全國信息安全標準化技術(shù)委員會(huì )秘書(shū)處，工業(yè)和信息化部電子工業(yè)標準化研究院工控標準主管  許東陽(yáng)

   國外工業(yè)控制系統信息安全標準

   國際上，研究工控系統安全的標準化組織有：國際電工委員會(huì )（IEC，International Electro Technical Commission）、國際自動(dòng)化協(xié)會(huì )（ISA，the International Society of Automation）、美國國家標準技術(shù)研究院（ NIST ， National Institute of Standards andTechnology ）。當前，國外發(fā)布的工業(yè)控制系統信息安全標準主要有：

   • IEC 62443標準

   IEC/TC65（工業(yè)過(guò)程測量、控制和自動(dòng)化）下的網(wǎng)絡(luò )和系統信息安全工作組WG10與國際自動(dòng)化協(xié)會(huì )ISA 99委員會(huì )的專(zhuān)家成立聯(lián)合工作組，共同制定IEC 62443《工業(yè)過(guò)程測量、控制和自動(dòng)化 網(wǎng)絡(luò )與系統信息安全》系列標準。目標是定義一個(gè)通用的、最小要求集以達到各級SALS（Security Assurances Levels，SAL）的安全保障需求。IEC 62443一共分為了四個(gè)部分，第一部分是通用標準，第二部分是策略和規程，第三部分提出系統級的措施，第四部分提出組件級的措施。

   • SP800-82《工業(yè)控制系統(ICS)安全指南》

   SP800-82于2010年10月發(fā)布，是NIST依據2002年《聯(lián)邦信息安全管理法》、2003年國土安全總統令HSPD-7等編制而成。它遵循《OMB手冊》的要求“保障機構信息系統”，為聯(lián)邦機構使用，同時(shí)允許非政府組織資源使用。該指南概述了ICS和典型的系統拓撲結構，指出了對于這些系統的典型威脅和脆弱點(diǎn)所在，為消減相關(guān)風(fēng)險提供了建議性的安全對策。同時(shí)，根據ICS的潛在風(fēng)險和影響水平的不同，指出了保障的不同方法和技術(shù)手段。適用于電力、水利、石化、交通、化工、制藥等行業(yè)的ICS系統。

   我國工業(yè)控制系統信息安全標準

   目前我國工業(yè)控制系統信息安全標準發(fā)布、制定情況如下：

   • 全國信息安全標準化技術(shù)委員會(huì )（TC260）

   （1）在編標準：

  《信息安全技術(shù) SCADA系統安全控制指南》

  《信息安全技術(shù) 安全可控信息系統（電力系統）安全指標體系》

   （2）計劃制定

   《信息安全技術(shù) 工業(yè)控制系統安全管理基本要求》

   《信息安全技術(shù) 工業(yè)控制系統安全檢查指南》

   《信息安全技術(shù) 工業(yè)控制系統測控終端安全要求》

   《信息安全技術(shù) 工業(yè)控制系統安全防護技術(shù)要求和測評方法》

   《信息安全技術(shù) 工業(yè)控制系統安全分級指南》……

  • 全國電力系統管理及其信息交換標準化技術(shù)委員會(huì )（TC82）

   已發(fā)布標準 ：

  《電力系統管理及其信息交換 數據和通信安全 第1部分：通信網(wǎng)絡(luò )和系統安全 安全問(wèn)題介紹》（GB/Z 25320.1-2010）

   《電力系統管理及其信息交換 數據和通信安全 第3部分：通信網(wǎng)絡(luò )和系統安全 包括TCP/IP的協(xié)議集》（GB/Z 25320.3-2010）

   《電力系統管理及其信息交換 數據和通信安全 第4部分：包含MMS的協(xié)議集》（GB/Z 25320.4-2010）

   《電力系統管理及其信息交換 數據和通信安全 第6部分：IEC 61850的安全》（GB/Z 25320.6-2011）

   • 全國工業(yè)過(guò)程測量和控制標準化技術(shù)委員會(huì )（TC124）

   （1）在編標準

   《工業(yè)控制計算機系統 通用規范 第2部分: 工業(yè)控制計算機的安全要求》

  （2）計劃制定

   《工業(yè)通信網(wǎng)絡(luò )-網(wǎng)絡(luò )和系統安全-第2-1部分：建立工業(yè)自動(dòng)化和控制系統信息安全程序》，等同采用IEC 62443-2-1:2010

   《工業(yè)控制系統信息安全 第1部分：評估規范》

   《工業(yè)控制系統信息安全 第2部分：驗收規范》

  • 全國電力監管標準化技術(shù)委員會(huì )（TC 296 ）

   在編標準：

   《電力二次系統安全防護標準》 （強制）

   《電力信息系統安全檢查規范》 （強制）

  《電力行業(yè)信息安全水平評價(jià)指標》 （推薦） 

   摘自《自動(dòng)化博覽》2013年1期