做好工业控制系统的信息安全等级保护工作

《做好工业控制系统的信息安全等级保护工作》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、做好工业控制系统的信息安全等级保护工作党的十八大报告指出：世界仍然很不安宁。……，粮食安全、能源资源安全、网络安全等全球性问题更加突出。党的十八大报告要求：建设下一代信息基础设施，发展现代信息技术产业体系，健全信息安全保障体系，推进信息网络技术广泛运用。……高度关注海洋、太空、网络空间安全。32010年“震网”病毒事件破坏了伊朗核设施，震惊全球，这标志着网络攻击从传统“软攻击”升级为直接攻击电力、金融、交通、核设施等核心要害系统的“硬摧毁”，导致基础的工业控制系统破坏，对国家安全、社会稳定、经济发展、人民生活安定带来严重损害42011年工信部发布了《关于加强工业控制系统安全

2、管理的通知》，明确了重点领域工业控制系统信息安全管理要求，对连接、组网、配置、设备选择与升级、数据、应急等管理方面提出了明确要求5信息安全等级保护是我国信息安全保障的基本制度，从技术和管理两个方面进行安全建设，做到可信、可控、可管，使工业控制系统具有抵御高强度连续攻击（APT）的能力一、工业控制系统安全需求7工业控制系统（ICS）包括:1、监控与数据采集（SCADA）4、可编程逻辑控制器（PLC）2、分布式控制系统（DCS）3、过程控制系统（PCS）5、应急管理系统（EMS）等8随着信息化不断深入，工控系统从封闭、孤立的系统走向互联体系的IT系统，采用以太网、TCP/IP网

3、及各种无线网,控制协议迁移到应用层；采用标准商用操作系统、中间件与各种通用软件，已变成开放、互联、通用和标准化的信息系统。因此，安全风险也等同于通用的信息系统9工控网络架构互联网企业管理网生产监控网现场控制网101、实时性通信2、系统不允许重启3、人和控制过程安全4、加入安全后，不影响控制流程5、通信协议多种多样6、设备不易更换7、设备生命周期为15-20年特殊要求:传统的“封堵查杀”安全防护技术难以解决工控系统安全二、信息安全等级保护适用于工业控制系统12工业控制系统网络架构是依托网络技术，将控制计算节点构建成为工业生产过程控制的计算环境，是属于等级保护信息系统范围1、将

4、ICS按安全等级划分区域国际标准化组织ISA提出区域防护概念2、区域间通过唯一的管道通信3.、对区域间和区域内实施不同的安全策略防止威胁在区域间交叉感染遏制本区域内的入侵威胁14按国家信息安全等级保护有关标准和规定，确定定级对象：一般先划分安全区域，可分为企业管理、生产监控和现场控制三个大区，每个安全区内可按统一的生产业务流程、软硬件资源相对独立和管理责任明确三个条件确定定级信息系统再按其重要程度确定具体等级15用于冶金、化工、能源、交通、水利系统领域的工业控制系统会涉及社会稳定和国家安全，多数系统属3级以上，尤其是生产监控现和现场控制系统含有大量的4级系统三、工业控制系统

5、等级保护技术框架针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护YoucanBelikeGod1、可信YoucanBelikeGod2、可控YoucanBelikeGod3、可管针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源）保证资源安全必须实行科学管理，强调最小权限管理，尤其是高等级系统实行三权分离管理体制，不许设超级用户信息安全等级保护要做到针对工业控制特点，按GB/17859要求，构建在安全管理中心支持下的计算环境区域边界通信网络三重防御体系是必要的，可行的具体

6、设计可参照（GB/T25070-2010）19区域边界安全防护实现通信网络安全互联计算环境可信免疫20安全管理中心支持下的计算环境、区域边界、通信网络三重防御多级互联技术框架：20边界防护系统安全审计安全管理中心现场控制计算环境生产监控计算环境企业管理计算环境边界防护边界隔离互联网安全管理中心安全管理中心安全管理中心二级一级2121边界防护现场控制计算环境生产监控计算环境企业管理计算环境边界防护边界隔离互联网1）计算环境2121系统安全审计安全管理中心安全管理中心安全管理中心安全管理中心二级一级节点子系统通过在操作系统核心层、系统层设置以了一个严密牢固的防护层，通过对用户行

7、为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合三级要求的安全功能支持和安全服务22222）应用区域边界2222系统安全审计安全管理中心安全管理中心安全管理中心安全管理中心二级一级边界防护现场控制计算环境生产监控计算环境企业管理计算环境边界防护边界隔离互联网区域边界子系