◆關(guān)天龍

（山東新潮信息技術(shù)有限公司 山東 250000）

淺談如何建立工業(yè)控制系統(tǒng)安全防護(hù)機(jī)制

◆關(guān)天龍

（山東新潮信息技術(shù)有限公司 山東 250000）

2016年10月10日第五屆全國(guó)信息安全等級(jí)保護(hù)技術(shù)大會(huì)，公安部提出了為適應(yīng)新技術(shù)的發(fā)展，解決云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)和工控領(lǐng)域信息系統(tǒng)的等級(jí)保護(hù)工作的需要，等級(jí)保護(hù)正式進(jìn)入了2．0時(shí)代。隨著等保進(jìn)入2．0時(shí)代，工業(yè)控制系統(tǒng)的信息安全也重新提到了一個(gè)前所未有的高度，在大力發(fā)展信息產(chǎn)業(yè)的同時(shí)，建立完善的工業(yè)控制系統(tǒng)安全保護(hù)機(jī)制已成為工業(yè)控制系統(tǒng)應(yīng)用企業(yè)及從事工業(yè)控制系統(tǒng)規(guī)劃、設(shè)計(jì)、建設(shè)、運(yùn)維、評(píng)估的企事業(yè)單位的重要工作之一。

邊界安全防護(hù)；主機(jī)安全防護(hù)；監(jiān)控；應(yīng)急；管理

0 引言

隨著信息技術(shù)的廣泛應(yīng)用和迅速發(fā)展，信息安全問(wèn)題涉及的領(lǐng)域越來(lái)越多，做好信息安全工作是保障國(guó)家經(jīng)濟(jì)建設(shè)持續(xù)健康發(fā)展的當(dāng)務(wù)之急。2003年9月，中共中央辦公廳、國(guó)務(wù)院辦公廳轉(zhuǎn)發(fā)《國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)》（中辦發(fā)[2003]27號(hào)）指出要“要重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國(guó)家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)”，此后國(guó)家不斷加大信息安全工作力度，先后發(fā)布了很多加強(qiáng)信息安全保障工作的政策。

黨的十七大報(bào)告中指出“發(fā)展現(xiàn)代產(chǎn)業(yè)體系，大力推進(jìn)信息化與工業(yè)化融合”，這一方針對(duì)信息安全保障工作提出了更高要求?！吨腥A人民共和國(guó)國(guó)民經(jīng)濟(jì)和社會(huì)發(fā)展第十一個(gè)五年規(guī)劃綱要》中指出，“積極推進(jìn)信息化，要堅(jiān)持以信息化帶動(dòng)工業(yè)化，以工業(yè)化促進(jìn)信息化，提高經(jīng)濟(jì)社會(huì)信息化水平”。要“強(qiáng)化信息安全保障”，“積極防御、綜合防范，提高信息安全保障能力；強(qiáng)化安全監(jiān)控、應(yīng)急響應(yīng)、密鑰管理、網(wǎng)絡(luò)信任等信息安全基礎(chǔ)設(shè)施建設(shè)；加強(qiáng)基礎(chǔ)信息網(wǎng)絡(luò)和國(guó)家重要信息系統(tǒng)的安全防護(hù)；推進(jìn)信息安全產(chǎn)品產(chǎn)業(yè)化；發(fā)展咨詢(xún)、測(cè)評(píng)、災(zāi)備等專(zhuān)業(yè)化信息安全服務(wù)；健全安全等級(jí)保護(hù)、風(fēng)險(xiǎn)評(píng)估和安全準(zhǔn)入制度”。

