今日頭條
官方微信
官方抖音
資訊頻道
1 引言
眾所周知，工業控制系統信息安全問題涉及石油、化工、電力、核設施、交通、冶金、水處理、生產制造等行業，直接關系到國家關鍵基礎設施和國民經濟。由于工業控制系統安全事故頻發并呈逐年上升趨勢，工業控制系統信息安全的嚴峻形勢引起了國內外的高度關注。
工業控制系統信息安全，是資產擁有者（有時也稱組織機構，即用戶）、工程公司、設計院、施工單位、工業控制系統產品制造商、工業控制系統集成商、相關職能部門等共同關心的話題。那么，在這些單位和部門之間，如何做好工業控制系統信息安全工作？在組織機構內，自動化專業組、IT專業組、HSE專業組和生產運營組等如何協作？做好工業控制系統信息安全，需要了解哪些標準規范、掌握哪些專業理論知識和具備哪些專業實務？鑒于這些問題，本文將分析目前工業控制系統信息安全現狀，闡述工業控制系統信息安全重要性，并詳細介紹工業控制系統信息安全系統學習。筆者期待與各位專業同行探討，共同推進工業控制系統信息安全的全面建設。
2 工業控制系統信息系統安全發展現狀及其重要性
2.1 工業控制系統信息安全發展現狀
信息化與工業化的融合，智能制造，已成為我國工業制造業發展趨勢。這種趨勢給我們的工業控制系統提出更高的要求，同時也帶來前所未有的信息安全挑戰。在工業化、信息化、智能化發展過程中，現有工控系統的軟硬件、通信協議，以及管理環節往往都存在信息安全隱患風險。近年來，工控系統信息安全事件逐年增加，嚴重影響國家和地區的重要基礎設施安全，造成的損失和危害越來越嚴重，安全形勢刻不容緩。
目前，我國工業控制系統信息安全現狀主要表現為以下幾方面：
（1）工業控制系統信息安全意識有待提高。通過分析，許多工控安全事件與企業或員工信息安全意識不強密不可分。養成良好的工業控制系統信息安全意識，員工可以有效避免誤操作，主動發現和及時處理漏洞；企業可以加強信息安全管理，直至定期對企業員工進行信息安全事故演練，模擬在面對工控安全突發事件時的應急響應。
（2）工業控制系統信息安全要求和標準有待熟悉。國家相關部門針對工業控制系統信息安全發出通知，相關單位組織專家建立了相應的國標和行業標準，國際標準組織也制定和發布了一些標準和規范。我們需要對這些通知要求和標準盡快熟悉，才能在工作中進行運用。
（3）工業控制系統信息安全新知識有待學習。工控系統信息安全作為新的領域，必然會有一些新的專業知識和理論需要我們不斷學習和探索。工業用戶、工程公司、設計院、施工單位、工業控制系統產品制造商、工業控制系統集成商、相關職能部門等都需要及時補上這個短板。
2.2 工業控制系統信息安全重要性
工業控制系統信息安全直接影響工業控制系統用戶的人員安全、生產和效益，間接關系到工業企業的名譽、社會責任和發展戰略。因此，工業控制系統信息安全是工業企業的健康、安全和環境（HSE）管理體系的基本組成部分。
工業控制系統信息安全關系到國家的信息安全、環境保護、經濟建設和戰略部署。因此，工業控制系統信息安全已經上升至國家層面，是國家網絡安全的重要組成部分。
工業控制系統信息安全是現代工業發展的必然要求。兩化融合和智能制造，必然對工控系統信息保護提出越來越高的要求。因此，工業控制系統信息安全，是現代工業發展不可或缺的部分。
3 工業控制系統信息安全系統學習
根據目前出版的《工業控制系統信息安全》一書和目前發表的相關專業技術論文來看，工業控制系統信息安全系統學習應包括工業控制系統信息安全概念和標準體系、工業控制系統架構和漏洞分析、工業控制系統信息安全技術與方案部署、工業控制系統信息安全風險評估、工業控制系統信息安全生命周期、工業控制系統信息安全管理體系、工業控制系統信息安全項目工程、工業控制系統信息安全產品認證、工業控制系統入侵檢測與入侵防護、工業控制系統補丁管理、工業控制系統信息安全應用實例和未來展望。
