1 國際工控安全標準發(fā)展

    1.1 國際工控安全標準

    目前在國際上，工業(yè)控制系網(wǎng)絡(luò )安全標準的研究制定工作主要由IEC/TC 65（工業(yè)過(guò)程測量、控制和自動(dòng)化）下的網(wǎng)絡(luò )和系統信息安全WG10和國際自動(dòng)化協(xié)會(huì )（ISA 99）委員會(huì )組成的聯(lián)合工作組負責，該工作組目前主要制定了IEC 62443《工業(yè)過(guò)程測量、控制和自動(dòng)化網(wǎng)絡(luò )與系統信息安全》系列標準。該系列標準如表1所示：
    

                              表1
   
    IEC 62443是專(zhuān)門(mén)針對工業(yè)自動(dòng)化和工業(yè)安全的系列標準。該系列標準，旨在使系統集成商、產(chǎn)品供應商和服務(wù)提供商，可以通過(guò)使用該標準來(lái)評估他們的產(chǎn)品和服務(wù)，并依據評估結果判斷其產(chǎn)品或服務(wù)是否能夠為工業(yè)控制系統使用者提供有效的安全防護。IEC 62443的目標并不是提供詳細規范并建立一個(gè)安全的體系架構，其目標是定義一個(gè)通用的最小安全要求集，使目標工業(yè)控制系統達到各級SALS（Security Assurances Levels，SAL）的安全保障需求。

    為了推廣IEC62443并搶占標準一致性測試市場(chǎng)，美國儀表協(xié)議于2010年成立了ISA信息安全符合性研究院ISCI（ISASecure）。目前開(kāi)展了如下三項標準符合性測試認證：

    （1）IEC 62443-3-3：系統安全保證（SSA）認證要求；

    （2）IEC 62443-4-1：安全開(kāi)發(fā)生命周期保證（SDLA）認證要求；

    （3）IEC 62443-4-2：嵌入式設備安全保證（EDSA）認證要求；

    （4）ISASecure認證需要使用通信健壯性測試（CRT）工具和漏洞識別測試工具。

    目前ISCI認可測試工具如表2所示：
 
   

                              表2
   
    1.2 美國工控安全標準

    美國國土安全部（DHS）作為關(guān)鍵基礎設施安全（工控安全）的主管單位，為美國提供關(guān)鍵基礎設施安全的戰略指導，并與公共和私人合作伙伴合作，協(xié)調美國聯(lián)邦各個(gè)單位促進(jìn)關(guān)鍵基礎實(shí)施的安全性和可恢復性。美國國家標準與技術(shù)研究院（NIST）作為美國工控安全國家標準的制定單位，為支持聯(lián)邦信息安全管理法案（FISMA）的執行，制定保護國家關(guān)鍵基礎設施主要標準，主要為NIST SP800-82和NIST SP800-53兩個(gè)標準。美國國土安全部發(fā)布CSET安全評估工具，推動(dòng)工控安全標準的使用及對工控安全評估進(jìn)行工具支撐。

   
    從美國工控安全標準制定組織和成果可以看出，NIST制定工控安全主要標準，標準可跨行業(yè)，并且標準不停的滾動(dòng)發(fā)布。從中可看到標準制定的有效經(jīng)驗，第一步解決有無(wú)標準的問(wèn)題，然后再解決標準高質(zhì)量與普適性問(wèn)題。從標準成果還可以看出，美國針對SCADA控制系統的安全標準比較多，主要因為SCADA的安全問(wèn)題在控制系統中尤為突出。從中體現出美國標準制定以解決突出問(wèn)題為導向，而不是胡子眉毛一把抓。