1 工業(yè)控制系統(tǒng)安全防護(hù)機(jī)制--技術(shù)防護(hù)機(jī)制

工業(yè)控制系統(tǒng)是運(yùn)用控制理論、計(jì)算機(jī)科學(xué)、儀器儀表燈技術(shù)，對(duì)生產(chǎn)過(guò)程的各種信息采集、分析、處理，并進(jìn)行優(yōu)化控制和合理的調(diào)度、管理，已達(dá)到提高生產(chǎn)效率的一種先進(jìn)的現(xiàn)代工業(yè)系統(tǒng)。工業(yè)控制系統(tǒng)相對(duì)于其他的信息系統(tǒng)來(lái)說(shuō)，它是一套獨(dú)立的網(wǎng)絡(luò)、獨(dú)立的系統(tǒng)，從目前的工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)主要是來(lái)自網(wǎng)絡(luò)的脆弱性、主機(jī)的脆弱性以及缺乏安全的操作規(guī)程和流程。工業(yè)控制系統(tǒng)的安全防護(hù)機(jī)制以建立“縱深防御”策略為主要思想，確保工業(yè)控制系統(tǒng)中即使某一點(diǎn)發(fā)生網(wǎng)絡(luò)安全事故，工業(yè)生產(chǎn)也能正常運(yùn)行。同時(shí)，管理人員能夠迅速的找到問(wèn)題并進(jìn)行處理，保證工業(yè)控制系統(tǒng)安全可用。

2 工業(yè)控制系統(tǒng)安全防護(hù)機(jī)制--管理防護(hù)機(jī)制

工業(yè)控制的安全防護(hù)機(jī)制還應(yīng)考慮安全管理，從工業(yè)控制安全管理角度，應(yīng)制定安全管理策略和操作流程，確保不會(huì)出現(xiàn)因?yàn)椴僮魅藛T的誤操作和管理制度的漏洞造成安全隱患。工業(yè)控制系統(tǒng)安全管理是指對(duì)工業(yè)控制系統(tǒng)中各個(gè)方面的安全技術(shù)和產(chǎn)品進(jìn)行統(tǒng)一的管理和協(xié)調(diào)，進(jìn)而從整體上提高信息系統(tǒng)的抗風(fēng)險(xiǎn)能力。解決工業(yè)控制系統(tǒng)的安全問(wèn)題，成敗通常取決于兩個(gè)要素：技術(shù)和管理。安全管理是工業(yè)控制系統(tǒng)安全技術(shù)發(fā)揮功效的重要保障和支撐。如果說(shuō)，安全技術(shù)是信息安全的構(gòu)筑材料，那么，安全管理就是粘合劑和催化劑，只有將有效的安全管理貫徹落實(shí)于信息安全的方方面面，工業(yè)控制系統(tǒng)的安全才夠長(zhǎng)期和有效的得到保證。

2.1 安全管理體系框架

一般工業(yè)控制系統(tǒng)安全管理體系框架由三方面組成：

（1）工業(yè)控制系統(tǒng)生命周期：工業(yè)控制系統(tǒng)典型的生命周期模型分為計(jì)劃組織、開(kāi)發(fā)采購(gòu)、實(shí)施交付、運(yùn)行維護(hù)、廢棄五個(gè)階段，工業(yè)控制系統(tǒng)安全管理需要貫穿信息系統(tǒng)的全生命周期。

（2）工業(yè)控制系統(tǒng)安全管理的支撐和指導(dǎo)：工業(yè)控制系統(tǒng)安全策略和信息安全風(fēng)險(xiǎn)管理是所有工業(yè)控制系統(tǒng)安全保障管理活動(dòng)的支撐基礎(chǔ)，指導(dǎo)工業(yè)控制系統(tǒng)所有安全管理活動(dòng)的實(shí)施。

（3）工業(yè)控制系統(tǒng)生命周期安全管理實(shí)踐：工業(yè)控制系統(tǒng)生命周期安全管理實(shí)踐是將信息安全管理同工業(yè)控制系統(tǒng)生命周期相結(jié)合，通過(guò)在工業(yè)控制系統(tǒng)生命周期的不同階段進(jìn)行不同的工業(yè)控制系統(tǒng)安全保障管理實(shí)踐。

