歐美工控信息安全標準建設現狀及啟示

劉金芳

摘 要：近年，全球工業控制系統面臨嚴峻的網絡攻擊：其針對性極強，直擊關鍵信息基礎設施；其破壞力度大，造成工控系統癱瘓；其攻擊范圍廣，波及世界大量國家。文章通過分析歐美工控信息安全標準建設的現狀，發現其特點：國際工控信息安全標準以電力領域為焦點，美國工控信息安全標準以石油天然氣領域為重點，歐盟各國工控信息安全標準以通用標準為核心。文章通過總結歐美工控信息安全標準建設經驗，對我國工控信息安全標準建設提出建議：借鑒歐美經驗，建立健全我國工控信息安全國家標準體系；加快工控信息安全國家標準的制定、修訂，確保標準統一和連貫；制定重點領域工控信息安全標準，做到有章可循；積極宣貫已有標準，充分發揮標準作用。

關鍵詞：工業控制系統；信息安全；標準

中圖分類號： TP309 文獻標識碼：A

The status quo and enlightenment of the construction of industrial control information security standard in the United States and EU.

Abstract： In recent years， the global industrial control systems have been facing serious cyberattack： They have fixed targets， directing to critical information infrastructures； Their destruction is serious， resulting in paralysis of industrial control systems； They destroy a wide range， spreading to a large number of countries in the world. This article analyzes the status quo of the construction of industrial information security standards in the United States and EU and finds its characteristics： the international industrial information security standards focus on the field of electricity， the United States industrial information security standards focus on the oil and gas field， the EU industrial information security standards focus on common standards. This paper summarizes the construction of industrial information security standards in the United States and EU， and have proposed the construction of our country how to set up industrial information security standards recommendations： learning from Europe and the United States standards， set up the formation of national standards system； speeding up the development of national standards， amendments to ensure standard unity and consistency； Acting the public standards， give full play to the role of the standards.

Key words： industrial control system； information security； standard

1 引言

近年，全球工業控制系統信息安全風險加劇，我國工業控制系統更是受災區，卡巴斯基實驗室報告顯示，2016年7月至2017年6月期間我國工控系統受損占比57.1%，排在全球第五位。為加快我國工業控制系統信息安全保障體系建設，提升工業企業工業控制系統信息安全防護能力，促進工業信息安全產業發展，2017年12月12日工業和信息化部印發《工業控制系統信息安全行動計劃（2018-2020年）》（工信部信軟〔2017〕316號），提出“建立健全標準體系”。本文通過分析全球工控信息安全挑戰，學習歐美等網絡強國在工控信息安全標準建設的經驗，旨在促進我國工業控制系統信息安全標準建設。

2 全球工控信息安全面臨嚴峻挑戰

2.1針對性極強，直擊關鍵信息基礎設施

近年全球工控信息安全形勢越發嚴峻，以色列、烏克蘭等一些國家關鍵信息基礎設施遭受嚴重的網絡攻擊。2016年1月，以色列電力供應系統遭受有史以來最大的網絡攻擊，勒索軟件正是造成事故的直接原因，據推測此次攻擊事件的幕后主導者很可能是恐怖組織。2016年2月，烏克蘭礦業和鐵路系統遭受BlackEnergy攻擊，對國家造成嚴重破壞。其攻擊原因可能是攻擊者想通過持續地破壞電力、礦業和交通運輸等設施，達到破壞烏克蘭的穩定的目的。2017年10月，瑞典交通署信息系統遭黑客攻擊，導致列車延誤，并伴隨道路和橋梁在內的瑞典關鍵基礎設施數據的泄露。從這些攻擊事件中可以看出，網絡攻擊從虛擬世界轉向現實世界，關鍵性基礎設施已成為安全威脅的指向目標，常摻雜著政治色彩，嚴重影響國家和社會的安全。

2.2 破壞力度大，造成工控系統癱瘓

隨著工控信息安全風險的升級，工控信息安全事件的后果嚴重。2009年，國際上發生的震網事件，美國和以色列通過震網（Stuxnet）病毒秘密攻擊伊朗布什爾核電站，Stuxnet滲透至伊朗核電站的計算機系統并破壞了伊朗鈾濃縮離心機，造成五分之一的離心機報廢。2017年12月，某國家支持的黑客入侵沙特阿拉伯能源工廠安全系統被入侵，造成工廠停止運行。原因出現在施耐德工業安全技術Triconex上，然而Triconex已廣泛用于核工業，石油和天燃氣等能源行業。由此可見，工控系統一旦遭受攻擊，受破壞程度巨大，可導致工控系統癱瘓、設備的報廢、工廠停工。

