1　引言

制造業(yè)是立國之本、強國之基，是實(shí)體經(jīng)濟的核心構成。工業(yè)控制系統作為制造業(yè)的“神經(jīng)中樞”，其安全防護事關(guān)工業(yè)生產(chǎn)穩定運行，事關(guān)人民生命財產(chǎn)安全。近年來(lái)，針對工業(yè)控制系統的網(wǎng)絡(luò )攻擊呈現出顯著(zhù)的政治、軍事和經(jīng)濟意圖，工業(yè)控制系統逐漸成為網(wǎng)絡(luò )空間對抗的主戰場(chǎng)[1]。

為切實(shí)提升工業(yè)控制系統信息安全（以下簡(jiǎn)稱(chēng)：工控安全）防護能力，工業(yè)和信息化部陸續發(fā)布《工業(yè)控制系統信息安全防護指南》（工信軟函〔2016〕338號）、《工業(yè)控制系統信息安全防護能力評估工作管理辦法》（工信軟函〔2018〕188號）等系列政策文件，為建立工控安全防護體系指明方向。中國電子技術(shù)標準化研究院以標準為抓手，推進(jìn)《信息安全技術(shù)工業(yè)控制系統信息安全防護能力成熟度模型》（報批稿）、《信息安全技術(shù) 工業(yè)控制系統安全管理基本要求》（GB/T 36323-2018）等工控安全國家標準的研制發(fā)布，為工控安全防護提出相關(guān)要求。

2　工控安全防護能力貫標簡(jiǎn)介

2021年1月，中電標協(xié)工控安全推進(jìn)分會(huì )（以下簡(jiǎn)稱(chēng)：ICSP）成立，其是由測評機構、工業(yè)企業(yè)、安全企業(yè)等組成的全國性、行業(yè)性、非營(yíng)利性社會(huì )組織，旨在研究工控安全防護關(guān)鍵技術(shù)，開(kāi)展工控安全防護能力貫標，提升全行業(yè)工控安全防護能力水平。

2.1　工控安全防護能力貫標模型

工控安全防護能力貫標模型包括能力成熟度等級、安全能力要素和能力建設過(guò)程，如圖1所示。

圖1 工控安全防護能力貫標內容

護能力成熟度等級劃分為五級，具體包括：1級是基礎建設級，包括45項安全要求；2級是規范防護級，包括167項安全要求；3級是集成管控級，包括259項安全要求；4級是綜合協(xié)同級，包括320項安全要求；5級是智能優(yōu)化級，包括365項安全要求。

工控安全防護能力要素包括機構建設、制度流程、技術(shù)工具和人員能力。

工控安全防護能力建設過(guò)程由核心保護對象安全和通用安全兩部分組成。核心保護對象安全包含工業(yè)設備安全、工業(yè)主機安全、工業(yè)網(wǎng)絡(luò )邊界安全、工業(yè)控制軟件安全和工業(yè)數據安全，通用安全包含安全規劃與機構、人員管理與培訓、物理與環(huán)境安全、監測預警與應急響應和供應鏈安全保障。

2.2　工控安全防護能力貫標流程

工控安全防護能力貫標分為啟動(dòng)、宣貫、設計、實(shí)施、核驗和發(fā)證6個(gè)階段，如圖2所示。在啟動(dòng)階段，成立貫標工作組，制定貫標工作方案。在宣貫階段，開(kāi)展核心標準培訓，工業(yè)企業(yè)實(shí)施自對標、自診斷和自評估。在設計階段，依據自評估結果，為工業(yè)企業(yè)設計工控安全防護能力提升方案。在實(shí)施階段，選取最優(yōu)技術(shù)路線(xiàn)，組織實(shí)施安全防護提升方案。在核驗階段，工業(yè)企業(yè)選取核驗機構，開(kāi)展貫標核驗。在發(fā)證階段，針對貫標結果開(kāi)展合規性審核，為核驗通過(guò)的工業(yè)企業(yè)頒發(fā)證書(shū)。