3.1 工業控制系統信息安全簡介
做好工業控制系統信息安全，需要了解其現狀、威脅與趨勢，知道工業控制系統信息安全定義與要求，還需熟悉相關國內外規范要求。
3.1.1 工業控制系統信息安全現狀、威脅與趨勢
工業控制系統信息安全現狀，前面已介紹，在此不進行闡述。工業控制系統信息安全的威脅主要來自敵對因素、偶然因素、系統結構因素和環境因素。工業控制系統信息安全趨勢主要有三個：分布式全行業覆蓋趨勢、經濟越發達安全事件越多趨勢和日益增多趨勢。
3.1.2 工業控制系統信息安全定義與要求
在IEC 62443中對工業信息安全的定義是：（1）保護系統所采取的措施；（2）由建立和維護保護系統的措施所得到的系統狀態；（3）能夠免于對系統資源的非授權訪問和非授權或意外的變更、破壞或者損失；（4）基于計算機系統的能力，能夠保證非授權人員和系統既無法修改軟件及其數據又無法訪問系統功能，卻保證授權人員和系統不被阻止；（5）防止對工業控制系統的非法或有害入侵，或者干擾其正確和計劃的操作。
工業控制系統信息安全的三個基本要求依次為：可用性、完整性和保密性。
同時我們應該看到，工業控制系統信息安全與信息技術系統安全比較，兩者有明顯的不同。
3.1.3 工業控制系統信息安全要求和標準體系
國務院、工業和信息化部、國家發改委、電力行業等已發布有關工業控制系統信息安全管理的通知、要求和文件。
IEC 62443《工業過程測量、控制和自動化網絡與系統信息安全》、IEC 62351《電力系統管理與相關信息交互數據和通信信息安全》、IEC 62278《軌道交通可靠性、可用性、可維修性和安全性規范及示例》、ISO/IEC 27000《信息安全管理系統》等國際標準體系已建立或逐步建立。
GB/T 30976.1-2014《工控系統信息安全 第1部分：評估規范》、GB/T 30976.2-2014《工控系統信息安全 第2部分：驗收規范》、GB/Z 25320《電力系統管理及其信息交換 數據和通信安全》系列、GB/T 13284.1-2008《核電廠安全系統 第1部分 設計準則》、GB/T 13629-2008《核電廠安全系統中數字計算機的適用準則》、JB/T 11960-2014 《工業過程測量和控制安全網絡和系統安全》（IEC/TR62443-3：2008）、JB/T 11961-2014《工業通信網絡 網絡和系統安全術語、概念和模型》（IEC /TS62443-1-1：2009）、JB/T 11962-2014 《工業通信網絡 網絡和系統安全 工業自動化和控制系統信息安全技術》（IEC/TR62443-3-1：2009）、HAD102-16 《核電廠基于計算機的安全重要系統軟件》等國內標準體系已經建立。
這些有關工業控制系統信息安全的通知、要求、文件、國際標準、國內標準和行業標準，給我們的工業控制系統信息安全工作提供明確的指導。同時，使得工業控制系統信息安全工作開展有章可循。
3.2 工業控制系統架構與漏洞分析
做好工業控制系統信息安全，要了解工業控制系統架構，要分析工業控制系統漏洞。
（1）工業控制系統架構
按照ANSI/ISA-95.00.01企業分層模型，可繪制企業典型分層架構圖，如圖1所示。典型的企業生產或制造系統包括現場設備層、現場控制層、過程監控層、制造執行系統（MES）層、企業管理層和外部網絡。由圖1可以看出，以制造執行系統（MES）層分界，向上為通用IT領域，向下為工業控制系統領域。
圖1 企業典型分層架構圖
（2） 工業控制系統漏洞分析
分析工業控制系統漏洞，要詳細了解工業控制系統技術演變，詳細比較工業控制系統與通用信息系統，挖掘工業控制系統信息安全問題根源，直至詳細分析出工業控制系統漏洞。
