【
智慧城市網(wǎng) 媒體導(dǎo)讀】隨著工業(yè)自動(dòng)化系統(tǒng)的發(fā)展,工業(yè)控制系統(tǒng)的信息安全技術(shù)也得到了長(zhǎng)足的發(fā)展。未來(lái),工業(yè)控制系統(tǒng)的信息安全技術(shù)將進(jìn)一步利用傳統(tǒng)的IT技術(shù),使其更加智能化、網(wǎng)絡(luò)化,成為控制系統(tǒng)不可或缺的一部分。
與傳統(tǒng)IP互聯(lián)網(wǎng)相似,工業(yè)控制系統(tǒng)的信息安全產(chǎn)品將在信息安全與工業(yè)生產(chǎn)控制之間找到契合點(diǎn),形成具有工業(yè)控制系統(tǒng)鮮明特色的安全輸入、安全控制和安全輸出產(chǎn)品體系。
工控安全考慮功能、物理和信息安全。
一般來(lái)說(shuō),工業(yè)控制系統(tǒng)的安全可以分為三個(gè)方面,即功能安全、物理安全和信息安全。
安全是實(shí)現(xiàn)設(shè)備和工廠的安全功能。受保護(hù)和受控設(shè)備的安全相關(guān)部分必須正確執(zhí)行其功能,當(dāng)故障或失效發(fā)生時(shí),設(shè)備或系統(tǒng)必須仍能維持安全條件或進(jìn)入安全狀態(tài)。
物理安全就是減少觸電、火災(zāi)、輻射、機(jī)械危險(xiǎn)、化學(xué)危險(xiǎn)等因素造成的傷害。
IEC62443對(duì)工業(yè)控制系統(tǒng)信息安全的定義是:“為保護(hù)系統(tǒng)而采取的措施;通過建立和維護(hù)保護(hù)系統(tǒng)的措施獲得的系統(tǒng)狀態(tài);避免對(duì)系統(tǒng)資源的未經(jīng)授權(quán)的訪問以及未經(jīng)授權(quán)或意外的更改、破壞或丟失;基于計(jì)算機(jī)系統(tǒng)的能力,可以保證未授權(quán)的人員和系統(tǒng)既不能修改軟件及其數(shù)據(jù),也不能訪問系統(tǒng)功能,但保證授權(quán)的人員和系統(tǒng)不被阻塞;防止對(duì)工業(yè)控制系統(tǒng)的非法或有害入侵或干擾其正確和有計(jì)劃的操作。”
工控安全法規(guī)政策梳理
我國(guó)工控安全領(lǐng)域的法規(guī)政策主要包括國(guó)家、產(chǎn)業(yè)、行業(yè)三個(gè)層面:
•國(guó)家層面
從國(guó)家層面來(lái)看,工控安全法規(guī)多是通過具體法律、條例中的規(guī)章,以管理維度要求工業(yè)生產(chǎn)企業(yè)在信息化過程中需要注意的事項(xiàng)。
1、網(wǎng)絡(luò)安全法
2017年,我國(guó)頒布《中華人民共和國(guó)網(wǎng)絡(luò)安全法》,標(biāo)志著我國(guó)網(wǎng)絡(luò)安全建設(shè)有法可依。《網(wǎng)絡(luò)安全法》中,關(guān)鍵信息基礎(chǔ)設(shè)施作為獨(dú)立一節(jié),體現(xiàn)了我國(guó)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的重視。而工業(yè)網(wǎng)絡(luò)、工業(yè)系統(tǒng)承擔(dān)著國(guó)家安全、國(guó)計(jì)民生、公共利益的職責(zé),因此被認(rèn)為是關(guān)鍵信息基礎(chǔ)設(shè)施的一部分。
2、數(shù)據(jù)安全法與個(gè)人信息保護(hù)
《中華人民共和國(guó)數(shù)據(jù)安全法》和《中華人民共和國(guó)個(gè)人信息保護(hù)法》,對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行過程中所產(chǎn)生的業(yè)務(wù)數(shù)據(jù)、個(gè)人隱私數(shù)據(jù)、運(yùn)行數(shù)據(jù)等做出細(xì)化的防護(hù)規(guī)定。
3、網(wǎng)絡(luò)安全等級(jí)保護(hù)制度2.0
2019年,網(wǎng)絡(luò)安全等級(jí)保護(hù)制度2.0標(biāo)準(zhǔn)正式發(fā)布并實(shí)施。在《GBT22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》中,除安全通用要求外,還提出了工業(yè)控制系統(tǒng)安全擴(kuò)展要求,通過分析OT網(wǎng)絡(luò)與IT網(wǎng)絡(luò)的區(qū)別,進(jìn)行了針對(duì)安全防護(hù)要求。
