工業(yè)控制系統(tǒng)是工業(yè)生產運行的基礎核心,為提升工業(yè)控制系統(tǒng)網絡安全防護水平,2024年1月工業(yè)和信息化部發(fā)布《工業(yè)控制系統(tǒng)網絡安全防護指南》(工信部網安〔2024〕14號,以下簡稱《指南》),指導提升新型工業(yè)化下工業(yè)控制系統(tǒng)(以下簡稱工控系統(tǒng))網絡安全防護能力。
一、工控系統(tǒng)網絡安全為新型工業(yè)化保駕護航
(一)工控系統(tǒng)網絡安全對工業(yè)穩(wěn)定高效運行具有重要意義
工控系統(tǒng)負責對工業(yè)生產過程進行測量、控制等,通常由各類傳感器、儀器儀表、控制器/系統(tǒng)、執(zhí)行機構等組成。典型工控系統(tǒng)產品包括但不限于:PLC、DCS、SCADA、工業(yè)儀器儀表等。工控系統(tǒng)既可作為獨立系統(tǒng)也可嵌入到各類裝備,是工業(yè)生產過程的神經中樞,廣泛應用于制造業(yè)及工業(yè)基礎設施。工控系統(tǒng)一旦受到網絡攻擊,輕則導致數據破壞、生產紊亂、產品質量受損,重則導致核心技術泄密、裝備損壞、火災、爆炸、有毒有害物質泄漏等嚴重后果,可影響工業(yè)生產安全甚至產業(yè)鏈供應鏈穩(wěn)定。
(二)工控系統(tǒng)網絡安全是護航新型工業(yè)化的必要保障
深入推進智能制造發(fā)展、工業(yè)互聯網融合應用、數字化轉型是推動新型工業(yè)化高質量發(fā)展的重要手段,實現跨域信息流打通和業(yè)務互聯互通是關鍵環(huán)節(jié),這也使得工業(yè)生產邊界被大幅擴大,傳統(tǒng)相對封閉的工控系統(tǒng)面臨的網絡攻擊威脅日益嚴峻。自“震網病毒”發(fā)生以來,工控系統(tǒng)網絡攻擊快速升級到APT2.0時代,表現出高隱蔽性、深潛伏性和長期糾纏性。工控系統(tǒng)在工業(yè)生產系統(tǒng)中處于中下層,向上連接工廠信息系統(tǒng),向下直接控制各類工業(yè)裝備。做好工控系統(tǒng)網絡安全不僅能打造一個可抵御外部攻擊的內生健壯工業(yè)生產系統(tǒng),還能與外部IT信息安全形成合力,共同構筑面向工業(yè)生產的安全防護體系,加快推動工業(yè)轉型升級。
二、工業(yè)視角下工控系統(tǒng)網絡安全需求分析
(一)傳統(tǒng)工業(yè)場景差異性需求
與信息系統(tǒng)相比,傳統(tǒng)工業(yè)場景中工控系統(tǒng)首要任務是實現測量、控制、監(jiān)控等工業(yè)過程,其設計之初通常較少考慮網絡安全。工業(yè)控制系統(tǒng)量大面廣,應用場景多樣,不同行業(yè)不同場景對網絡安全需求存在較大差異。對于存在遠程操控的場景,如電力行業(yè)變電站、油氣管網站場等,監(jiān)控中心/調度中心通過通信網絡下達操控指令,存在較高的網絡安全風險,需構建適用行業(yè)的專用工控系統(tǒng)網絡安全防護體系。對于信息化程度較低的工廠,工控系統(tǒng)通常是封閉的系統(tǒng),更多面對的是管理風險,需構建嚴格安全管理制度。對于信息化程度較高的工廠,通常已實現了工控系統(tǒng)與MES等管控系統(tǒng)的互聯互通,但多數場景僅實現簡單數據交互且以上行數據為主,面臨較高的信息安全風險,需構建以邊界防護為主的工控系統(tǒng)網絡安全解決方案。
(二)制造系統(tǒng)數字化網絡化智能化發(fā)展需求
制造系統(tǒng)正向數字化、網絡化、智能化方向快速發(fā)展,具體發(fā)展方向可概括為:泛在互聯、虛實融合、智能管控等。泛在互聯是指制造系統(tǒng)的所有環(huán)節(jié)、要素、終端之間實現互聯互通與互操作;虛實融合是指制造系統(tǒng)的物理實體(設備、產線等)與以軟件為載體的虛擬實體實現虛實雙向映射與互動;智能管控是指在工業(yè)數據驅動下對人員、設備、物料、能源等制造資源進行管理和調控,實現優(yōu)化配置。在新發(fā)展趨勢下,工控系統(tǒng)作為制造系統(tǒng)的核心和基礎,必然帶來與外部更廣泛、更密集的數據和信息交互,上層管控軟件也更加深度介入對工控系統(tǒng)的操控,對工控系統(tǒng)網絡安全帶來了新挑戰(zhàn)。
(三)新技術和新生產模式不斷產生新需求
在新型工業(yè)化發(fā)展背景下,IT技術與OT技術加速融合,物聯網、人工智能、大數據、云計算、邊緣計算、5G等新技術加快在工業(yè)領域融合應用。對于工控系統(tǒng)本身,以TSN、APL等為代表的工業(yè)通信技術,正朝著分布式、虛擬化、智能化方向快速發(fā)展。智能制造的持續(xù)深入推進催生了主體協同研發(fā)、設計制造服務一體化、上下游深度協同的智慧供應鏈等新生產模式,體現了制造環(huán)節(jié)、工業(yè)企業(yè)等多維度的協同性。新技術和新生產模式使得制造系統(tǒng)的邊界已經超越了傳統(tǒng)上局限于企業(yè)內部和物理區(qū)域的范圍,IT網和OT網更加緊密互聯,網絡空間和物理空間的耦合節(jié)點增多,生產安全管理與網絡安全管理的界限模糊,從IT網滲透至OT網的網絡攻擊有了更多可行路徑。因此,亟需提升工控系統(tǒng)網絡安全防護水平,以需滿足新形勢下的發(fā)展需求。