3.3 工業控制系統信息安全技術與方案部署
做好工業控制系統信息安全，要全面理解工業控制系統信息安全技術，要掌握工業控制系統信息安全方案部署。
（1）工業控制系統信息安全技術簡介
目前，工業控制系統信息安全技術有五大類，包括鑒別與授權技術類；過濾、阻止、訪問控制技術類；編碼技術與數據確認技術類；管理、審計、測量、監控和檢測技術類；物理安全控制技術類。
工業控制系統信息安全技術每個類別又包含多種技術，具體分類如圖2所示。
圖2 工業控制系統信息安全技術分類圖
（2）工業控制系統信息安全方案部署（即網絡隔離）
公司管理網絡與工業控制系統網絡之間，通過采用不同的架構進行網絡隔離，加強網絡信息安全。
工業控制系統信息安全方案部署，有時也稱為網絡隔離，通常包括雙宿主計算機、防火墻位于公司網與控制網間、防火墻與路由器位于公司網與控制網間、防火墻帶DMZ位于公司網與控制網間、雙防火墻位于公司網與控制網間等五種架構。我們應仔細分析各種架構優缺點，從而找出適用于工業控制系統的安全架構。
3.4 工業控制系統信息安全風險評估
做好工業控制系統信息安全，要對工業控制系統進行識別，要理解區域和管道兩個概念，要掌握信息安全等級，要熟悉風險評估過程，要學會相應的評估方法。
（1）系統識別。工業企業應考慮工業控制系統信息安全的范圍、邊界、設備和所有控制系統的訪問點。
（2）區域與管道定義。理解區域和管道的定義，以便工業控制系統各個子系統進行分段管理，并找出相應的模板。
（3）信息安全等級（SL）。根據信息安全控制實用規則（ISO27002）的管理要求和過程自動化用戶協會（WIB）的推薦要求，通過管理評估，將管理等級劃分為三級，分別為ML1、ML2和ML3，由低到高分別對應低級、中級和高級。基于IEC62443-3-3技術要求，通過系統能力（技術）評估，將系統能力等級分為四級，由小到大分別對應系統能力等級的CL1、CL2、CL3和CL4。根據管理評估和系統能力評估的結果，可以得到工業控制系統的評估結果，即信息安全等級，其等級劃分為四級，由低到高分別對應為SL1、SL2、SL3和SL4，如表1所示。
（4）風險評估過程。詳細的風險評估流程包括四步：準備評估、開展評估、溝通結果、維護評估。
（5）風險評估方法。風險評估方法主要有定性和定量風險評估方法、基于場景和資產風險評估方法、詳細風險評估方法、高層次風險評估方法。每種風險評估方法有不同的要求和不同的使用場合，因此，確定某種風險評估方法一般需要進行篩選、選擇、驗證和確定等四個步驟。
3.5 工業控制系統信息安全生命周期
做好工業控制系統信息安全，要理解工業控制系統生命周期，要熟悉工業控制系統信息安全程序成熟周期，要學會分析工業控制系統信息安全等級生命周期。
（1）工業控制系統生命周期
工業控制系統通用生命周期通常包括策劃階段、采購階段、實施階段、運行階段和報廢階段，其通用生命周期如圖3所示。
圖3 通用生命周期示意圖
（2）工業控制系統安全生命周期
工業控制系統安全生命周期通常用圖4所示的安全周期V模型圖來表述。
圖4 工業控制系統安全生命周期V模型圖
（3）工業控制系統信息安全程序成熟周期
一般地，工業控制系統信息安全程序成熟生命周期由多個階段組成，而每個階段又可以由一步或幾步組成，具體階段與步驟如圖5所示。
圖5 工業控制系統信息安全成熟周期圖
（4）工業控制系統信息安全等級生命周期
工業控制系統信息安全等級生命周期包括評估階段生命周期、開發與實施階段生命周期和維護階段生命周期。工業控制系統信息安全等級生命周期如圖6所示。
圖6 工業控制系統信息安全等級生命周期圖
3.6 工業控制系統信息安全管理體系
做好工業控制系統信息安全，要掌握（PDCA）模型，建立工業控制系統信息安全管理體系。
（1）工業控制系統信息安全管理體系模型