2.2 安全管理體系內(nèi)容

一般來(lái)說(shuō)，工控安全管理體系包含三個(gè)層次：安全策略-流程與管理制度-過(guò)程控制文件。為保證工控安全建設(shè)的統(tǒng)籌規(guī)劃，全面防范，重點(diǎn)突出，正確執(zhí)行，動(dòng)態(tài)改進(jìn)，建立以策略為核心的工控安全管理體系十分重要。

工控安全總體方針與總體策略是一切工控安全保障活動(dòng)的基礎(chǔ)和出發(fā)點(diǎn)，指導(dǎo)工控企業(yè)信息安全保障體系的開(kāi)發(fā)和實(shí)施，為工控安全建設(shè)和實(shí)施指明方向，通過(guò)定義一套規(guī)則來(lái)規(guī)范工控安全體系的建設(shè)、運(yùn)行和管理。流程與管理制度則是在策略指導(dǎo)下編寫(xiě)的下一層文件，用來(lái)具體規(guī)范人員行為，明確任務(wù)責(zé)任。在工控安全管理體系運(yùn)作過(guò)程中還需要制定一系列的第三層過(guò)程控制文件，來(lái)幫助記錄并明確過(guò)程實(shí)施步驟、內(nèi)容、結(jié)果，并通過(guò)實(shí)施手冊(cè)和指南定義具體操作內(nèi)容和步驟，引導(dǎo)正確執(zhí)行工作。

2.3 安全管理機(jī)制建設(shè)

考慮到管理體系建立需要工控企業(yè)設(shè)計(jì)工業(yè)控制系統(tǒng)安全體系，行政主管部門(mén)應(yīng)制定工業(yè)控制系統(tǒng)的安全政策，工控企業(yè)根據(jù)安全政策制定正規(guī)、可備案的安全流程，制定工業(yè)控制系統(tǒng)設(shè)備安全部署實(shí)施指南，針對(duì)工業(yè)控制系統(tǒng)的業(yè)務(wù)連續(xù)性、災(zāi)難恢復(fù)計(jì)劃及應(yīng)急處置機(jī)制，定期聘請(qǐng)第三方全為的安全評(píng)審機(jī)構(gòu)對(duì)工業(yè)控制系統(tǒng)的安全審計(jì)、漏洞進(jìn)行檢測(cè)，定期對(duì)工業(yè)控制系統(tǒng)操作人員進(jìn)行安全培訓(xùn)。

2.4 安全監(jiān)測(cè)和應(yīng)急預(yù)案演練

首先，工控系統(tǒng)網(wǎng)絡(luò)組成元素繁多，非法入侵、惡意代碼、維修接入甚至是誤操作都可能導(dǎo)致生產(chǎn)運(yùn)行的癱瘓或功能喪失，通過(guò)部署工控安全監(jiān)測(cè)設(shè)備，采用工控協(xié)議深度包解析等多種技術(shù)，對(duì)工業(yè)控制網(wǎng)絡(luò)可能存在的病毒、蠕蟲(chóng)、木馬及針對(duì)工控網(wǎng)絡(luò)的攻擊行為和誤操作進(jìn)行實(shí)時(shí)檢測(cè)并告警。工控安全應(yīng)急響應(yīng)預(yù)案可提高工業(yè)控制系統(tǒng)應(yīng)對(duì)突發(fā)事件的應(yīng)急響應(yīng)能力，最大限度減少工控系統(tǒng)的損失及影響，做到“第一時(shí)間發(fā)現(xiàn)問(wèn)題，第一時(shí)間解決問(wèn)題”。

其次，應(yīng)急預(yù)案框架應(yīng)包括應(yīng)急計(jì)劃的策略和規(guī)程、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓(xùn)、系統(tǒng)備份、系統(tǒng)恢復(fù)重建等內(nèi)容。同時(shí)預(yù)案需從人力、設(shè)備、技術(shù)和財(cái)務(wù)等方面確保應(yīng)急預(yù)案的執(zhí)行有足夠的資源保障。在發(fā)生安全事件時(shí)，應(yīng)根據(jù)應(yīng)急預(yù)案流程采取安全防護(hù)措施，并按照應(yīng)急預(yù)案規(guī)程，針對(duì)不同類(lèi)型事件確定報(bào)告程序、時(shí)間和受理對(duì)象逐級(jí)上報(bào)至安全主管部門(mén)。同時(shí)，應(yīng)對(duì)事故現(xiàn)場(chǎng)進(jìn)行保護(hù)，便于事后調(diào)查取證。