圖2 工控安全防護能力貫標階段

2.3　工控安全防護能力貫標公共服務(wù)平臺

工控安全防護能力貫標公共服務(wù)平臺是ICSP開(kāi)展企業(yè)貫標過(guò)程中，公開(kāi)發(fā)布標準規范、核驗人員、核驗結果等信息的唯一平臺，為貫標提供全流程支撐，保證貫標順利開(kāi)展，規范貫標工作流程，確保貫標過(guò)程和結果可溯源、可核查，如圖3所示。

圖3 工控安全防護能力貫標公共服務(wù)平臺

3　工控安全防護能力貫標要點(diǎn)

3.1　增強企業(yè)員工安全意識

目前，我國工業(yè)企業(yè)信息化部門(mén)員工普遍重視工控安全防護工作，但仍有較多非信息化部門(mén)員工的安全意識不足。工控安全防護能力建設是每位員工的責任，提升自身工控安全防護意識是每位員工的義務(wù)。保障工控安全，既是保護工業(yè)企業(yè)，也是保護員工自身。

貫標案例：在自對標和核驗過(guò)程中發(fā)現，部分企業(yè)在具有較完善工控安全防護規章制度的情況下，仍存在使用工業(yè)主機外設接口為個(gè)人電子設備充電、工業(yè)控制系統登錄密碼違規存放、工業(yè)主機連接互聯(lián)網(wǎng)等問(wèn)題。

案例分析：違規使用工業(yè)主機外設接口將為病毒、木馬、蠕蟲(chóng)等惡意軟件的入侵提供便利條件，也會(huì )導致重要工業(yè)數據的丟失。違規存放登錄密碼會(huì )使工業(yè)控制設備、軟件的“大門(mén)”向黑客等非法人員敞開(kāi)。工業(yè)主機與互聯(lián)網(wǎng)相連將導致工業(yè)控制系統直接暴露于外網(wǎng)，被“攻擊”風(fēng)險大幅增加。千里之堤潰于蟻穴，只有每一位員工都樹(shù)立信息安全觀(guān)念、增強信息安全意識，企業(yè)才能構建起堅固的安全城墻。

根據工控安全防護能力貫標模型中人員管理與培訓的相關(guān)要求，工業(yè)企業(yè)需建立工業(yè)信息安全教育培訓制度，定期開(kāi)展教育培訓活動(dòng)，提升員工的工控安全風(fēng)險識別能力，使員工能夠識別工業(yè)控制系統存在的異常行為。

3.2　提高企業(yè)安全管理手段

現階段，我國工業(yè)企業(yè)普遍認識到工控安全防護工作的重要性，但部分企業(yè)對政策和標準的落實(shí)仍不到位，工控安全管理制度不夠完善。

貫標案例：在自對標和核驗過(guò)程中發(fā)現，某工業(yè)企業(yè)制定了工控安全管理制度，設立了工控安全管理崗位，并積極實(shí)施安全防護策略，將工業(yè)控制網(wǎng)絡(luò )置于“防護罩”內。核驗人員對該企業(yè)工業(yè)控制網(wǎng)絡(luò )發(fā)起模擬攻擊，經(jīng)多輪次測試，發(fā)現“防護罩”存在明顯薄弱區域，突破后即可進(jìn)入企業(yè)內網(wǎng)和工業(yè)控制網(wǎng)絡(luò )。按照攻擊路徑溯源，顯示有一套新部署的工業(yè)控制系統位于“防護罩”之外，原因是企業(yè)的設備部門(mén)部署該系統時(shí)未與工控安全管理部門(mén)對接，導致已建立的工控安全防護體系被破壞。

案例分析：工業(yè)企業(yè)為工控安全防護投入了相應的成本和精力，但由于管理制度存在缺陷，工控安全管理部門(mén)與其他部門(mén)聯(lián)動(dòng)不足，導致企業(yè)工控安全防護仍存在嚴重隱患。在未與工控安全管理部門(mén)溝通的情況下，企業(yè)新增的工業(yè)控制設備引起網(wǎng)絡(luò )結構的變化，造成工控安全防護措施的失效。制定和執行全面、完善的工控安全管理制度是工控安全防護體系的重要組成部分。

根據工控安全防護能力貫標模型中安全規劃與架構、物理環(huán)境與安全、供應鏈安全保障等的相關(guān)要求，工業(yè)企業(yè)需建立工控安全管理機制，成立由企業(yè)負責人牽頭，信息化、生產(chǎn)管理、設備管理等相關(guān)部門(mén)組成的信息安全協(xié)調小組，統籌協(xié)調工控安全相關(guān)工作[2]。

