Page 220 - 电气控制技术与管理

电气控制技术与管理
Electrical Control Technology and Management

在构建一个具体工业控制系统时，可以参考IEC62443标准所提出的纵深防
御理念，在深入分析工业控制系统的系统架构、应用特点、安全现状、安全威胁
以及安全需求的基础上，将纵深防御理念引入过程控制信息安全领域，结合具体

工业控制的系统特点，重点研究网络分区与防护、系统加固与补丁管理等关键技
术，提出切实可行的工业控制系统信息安全解决方案。
通过深入研究工业控制系统的系统特点与安全需求，可以得到系统分层及纵
深防御信息安全体系。

该模型在工业控制系统信息安全防护领域引入纵深防御的理念，可以确保工
业控制系统的稳定可靠，防止来自内部或外部攻击，在不干扰业务的前提下，针
对不同性质的安全威胁，分层次、系统地在工业控制系统中部署上述高安全性的
防护措施。

（一）物理安全
通过门禁系统实现工厂的生产装置、设备、系统等的物理安全，未经授权人
员不能接触或靠近生产装置。
（二）安全策略与流程

在安全治理的过程中，最为重要的是实现工业生产安全策略和流程的制定。
工业控制系统信息安全不是一个单纯的技术问题，而是一个从意识培养开始，涉
及管理、流程、架构、技术、产品等各个方面的系统工程。
（三）网络分区与边界防护

规划安全单元时，由于安全单元是工厂中一个具备独立功能的部分，在安全
单元内部的成员相互信任，对于安全单元的访问只能通过明确定义的访问点，访
问点受到监控并且有记录，安全单元内的所有成员是直接连接的，造成高网络负
荷的成员直接集成在安全单元内部。

（四）用防火墙分隔不同的安全单元
防火墙根据一定的规则检查和过滤数据，通过防火墙保障安全单元的访问
点，在安全单元内部无需防火墙。
（五）安全的单元间通信

采用虚拟专用网络（Virtual Private Network，VPN）系统等技术实现安全的
单元间通信。虚拟专用网络指在公用网络上建立专用网络的技术。之所以称其为
虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网

·208·