久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

  
    1 國際工控安全標(biāo)準(zhǔn)發(fā)展

    1.1 國際工控安全標(biāo)準(zhǔn)

    目前在國際上，工業(yè)控制系網(wǎng)絡(luò)安全標(biāo)準(zhǔn)的研究制定工作主要由IEC/TC 65（工業(yè)過程測量、控制和自動化）下的網(wǎng)絡(luò)和系統(tǒng)信息安全WG10和國際自動化協(xié)會（ISA 99）委員會組成的聯(lián)合工作組負(fù)責(zé)，該工作組目前主要制定了IEC 62443《工業(yè)過程測量、控制和自動化網(wǎng)絡(luò)與系統(tǒng)信息安全》系列標(biāo)準(zhǔn)。該系列標(biāo)準(zhǔn)如表1所示：
    

                              表1
   
    IEC 62443是專門針對工業(yè)自動化和工業(yè)安全的系列標(biāo)準(zhǔn)。該系列標(biāo)準(zhǔn)，旨在使系統(tǒng)集成商、產(chǎn)品供應(yīng)商和服務(wù)提供商，可以通過使用該標(biāo)準(zhǔn)來評估他們的產(chǎn)品和服務(wù)，并依據(jù)評估結(jié)果判斷其產(chǎn)品或服務(wù)是否能夠為工業(yè)控制系統(tǒng)使用者提供有效的安全防護(hù)。IEC 62443的目標(biāo)并不是提供詳細(xì)規(guī)范并建立一個安全的體系架構(gòu)，其目標(biāo)是定義一個通用的最小安全要求集，使目標(biāo)工業(yè)控制系統(tǒng)達(dá)到各級SALS（Security Assurances Levels，SAL）的安全保障需求。

    為了推廣IEC62443并搶占標(biāo)準(zhǔn)一致性測試市場，美國儀表協(xié)議于2010年成立了ISA信息安全符合性研究院ISCI（ISASecure）。目前開展了如下三項標(biāo)準(zhǔn)符合性測試認(rèn)證：

    （1）IEC 62443-3-3：系統(tǒng)安全保證（SSA）認(rèn)證要求；

    （2）IEC 62443-4-1：安全開發(fā)生命周期保證（SDLA）認(rèn)證要求；

    （3）IEC 62443-4-2：嵌入式設(shè)備安全保證（EDSA）認(rèn)證要求；

    （4）ISASecure認(rèn)證需要使用通信健壯性測試（CRT）工具和漏洞識別測試工具。

    目前ISCI認(rèn)可測試工具如表2所示：
 
   

                              表2
   
    1.2 美國工控安全標(biāo)準(zhǔn)

    美國國土安全部（DHS）作為關(guān)鍵基礎(chǔ)設(shè)施安全（工控安全）的主管單位，為美國提供關(guān)鍵基礎(chǔ)設(shè)施安全的戰(zhàn)略指導(dǎo)，并與公共和私人合作伙伴合作，協(xié)調(diào)美國聯(lián)邦各個單位促進(jìn)關(guān)鍵基礎(chǔ)實(shí)施的安全性和可恢復(fù)性。美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）作為美國工控安全國家標(biāo)準(zhǔn)的制定單位，為支持聯(lián)邦信息安全管理法案（FISMA）的執(zhí)行，制定保護(hù)國家關(guān)鍵基礎(chǔ)設(shè)施主要標(biāo)準(zhǔn)，主要為NIST SP800-82和NIST SP800-53兩個標(biāo)準(zhǔn)。美國國土安全部發(fā)布CSET安全評估工具，推動工控安全標(biāo)準(zhǔn)的使用及對工控安全評估進(jìn)行工具支撐。

   
    從美國工控安全標(biāo)準(zhǔn)制定組織和成果可以看出，NIST制定工控安全主要標(biāo)準(zhǔn)，標(biāo)準(zhǔn)可跨行業(yè)，并且標(biāo)準(zhǔn)不停的滾動發(fā)布。從中可看到標(biāo)準(zhǔn)制定的有效經(jīng)驗，第一步解決有無標(biāo)準(zhǔn)的問題，然后再解決標(biāo)準(zhǔn)高質(zhì)量與普適性問題。從標(biāo)準(zhǔn)成果還可以看出，美國針對SCADA控制系統(tǒng)的安全標(biāo)準(zhǔn)比較多，主要因為SCADA的安全問題在控制系統(tǒng)中尤為突出。從中體現(xiàn)出美國標(biāo)準(zhǔn)制定以解決突出問題為導(dǎo)向，而不是胡子眉毛一把抓。

    2 我國工控安全標(biāo)準(zhǔn)發(fā)展

    2.1 我國已發(fā)布的工控安全標(biāo)準(zhǔn)

    （1）國家標(biāo)準(zhǔn)