3.3　強化工控安全防護技術(shù)

當前，國內多數工業(yè)企業(yè)均已構建不同水平的工控安全防護技術(shù)體系，通過(guò)劃分網(wǎng)絡(luò )隔離區域、安裝安全防護設備等方式保護自身核心控制設備。

貫標案例：在自對標和核驗過(guò)程中，通過(guò)滲透測試等模擬攻擊手段發(fā)現部分工業(yè)企業(yè)存在以下情況：企業(yè)已在工業(yè)控制網(wǎng)絡(luò )邊界部署工業(yè)防火墻，管理員表示已配置完整安全策略，經(jīng)測試，實(shí)際配置未滿(mǎn)足安全要求；少量應封閉的工業(yè)主機端口，管理員表示已封閉處理，經(jīng)測試，實(shí)際未封閉；企業(yè)表示，工業(yè)控制網(wǎng)絡(luò )與其它網(wǎng)絡(luò )區域是物理隔離，經(jīng)測試，工業(yè)控制網(wǎng)絡(luò )與其它網(wǎng)絡(luò )存在部分連接問(wèn)題等。

案例分析：核驗人員赴工業(yè)企業(yè)現場(chǎng)，通過(guò)文檔查閱、人員訪(fǎng)談、現場(chǎng)核查和滲透測試等方式協(xié)助企業(yè)發(fā)現諸多安全風(fēng)險。安全策略配置不完整造成安全防護設備不能發(fā)揮安全功效，核驗人員可以輕易突破企業(yè)安全防線(xiàn)。工業(yè)主機端口應封未封，核驗人員可利用特定端口進(jìn)行模擬攻擊，通過(guò)搶占IP地址欺騙防火墻，從而進(jìn)入工業(yè)控制網(wǎng)絡(luò )，造成極大安全隱患。系統補丁更新不及時(shí)，核驗人員可采用SQL注入漏洞，非法獲取系統密碼，從而獲取該企業(yè)工業(yè)控制系統詳細數據信息，可能造成嚴重的數據泄露。

工控安全防護能力貫標模型中的核心保護對象安全包括針對工業(yè)設備、工業(yè)主機、工業(yè)網(wǎng)絡(luò )邊界、工業(yè)控制軟件和工業(yè)數據等方面的188項技術(shù)要求，指導工業(yè)企業(yè)提升網(wǎng)絡(luò )防御、風(fēng)險管控等能力。

4　結束語(yǔ)

工業(yè)控制系統信息安全是實(shí)施制造強國和網(wǎng)絡(luò )強國戰略的重要基礎，是推動(dòng)制造業(yè)質(zhì)量變革、效率提升的重要支撐。通過(guò)工控安全防護貫標，進(jìn)一步提升工業(yè)企業(yè)安全管理能力，完善綜合技術(shù)防護體系，扎實(shí)提升我國工控安全防護整體水平。

作者簡(jiǎn)介：

夏　冀（1992-），男，河南駐馬店人，助理工程師，碩士，現就職于中國電子技術(shù)標準化研究院網(wǎng)絡(luò )安全研究中心，主要研究方向為工業(yè)信息安全。

趙梓桐（1992-），男，遼寧大連人，助理工程師，碩士，現就職于中國電子技術(shù)標準化研究院網(wǎng)絡(luò )安全研究中心，主要研究方向為工業(yè)信息安全。

甘俊杰（1993-），男，江西景德鎮人，工程師，碩士，現就職于中國電子技術(shù)標準化研究院網(wǎng)絡(luò )安全研究中心，主要研究方向為工業(yè)信息安全標準化。

參考文獻：

[1] 王建偉. 夯實(shí)工控安全防護基礎, 助力制造業(yè)高質(zhì)量發(fā)展[J]. 中國信息化, 2019 (11) : 5 - 6.

[2] 王斯梁, 尹一樺. 工業(yè)控制系統安全防護技術(shù)研究[J]. 通信技術(shù), 2014, 47 (002) : 205 - 209.

摘自《自動(dòng)化博覽》2021年7月刊