傳統(tǒng)IT安全與工控安全

傳統(tǒng)信息安全一般要實(shí)現(xiàn)保密性、完整性和可用性三個(gè)目標(biāo)，并且將保密性放在第一位，可用性置于最后。但是對(duì)于工業(yè)控制系統(tǒng)來說，目標(biāo)優(yōu)先級(jí)的順序恰好相反，如圖4所示。

圖4 工控系統(tǒng)和通用IT系統(tǒng)實(shí)現(xiàn)目標(biāo)優(yōu)先級(jí)的比較

工控系統(tǒng)信息安全首要考慮的是所有系統(tǒng)部件的可用性，保密性通常都在最后考慮，因?yàn)楣I(yè)數(shù)據(jù)都是原始格式，需要配合有關(guān)使用環(huán)境進(jìn)行分析才能獲取其價(jià)值，而系統(tǒng)的可用性則直接影響到企業(yè)的經(jīng)營和生產(chǎn)，生產(chǎn)線停機(jī)或者誤操作都可能導(dǎo)致巨大的經(jīng)濟(jì)損失，甚至是人員的生命危險(xiǎn)和環(huán)境的破壞。當(dāng)工業(yè)控制系統(tǒng)安全保護(hù)層被突破后仍必須保證生產(chǎn)過程的安全，盡量降低對(duì)人員、環(huán)境、資產(chǎn)的破壞。除此之外，工控系統(tǒng)的實(shí)時(shí)性指標(biāo)也非常重要，控制系統(tǒng)要求響應(yīng)時(shí)間大多在1毫秒以內(nèi)，而通用IT業(yè)務(wù)系統(tǒng)能夠接受1秒或數(shù)秒內(nèi)完成。工業(yè)控制系統(tǒng)信息安全還要求必須保證持續(xù)的可操作性及穩(wěn)定的系統(tǒng)訪問、系統(tǒng)性能、專用工業(yè)控制系統(tǒng)安全保護(hù)技術(shù)，以及全生命周期的安全支持，這些要求都是在保證信息安全的同時(shí)也必須滿足的。

國際定義和標(biāo)準(zhǔn)

針對(duì)工控系統(tǒng)信息安全，IEC/TC65/WG10（工 業(yè) 過 程測量、控制自動(dòng)化/網(wǎng)絡(luò)與系統(tǒng)信息安全工作組）與國際自動(dòng)化協(xié)會(huì)ISA 99成立聯(lián)合工作組，共同制定IEC 62443《工業(yè)過程測量、控制和自動(dòng)化 網(wǎng)絡(luò)與系統(tǒng)信息安全》系列標(biāo)準(zhǔn)。IEC 62443是在國際上被廣泛采納和認(rèn)可的工控系統(tǒng)標(biāo)準(zhǔn)，各國、各行業(yè)制定工控相關(guān)標(biāo)準(zhǔn)政策都會(huì)參考和吸收該標(biāo)準(zhǔn)提供的概念、方法、模型，不論是想系統(tǒng)地了解工控系統(tǒng)安全問題及其應(yīng)對(duì)措施，還是想了解其中部分內(nèi)容，都可以從該標(biāo)準(zhǔn)入手。

一般來說，工業(yè)領(lǐng)域的安全可以分為三類，即功能安全、物理安全和信息安全。功能安全是為了實(shí)現(xiàn)設(shè)備和工廠安全功能，受保護(hù)的安全相關(guān)部分必須正確執(zhí)行其功能，而且當(dāng)失效或故障發(fā)生時(shí)，設(shè)備或系統(tǒng)必須仍能保持安全條件或進(jìn)入到安全狀態(tài)。物理安全是減少由于電擊、著火、輻射、機(jī)械危險(xiǎn)、化學(xué)危險(xiǎn)等因素造成的危害。信息安全范圍很大，大到國家軍事政治等機(jī)密安全、小到防范企業(yè)機(jī)密泄露、個(gè)人信息泄露等。ISO/IEC 27002中對(duì)信息安全的定義是“保持信息的保密性、完整性、可用性；另外也可包括例如真實(shí)性、可核查性、不可否認(rèn)性和可靠性等。”

縱觀國際工控安全的發(fā)展態(tài)勢，美國是最早開始研究和執(zhí)行工控安全標(biāo)準(zhǔn)的國家，歐洲已經(jīng)按照WIB標(biāo)準(zhǔn)來檢測工控產(chǎn)品安全，日本基于IEC 62443要求結(jié)合阿基里斯認(rèn)證要求，從2013年起規(guī)定所有工控產(chǎn)品必須通過國家標(biāo)準(zhǔn)認(rèn)證才能在國內(nèi)使用；以色列已成立國家級(jí)工控產(chǎn)品安全檢測中心，用于工控安全產(chǎn)品入網(wǎng)前的安全檢測。

國內(nèi)工控安全發(fā)展

從國內(nèi)發(fā)展情況來看，在2011年工信部就已出臺(tái)了《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》，第一次對(duì)工控安全管理工作提出了具體要求；2016年10月，工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，其中指出，工業(yè)控制系統(tǒng)應(yīng)用企業(yè)應(yīng)從安全軟件選擇與管理、配置和補(bǔ)丁管理、邊界安全防護(hù)、物理和環(huán)境安全防護(hù)、身份認(rèn)證、遠(yuǎn)程訪問安全、安全監(jiān)測和應(yīng)急預(yù)案演練、資產(chǎn)安全、數(shù)據(jù)安全、供應(yīng)鏈管理、落實(shí)責(zé)任11個(gè)方面做好工控安全防護(hù)工作；2017年12月，工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全行動(dòng)計(jì)劃（2018-2020年）》，行動(dòng)計(jì)劃提出，到2020年，全系統(tǒng)工控安全管理工作體系基本建立，全社會(huì)工控安全意識(shí)明顯增強(qiáng)，建成全國在線監(jiān)測網(wǎng)絡(luò)，應(yīng)急資源庫，仿真測試、信息共享、信息通報(bào)平臺(tái)（一網(wǎng)一庫三平臺(tái)），態(tài)勢感知、安全防護(hù)、應(yīng)急處置能力顯著提升，培育一批影響力大、競爭力強(qiáng)的龍頭骨干企業(yè)，創(chuàng)建3-5個(gè)國家新型工業(yè)化產(chǎn)業(yè)示范基地（工業(yè)信息安全），產(chǎn)業(yè)創(chuàng)新發(fā)展能力大幅提高。