    2 我國工控安全標準發(fā)展

    2.1 我國已發(fā)布的工控安全標準

    （1）國家標準

    GB/T 26333-2010《工業(yè)控制網(wǎng)絡(luò )安全風(fēng)險評估規范》

    作為我國工控安全第一個(gè)國家標準，解決了我國工控安全標準空白的問(wèn)題，實(shí)現了工控安全標準零的突破。此標準2011年發(fā)布實(shí)施，從發(fā)布時(shí)間上可以看出，我國關(guān)注工控安全的前輩們的高瞻遠矚。但是此標準并未推行起來(lái)，成為了事實(shí)上可有可無(wú)的標準，成為了工控安全標準界的先烈。究其原因，還是此標準無(wú)核心內容（核心內容都是直接引用其它標準），標準過(guò)于簡(jiǎn)單，可操作性低，導致此標準落地困難。建議相關(guān)單位對此標準進(jìn)行修訂。

    GB/T 30976.1-2014《工業(yè)控制系統信息安全 第1部分：評估規范》

    作為我國工控安全第一個(gè)有內容的國家標準，解決了我國工控安全無(wú)標準可依的窘境?！对u估規范》分為管理評估和系統能力（技術(shù)）評估。管理評估宜對照風(fēng)險接受準則和組織機構相關(guān)目標，識別、量化并區分風(fēng)險的優(yōu)先次序。風(fēng)險評估的結果宜指導并確定適當的管理措施及其優(yōu)先級，評估風(fēng)險和選擇控制措施的過(guò)程需要執行多次，以覆蓋組織機構的不同部門(mén)或各個(gè)工業(yè)控制系統。管理評估分三個(gè)級別、系統能力（技術(shù)）評估分為四個(gè)級別。信息安全等級由系統能力等級和管理等級二維確定。

    此評估標準實(shí)施過(guò)程中，還沒(méi)有一套有效的方法論來(lái)指導用戶(hù)單位確定自己需要的信息安全等級，或者政府未有一套信息安全等級評定的依據。目前階段只能根據用戶(hù)單位自己的自發(fā)需求來(lái)確定信息安全等級，然后根據用戶(hù)單位確認的等級開(kāi)展評估活動(dòng)。

    GB/T 30976.2-2014《工業(yè)控制系統信息安全 第2部分：驗收規范》

    此標準解決了我國工業(yè)控制系統信息安全驗收上的空白，解決了驗收有標準可依的困境。此標準的使用方是工業(yè)控制系統用戶(hù)方，《驗收規范》涉及到專(zhuān)業(yè)的安全測試，除電力和石油石化等大部分用戶(hù)方在能力上不足以完成驗收階段的安全測試。因此需要借助第三方的測評力量來(lái)驗收，就涉及到項目預算增加的問(wèn)題。因此在做標準宣貫時(shí)，需要在立項階段就考慮驗收標準和費用的問(wèn)題。

    （2）行業(yè)標準

    在工控安全領(lǐng)用，電力行業(yè)2005年頒布的電監會(huì )5號令《電力二次系統安全防護規定》，“安全分區、網(wǎng)絡(luò )專(zhuān)用、橫向隔離、縱向認證”十六字深入人心。其次是石化、核電及煙草行業(yè)也有相應標準。

    電力行業(yè)：《電力二次系統安全防護規定》（電監會(huì )5號令）

    我國工控安全的安全意識及優(yōu)秀實(shí)踐，起初都是參考電力行業(yè)的，電力行業(yè)的控制系統安全經(jīng)驗，對我國工控安全經(jīng)驗積累功不可沒(méi)?！峨娏Χ蜗到y安全防護規定》（電監會(huì )5號令）于2014年9月1日廢除，同時(shí)頒布了《電力監控系統安全防護規定》（發(fā)改委14號令）。

    石化行業(yè)：GB/T 50609-2010 《石油化工工廠(chǎng)信息系統設計規范》

    此設計規范中要求網(wǎng)絡(luò )之間需要采用安全隔離，2010年頒布的行業(yè)標準，算比較早重視工控信息安全的行業(yè)。

    核電行業(yè)：GB/T 13284.1-2008 《核電廠(chǎng)安全系統 第1部分 設計準則》

    核電行業(yè)：GB/T 13629-2008 《核電廠(chǎng)安全系統中數字計算機的適用準則》

    《設計準則》提供了有關(guān)核電廠(chǎng)安全設計應遵循的準則。標準中規定了核電廠(chǎng)安全系統動(dòng)力源、儀表和控制部分最低限度的功能和設計要求，標準適用于為防止或減輕設計基準事件后果、保護公眾健康和安全所需要的那些系統?！哆m用準則》主要針對核電廠(chǎng)安全系統中數字計算機適用性制定的準則。

