日本在线www-日本在线播放一区-日本在线不卡免费视频一区-日本在线不卡视频-成人影院久久久久久影院-成人影院一区二区三区

    摘要：震網病毒給工業控制系統的信息安全敲響了警鐘，如何防范并保障工業控制系統信息安全是各個國家都面臨的重要課題，但沒有一個現成可用的答案。我們國家工業控制系統信息安全體系建設是一個長期的問題，主要分為三個方面的考慮：頂層設計，系統設計和產品設計。

    關鍵詞：工業控制系統信息安全；體系建設；評估規范；挑戰；建議

    Abstract: STUXNET is an alarm to the industry control system. How to prevent and protect the industry control system is a hot topic to all the countries. Howeverthere is no available answer. How to build our own ICS framework is a long question. Currently,we are just considering this question from three aspects: top-level design, system design, and product design.

    Key words: Industry control system security; Framework; Assessment specification; Challenge; Advice 

    1　概述

    STUXNET（震網）病毒是第一個專門針對工業控制系統的病毒，該震網病毒攻擊伊朗布什維爾核電站，使得該電站發電推遲一年半之久并且損壞了大量的鈾濃縮機。隨后各國專家又陸續檢測出了針對工業控制系統 的一系列病毒，這些病毒不直接攻擊工業控制系統，主要目的是竊取工業控制系統的數據，但這些病毒的一個共同點是智能化逐漸升級。這些正在侵入工業控制系統的惡意破壞無一不表明工業控制系統信息安全正在受到嚴重威脅，甚至有可能會影響到工業生產的正常運行和國家人員、財產和環境的安全。因此保障工業控制系統，特別是與國際民生相關的關鍵行業控制系統的信息安全成為當前非常重要和非常迫切的事情。

    2010年的“STUXNET”病毒事件使工業控制系統信息安全上升到國家戰略高度，工業和信息化部的工信協[2010]451號文《關于加強工業控制系統信息安全管理的通知》中明確指出，包括核設施、鋼鐵、有色、化工、石油石化、電力、天然氣、先進制造、水利樞紐、環境保護、鐵路、城市軌道交通、民航等與國際民生緊密相關的領域都要加強工業控制系統信息安全的管理，以保證工業生產運行、國家經濟安全和人民生命財產安全。

    同年，全國工業過程測量控制和自動化標準化技術委員會（SAC/TC124）先后啟動了工業控制系統信息安全方面的科研項目和標準制定工作。全國工業過程測量控制和自動化標準化技術委員會（SAC/TC124）秘書處聯合全國信息安全標準化技術委員會（TC260）緊急立項了自主制定的國家標準《工業控制系統信息安全》系列標準2項，現已發布；同時也已經等同轉化了IEC62443系列標準中已經發布的標準3項，分別是IEC62443-1-1、IEC62443-3-1、IEC62443-3，該三項標準也已經發布。

    2　工業控制系統信息安全標準體系建設

    在《工業控制系統信息安全》系列標準起草過程中，工作組的專家建議，目前國際上比較熱議的工業控制系統信息安全標準體系為IEC62443系列標準。該系列標準共四大部分合計12個標準，內容包含了通用要求、資產所有者（業主）、系統集成商和產品生產商各方面的要求（見圖1），但是從2009年至今只發布了4個標準，2個CD（Committee draft）委員會草案文件，其它還在制定過程中。
 