三、《指南》為工控系統(tǒng)網絡安全指明系統(tǒng)化實施路徑
(一)統(tǒng)籌兼顧的頂層設計
新形勢下全面提升工控系統(tǒng)網絡安全防護水平是一項系統(tǒng)工程,需要綜合考慮技術、管理、運營等方面,兼顧工業(yè)控制系統(tǒng)網絡安全現狀與未來發(fā)展趨勢。《指南》突出了全面性、系統(tǒng)化和機制層面閉環(huán),從安全管理、技術防護、安全運營、責任落實4個方面,提出33條切實可行的工業(yè)控制系統(tǒng)網絡安全防護要求,從頂層設計視角制定工控系統(tǒng)網絡安全防護的實施路徑,在配置管理、供應鏈安全、上云安全、系統(tǒng)數據安全、監(jiān)測預警、應急處置、評估評測、責任落實等方面給出了具體要求和引導,依據《指南》可綜合構建企業(yè)工控網絡安全防護體系。
(二)系統(tǒng)化技術防護
依據《指南》,工業(yè)企業(yè)可建設全面的、縱深的工控系統(tǒng)網絡安全防護體系。《指南》防護內容覆蓋了工控系統(tǒng)涉及到的所有對象,包括工程師站、操作員站、工業(yè)數據庫服務器等工業(yè)主機,工業(yè)交換機、工業(yè)路由器等工業(yè)網絡設備,控制器、工業(yè)儀器儀表等工業(yè)智能終端設備,還有工業(yè)控制網絡、工控系統(tǒng)產生的工業(yè)數據等。《指南》兼顧了主動防護與被動防護,既采用惡意代碼查殺、應用軟件白名單、身份認證、橫向隔離、訪問控制、通信加密等被動防護技術手段,也采用蜜罐等威脅誘捕技術捕獲網絡攻擊行為,提升主動防御能力。《指南》貫徹縱深防御理念,利用殺毒軟件、防火墻、安全監(jiān)測設備、安全審計平臺等軟件和設備,在前端對風險監(jiān)測預警,在后端做應急處置,圍繞工控系統(tǒng)分別在主機與終端、架構與邊界、云端、應用部署安全防護措施,形成系統(tǒng)化安全技術防護能力。
(三)體系化管理和運營
《指南》圍繞“資產管理、配置管理、供應鏈安全、宣傳教育”明確了工控系統(tǒng)安全管理要求,要求企業(yè)建立工控系統(tǒng)資產清單并定期更新,建立配置清單并開展審計,對關鍵主機設備、網絡設備、控制設備等實施冗余備份,要求供應鏈各方明確需履行的安全責任和義務,定期開展宣傳教育,增強人員網絡安全意識。《指南》圍繞“監(jiān)測預警、運營中心、應急處置、安全評估、漏洞管理”提出了體系化的安全運營要求,要求工業(yè)企業(yè)及時發(fā)現、預警安全風險,捕獲網絡攻擊行為,實現安全設備的統(tǒng)一管理和策略配置,制定工控安全事件應急預案并定期開展演練,每年至少開展一次重要工業(yè)控制系統(tǒng)防護能力相關評估。
四、推進《指南》落地應用的幾點思考和建議
(一)建立健全工控安全標準體系
推進工控安全標準體系研究,升級已有標準與立項新方向標準相結合,推動形成支撐《指南》落地應用的配套規(guī)范體系。加快重要工控系統(tǒng)識別規(guī)則等標準研制,強化重要工控系統(tǒng)安全管理;加快安全評價方法、評估工作要求等標準研制,規(guī)范測試過程與評價結果;加快重點行業(yè)防護指引等標準研制,指導企業(yè)開展安全防護能力建設。
(二)提升工控安全產業(yè)供給水平
鼓勵工控產品廠商、工業(yè)企業(yè)與安全廠商、高校及科研院所等加強合作,加快工控安全防護技術創(chuàng)新,結合大數據、人工智能等技術,提升安全監(jiān)測、威脅發(fā)現、應急處置、數據分析等方面的能力;加快工控安全防護產品研制,為不同行業(yè)、不同體量的工業(yè)企業(yè)提供適應其業(yè)務需求的安全解決方案。研究推進優(yōu)秀解決方案評選與供應商服務評價等工作。
(三)深化工控系統(tǒng)安全管理與認證評估
通過會議、培訓等多種形式開展政策解讀與宣貫,引導企業(yè)積極落實《指南》及相關政策與標準要求,提升企業(yè)安全意識與管理水平。建立健全工業(yè)控制系統(tǒng)網絡安全檢測、認證、評估體系,推動將DCS等工控系統(tǒng)納入《網絡關鍵設備和網絡安全專用產品目錄》,探索建立工業(yè)控制產品認證、網絡關鍵設備檢測雙模式。試點開展工業(yè)控制系統(tǒng)網絡安全評估,逐步將評估機構納入認證體系,以評促建、以評促改,助力企業(yè)提升工控安全防護能力。