    GB/T 26333-2010《工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范》

    作為我國工控安全第一個國家標(biāo)準(zhǔn)，解決了我國工控安全標(biāo)準(zhǔn)空白的問題，實(shí)現(xiàn)了工控安全標(biāo)準(zhǔn)零的突破。此標(biāo)準(zhǔn)2011年發(fā)布實(shí)施，從發(fā)布時間上可以看出，我國關(guān)注工控安全的前輩們的高瞻遠(yuǎn)矚。但是此標(biāo)準(zhǔn)并未推行起來，成為了事實(shí)上可有可無的標(biāo)準(zhǔn)，成為了工控安全標(biāo)準(zhǔn)界的先烈。究其原因，還是此標(biāo)準(zhǔn)無核心內(nèi)容（核心內(nèi)容都是直接引用其它標(biāo)準(zhǔn)），標(biāo)準(zhǔn)過于簡單，可操作性低，導(dǎo)致此標(biāo)準(zhǔn)落地困難。建議相關(guān)單位對此標(biāo)準(zhǔn)進(jìn)行修訂。

    GB/T 30976.1-2014《工業(yè)控制系統(tǒng)信息安全 第1部分：評估規(guī)范》

    作為我國工控安全第一個有內(nèi)容的國家標(biāo)準(zhǔn)，解決了我國工控安全無標(biāo)準(zhǔn)可依的窘境。《評估規(guī)范》分為管理評估和系統(tǒng)能力（技術(shù)）評估。管理評估宜對照風(fēng)險接受準(zhǔn)則和組織機(jī)構(gòu)相關(guān)目標(biāo)，識別、量化并區(qū)分風(fēng)險的優(yōu)先次序。風(fēng)險評估的結(jié)果宜指導(dǎo)并確定適當(dāng)?shù)墓芾泶胧┘捌鋬?yōu)先級，評估風(fēng)險和選擇控制措施的過程需要執(zhí)行多次，以覆蓋組織機(jī)構(gòu)的不同部門或各個工業(yè)控制系統(tǒng)。管理評估分三個級別、系統(tǒng)能力（技術(shù)）評估分為四個級別。信息安全等級由系統(tǒng)能力等級和管理等級二維確定。

    此評估標(biāo)準(zhǔn)實(shí)施過程中，還沒有一套有效的方法論來指導(dǎo)用戶單位確定自己需要的信息安全等級，或者政府未有一套信息安全等級評定的依據(jù)。目前階段只能根據(jù)用戶單位自己的自發(fā)需求來確定信息安全等級，然后根據(jù)用戶單位確認(rèn)的等級開展評估活動。

    GB/T 30976.2-2014《工業(yè)控制系統(tǒng)信息安全 第2部分：驗收規(guī)范》

    此標(biāo)準(zhǔn)解決了我國工業(yè)控制系統(tǒng)信息安全驗收上的空白，解決了驗收有標(biāo)準(zhǔn)可依的困境。此標(biāo)準(zhǔn)的使用方是工業(yè)控制系統(tǒng)用戶方，《驗收規(guī)范》涉及到專業(yè)的安全測試，除電力和石油石化等大部分用戶方在能力上不足以完成驗收階段的安全測試。因此需要借助第三方的測評力量來驗收，就涉及到項目預(yù)算增加的問題。因此在做標(biāo)準(zhǔn)宣貫時，需要在立項階段就考慮驗收標(biāo)準(zhǔn)和費(fèi)用的問題。

    （2）行業(yè)標(biāo)準(zhǔn)

    在工控安全領(lǐng)用，電力行業(yè)2005年頒布的電監(jiān)會5號令《電力二次系統(tǒng)安全防護(hù)規(guī)定》，“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”十六字深入人心。其次是石化、核電及煙草行業(yè)也有相應(yīng)標(biāo)準(zhǔn)。

    電力行業(yè)：《電力二次系統(tǒng)安全防護(hù)規(guī)定》（電監(jiān)會5號令）

    我國工控安全的安全意識及優(yōu)秀實(shí)踐，起初都是參考電力行業(yè)的，電力行業(yè)的控制系統(tǒng)安全經(jīng)驗，對我國工控安全經(jīng)驗積累功不可沒。《電力二次系統(tǒng)安全防護(hù)規(guī)定》（電監(jiān)會5號令）于2014年9月1日廢除，同時頒布了《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》（發(fā)改委14號令）。

    石化行業(yè)：GB/T 50609-2010 《石油化工工廠信息系統(tǒng)設(shè)計規(guī)范》

    此設(shè)計規(guī)范中要求網(wǎng)絡(luò)之間需要采用安全隔離，2010年頒布的行業(yè)標(biāo)準(zhǔn)，算比較早重視工控信息安全的行業(yè)。

    核電行業(yè)：GB/T 13284.1-2008 《核電廠安全系統(tǒng) 第1部分 設(shè)計準(zhǔn)則》

    核電行業(yè)：GB/T 13629-2008 《核電廠安全系統(tǒng)中數(shù)字計算機(jī)的適用準(zhǔn)則》

    《設(shè)計準(zhǔn)則》提供了有關(guān)核電廠安全設(shè)計應(yīng)遵循的準(zhǔn)則。標(biāo)準(zhǔn)中規(guī)定了核電廠安全系統(tǒng)動力源、儀表和控制部分最低限度的功能和設(shè)計要求，標(biāo)準(zhǔn)適用于為防止或減輕設(shè)計基準(zhǔn)事件后果、保護(hù)公眾健康和安全所需要的那些系統(tǒng)。《適用準(zhǔn)則》主要針對核電廠安全系統(tǒng)中數(shù)字計算機(jī)適用性制定的準(zhǔn)則。