    而我國工業控制系統的發展基本經歷了：

    20世紀50年代前，以氣動儀表控制系統為主；

    20世紀50年代，氣動、電動單元組合式模擬儀表控制系統；

    2 0 世紀6 0 ~ 7 0 年代， 集中式數字控制系統（DDC）；

    2 0 世紀8 0 ~ 9 0 年代， 集散控制系統（ D C S ）+PLC；

    20世紀90年代至今，總線控制系統為主的多系統共存，趨勢為工業化和信息化融合。

    有些我們國家急需的標準內容，IEC 62443標準體系中并未涉及，所以在參考國際標準體系的基礎上，要建立適合我國工業控制系統現狀的國內標準體系（見圖2）。對于該體系，全國工業過程測量控制和自動化標準化技術委員會（SAC/TC124）副主任委員、機械工業儀器儀表綜合技術經濟研究所歐陽勁松所長反復強調：從領域上講，我們的標準體系要適用于工業控制系統的所有應用領域，更要適用于工信協[2010]451號文中指出的與國家關鍵基礎設施相關的所有領域；從層次上講，要覆蓋整個工業控制系統，包括現場設備層、現場控制層、過程監控層和MES層；從生命周期講，要從規劃階段就開始考慮系統如何更好的防護，也就是信息安全的保證，還包括了設計階段、實施階段、運行維護階段和廢棄階段。
 

    基于這些專家的建議和意見，全國工業過程測量控制和自動化標準化技術委員會（SAC/TC124）聯合其它標委會又先后立項了關于DCS系統、PLC系統的國家標準項目，針對工業控制系統核心設備的信息安全要求項目已經在計劃中。

    頂層設計包括了工業控制系統信息安全的通用要求，目前完成了標準2項，分別是GB/T 30976.1-2014《工業控制系統信息安全 第1部分：評估規范》和GB/T 30976.2-2014《工業控制系統信息安全 第2部分：驗收規范》，其它的標準還在立項考慮中。系統設計包括了目前國內常用系統的信息安全要求，已經立項的標準包括《集散控制系統(DCS)安全防護標準》、《集散控制系統（DCS）安全管理標準》、《集散控制系統(DCS)安全評估標準》、《集散控制系統(DCS)風險與脆弱性檢測標準》和《可編程邏輯控制器(PLC)系統安全要求》，其它的標準還在立項考慮中。產品設計的標準計劃主要針對工業控制系統核心設備的信息安全要求，例如嵌入式設備、主機設備、網絡設備等。

     在工業控制系統信息安全系列標準制定過程中，最大的特點是工作組專家隊伍逐漸壯大，絕大多數來自國內的重要行業，既包括科研院所，也有國內大型企業、民營企業和外資企業等。參與單位也由最初的15家工業領域的單位擴大到了包括IT領域在內的30余家，分別是機械工業儀器儀表綜合技術經濟研究所、中國電子技術標準化研究所、中國核電工程有限公司、北京鋼鐵設計研究總院、中國電力科學研究院、清華大學、浙江大學、西南大學、重慶郵電大學、北京交通大學、華中科技大學、北京和利時系統工程有限公司、上海自動化儀表股份有限公司、東土科技股份有限公司、北京奧斯汀科技有限公司、西門子（中國）有限公司、施耐德電氣（中國）有限公司、羅克韋爾自動化（中國）有限公司、三菱電機自動化（中國）有限公司、中國儀器儀表學會、北京海泰方圓科技有限公司、橫河電機（中國）有限公司北京研發中心、華北電力設計院工程有限公司、北京國電智深控制技術有限公司、無線網絡安全技術國家工程實驗室、西電捷通無線網絡通信股份有限公司、中央辦公廳電科院、中國科學院沈陽自動化研究所、青島海天煒業技術有限公司、中標軟件有限公司、北京力控華康科技有限公司、華為數字技術（成都）有限公司、廣東航宇衛星科技有限公司、啟明星辰信息技術有限公司、歐姆龍上海有限公司R&D中心、中國電子科技集團公司第三十研究所等單位。各單位的積極參與也體現出大家對工業控制系統信息安全的重視和關注，為完善工業控制系統信息安全標準體系奠定了基礎。

    3　工業控制系統信息安全評估和驗收標準簡介

    GB/T 30976.1-2014標準規定了工業控制系統（SCADA、DCS、PLC、PCS等）信息安全評估的目標、評估的內容、實施過程等。適用于系統設計方、設備生產商、系統集成商、工程公司、用戶、資產所有人以及評估認證機構等對工業控制系統的信息安全進行評估時使用。