2.3 攻擊范圍廣，波及世界大量國家

工控信息安全事件波及范圍廣，涉及世界多個國家的多個領域。自2015年3月以來，網絡犯罪團伙對30余個國家的130家企業開展工業間諜活動，集中在2016年6月“食尸鬼行動”行動，攻擊者以工業領域的企業為目標，覆蓋多領域，包括石油化工、軍事、航空航天、重型機械、太陽能、鋼鐵等領域，包括工程、航運、醫藥、制造、貿易、教育、旅游、IT等。2017年5月，全球爆發WannaCry勒索病毒攻擊，至少150個國家、30萬名用戶中招。全球知名的工業設施在遭受WannaCry后被干擾或出現故障，羅馬尼亞汽車制造商達契亞因之而停產、雷諾汽車因之造成部分地區停產、尼桑的桑德蘭工廠和西班牙Iberdrola電力公司、Gas Natural 天然氣公司也受到嚴重影響。近年發生的工控信息安全事件影響范圍不僅僅是某個國家或地區，也不僅僅是某個領域，它已波及全球，影響多領域多行業，工控信息安全威脅愈演愈烈。

3 歐美工控信息安全標準建設特點

3.1 國際工控信息安全標準以電力領域為焦點

國際電工委員會（IEC）、電氣和電子工程師協會（IEEE）和國際自動化協會（ISA）致力于工控信息安全國際標準建設。工控信息安全國際標準主要集中在電力系統信息安全領域：IEC于2003年發布了《電力系統控制和相關通信：數據和通信安全（IEC 62210）》，并于2005年發布《電力系統管理及信息交換：數據和通信安全性（IEC 62351）》；IEEE于2007年發布《變電站IED網絡安全功能標準（IEEE 1686-2007）》，并于2011年發布《變電站串行鏈路網絡安全的機密協議試行標準（IEEE P1711）》。此外，通用的工控信息安全國際標準方面，IEC和ISA積極研制《工業過程測量、控制和自動化 網絡與系統信息安全（IEC 62443）》，其中部分標準已經發布，如IEC 62443-1-1、IEC 62443-2-1等。國際工控信息安全標準進展情況如表1所示。

3.2 美國工控信息安全標準以石油天然氣領域為重點

美國國家標準技術研究院（NIST）、美國國土安全部（DHS）等機構致力于美國工控信息安全標準的建設。美國標準主要在三個領域：一是美國工控信息安全標準集中在石油天然氣領域，美國能源部（DOE）于2002年發布《提高SCADA系統網絡安全21步》，DHS于2005年發布《加強SCADA系統及工業控制系統的安全》，NIST于2006年發布《中等健壯環境下的SCADA系統現場設備保護輪廓（NIST/PCSRF）》，同年，美國天然氣協會（AGA）發布《SCADA通信加密保護規范（AGA Report NO.12）》，2009年美國石油協會（API）發布《管道SCADA安全（API1164）》；二是美國針對電力、核電領域工控系統信息安全出臺相應的標準，NIST于2010年發布《智能電網安全指南（NIST IR7628）》，北美電力可靠性委員會（NERC）于2011年發布《北美大電力可靠性規范（NERCCIP002-009）》；三是美國發布了一系列通用工控信息安全標準，美國國家標準技術研究院（NIST），2004年發布《系統保護輪廓——工業控制系統（NIST IR7176）》，2007年發布《聯邦信息系統和組織建議的安全控制（NIST SP800-53）》，2010年發布《工業控制系統安全指南（NIST SP800-82）》，2014年發布《改善監管基礎設施網絡安全框架》，美國國土安全部（DHS）也發布了一系列工業控制信息安全標準，2009年發布《控制系統安全一覽表：標準推薦》，2010年發布《工業控制系統安全評估指南》和《工業控制系統遠程訪問配置管理指南》美國工控信息安全標準進展情況如表2所示。

3.3 歐盟各國工控信息安全標準以通用標準為核心

歐盟各國注重發展通用性的工控信息安全標準。荷蘭國際儀器用戶協會（WIB）2006年發布《過程控制域（PCD）——供應商安全需求》，挪威石油工業協會（OLF）2009年發布《過程控制、安全和支撐ICT系統的信息安全基線要求（OLF Guideline NO.104）》和《工程、采購及試用階段中過程控制、安全和支撐ICT系統的信息安全的實施（OLF Guideline NO.110）》，瑞典民防應急局（MSB）2010年發布《工業控制系統安全加強指南》。此外，歐盟國家根據各自國情關注特定領域的工控信息安全標準建設，例如德國關注制造業的信息安全問題，德國國際工業流程自動化用戶協會（NAMUR）2006年發布《工業自動化系統的信息安全技術：制造工業中采取的約束措施（NAMURNA115）》。

4 歐美工控信息安全標準建設對我國的啟示

4.1 借鑒歐美工控信息安全標準建設經驗，建立健全我國工控信息安全國家標準體系

歐美國家在研制工控信息安全標準時注重借鑒和融合。例如，國際標準化組織IEC和ISA聯合發布的IEC 62443標準，在研制過程中充分借鑒了荷蘭WIB制定的《過程控制域（PCD）——供應商安全需求》，而美國NIST在研制《改善監管基礎設施網絡安全框架》時融合了國際標準化組織發布的IEC 62443標準中一些的技術要求。

