核電廠網絡安全引發關注

徐燦 王禮坤

中圖分類號：TP393 文獻標識：A 文章編號：1674-1145（2020）02-134-01

摘 要 隨著信息技術的發展，信息化和工業化高度融合，信息化對核電業務的支持也越來越重要。網絡系統如果發生網絡安全問題，不僅可能影響核電業務的正常運行，也可能引起嚴重的核事故甚至影響核安全。網絡安全問題引起的網絡系統安全事件可能會影響核電的正常生產運行，甚至引起核電停堆、停機等核安全事件。

關鍵詞 核電廠 網絡安全 Modus /TCP協議

在目前的國內核電形勢下“安全”成了最高要求，而中國核電則提出了“規模化、標準化、國際化”的企業發展戰略。國際化進一步加大了核電廠對網絡安全的需求，為了保證核電業務的正常發展，網絡安全和保密成為核電廠關注的重要課題。

一、核電廠網絡襲擊問題

網絡襲擊是指由訓練有素質敵對勢力或有組織的犯罪集團對國家基礎信息網絡和重要網絡系統發動的有計劃、有目地地深層次網攻擊行為。對國家安全、社會秩序造成的威脅和破壞程度極大。

網絡襲擊是一種特定形式的攻擊行為，網絡襲擊其攻擊者的手段更加專業、目的性更強、危害性更大。主要方法包括口令入侵、邏輯炸彈、特洛伊木馬程序、DDOS. WWW的欺騙技術、電子郵件攻擊和社會工程學等。

網絡安全在核電行業有著非常重要的地位。隨著核電行業信息化程度的不斷提高，核電廠的內部辦公、對外互聯網服務、核電廠信息化管理、核電基礎設施網絡控制等方面都進行了信息化改造，整個核電基礎設施都處于幾個相互隔離的信息網絡中，一旦外部惡意攻擊者通過互聯網進入核電廠內部，再將核電廠內部幾張網絡打通，便可控制、破壞核電廠。

核電廠使用的網站、互聯網郵箱、內網辦公系統、單位架設的無線、實物保護系統網絡、核電廠工業控制系統等都可能成為網絡攻擊的目標。特別是一些“敵對勢力”，為了獲取核電廠內部機密信息或破壞核發電設施，會利用各種手段或工具對核電廠發動大規模的網絡襲擊。如對網站使用Web攻擊、對郵箱使用拒絕服務攻擊、對內網辦公系統使用木馬攻擊、對單位架設的無線使用無線攻擊等。

二、核電廠網絡安全管理

（一）網絡安全治理體系

企業網絡安全治理工作包含企業安全戰略、企業風險管理、企業績效評估以及企業職責明確等方面的內容。

網絡安全治理是指企業最高決策層如董事會建立的相應的體制和機制，其目的是確保企業的網絡安全戰略與企業的業務戰略目標相一致，確保企業網絡系統安全可用。網絡安全管理則是在企業安全治理機制下完成網絡安全管理程序、落實管理手段和技術措施，來確保企業信息內容的完整性、機密性和真實性。如果企業沒有很好地完成網絡安全治理工作，則企業的網絡安全管理體系可能不夠完善，網絡安全管理也不會很好的服務于企業業務的運作。

一般企業的網絡安全管理是屬于被動的事件驅動型的風險管理，在企業網絡安全治理的工作機制保障下，企業將會轉變為主動的風險管控模式，主動完成風險評估和風險處置工作，實現對網絡安全工作的主動管控。

（二）網絡安全組織體系

網絡安全組織是指為了在某個組織內部完成網絡安全的方針和目標而組成的特定的組織結構。

網絡安全組織包括網絡安全的組織策略、組織結構和崗位責任三部分。組織策略負責組的網絡安全整體策略，組織機構和崗位職責的制定都要靠組織策略。組織結構明確崗位職責及相互間的關系。崗位責任定義崗位的工作、責任和權限。

一般企業的網絡安全組織建議分為網絡安全管理委員會、網絡安全辦公室和網絡安全工作小組三個層次。

（三）網絡安全策略體系

網絡安全策略包含組織網絡安全目標、方針，以及組織網絡安全管理規范、流程等。

網絡安全策略表達組織管理者的管理意圖，說明網絡安全工作目標和原則的；從本質來說是描述組織具有哪些重要信息資產，并說明這些信息資產如何被保護的一個計劃。

（四）核電廠網絡安全管理安全域的建立

1.計劃階段：圍繞核電廠發展目標、業務需求、組織架構、信息資產和安全技術等方面的要求，確定或審視ISMS方針和策略，利用合適的風險評估方法，識別核電廠網絡安全風險，并對風險給予合適評價，擬定風險控制措施。

2.實施階段：按照風險控制措施，配備足夠資源，圍繞ISMS體系的推廣和運行的過程，建立配套的實施、培訓和風險處置計劃，實施風險處置計劃，以達到風險處置的目的。

3.檢查階段：對ISMS體系的運行狀態和有效性進行檢查和評審，包括評審ISMS的有效性。

4.改進階段：組織與相關方對在網絡安全檢查和評審過程中發現的問題進行溝通，討論控制措施和改進方法，跟蹤問題的糾正和預防進度，確保改進工作達到預期目的。

三、結語

綜上，由于核安全對核電廠的重要性以及網絡系統對核電業務的密切支持，保障網絡系統安全高效運行的網絡安全對核電廠同樣至關重要。

參考文獻：

[1]張勝山，尚文利，萬明，等.基于區域/邊界規則的Modbus/TCP通信安全防御模型[J].計算機工程與設計，2014，35（11）：01-07.

[2]公安部網絡安全等級保護評估中心.網絡安全等級保護政策培訓教程[M].北京：電子工業出版社，2010.

[3]國家質量監督檢驗檢疫總局，中國國家標準化管理委員會.工業自動化和控制系統網絡安全 集散控制系統（DCS）第1部分：防護要求：GB/T 33009.1—2016[S].北京：中國標準出版社，2016.

[4]HAD102/16-2004.核動力廠基于計算機的安全重要系統軟件[S].北京：中國標準出版社，2004.