    評估分為管理評估和系統能力（技術）評估。管理評估宜對照風險接受準則和組織機構相關目標，識別、量化并區分風險的優先次序。風險評估的結果宜指導并確定適當的管理措施及其優先級，評估風險和選擇控制措施的過程需要執行多次，以覆蓋組織機構的不同部門或各個工業控制系統。

    管理評估分為三個級別， 分別為管理等級（management level）的ML1、ML2、ML3，由低到高分別對應低級、中級和高級。系統能力（技術）評估分為四個級別，由小到大分別對應系統能力等級（capability level）的CL1、CL2、CL3和CL4，綜合管理評估和系統能力評估的結果，得到工業控制系統的評估結果，亦即信息安全等級（SL1、SL2、SL3、SL4），見表1。
 

    GB/T 30976.2-2014標準規定了對工業控制系統的信息安全解決方案的安全性進行驗收的流程、測試內容、方法及應達到的要求。該方案可以通過增加設備或系統提高其安全性。標準中的各項內容可作為實際工作中的指導，適用于石油、化工、電力、核設施、交通、冶金、水處理、生產制造等行業使用的控制系統和設備。評估和驗收的周期流程見圖3。具體內容見GB/T30976.1-2014和GB/T 30976.2-2014。
 

    4　DCS系統的信息安全標準簡介

    通常D C S 系統應用是一種縱向分層的網絡結構， 自上到下依次為企業管理層、制造執行系統(manufacturing execution system，簡稱MES）層、過程監控層、現場控制層和現場設備層。各層之間由通信網絡連接，層內各裝置之間由本級的通信網絡進行通信聯系。本系列標準主要對DCS應用中與DCS系統密切相關的MES層、過程監控層、現場控制層網絡和現場設備層網絡的安全要求進行了定義。

    DCS系統的信息安全包括了四個標準，見圖4。本系列集散控制系統（DCS）安全類標準共包括集散控制系統（DCS）安全防護標準、集散控制系統（DCS）安全管理標準、集散控制系統（DCS）安全評估標準、集散控制系統（DCS）風險與脆弱性檢測標準四個標準。四個標準相輔相成，系統化地定義了集散控制系統在實施、運行和維護過程中，系統安全性持續和改進的安全要點和執行方法。
 

    5　挑戰及建議

    全國工業過程測量控制和自動化標準化技術委員會副主任委員歐陽勁松認為工業控制系統的信息安全面臨最大的挑戰是，目前國外機構主導信息安全的評估，而我們的測試技術和測試平臺都很缺乏，也沒有建立起政策、管理、技術相結合的運行模式，這就意味著信息安全的命脈掌握在發達國家手里。但無論如何，他反復強調：在工控信息安全方面，不能一個認證全球通行，也就是說“德意志銀行的金庫不可能讓美國上鎖”。他的建議是：工業安全是一個系統工程，在參考國際標準的基礎上，加快制定國家標準和相關規范，以便對我國的重大設施、裝備等進行風險評估和管理；同時積極跟蹤和參與國際認證規范的制定，從設計起步階段就要反映我國產業需求，體現我國工業安全意志；建立國家級的工業安全測評中心或實驗室；加速人才隊伍培養，全面掌握工業控制和相關安全知識等。

    總而言之，隨著工業化和信息化“兩化融合”程度的不斷深入以及針對工業控制系統的震網病毒、火焰病毒、毒區等超級病毒的出現，將工業控制系統的信息安全防護問題推到了國家戰略層面。近年來，隨著我國工業控制系統信息安全政策的推進和實施力度不斷加大，國家重要行業的工控系統信息安全防護建設也取得了一定的進步。但從世界范圍內看，我國工業控制系統信息安全的標準體系建設仍明顯滯后于系統建設，在防護意識、防護策略、防護機制等方面都存在不少問題，尤其是針對儀表控制系統用嵌入式設備、主機設備等產品的安全要求也是業內專家目前共同面臨的問題，建設完善的工業控制系統信息安全標準體系也是我們當前最迫切的任務。


    作者簡介

    王玉敏（1971-），河北人，高級工程師，碩士研究生，主要研究方向為工業自動化現場總線、工業控制系統信息安全。