等保2.0的安全擴(kuò)展要求主要針對(duì)于生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場(chǎng)控制層和現(xiàn)場(chǎng)設(shè)備層。其中生產(chǎn)管理層和過程監(jiān)控層注重對(duì)網(wǎng)絡(luò)通訊和網(wǎng)絡(luò)隔離進(jìn)行要求,現(xiàn)場(chǎng)控制層和現(xiàn)場(chǎng)設(shè)備層作為OT網(wǎng)絡(luò)的主體,包含了從設(shè)備、到資產(chǎn)再到網(wǎng)絡(luò)通訊的全方位安全要求。
4、關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例
2021年9月1日,《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》(以下簡(jiǎn)稱“條例”)實(shí)施,定義了從國(guó)家網(wǎng)信部門統(tǒng)籌,公安部監(jiān)督,各級(jí)人民政府、各行業(yè)主管單位配合的監(jiān)管體系。
《條例》細(xì)化了《網(wǎng)絡(luò)安全法》中對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的要求。《條例》更注重的是從架構(gòu)層面的建設(shè)問題,要求工控企業(yè)具備的基本能力,并明確了如果沒有達(dá)到要求時(shí)相應(yīng)的處罰。這些要求及能力如何具體落地,工業(yè)企業(yè)還需根據(jù)等保2.0相關(guān)標(biāo)準(zhǔn)進(jìn)行執(zhí)行。
•產(chǎn)業(yè)層面
從產(chǎn)業(yè)層面看,產(chǎn)業(yè)主管部門基于國(guó)家法律規(guī)定,將工控安全要求細(xì)化成可落地建設(shè)的指南,對(duì)在安全技術(shù)應(yīng)用、實(shí)現(xiàn)防護(hù)要求的具體方法進(jìn)行指導(dǎo),并依據(jù)指導(dǎo)意見建立考核點(diǎn),以檢查落地的成效。
2011年10月,工信部發(fā)布關(guān)于工業(yè)控制安全的《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》(以下簡(jiǎn)稱“《通知》”),從四個(gè)方面提出工控安全建設(shè)要求:加強(qiáng)對(duì)工業(yè)安全重要性的認(rèn)識(shí);落實(shí)工控安全中的六項(xiàng)管理要求;建立健全工控安全監(jiān)管機(jī)制;強(qiáng)化工控系統(tǒng)安全組織領(lǐng)導(dǎo)工作。
2016年10月,工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》,從十一個(gè)方面要求工控企業(yè)做好安全防護(hù)工作。《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》給出了第一個(gè)細(xì)化的工控安全落實(shí)管理、技術(shù)架構(gòu)。《指南》共十一條,對(duì)工業(yè)系統(tǒng)的安全建設(shè)從管理、技術(shù)、應(yīng)急處置、設(shè)備資產(chǎn)管理等多方面進(jìn)行了建議。
2017年,工信部辦公廳發(fā)布了“工業(yè)和信息化部關(guān)于印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)估工作管理辦法》的通知“,旨在檢驗(yàn)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》的實(shí)踐效果。在通知中,同時(shí)發(fā)布了《工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)估方法》,工信部、各行業(yè)單位將依照《評(píng)估辦法》對(duì)部分工控安全企業(yè)進(jìn)行檢查。
2020年2月,工信部印發(fā)《工業(yè)數(shù)據(jù)分類分級(jí)指南(試行)》,要求工業(yè)和信息化主管部門、工業(yè)企業(yè)、平臺(tái)企業(yè)等開展工業(yè)數(shù)據(jù)分類分級(jí)工作。企業(yè)的研發(fā)數(shù)據(jù)、生產(chǎn)數(shù)據(jù)、運(yùn)維數(shù)據(jù)、管理數(shù)據(jù)、外部數(shù)據(jù)需要進(jìn)行分類處理,并依據(jù)一旦遭到篡改、破壞、泄露或分發(fā)利用后可能產(chǎn)生的潛在影響進(jìn)行分級(jí)處理。
•行業(yè)層面
從行業(yè)層面看,主要包括能源、電力、交通運(yùn)輸、生產(chǎn)制造等,由于工業(yè)領(lǐng)域各行業(yè)安全現(xiàn)狀有所不同,各工業(yè)系統(tǒng)的安全需求具備差異化,因此各行業(yè)主管部門均在根據(jù)自身情況,推進(jìn)行業(yè)內(nèi)的工業(yè)安全建設(shè)指導(dǎo),并形成行業(yè)標(biāo)準(zhǔn)。