全计算机，支持可信计算技术发起的信任链建立。GNS-1411支持可信计算，一台6电4光、IPMI接口的网络信息安全计算机。主要特点BIOS支持可信计算架构，提供可信计算、可信认证、数据加密等安全功能支持IPMI功能，实现远程管理和监控支持可信华泰安全软件，实现安全启动和动态测量支持产品可信合规，支持国产操作系统，兼容性好，拥有丰富的生态链GNS-141A支持可信计算和网络信息安全计算机，具有多个PCIe扩展接口。主要特点BIOS支持可信计算架构，提供可信数量、可信认证、数据加密等安全功能支持可信华泰安全软件，实现安全启动和动态测量为产品可信合规提供支持。4-8个前端网络扩展模块可以适应不同的网络需求。
近年来，随着新型数字基础设施的发展和平等保护2.0标准的出台，网络安全行业对可信计算的需求迫在眉睫。可信计算机硬件平台主要包括支持TPCM可信计算的安全处理器和可信BIOS。北京极智达率先推出基于中国自主创新的可信技术的片上可信网络安全计算机。吉大首创的支持可信计算的网络安全硬件平台，可广泛应用于IPS、IDS、WAF、防火墙、网关、fort机、负载均衡等产品。GNS-1411 GNS-1411，基于国产X86架构处理器的支持可信计算的网络信息安全计算机，配备6电源、4灯的支持可信计算的网络信息安全计算机，具有IPMI接口。主要特点:BIOS支持可信计算架构，提供可信、可信认证、数据加密等安全功能，支持IPMI功能，实现远程管理和监控，支持可信华泰安全软件，实现安全启动和动态测量，提供产品可信合规支持，支持国产麒麟、CentOS、方得操作系统，兼容性好。基于国产ARM架构处理器的丰富生态链支持可信计算的网络信息安全计算机GNS-1302 GNS-1302是一款基于国产ARM架构处理器的多端口网络安全计算机，BIOS支持两种可信计算，内置国产网络芯片。主要特点:国产网络通信芯片，uEFI，先进固件架构，深度定制，安全可控，集成安全可信解决方案支持国产操作系统，国产自主知识产权，高安全性，高可靠性，高可用性，跨平台，中华文化支持可信华泰可信卡和可信软件，大唐高鸿可信软件，TPCM，TCM1.0，TPM2.0标准，主动测量。支持SM2/SM3/SM4等国密算法，符合平等保护2.0标准GNS-1302-WZ，基于国产ARM架构处理器平台的2U网关。主要特点:国产网络通信芯片，uEFI助力国产化，先进固件架构，深度定制，安全可控，集成安全可信解决方案支持操作系统国产化，高安全性，高可靠性，高可用性，跨平台，中国文化支持可信华泰可信卡2U上架机型，可支持基于国产ARM架构处理器定制GNS-1303 2U信息安全计算机，支持可信计算，八大预扩展网络模块。主要特点:2个千兆管理口支持8个前端网络扩展模块和4个DDR4 UDIMM插槽，整机可支持128GB内存本地化uEFI，高级固件架构，深度定制，安全可控支持本地化操作系统，高安全性，高可靠性，高可用性，跨平台，中华文化支持可信华泰可信卡和可信软件集。智达此次推出的可信网络信息安全计算机，支持CPU内置可信物理测量的根标准。国内支持可信计算应用标准的密码算法在CPU中集成了TPCM可信模块，可以从源头有效抵御非法攻击，安全处理器先行启动。信任链的建立支持操作系统内核级对应用完整性和程序行为做出透明可信的判断和控制。
在实现“两化深度融合”和“中国制造2025战略”的过程中，工业控制网络、工业信息网络、企业办公网络之间的信息安全问题和风险日益突出。随着国家立法和政策、行业规范和要求、企业责任和义务的不断发展和加强，恩创产业信息安全产品线的增长速度稳步加快。在工业通信领域10年的深耕，15年的设备协议开发经验，以及对工业信息技术发展的广阔视野和积极投入， 催生恩创工业信息安全产品线:EdgeFirewall工业防火墙EdgeDefender工业主机加固软件EdgeAuditor工业审计终端EdgeAnalyzer工业漏洞扫描平台EdgeCommander工业信息安全统一监管平台深度解析工业协议和白色环境恩创工业防火墙可深度解析工业控制协议的通信报文，支持OPC协议动态端口、报文格式检查和完整性检查； 支持对OPC、ModbusTCP、IEC60870-5-104、CIP等工业通信协议应用层的深度检查。，并具有单向协议读写控制功能，支持工业控制协议的只读和读写控制；工控中的信息安全采用白环境策略，区别于传统信息的黑名单。工业控制系统大多是专用系统。系统一旦建成，其功能和用途不会改变。通过对工业协议的深度分析形成的白名单可以有效固化现有资产和功能，可靠保护工业控制系统。基于白名单的访问控制策略:基于工业协议深度分析的白名单控制模式，具备基本的防火墙功能，可以根据MAC地址、IP地址、端口、方向等配置安全策略进行过滤。恩创统一的设备和威胁管理平台，可以通过一个工作站配置、管理和监控网络中恩创行业的所有信息安全产品。En工业安全监管平台和多个工业防火墙终端构成一套完整的防护监控系统。监控平台可以对终端部署安全规则和发布安全策略，监控终端所在网络的通信流量和安全事件，分析、记录和分析网络中的安全威胁。可控通信协议及操作系统NS OS自研操作系统，由恩创打造，是以Linux操作系统为核心，面向嵌入式和X86架构计算机系统的自主可控安全操作系统。它主要用于防火墙硬件和管理平台系统。加密通信协议是系统保护自身安全稳定的技术保障。工厂自动化和过程自动化在控制系统、网络结构、生产和操作等方面有很大的不同。由于生产工艺不同。然而，随着智能制造的发展，工厂自动化和过程自动化的需求正在融合。工厂自动化对供应链的监管和对物流经验的要求，正在不断地迅速扩大原有的集中式工厂网络；过程自动化是对提高生产质量和精度的追求，它将原来分散的系统集成在一起，具有高实时性。为建设和实施国家关键信息基础设施和等级保护，恩创工业信息安全产品已广泛应用于石化、交通、市政、电力等领域。未来的发展会更可靠，更智能。通过EdgeCommander的统一监管功能模块，扩展了对身份识别、物理安全、视觉监控等功能的需求。同时，工业信息设备的网络化管理和工业物联网数据的激增，为工业信息的智能化发展提供了可能。