目前，國際上普遍采用“規劃（Plan） - 實施（Do） - 檢查（Check） - 處置（Act）”（PDCA）模型來建立工業控制系統信息安全管理體系過程，其模型圖如圖7所示。
圖7 應用于工業控制系統信息安全管理體系過程的PDCA模型圖
（2）工業控制系統信息安全管理體系內容
工業控制系統信息安全管理體系通常包括的內容有安全方針、組織與合作團隊、資產管理、人力資源安全、物理與環境管理、通信與操作管理、訪問控制、信息獲取與開發維護、信息安全事件管理、業務連續性管理及符合性。
每個工業控制系統的組織機構可以根據自身的實際情況，合理地選擇這些內容，建立一套全面而有效的工業控制系統信息安全管理體系。
3.7 工業控制系統信息安全項目工程
做好工業控制系統信息安全，要理解和熟練工業控制系統信息安全項目工程流程。
（1）工業項目工程。工業項目工程一般包括規劃階段、工程設計階段、施工階段和調試運行階段。
（2）工業控制系統信息安全項目工程。盡管我們不能把信息安全當做一個有開始和結束日期的項目來處理，但是新建的工業項目包括工業控制系統部分。因此，我們需要按照新建工業項目的要求和流程，做好新建工業控制系統信息安全建設。
一個典型的工業控制系統信息安全通常包括規劃與初步設計階段、詳細設計階段、施工調試階段、運行維護階段和升級優化階段，其典型項目階段示意圖如圖8所示。
圖8 典型工業控制系統信息安全項目階段示意圖
3.8 工業控制系統信息安全產品認證
做好工業控制系統信息安全，要了解產品認證的機構，了解產品認證的流程，了解產品認證的趨勢。
（1）產品認證機構
目前工業控制系統信息安全領域已推出且得到業界普遍認可的信息安全認證國外機構有ISA安全符合性研究院（ISCI）、Exida LLC、Wurldtech、JAB、Codenomicon、全球工業網絡安全專業認證（Global Industrial Cyber Security Professional，GICSP）等。
目前國內產品認證機構有公安部第三研究所公安部信息安全產品檢驗中心、中國信息安全測評中心、中國信息安全認證中心等。
（2）產品認證
目前，工業控制系統信息安全產品認證有工業防火墻認證、嵌入式設備安全保障（EDSA）認證、安全開發生命周期保障（SDLA）認證、系統安全保障（SSA）認證等。
（3）產品認證趨勢
從工業控制系統市場發展和市場出現來自不同認證機構的產品認證來看，工業控制系統信息安全產品認證正逐步走向準入機制和產品認證級別大趨勢。
3.9 工業控制系統入侵檢測與防護
做好工業控制系統信息安全，需要具備一定的工業控制系統入侵檢測與防護的基本知識。
（1）入侵檢測系統（IDS）
工業控制系統入侵檢測，需要理解入侵檢測系統的定義、入侵檢測系統的功能、入侵檢測系統的分類、入侵檢測系統的不足、入侵檢測系統的體系結構、入侵檢測系統的部署等。
（2）入侵防護系統（IPS）
工業控制系統入侵防護，需要理解入侵防護系統的定義、入侵防護系統的分類、入侵防護系統的原理、入侵防護系統的關鍵技術等。
3.10 工業控制系統補丁管理
做好工業控制系統信息安全，要理解補丁基本知識，了解工業控制系統補丁基本知識，建立工業控制系統補丁管理。
（1）補丁基本知識。補丁基本知識包括補丁定義、補丁分類、補丁作用等。
（2）工業控制系統補丁基本知識。工業控制系統補丁基本知識包括工業控制系統補丁定義、工業控制系統補丁問題、工業控制系統補丁與IT系統補丁比較等。
（3）工業控制系統補丁管理系統設計。工業控制系統補丁管理系統設計包括工業控制系統補丁管理系統架構、工業控制系統補丁管理系統要求、工業控制系統補丁管理特性、工業控制系統補丁管理范圍和任務等。