最后，應(yīng)急相應(yīng)演練是為應(yīng)對(duì)和處置工業(yè)控制系統(tǒng)突發(fā)事件，確保工業(yè)控制系統(tǒng)安全、穩(wěn)定、持續(xù)運(yùn)行，防止造成重大的損失和影響，進(jìn)一步提高工業(yè)控制系統(tǒng)應(yīng)急保障能力，應(yīng)定期進(jìn)行應(yīng)急響應(yīng)演練。通過(guò)開(kāi)展應(yīng)急演練工作，使各工控企業(yè)熟悉應(yīng)急響應(yīng)機(jī)制、熟練應(yīng)急響應(yīng)流程、提高應(yīng)急響應(yīng)的處置能力，同時(shí)檢驗(yàn)應(yīng)急響應(yīng)預(yù)案的可行性、相關(guān)部門(mén)的協(xié)調(diào)與配合能力、相關(guān)工作的落實(shí)情況以及應(yīng)急響應(yīng)所需備用設(shè)備的完備情況等，在演練過(guò)程中學(xué)習(xí)并提高應(yīng)急能力，同時(shí)應(yīng)根據(jù)應(yīng)急演練中遇到的問(wèn)題，對(duì)應(yīng)急演練方案進(jìn)行及時(shí)修訂。

2.5 安全培訓(xùn)

為了將安全隱患減少到最低，不僅需要對(duì)安全管理員進(jìn)行專(zhuān)業(yè)性的安全技術(shù)培訓(xùn)，還需要加強(qiáng)對(duì)所有政府辦公人員的安全知識(shí)的普及，讓每一位員工都成為安全衛(wèi)士，才能實(shí)現(xiàn)真正意義上的全方位的安全。

（1）安全管理員培訓(xùn)、考核管理規(guī)范

安全管理員水平的高低和責(zé)任心強(qiáng)弱決定了安全防護(hù)具體實(shí)施的是否有效，因此對(duì)安全管理員定期培訓(xùn)并進(jìn)行嚴(yán)格的考核上崗顯得非常重要，主要內(nèi)容包括：培訓(xùn)對(duì)象確定；基于管理員角色定義前提下的技能要求；培訓(xùn)內(nèi)容；培訓(xùn)組織、時(shí)間安排；培訓(xùn)效果考核、評(píng)價(jià)；后續(xù)培訓(xùn)計(jì)劃。

（2）普通員工安全基礎(chǔ)知識(shí)培訓(xùn)管理規(guī)范

普通員工側(cè)重于基礎(chǔ)知識(shí)和日常安全防范措施的實(shí)踐性培訓(xùn)，主要內(nèi)容包括：基本要求；培訓(xùn)內(nèi)容；培訓(xùn)組織、時(shí)間安排；培訓(xùn)效果考核、評(píng)價(jià)；后續(xù)培訓(xùn)計(jì)劃。

3 結(jié)束語(yǔ)

本文探討了工業(yè)控制系統(tǒng)保護(hù)機(jī)制的建立，分別在技術(shù)層面以及管理層面闡述了構(gòu)建成體系的工業(yè)控制系統(tǒng)安全管理保護(hù)機(jī)制。成體系的工業(yè)控制系統(tǒng)安全保護(hù)機(jī)制還需要不斷的發(fā)展和建立，在日后的工業(yè)控制系統(tǒng)安全保護(hù)機(jī)制建設(shè)中要杜絕重技術(shù)輕管理以及重應(yīng)用輕安全的思想，從根本上合理的對(duì)工業(yè)控制系統(tǒng)的安全保護(hù)機(jī)制進(jìn)行建設(shè)。