过程行业用户对问卷调查的兴趣从来没有像过程自动化安全调查这样高，且态度认真严肃。表面上，许多流程工业企业对这一问题持逃避态度，希望危险不要太大就好。流程工业技术领域中有没有专家想把这一问题搞清楚呢？是否有时间在繁忙的日常生产过程中研究一下这一复杂问题呢？

事情要从一个热情的IT部门说起，当我们开始问卷调查时，这一部门登录调查网站的人次数达到了无可匹敌的程度。信息安全、恶意软件或者风险等等虚拟世界中的关键词也把安全这一话题提高到了新的高度。在问卷中，企业存在的安全问题很快暴露了出来：在企业的日常生产工作中还没有找到虚拟世界安全保护的大门。

过程自动化中的安全保护方案应是怎样的？用户对这一调查问题的答复是迄今为止几乎没有。这或许是因为安全保护措施在过程自动化控制的世界里往往不是一个和谐的音符。虽然授权、防火墙或者白名单等措施都得到了切实可行的应用，但仅仅是打补丁这件事，就常常需要重启系统，从而影响到整套流程设备的生产，使得这些安全措施在实践中的应用变得非常困难。

但技术问题还不是问题的全部，工厂运营者对于信息安全的重视程度也存在很大的问题。正如调查问卷所答复的那样：50%以上的被调查者都受到恶意软件（例如软件病毒、流氓软件和木马等）中等程度的危害。但1/4的答卷者都认为这种危害是很轻的、最多10%，根本构不成威胁。但是，一旦这种威胁无法手动控制时，将对工厂造成巨大的损害。就像巴斯夫公司的Martin Schwibach先生在2013年度的Namur大会上所警告的那样：“从2010年7月发现Stuxnet蠕虫病毒以来，报案的数量明显增加。其中，水、能源等重要的基础设施成为重点。”而我们没有调查到的案例可能还会更多。在PROCESS杂志进行的调查中，50%以上的企业都受到过恶意软件的攻击。据专家估计，目前有40300万恶意软件和病毒，这样看来，如此多的企业受到攻击就不足为奇了。但它们所造成的后果是完全不同的。大多数后果都是降低了系统的可用性，需要重新安装系统。在工厂中，盗窃数据或者丢失数据（在私人用户领域中排名第一）则不被视为严重的恶果，相反流程设备可用性的降低则被视为最重要的恶果。

联网扩大了人们的忧虑

调查问卷显示，长期以来自动化系统的联网是流程工业企业的日常工作之一。在所有的被调查对象中，有1/4的企业使用了4种现代化的自动化扩展系统，1/3以上的企业使用了20多种相互联网的自动化控制系统。在这样的系统中，大多数被调查的企业都把安全保护的任务交给了IT部门来负责。然后才是技术管理和运行部门，最后才是生产。

目前企业采取和使用的措施与被调查者认为有意义的措施之间几乎是相同的。在所有要采取的措施目录最上方列出的是网络隔离和防火墙，然后是密码保护，查杀病毒和用户登录管理。但也可以看到调查问卷和企业实际之间的鸿沟。被调查者认为避免联网是最有意义的安全防护措施，具体说就是应放弃使用易于被侵入的OPC或者WLAN技术。另外还建议引进安全的过程控制，包括特殊的登录保护措施，例如安全系统中有目的的自由通道。

没有解决方案？

在对“如何制定安全可靠的自动化系统”这一问题的答复中，1/3的被调查者给出了没有解决方案的答复；另有接近1/3的被调查对象建议放弃使用Windows系统；而大多数被调查者认为，所有的措施都没有多少帮助，相反应从根本上重新设计自动化系统。主要的观点是自动化安全应是为生产企业设计的、集成式的和符合用户需求的。Namur协会2006年提出的Best-Practice最佳实践解决方案就是一个表示了这一方向的解决方案。在我们的调查中，被调查者也提出了跨生产企业IT安全机制的要求，例如使用影响NSA的标准（例如用Curve 25519/Ed25519来代替NSA建议使用的ECDAS和ECDH）。

此外，被调查者认为，在风险评估的基础上对重要的安全保护功能（人身安全、设备安全和技术保护、高品质产品保护等）采取特殊的分离保护措施非常重要。在办公自动化和生产自动化系统之间的隔离也是人们常常讨论的一个重要问题。

合作解决问题

大多数被调查者都把希望寄托在德国联邦政府信息技术安全部BSI和Namur协会的身上。被调查者相信，只有设备生产企业、行业协会和用户共同联手合作才能真正解决问题。因此，Namur协会与BSI信息安全部、DKE和ZVEI协会保持着密切的联系，起草一份Namur建议（NE）。在贯彻落实这一要求之前还有一些工作要做。首先是流程设备生产企业的IT职能范围的问题，但这也涉及到流程设备的使用运行和工程项目的规划设计。用户提出的要求体现在自动化控制系统的复杂性和多样性方面。而其中自动化设备生产企业缺少相关的IT技术和安全技术知识是最主要的问题之一，对于已经出现的问题他们也很难界定问题的根源。如一家被调查企业所讲述的那样：“所有人都希望Windows成为自动化控制的操作平台，但现在我们又在与开放式的通用接口进行对抗。”

展望未来，调查问卷清楚地告诉人们究竟是什么阻碍了用户对安全问题的深刻理解。“在实践中，某一措施的集成要持续很长的时间才能完成。”一个被调查对象提出了应该注意的问题。这或许是可用资源少造成的问题，使我们没有太多办法来对抗日常工作中的不安全。“在流程设备的运行中，信息安全没有得到足够的重视，直到出现问题之前。”一位被调查者清醒而理性的总结。