国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

  
    1 國際工控安全標(biāo)準(zhǔn)發(fā)展

    1.1 國際工控安全標(biāo)準(zhǔn)

    目前在國際上，工業(yè)控制系網(wǎng)絡(luò)安全標(biāo)準(zhǔn)的研究制定工作主要由IEC/TC 65（工業(yè)過程測量、控制和自動化）下的網(wǎng)絡(luò)和系統(tǒng)信息安全WG10和國際自動化協(xié)會（ISA 99）委員會組成的聯(lián)合工作組負責(zé)，該工作組目前主要制定了IEC 62443《工業(yè)過程測量、控制和自動化網(wǎng)絡(luò)與系統(tǒng)信息安全》系列標(biāo)準(zhǔn)。該系列標(biāo)準(zhǔn)如表1所示：
    

                              表1
   
    IEC 62443是專門針對工業(yè)自動化和工業(yè)安全的系列標(biāo)準(zhǔn)。該系列標(biāo)準(zhǔn)，旨在使系統(tǒng)集成商、產(chǎn)品供應(yīng)商和服務(wù)提供商，可以通過使用該標(biāo)準(zhǔn)來評估他們的產(chǎn)品和服務(wù)，并依據(jù)評估結(jié)果判斷其產(chǎn)品或服務(wù)是否能夠為工業(yè)控制系統(tǒng)使用者提供有效的安全防護。IEC 62443的目標(biāo)并不是提供詳細規(guī)范并建立一個安全的體系架構(gòu)，其目標(biāo)是定義一個通用的最小安全要求集，使目標(biāo)工業(yè)控制系統(tǒng)達到各級SALS（Security Assurances Levels，SAL）的安全保障需求。

    為了推廣IEC62443并搶占標(biāo)準(zhǔn)一致性測試市場，美國儀表協(xié)議于2010年成立了ISA信息安全符合性研究院ISCI（ISASecure）。目前開展了如下三項標(biāo)準(zhǔn)符合性測試認證：

    （1）IEC 62443-3-3：系統(tǒng)安全保證（SSA）認證要求；

    （2）IEC 62443-4-1：安全開發(fā)生命周期保證（SDLA）認證要求；

    （3）IEC 62443-4-2：嵌入式設(shè)備安全保證（EDSA）認證要求；

    （4）ISASecure認證需要使用通信健壯性測試（CRT）工具和漏洞識別測試工具。

    目前ISCI認可測試工具如表2所示：
 
   

                              表2
   
    1.2 美國工控安全標(biāo)準(zhǔn)

    美國國土安全部（DHS）作為關(guān)鍵基礎(chǔ)設(shè)施安全（工控安全）的主管單位，為美國提供關(guān)鍵基礎(chǔ)設(shè)施安全的戰(zhàn)略指導(dǎo)，并與公共和私人合作伙伴合作，協(xié)調(diào)美國聯(lián)邦各個單位促進關(guān)鍵基礎(chǔ)實施的安全性和可恢復(fù)性。美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）作為美國工控安全國家標(biāo)準(zhǔn)的制定單位，為支持聯(lián)邦信息安全管理法案（FISMA）的執(zhí)行，制定保護國家關(guān)鍵基礎(chǔ)設(shè)施主要標(biāo)準(zhǔn)，主要為NIST SP800-82和NIST SP800-53兩個標(biāo)準(zhǔn)。美國國土安全部發(fā)布CSET安全評估工具，推動工控安全標(biāo)準(zhǔn)的使用及對工控安全評估進行工具支撐。

   
    從美國工控安全標(biāo)準(zhǔn)制定組織和成果可以看出，NIST制定工控安全主要標(biāo)準(zhǔn)，標(biāo)準(zhǔn)可跨行業(yè)，并且標(biāo)準(zhǔn)不停的滾動發(fā)布。從中可看到標(biāo)準(zhǔn)制定的有效經(jīng)驗，第一步解決有無標(biāo)準(zhǔn)的問題，然后再解決標(biāo)準(zhǔn)高質(zhì)量與普適性問題。從標(biāo)準(zhǔn)成果還可以看出，美國針對SCADA控制系統(tǒng)的安全標(biāo)準(zhǔn)比較多，主要因為SCADA的安全問題在控制系統(tǒng)中尤為突出。從中體現(xiàn)出美國標(biāo)準(zhǔn)制定以解決突出問題為導(dǎo)向，而不是胡子眉毛一把抓。

    2 我國工控安全標(biāo)準(zhǔn)發(fā)展

    2.1 我國已發(fā)布的工控安全標(biāo)準(zhǔn)

    （1）國家標(biāo)準(zhǔn)

