他山之石促我国工控系统信息安全

《他山之石促我国工控系统信息安全》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、他山之石促我国工控系统信息安全2010年伊朗爆发的“震X”病毒，感染了包括4万5千多个工控系统X络。这次事件给我们敲响了警钟，说明大型关键工控系统的应用企业在保障工控系统信息安全方面仍然存在着严重漏洞，这对于工业生产运行和国家经济安全构成了巨大威胁。在此形势下，工信部曾于2011年下发了《关于加强工业控制系统信息安全管理的通知》(工信部协〔2011〕451号)。《通知》指出，从相关政府部门到各地区，包括核设施、制造业、钢铁、化工、石油石化、电力等关系国计民生的重要领域都应当充分认识到工控系统信息安

2、全的重要性和紧迫性。我国工控信息安全现状国家政策及标准为加强工控系统信息安全的保障工作，我国政府先后出台了《关于开展重要工业控制系统基本情况调查的通知》(工信厅协函〔2011〕1003号)、国务院《关于大力推进信息化发展和切实保障信息安全的若干意见》(国发〔2012〕23号)等文件，发布了GB/T26333-2010《工业控制X络安全风险评估规范》、GB/T18272-2000《工业过程测量和控制系统评估中系统特性的评定》等推荐性的国家标准。由于工控系统涉及的行业众多，各行业具体的管理要求和系统设

3、备的工作环境不尽相同，因此，必须深入研究我国工业控制系统的行业特点和需求，才能有针对性地制定相关行业的工业控制系统信息安全保障标准。相关机构及厂商在工业控制系统信息安全机构保障方面，国家发改委曾在2012年启动了工业控制系统安全技术国家工程实验室的建设工作，实施工业控制系统安全模拟平台建设，研究工业控制系统的安全防护策略及机制，开展工业控制系统监控软件、嵌入式软件、现场总线等方面的安全渗透与对抗、脆弱性检测、安全评估、安全防护等关键技术研究。结合典型行业的工程应用与生产落实，研究推动工业控制系统信

4、息安全标准体系的建立，研发用于保护工业控制系统的核心技术产品，为国家重要基础设施的工业控制系统安全管理和防护提供技术支撑。同时，我国成立了全国工业过程测量和控制标准化技术委员会(SAC/TC124)，并持续跟踪国际上工业过程测量、控制和自动化标及准化技术委员会(IEC/TC65)的信息安全标准化活动。2009年SAC/TC124获得工信部批准，正式立项启动3项IEC62443国际标准转化为行业标准的制定工作，并成立工业控制系统信息安全起草工作组。为便于工业控制系统信息安全评估和验收的实际操作，SA

5、C/TC124又在2011年启动了两项国家标准(“工业控制系统信息安全第一部分：评估规范”和“工业控制系统信息安全第二部分：验收要求”)的制定(现阶段标准尚未发布)，与国外同步开展相关工作，力求在国际标准化工作中争取主动，保障我国工业控制系统信息安全。在国内，一些优秀的安全厂商，如绿盟科技、三零卫士、中科X威、力控华康、和利时集团等，也在保障工业控制系统信息安全方面进行了一些积极探索和有益尝试。比对国外防护顶层设计差距目前，国内外都已经纷纷开始着手工控系统信息安全领域内的分析和研究工作。如图1所示

6、，美国与欧盟在工控系统信息安全防护方面的起步较早，并且已经初步形成了包含计划、标准、指南、计划在内的涉及多个方面的规范化理论体系。与之相比，我国的研究进展还存在着较多不足，图2列举了目前我国与国外在工控系统信息安全方面的对比。从世界范围来看，由于美国的工业信息化程度较高并且曾多次遭受恐怖主义的威胁，因此美国从国家安全战略层面出发制定了一系列政策措施来保障工控系统信息安全事业的推进落实。其中2002年7月，布什政府正式公布了美国历史上第一份《国土安全国家战略》报告，对美国国土安全政策作出了全局性、战

7、略性规划。该报告第一次将国土安全涉及的任务归为六大类，明确提出要保护关键基础设施和重要资产，确保X络安全。随后，又颁布了《X络空间保障国家安全战略》、《反恐国家战略》和《关键基础设施与关键资产物理保障国家战略》等一系列涉及基础设施的安全保障政策，从而使工控系统信息安全上升到了国家安全战略层面，并做到“有法可依”。相比较而言，我国在此方面的相应的政策制定较少，目前含有“工控系统信息安全”的法律法规或政策规章仅有2011年工信部《关于加强工业控制系统信息安全管理的通知》(工信部协〔2011〕451号)

8、和国务院的《关于大力推进信息化发展和切实保障信息安全的若干意见》两个文件，并且两个文件对工控系统信息安全仅仅从认识、要求、制度、组织领导等宏观层面予以说明，没有细化深入指出具体的应对措施和技术指标，并且法律约束相对较弱。1993年颁布的《中华人民共和国国家安全法》未涉及工业控制系统信息安全内容，相关法律政策有待加强。比对国外其他防护措施差距主管部门对于工控系统信息安全的主管部门，美国主要以国土安全部为代表的职能部门来负责，整合了联邦调查局、国防部、能源部、司法部等多个具体的职责部门