我國工控信息安全標準起步較晚，工控信息安全標準體系尚未形成。建立健全我國工控信息安全標準體系，研制技術、產品、系統、設施等新標準，完善和修訂已有標準，學習歐美借鑒、融合他國工控信息安全標準的經驗，必要時實現部分工控信息安全標準的本土化。學習借鑒國外工控信息安全標準的同時，切忌將國外工控信息安全標準的一部分硬塞到我國工控信息安全標準體系之中。

4.2 加快工控信息安全國家標準的制定、修訂，確保標準統一和連貫

美國工控信息安全建設雖然已形成體系，但仍然堅持持續更新工控信息安全標準，而且注重保持標準之間的統一和連貫。例如，NIST持續更新SP800-53標準，2007年在該標準基礎上補充了工業控制系統的安全控制要求，2013年又發布了修訂版4；NIST于2011年發布SP800-82，為保持與SP800-53修訂版的統一和連貫，2014年SP800-82根據SP800-53的變更再次作出了修訂。

我國工控安全標準制定之初，缺乏整體規劃、統籌協調較難，很難確保標準之間的統一和連貫。借鑒歐美制定、修訂標準的經驗，確立我國的工控信息安全國家標準體系框架、時間表和路線圖，并在此基礎上，根據輕重緩急，有組織、有計劃，有步驟地推進標準制定工作。在基礎通用領域，加緊制定推薦性工控信息安全國家標準，縮短工控信息安全國家標準的研制周期，加速發布進程。加快修訂已有的工控信息安全標準，保證標準之間的統一和連貫。

4.3 制定重點領域工控信息安全標準，做到有章可循

歐美根據工控信息安全問題的導向性制定相應標準，加緊對重點領域加強信息安全標準建設，歐美工控信息安全標準集中在電力、石油天然氣、核電、制造業。其中，國際工控信息安全標準以電力為主，美國工控信息安全標準以石油天然氣為主，德國工控信息安全標準主要集中在制造業。

我國已形成了一些通用的工控信息安全標準，并在一些重要領域建立了工控信息安全標準，其中我國電力領域起步較早。目前，我國工控信息安全標準已覆蓋電力、軌道交通、石油化工、機械、煙草等領域。然而，隨著國工控系統信息安全形勢日益嚴峻，亟需在國家關鍵信息基礎設施領域制定強制性工控信息安全國家標準，視情在行業特殊需求的領域制定推薦性工控信息安全行業標準，使得重點領域的工控信息安全工作做到有章可循。

4.4 積極宣貫已有工控信息安全標準，充分發揮標準作用

國際標準組織通過推出認證計劃等方式推進工控信息安全標準落地。例如，為推進IEC62443的實施，ISA下屬安全合規性委員會（ISCI）推出ISASecure EDSA認證計劃用于評估該標準的適用性，針對IEC62443-3-3進行了系統安全保障（SSA）認證，針對IEC62443-3-3進行了安全開發生命周期保障認證。美國通過發布相關政策、推出評估工具等方式推進工控信息安全標準實施，例如，繼NIST發布《改善關鍵基礎設施網絡安全框架》標準之后，DHS實施的關鍵基礎設施網絡社區志愿計劃等措施，免費為參考該標準的組織提供支持；DHS還推出了CSET（Cyber Security Evaluation Tool，網絡安全評估工具）以評估工控信息安全標準NIST SP800-53等。

我國應及時推進工控信息安全標準的貫徹落實。在發布工控信息安全相關的政策法規的同時，發布工控信息安全標準，有利于政策落實，并為標準的貫徹提供依據。與此同時，需開發評估工具、采取認證方式等一系列手段切實推進已有工控信息安全標準的落地，充分發揮已有標準的重要作用。

參考文獻

[1] 邸麗清，高洋，謝豐.國內外工業控制系統信息安全標準研究[J]. 信息安全研究， 2016，2（5）：435-441.

[2] 周睿康，上官曉麗， 范科峰.工業控制系統信息安全標準體系建設[J]. 保密科學技術，2016，（3）：46-51.

[3] 許東陽.我國工控系統安全標準化工作進展[J].信息安全與通信保密，2014，（6）：41-41.

[4] 楊建軍，唐一鴻.工業控制系統信息安全標準化[J].信息技術與標準化. 2012.（3）：22-25.

[5] 邸麗清，謝豐.工業控制系統信息安全與功能安全結合之探討[J].中國信息安全，2016，（4）：62-65.

[6] 程鵬，張瑩，周慧.工業控制系統網絡安全深度分析與展望[J].中國黨政干部論壇，2016，（8）：55-58.

[7] 蔣寧，林滸，尹震宇，黃艷.工業控制網絡的信息安全及縱深防御體系結構研究[J].小型微型計算機系統，2017，38（4） ：830-833

[8] 胡江，孫國臣，張加軍，侯秦脈.由“震網”病毒事件淺議核電站信息安全現狀及監管[J].核科學與工程，2015，（1）：181-185

[9] 李佳瑋，郝悍勇，李寧輝.工業控制系統信息安全防護[J].中國電力，2015，48（10）：139-143.

[10] 陶耀東，李寧，曾廣圣.工業控制系統安全綜述[J].計算機工程與應用，2016，52（13）：8-18