工控系统，和传统信息技术系统，在系统结构，以及其它方面，有着明显的差别，具体情况，如表2所示：
1.3 工控系统信息安全问题根源
工控系统的安全问题大致可划分为以下几个方面：
1、工控系统本质问题：
（1）安全设计存在欠缺：在进行设计的最初阶段，鉴于资源受到限制，并且并非面向互联网等缘故，为确保实时性以及可用性这两方面，工控系统各层级总体上来讲都缺乏安全方面的设计。在缺少安全架构顶层设计的这种状况下，没办法构建起能够进行有效技术研究的体系构架，产品形态大多集中于网络安全防护的范畴层面，工控系统自身的安全性能获得提升缺少从长远角度出发的规划安排。
（2）核心技术处于落后状态：CPU身为硬件基础平台的核心部分，其技术被国外厂商把控着，存在“后门”漏洞的隐患一直都有；当下国内从事CPU研究与生产的品牌主要有龙芯、众志、多思等等，在通用处理器、嵌入式处理器、专用处理器等方面都产出了相应产品，然而是否契合工控系统性能要求以及安全要求，能不能在我国工控领域得到广泛应用，有待进一步去研究与验证。
1. 存在这样一种情况，即虽然直至现今并非少见，已有工控产品的提供商着手开展对旧系统的加固升级工作，并且致力于研发新一代的具备安全性能的工控产品。2. 然而，鉴于市场、技术以及使用环境等诸多方面存在的限制约束。3. 在工控产品的生产领域，普遍地致使其缺乏主动去进行安全加固的动力之处。
2、安全策略与管理流程问题：
针对工控系统从业人员而言，其安全意识存在欠缺状况，而且还缺少培训；与之相关的一些企业，缺乏规范的安全流程，缺乏安全策略，同时还缺少业务连续性与灾难恢复计划，以及安全审计机制等。
3、工控系统平台问题：
（1）平台硬件方面，关键系统欠缺物理防护举措，比如说，缺少物理安全环境控制，存在未授权人员可访问物理设备的情况，还有不安全的远程访问组件，并且是双网卡连接多个网络，同时安全变更测试准备并不充分等。
（2）平台软件，OPC组态软件的通信，依赖于RPC，依赖于DCOM等不安全的工控协议，缺少入侵检测措施，缺少防护措施，缺乏有效的认证机制，缺乏有效的鉴别机制，缺乏有效的访问控制机制。
（3）平台配置方面，系统以及应用补丁欠缺维护与测试，系统大多采用默认配置，关键配置信息未进行备份，数据存储未使用安全的移动介质，系统缺少必要的口令策略包括口令缺失、口令泄露、口令易猜解，还使用着不规范、不充分的访问控制规则等。
4）恶意代码，存在缺少恶意代码防护程序的情况，或防恶意代码程序没有及时进行升级更新，并且存在兼容性问题等。
4、工控系统网络问题：
网络结构方面，工控系统网络架构的设计存在不合理之处，没有开展VLAN划分，无法有效防范广播风暴等情况。
二、网络硬件方面，存在网络设备物理安全防护匮乏或者不够充分的情况，物理端口欠缺防护措施，存在环境控制缺失的问题，有非相关人员能够访问设备、连接网络，并且缺少关键设施的容错、冗余以及备份。
（3）网络配置方面，存在网络安全设备配置不合适的情况，设备配置的关键信息没有进行备份这一状况，并且设备的口令策略是不合理的。
（4）网络边界：网络边界缺失或边界防护设备配置不当。
（5）网络通信，采用的是明文传输协议，缺乏针对数据、设备、用户以及实体等方面的正规认证机制，通信完整性检查处于缺失状态。
网络存在监控方面的情况，工控系统网络当中缺少安全监控审计这一环节，况且日志记录的状况是不充分的。
（7）无线连接，存在这样的情况，缺少对于无线AP和客户端之间的数据保护，或者说认证不够充分。
1.4 工控系统常见安全问题举例
1、通信协议漏洞：
工业化跟信息化相融合，致使TCP/IP协议以及OPC协议此类通用协议，在工控系统里的应用越发广泛，由此而产生的通信协议漏洞问题，也日益显著且突出起来喽。
比如，OPC Classic协议，也就是OPC DA、OPC HAD以及OPC A&E，它是基于微软的DCOM协议的，而DCOM协议是在网络安全问题还没有被广泛认识的时候设计出来的，非常容易遭受攻击，而且OPC通信采用的是不固定的端口号，这就致使目前几乎没办法利用传统的IT防火墙来保障其安全性。所以，要确保使用OPC通信协议的工控系统的安全性以及可靠性，给工程师造成了极大的挑战。
2、操作系统漏洞：
现阶段，多数工控系统的工程师站，是Windows平台的，操作站也是Windows平台的，HMI同样是Windows平台的，为确保过程控制系统具备相对独立性，与此同时，鉴于系统要稳定运行，一般情况下，现场的工程师在系统启动后，不会给Windows平台安装任何补丁，然而，存在的问题在于，不安装补丁，系统就有被攻击的可能性，进而埋下安全隐患。
3、杀毒软件漏洞：
许多工控系统操作站常常不会安装杀毒软件，其目的在于保证工控应用软件的可用性。就算安装了杀毒软件，在使用期间也存在很大局限，理由是杀毒得时常更新病毒库，而这一要求特别不适用于工业控制环境。并且杀毒软件对新病毒的处理向来滞后，致使每年都会爆发大规模的病毒攻击，尤其是新病毒攻击。
4、应用软件漏洞：
工控应用软件种类繁多，难以形成统一防护规范用于应对安全问题，还有，应用软件面向网络应用时，要开放应用端口，所以，常规IT防火墙等安全设备难以保障其安全性，互联网攻击者极有可能利用大型工控自动化软件安全漏洞获取污水处理厂、天然气管道及其他大型设备控制权，一旦控制权被有不良意图黑客掌握，后果将不堪设想。
5、安全策略和管理流程漏洞：
在很多工控系统当中，存在着一种普遍现象，即追求可用性因而去牺牲安全，并且缺乏完整有效的安全策略以及管理流程，这也对工控系统安全造成了一定的威胁，比如说，在工控系统里，移动存储介质包含笔记本电脑、U盘等设备的运用，还有不严谨的访问控制策略。
1.5 总结
总之，工控系统安全并非只是一个单纯的技术方面问题，而是与技术、管理、流程、人员意识等各个方面都有关系的系统工程，这需要组建一支包含控制工程师、工控设备供应商、系统集成商、信息安全专家等成员的工控系统安全队伍。按照工控系统自身所具备的体系结构以及功能特点，于监控级，像工程师站、操作员站、历史站等，在网络层面能够依据现有等级保护的相关标准与规范施行等级测评；于控制级，要强化对Modbus、OPC等通信协议的使用管理；于现场级，得达成对设备、控制元件的准入检测，加速构建工控设备的检测标准与规范；在管理方面，需创建完备的工控系统安全运维方案、策略以及计划，增强日常安全培训，严格管控处理流程，防范内部攻击，达成终端安全防护、操作使用安全，针对现阶段难以攻克的技术问题应借助管理手段予以弥补，切实提升工控系统的安全防护能力。工控系统的信息安全，属于一个动态的过程，它这个过程，得要在整个的生命周期里，持续不断地去进行，并且还要不断地以此进行完善改进。