（4）工業控制系統補丁管理程序。基于微軟推薦的IT系統補丁管理運作程序，同時結合工業控制系統的特性、用戶生產的要求及對環境的要求，工業控制系統補丁管理流程如圖9所示，其補丁管理流程分為評估、測試、部署、核實與報告、設備數據管理五個階段。
圖9 工業控制系統補丁管理流程圖
（5）工業控制系統補丁管理實施。工業控制系統補丁管理實施要注意變更管理、停機時間安排、新設備增加、安全加固等。
3.11 工業控制系統信息安全應用實例
工業控制系統信息安全應用實例，常見的有工廠信息管理系統（PIMS）、遠程訪問系統（RAS）等。
（1）工廠信息管理系統（PIMS）
工廠信息管理系統（PIMS）是工業控制系統與信息技術系統相結合的系統，是新型的工業信息系統工程提供的完整解決方案。它能有效集成全廠生產信息，形成安全可靠的實時數據庫，填補企業經營管理系統和工業控制系統之間的信息鴻溝，并實現了企業網絡環境下的實時數據采集、實時流程查看、實時趨勢瀏覽、報警記錄與查看、開關量變位記錄與查看、報表數據存儲、歷史趨勢存儲與查看、生產過程報表生成、生產統計報表生成等功能，從而實現企業過程控制系統與信息系統的網絡集成、綜合管理，使管理層能夠及時、準確地了解生產情況，發現生產中的問題，并為先進控制軟件提供應用平臺。它使得辦公室和生產現場的信息溝通變得方便快捷，是企業信息化建設中不可缺少的組成部分。工廠信息管理系統設計（PIMS）包括方案部署、系統功能、系統應用開發、信息安全設置等。
（2）遠程訪問系統（RAS）
隨著公司努力減少不斷增長的成本壓力，工廠生產裝置可靠性越來越重要。為此，對于公司生產裝置的運行和維修人員來說，如何快速查找生產裝置中的薄弱環節，如何快速排除生產設備的故障，如何查找工作中所急需的專業知識，如何快捷地找到正確的能幫助你的人等，都可以借助遠程訪問技術來實現。同時，遠程訪問系統可以有利于公司市場營銷的品牌建立和提升，獲得潛在客戶等需求。遠程訪問系統的應用還可以拓展到員工、供應商之間的協同工作領域，并能提高企業的運營效率。同樣，遠程訪問系統（RAS）包括方案部署、訪問機制、信息安全設置等。
3.12 工業控制系統信息安全未來展望
做好工業控制系統信息安全，需要對工業發展趨勢有所預測，需要對工業控制系統發展趨勢有所預測，需要對工業控制系統信息安全未來趨勢有所預測。
（1）工業發展趨勢。工業發展趨勢有工業數字化、工業智能化、工業信息化等。
（2）工業控制系統發展趨勢。工業控制系統正走向開放、走向互聯以及無線技術的廣泛應用。
（3）工業控制系統信息安全展望。工業控制系統信息安全形勢將更加嚴峻，信息安全標準體系將更加完善，信息安全技術將快速推進，并且信息安全產品將建立準入機制。
4 結語
通過分析目前工業控制系統信息安全現狀和工業控制系統信息安全重要性，以及詳細介紹工業控制系統信息安全系統學習，我們可以看出，工業控制系統信息安全是一門相對較成熟的跨專業學科。只有認真而系統地學習這些專業知識，才能有效避免工業控制系統信息安全事件頻發，保證工業控制系統正常運行，為國民經濟建設和發展保駕護航。
同時，我們也應該看到，工業控制系統信息安全是一門不斷深入發展的學科。隨著工業控制系統不斷發展和廣泛運用，其信息安全必將面臨更加嚴峻的挑戰，其信息安全的研究開發必將快速推進。因此，我們對工業控制系統信息安全的工作需要未雨綢繆，積極參與，務實推進。
參考文獻：
[1] 肖建榮. 工業控制系統信息安全[M]. 北京: 電子工業出版社, 2015.
[2] 肖建榮. 工業控制系統信息安全技術分析與探討[J].自動化博覽, 2015,(6).
作者簡介
肖建榮（1969-），男，高級工程師，從事工業自動化儀表的工程設計、調試、運行維護工作，先后完成多個國內、國際項目的工程設計、調試工作。
北京市公安局海淀分局備案號：11010802023656號