    煙草行業(yè)：YC/T 494-2014 《煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)網(wǎng)絡(luò)互聯(lián)安全規(guī)范》

    此標(biāo)準(zhǔn)主要規(guī)范煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)之間的聯(lián)網(wǎng)安全問題。

    2.2 我國在研的工控安全標(biāo)準(zhǔn)

    我國工業(yè)控制系統(tǒng)有如下在研標(biāo)準(zhǔn)：

    我國目前在研的工控安全標(biāo)準(zhǔn)有19項之多，其中工控安全管理標(biāo)準(zhǔn)4項，工控產(chǎn)品及系統(tǒng)信息安全標(biāo)準(zhǔn)9項，工控安全評估標(biāo)準(zhǔn)1項，工控安全防護(hù)及檢測技術(shù)標(biāo)準(zhǔn)5項。在研標(biāo)準(zhǔn)基本涵蓋了行業(yè)監(jiān)管單位、工控產(chǎn)品供應(yīng)商、工控安全防護(hù)產(chǎn)品供應(yīng)商、工控業(yè)主單位及測評機(jī)構(gòu)的標(biāo)準(zhǔn)需求。為了做到工控安全真正有標(biāo)準(zhǔn)可依，需要加快標(biāo)準(zhǔn)研制過程，盡快發(fā)布。提供如下加快進(jìn)度的建議：

    （1）工控安全標(biāo)準(zhǔn)需要做到統(tǒng)一歸口，不能分散資源。在網(wǎng)信辦和工信部的協(xié)調(diào)與領(lǐng)導(dǎo)下，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會需要繼續(xù)發(fā)揮信息安全標(biāo)準(zhǔn)研制經(jīng)驗優(yōu)勢，加速工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)的研制。

    （2）工控安全標(biāo)準(zhǔn)研制相對復(fù)雜，需要加大投入。工控安全標(biāo)準(zhǔn)研制需要工控環(huán)境支撐及復(fù)合型人才的持續(xù)投入。建議政府決策部門給予工控安全標(biāo)準(zhǔn)研制提供更多的支持。

    3 工控安全標(biāo)準(zhǔn)現(xiàn)狀思考

    前面介紹了國際、美國和我國工控安全標(biāo)準(zhǔn)，從國外工控安全標(biāo)準(zhǔn)優(yōu)勢方面對比，我們有如下差距：

    （1）我國還未發(fā)布成熟的工控安全基本標(biāo)準(zhǔn)，比如安全指南、管理指南之類的標(biāo)準(zhǔn)（第一個基本標(biāo)準(zhǔn)《信息安全技術(shù) 工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》將于上半年發(fā)布）；

    （2）我國還未有像ISCI這類對工控安全標(biāo)準(zhǔn)符合性檢測及授權(quán)的組織，從目前我國標(biāo)準(zhǔn)制定來看，中國電子技術(shù)標(biāo)準(zhǔn)化研究院、中國信息安全測評中心、國家信息技術(shù)安全研究中心比較有優(yōu)勢；

    （3）我國已發(fā)布的幾個標(biāo)準(zhǔn)，缺乏標(biāo)準(zhǔn)宣貫的手段，或者沒有持續(xù)性的進(jìn)行宣貫。如果長期不宣貫，就會成為可有可無的標(biāo)準(zhǔn)。

    國外標(biāo)準(zhǔn)只能借鑒，不能完全照搬。對我國工控安全標(biāo)準(zhǔn)制定提供如下建議：

    （1）信息安全標(biāo)準(zhǔn)是我國信息安全保障體系的重要組成部分，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會對我國信息安全標(biāo)準(zhǔn)的制定與推廣有著舉足輕重的作用。工業(yè)控制系統(tǒng)信息安全是國家網(wǎng)絡(luò)安全的重要組成部分，在工控安全國家標(biāo)準(zhǔn)制定中，信安標(biāo)委需要繼續(xù)發(fā)揮標(biāo)準(zhǔn)制定的主導(dǎo)作用。

    （2）工控安全標(biāo)準(zhǔn)研制，最好是有信息安全專家、工控專家、行業(yè)專家等多領(lǐng)域?qū)＜夜餐瑓⑴c，才能真實(shí)反映既符合網(wǎng)絡(luò)安全要求又符合工控現(xiàn)場現(xiàn)狀。

    （3）我國在研標(biāo)準(zhǔn)眾多，需要儲備進(jìn)行工控安全標(biāo)準(zhǔn)符合性檢測及授權(quán)的技術(shù)能力，進(jìn)一步推動已發(fā)布標(biāo)準(zhǔn)的落地及規(guī)模應(yīng)用；

    （4）對于已發(fā)布的工控安全標(biāo)準(zhǔn)，需要加緊宣貫，謹(jǐn)防成為下一個先烈。