    煙草行業(yè)：YC/T 494-2014 《煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)網(wǎng)絡(luò )互聯(lián)安全規范》

    此標準主要規范煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)之間的聯(lián)網(wǎng)安全問(wèn)題。

    2.2 我國在研的工控安全標準

    我國工業(yè)控制系統有如下在研標準：

    我國目前在研的工控安全標準有19項之多，其中工控安全管理標準4項，工控產(chǎn)品及系統信息安全標準9項，工控安全評估標準1項，工控安全防護及檢測技術(shù)標準5項。在研標準基本涵蓋了行業(yè)監管單位、工控產(chǎn)品供應商、工控安全防護產(chǎn)品供應商、工控業(yè)主單位及測評機構的標準需求。為了做到工控安全真正有標準可依，需要加快標準研制過(guò)程，盡快發(fā)布。提供如下加快進(jìn)度的建議：

    （1）工控安全標準需要做到統一歸口，不能分散資源。在網(wǎng)信辦和工信部的協(xié)調與領(lǐng)導下，全國信息安全標準化技術(shù)委員會(huì )需要繼續發(fā)揮信息安全標準研制經(jīng)驗優(yōu)勢，加速工業(yè)控制系統信息安全標準的研制。

    （2）工控安全標準研制相對復雜，需要加大投入。工控安全標準研制需要工控環(huán)境支撐及復合型人才的持續投入。建議政府決策部門(mén)給予工控安全標準研制提供更多的支持。

    3 工控安全標準現狀思考

    前面介紹了國際、美國和我國工控安全標準，從國外工控安全標準優(yōu)勢方面對比，我們有如下差距：

    （1）我國還未發(fā)布成熟的工控安全基本標準，比如安全指南、管理指南之類(lèi)的標準（第一個(gè)基本標準《信息安全技術(shù) 工業(yè)控制系統安全控制應用指南》將于上半年發(fā)布）；

    （2）我國還未有像ISCI這類(lèi)對工控安全標準符合性檢測及授權的組織，從目前我國標準制定來(lái)看，中國電子技術(shù)標準化研究院、中國信息安全測評中心、國家信息技術(shù)安全研究中心比較有優(yōu)勢；

    （3）我國已發(fā)布的幾個(gè)標準，缺乏標準宣貫的手段，或者沒(méi)有持續性的進(jìn)行宣貫。如果長(cháng)期不宣貫，就會(huì )成為可有可無(wú)的標準。

    國外標準只能借鑒，不能完全照搬。對我國工控安全標準制定提供如下建議：

    （1）信息安全標準是我國信息安全保障體系的重要組成部分，全國信息安全標準化技術(shù)委員會(huì )對我國信息安全標準的制定與推廣有著(zhù)舉足輕重的作用。工業(yè)控制系統信息安全是國家網(wǎng)絡(luò )安全的重要組成部分，在工控安全國家標準制定中，信安標委需要繼續發(fā)揮標準制定的主導作用。

    （2）工控安全標準研制，最好是有信息安全專(zhuān)家、工控專(zhuān)家、行業(yè)專(zhuān)家等多領(lǐng)域專(zhuān)家共同參與，才能真實(shí)反映既符合網(wǎng)絡(luò )安全要求又符合工控現場(chǎng)現狀。

    （3）我國在研標準眾多，需要儲備進(jìn)行工控安全標準符合性檢測及授權的技術(shù)能力，進(jìn)一步推動(dòng)已發(fā)布標準的落地及規模應用；

    （4）對于已發(fā)布的工控安全標準，需要加緊宣貫，謹防成為下一個(gè)先烈。