    GB/T 26333-2010《工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范》

    作為我國工控安全第一個國家標(biāo)準(zhǔn)，解決了我國工控安全標(biāo)準(zhǔn)空白的問題，實現(xiàn)了工控安全標(biāo)準(zhǔn)零的突破。此標(biāo)準(zhǔn)2011年發(fā)布實施，從發(fā)布時間上可以看出，我國關(guān)注工控安全的前輩們的高瞻遠矚。但是此標(biāo)準(zhǔn)并未推行起來，成為了事實上可有可無的標(biāo)準(zhǔn)，成為了工控安全標(biāo)準(zhǔn)界的先烈。究其原因，還是此標(biāo)準(zhǔn)無核心內(nèi)容（核心內(nèi)容都是直接引用其它標(biāo)準(zhǔn)），標(biāo)準(zhǔn)過于簡單，可操作性低，導(dǎo)致此標(biāo)準(zhǔn)落地困難。建議相關(guān)單位對此標(biāo)準(zhǔn)進行修訂。

    GB/T 30976.1-2014《工業(yè)控制系統(tǒng)信息安全 第1部分：評估規(guī)范》

    作為我國工控安全第一個有內(nèi)容的國家標(biāo)準(zhǔn)，解決了我國工控安全無標(biāo)準(zhǔn)可依的窘境。《評估規(guī)范》分為管理評估和系統(tǒng)能力（技術(shù)）評估。管理評估宜對照風(fēng)險接受準(zhǔn)則和組織機構(gòu)相關(guān)目標(biāo)，識別、量化并區(qū)分風(fēng)險的優(yōu)先次序。風(fēng)險評估的結(jié)果宜指導(dǎo)并確定適當(dāng)?shù)墓芾泶胧┘捌鋬?yōu)先級，評估風(fēng)險和選擇控制措施的過程需要執(zhí)行多次，以覆蓋組織機構(gòu)的不同部門或各個工業(yè)控制系統(tǒng)。管理評估分三個級別、系統(tǒng)能力（技術(shù)）評估分為四個級別。信息安全等級由系統(tǒng)能力等級和管理等級二維確定。

    此評估標(biāo)準(zhǔn)實施過程中，還沒有一套有效的方法論來指導(dǎo)用戶單位確定自己需要的信息安全等級，或者政府未有一套信息安全等級評定的依據(jù)。目前階段只能根據(jù)用戶單位自己的自發(fā)需求來確定信息安全等級，然后根據(jù)用戶單位確認的等級開展評估活動。

    GB/T 30976.2-2014《工業(yè)控制系統(tǒng)信息安全 第2部分：驗收規(guī)范》

    此標(biāo)準(zhǔn)解決了我國工業(yè)控制系統(tǒng)信息安全驗收上的空白，解決了驗收有標(biāo)準(zhǔn)可依的困境。此標(biāo)準(zhǔn)的使用方是工業(yè)控制系統(tǒng)用戶方，《驗收規(guī)范》涉及到專業(yè)的安全測試，除電力和石油石化等大部分用戶方在能力上不足以完成驗收階段的安全測試。因此需要借助第三方的測評力量來驗收，就涉及到項目預(yù)算增加的問題。因此在做標(biāo)準(zhǔn)宣貫時，需要在立項階段就考慮驗收標(biāo)準(zhǔn)和費用的問題。

    （2）行業(yè)標(biāo)準(zhǔn)

    在工控安全領(lǐng)用，電力行業(yè)2005年頒布的電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》，“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”十六字深入人心。其次是石化、核電及煙草行業(yè)也有相應(yīng)標(biāo)準(zhǔn)。

    電力行業(yè)：《電力二次系統(tǒng)安全防護規(guī)定》（電監(jiān)會5號令）

    我國工控安全的安全意識及優(yōu)秀實踐，起初都是參考電力行業(yè)的，電力行業(yè)的控制系統(tǒng)安全經(jīng)驗，對我國工控安全經(jīng)驗積累功不可沒。《電力二次系統(tǒng)安全防護規(guī)定》（電監(jiān)會5號令）于2014年9月1日廢除，同時頒布了《電力監(jiān)控系統(tǒng)安全防護規(guī)定》（發(fā)改委14號令）。

    石化行業(yè)：GB/T 50609-2010 《石油化工工廠信息系統(tǒng)設(shè)計規(guī)范》

    此設(shè)計規(guī)范中要求網(wǎng)絡(luò)之間需要采用安全隔離，2010年頒布的行業(yè)標(biāo)準(zhǔn)，算比較早重視工控信息安全的行業(yè)。

    核電行業(yè)：GB/T 13284.1-2008 《核電廠安全系統(tǒng) 第1部分 設(shè)計準(zhǔn)則》

    核電行業(yè)：GB/T 13629-2008 《核電廠安全系統(tǒng)中數(shù)字計算機的適用準(zhǔn)則》

    《設(shè)計準(zhǔn)則》提供了有關(guān)核電廠安全設(shè)計應(yīng)遵循的準(zhǔn)則。標(biāo)準(zhǔn)中規(guī)定了核電廠安全系統(tǒng)動力源、儀表和控制部分最低限度的功能和設(shè)計要求，標(biāo)準(zhǔn)適用于為防止或減輕設(shè)計基準(zhǔn)事件后果、保護公眾健康和安全所需要的那些系統(tǒng)。《適用準(zhǔn)則》主要針對核電廠安全系統(tǒng)中數(shù)字計算機適用性制定的準(zhǔn)則。

