提到工业控制系统(ICS)的信息安全，人们首先想到的是2010年伊朗布什尔核电站遭受的“地震网病毒”攻击。
在自动化人士看来，这些事件不是信息安全问题，而是功能安全问题。根据国际标准IEC62443，一个完整的安全工业控制系统由三部分组成：功能安全、物理安全和信息安全。以上事故和企业生产中90%的事故都是功能性安全问题。
在信息安全的传统定义中，主要强调机密性、完整性和可用性。在IEC62443，工业信息安全主要强调五点。最重要的想法是强调采取额外的措施来保护系统，以防止对系统的未授权访问和恶意攻击。
功能安全和信息安全有明确的界限，但又相互联系、相互影响、相互促进。功能安全的不完善将容易被利用，从而导致信息安全问题。信息安全问题的暴露会促进功能安全的提高。IEC62443清楚地阐述了传统信息安全和ICS信息安全的区别。只有看清这个本质，才能知道工控系统的信息安全工作如何建设，否则很容易偏离方向，教人一斧。
说到工业控制系统的信息安全，必须看到工业控制系统的发展，以德国工业4.0为代表的第四次工业革命已经悄然兴起。
德国人认为第四次工业革命是指：机械化、电气化、IT技术和互联网技术。第四次工业革命是第三次工业革命加上互联网技术的结果。必须说明的是，这里需要的互联网是“物与服务”的互联网，物可以理解为物与物；服务是指所有服务。所以第四次工业革命首先要建设“物质互联网”和“服务互联网”。
这意味着所有这些的资源、信息、事物、人和服务在历史上第一次相互联系。在物联网和服务的支持下，整个工业和制造业都将得到创新和变革。制造业中的智能机器、存储系统和生产设施将被整合到物联网和服务中，成为一个信息物理系统(CPS)。
中国应尽快构建自己的第四次工业革命计划——中国工业4.0，在工业领域尤其是制造业领域构建自己的CPS，实现系统各个层面的信息和物理实体的融合，应以中国的智能产品和智能生产流程引领中国市场。
工业控制系统的信息安全问题在各个层面都面临着来自不同方面的威胁，具体如下图所示。企业网络的管理信息层面临着来自互联网的攻击，企业内部的一些恶意攻击通过企业网络进入工业控制网络，直至现场网络。在控制层，存在系统管理员的违规操作，最严重的是第三方运维人员对现场设备的操作；还有远程拨号的攻击，部分站点存在现场连接的威胁。
国际NIST P800-82 《工业控制系统安全指南》详细描述了各种威胁来源，也从政策流程、平台、网络等方面描述了可能存在的风险和漏洞。当然，不同行业面临的威胁和风险是不一样的。比如军工，主要强调工控网和涉密网连接时信息的保密性；石化强调DCS系统生产的连续性和非异常性；电力强调不间断的SCADA调度系统等等。
总的来说，只有明确了风险，才能进行有针对性的保障。信息安全保护的整体架构必须与工业自动化系统保持一致，才能成为同一个系统。因此，GT/T 26335-2010《工业企业信息》中提到了工业企业信息集成的总体架构
工业控制系统的信息安全关系到国计民生。特别是在当前严峻的国际形势下，从一个从事自动化安全和信息安全的个人到一个企业，我们应该遵循“创新自主可控”的原则，响应我国国家网络安全领导小组提出的“网络基础设施基本普及、自主创新能力增强、信息经济全面发展、网络安全保障有力”的目标。