    煙草行業(yè)：YC/T 494-2014 《煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)網(wǎng)絡(luò)互聯(lián)安全規(guī)范》

    此標(biāo)準(zhǔn)主要規(guī)范煙草工業(yè)企業(yè)生產(chǎn)網(wǎng)與管理網(wǎng)之間的聯(lián)網(wǎng)安全問題。

    2.2 我國在研的工控安全標(biāo)準(zhǔn)

    我國工業(yè)控制系統(tǒng)有如下在研標(biāo)準(zhǔn)：

    我國目前在研的工控安全標(biāo)準(zhǔn)有19項之多，其中工控安全管理標(biāo)準(zhǔn)4項，工控產(chǎn)品及系統(tǒng)信息安全標(biāo)準(zhǔn)9項，工控安全評估標(biāo)準(zhǔn)1項，工控安全防護及檢測技術(shù)標(biāo)準(zhǔn)5項。在研標(biāo)準(zhǔn)基本涵蓋了行業(yè)監(jiān)管單位、工控產(chǎn)品供應(yīng)商、工控安全防護產(chǎn)品供應(yīng)商、工控業(yè)主單位及測評機構(gòu)的標(biāo)準(zhǔn)需求。為了做到工控安全真正有標(biāo)準(zhǔn)可依，需要加快標(biāo)準(zhǔn)研制過程，盡快發(fā)布。提供如下加快進度的建議：

    （1）工控安全標(biāo)準(zhǔn)需要做到統(tǒng)一歸口，不能分散資源。在網(wǎng)信辦和工信部的協(xié)調(diào)與領(lǐng)導(dǎo)下，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會需要繼續(xù)發(fā)揮信息安全標(biāo)準(zhǔn)研制經(jīng)驗優(yōu)勢，加速工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)的研制。

    （2）工控安全標(biāo)準(zhǔn)研制相對復(fù)雜，需要加大投入。工控安全標(biāo)準(zhǔn)研制需要工控環(huán)境支撐及復(fù)合型人才的持續(xù)投入。建議政府決策部門給予工控安全標(biāo)準(zhǔn)研制提供更多的支持。

    3 工控安全標(biāo)準(zhǔn)現(xiàn)狀思考

    前面介紹了國際、美國和我國工控安全標(biāo)準(zhǔn)，從國外工控安全標(biāo)準(zhǔn)優(yōu)勢方面對比，我們有如下差距：

    （1）我國還未發(fā)布成熟的工控安全基本標(biāo)準(zhǔn)，比如安全指南、管理指南之類的標(biāo)準(zhǔn)（第一個基本標(biāo)準(zhǔn)《信息安全技術(shù) 工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》將于上半年發(fā)布）；

    （2）我國還未有像ISCI這類對工控安全標(biāo)準(zhǔn)符合性檢測及授權(quán)的組織，從目前我國標(biāo)準(zhǔn)制定來看，中國電子技術(shù)標(biāo)準(zhǔn)化研究院、中國信息安全測評中心、國家信息技術(shù)安全研究中心比較有優(yōu)勢；

    （3）我國已發(fā)布的幾個標(biāo)準(zhǔn)，缺乏標(biāo)準(zhǔn)宣貫的手段，或者沒有持續(xù)性的進行宣貫。如果長期不宣貫，就會成為可有可無的標(biāo)準(zhǔn)。

    國外標(biāo)準(zhǔn)只能借鑒，不能完全照搬。對我國工控安全標(biāo)準(zhǔn)制定提供如下建議：

    （1）信息安全標(biāo)準(zhǔn)是我國信息安全保障體系的重要組成部分，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會對我國信息安全標(biāo)準(zhǔn)的制定與推廣有著舉足輕重的作用。工業(yè)控制系統(tǒng)信息安全是國家網(wǎng)絡(luò)安全的重要組成部分，在工控安全國家標(biāo)準(zhǔn)制定中，信安標(biāo)委需要繼續(xù)發(fā)揮標(biāo)準(zhǔn)制定的主導(dǎo)作用。

    （2）工控安全標(biāo)準(zhǔn)研制，最好是有信息安全專家、工控專家、行業(yè)專家等多領(lǐng)域?qū)＜夜餐瑓⑴c，才能真實反映既符合網(wǎng)絡(luò)安全要求又符合工控現(xiàn)場現(xiàn)狀。

    （3）我國在研標(biāo)準(zhǔn)眾多，需要儲備進行工控安全標(biāo)準(zhǔn)符合性檢測及授權(quán)的技術(shù)能力，進一步推動已發(fā)布標(biāo)準(zhǔn)的落地及規(guī)模應(yīng)用；

    （4）對于已發(fā)布的工控安全標(biāo)準(zhǔn)，需要加緊宣貫，謹防成為下一個先烈。