鋼鐵行業(yè)網(wǎng)絡(luò)信息化安全防護(hù)體系建設(shè)研究

時(shí)罡，蘇凱旋

（1.鞍鋼集團(tuán)管理與信息化部，遼寧 鞍山 114001；2.鞍鋼集團(tuán)信息產(chǎn)業(yè)有限公司，遼寧 鞍山 114001）

0 引言

中國鋼鐵工業(yè)的目標(biāo)是根據(jù)國家“十四五”規(guī)劃和相關(guān)產(chǎn)業(yè)政策，促進(jìn)鋼鐵工業(yè)的高質(zhì)量發(fā)展，加快建立新的發(fā)展模式和供需平衡。中國鋼鐵工業(yè)高質(zhì)量的趨勢之一是制造業(yè)。制造智能化是冶金工業(yè)現(xiàn)代化的切實(shí)需要，中國鋼鐵行業(yè)相信“5G+工業(yè)互聯(lián)網(wǎng)”將引領(lǐng)智能生產(chǎn)的新道路。在“十三五”規(guī)劃期間，“工業(yè)化”和“信息化”在技術(shù)集成、產(chǎn)品集成和技術(shù)創(chuàng)新領(lǐng)域取得了明顯成果，一體化程度進(jìn)一步加快，智能冶金生產(chǎn)正走向快速增長的階段。中國鋼鐵行業(yè)在知識(shí)建設(shè)、智能系統(tǒng)建設(shè)、生產(chǎn)營銷、集成軋制和控制及智能解決方案等方面實(shí)現(xiàn)了全面提升[1]。

1 等級保護(hù)制度是網(wǎng)絡(luò)安全領(lǐng)域的基本制度

1.1 加快夯實(shí)網(wǎng)絡(luò)安全等級保護(hù)標(biāo)準(zhǔn)

工業(yè)互聯(lián)網(wǎng)已進(jìn)入“新王國”。沒有網(wǎng)絡(luò)安全，就難以保障廣大公民的利益。黨和黨的領(lǐng)導(dǎo)處于安全的頂峰，在黨中央的堅(jiān)強(qiáng)領(lǐng)導(dǎo)下，以習(xí)近平同志為核心，中國在建設(shè)、實(shí)施網(wǎng)絡(luò)安全標(biāo)準(zhǔn)方面取得了很大成績（圖1）。

1.2 加強(qiáng)網(wǎng)絡(luò)空間安全

新時(shí)代的挑戰(zhàn)將需要新的系統(tǒng)和新的標(biāo)準(zhǔn)、新的理念和新的使用方法。網(wǎng)絡(luò)安全等級設(shè)計(jì)的技術(shù)要求和網(wǎng)絡(luò)安全等級評估的要求，以及空間、結(jié)構(gòu)、標(biāo)準(zhǔn)要求以及安全系統(tǒng)的變化、改進(jìn)，對企業(yè)提出了新的變化和更高的要求[2]。

1.3 從被動(dòng)防御向主動(dòng)防御轉(zhuǎn)變

《等保2.0標(biāo)準(zhǔn)》更注重主動(dòng)防御，從事故前后的全過程來看，其采用了“一個(gè)中心，三重防護(hù)”的理念，建立了安全管理中心，使網(wǎng)絡(luò)安全系統(tǒng)提供了更高級別的防護(hù)。

1.4 優(yōu)化和調(diào)整規(guī)定的水平

《等保2.0標(biāo)準(zhǔn)》涉及了安全控制、預(yù)警、風(fēng)險(xiǎn)評估、數(shù)據(jù)保護(hù)、應(yīng)急響應(yīng)和其他內(nèi)容。其中重點(diǎn)是技術(shù)管理、建立機(jī)制、完善概念、能力建設(shè)、技術(shù)測試、團(tuán)隊(duì)建設(shè)。由此可見《等保2.0標(biāo)準(zhǔn)》的內(nèi)容不是獨(dú)立和分散的。

2 鋼鐵企業(yè)工業(yè)互聯(lián)網(wǎng)安全建設(shè)分析

在鋼鐵企業(yè)中，工業(yè)控制系統(tǒng)的風(fēng)險(xiǎn)非常普遍存在：

（1）生產(chǎn)控制區(qū)內(nèi)部缺少相應(yīng)的安全防護(hù)措施，邊界和重點(diǎn)區(qū)域沒有做隔離。

（2）高爐、轉(zhuǎn)爐等工藝段由于投運(yùn)時(shí)間較早，現(xiàn)場操作系統(tǒng)老舊，很少更新，存在漏洞。

（3）控制室主機(jī)很少安裝殺毒軟件，存在安全隱患。

（4）沒有獨(dú)立的信息安全部門或者信息安全崗位，安全策略和安全管理制度不完善。

（5）移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、海量信息等面臨新的防御技術(shù)不足，一些管理者和管理者不了解網(wǎng)絡(luò)的安全性。

目前，控制系統(tǒng)的硬件和軟件主要來自于德國、美國、日本等國家。ERP系統(tǒng)和其他關(guān)鍵數(shù)據(jù)（技術(shù)數(shù)據(jù)、生產(chǎn)數(shù)據(jù)等）成了摧毀或綁架的重點(diǎn)對象。黑客的注意力逐漸從以前對Web服務(wù)器的攻擊轉(zhuǎn)移到對工業(yè) 智能控制系統(tǒng)的攻擊[3]。

3 工業(yè)互聯(lián)網(wǎng)安全解決思路

近年來，工業(yè)互聯(lián)網(wǎng)的安全形勢越來越復(fù)雜，木馬等病毒對工業(yè)互聯(lián)網(wǎng)構(gòu)成持續(xù)威脅，企業(yè)自身必須重視安全建設(shè)，應(yīng)采取有效措施確保工業(yè)系統(tǒng)的安全運(yùn)行（圖2）。

鋼鐵行業(yè)涉及多個(gè)工藝段，各個(gè)工藝段環(huán)環(huán)相扣，缺一不可，一旦出現(xiàn)問題則會(huì)影響到其他業(yè)務(wù)的正常運(yùn)行。經(jīng)過近年來對工業(yè)互聯(lián)網(wǎng)安全體系的建立，意識(shí)到一部分問題是典型的、廣泛的，并總結(jié)以下安全解決思路（圖3）。

（1）全面規(guī)劃、分階段實(shí)施。完善企業(yè)網(wǎng)絡(luò)信息整體防護(hù)體系是一項(xiàng)長期的系統(tǒng)工程。系統(tǒng)各級的安全問題應(yīng)在國家信息安全法律法規(guī)和標(biāo)準(zhǔn)規(guī)范的框架內(nèi)解決和規(guī)避，考慮信息安全風(fēng)險(xiǎn)全面、動(dòng)態(tài)規(guī)劃，工業(yè)互聯(lián)網(wǎng)安全的設(shè)計(jì)應(yīng)分階段進(jìn)行。

（2）企業(yè)網(wǎng)絡(luò)系統(tǒng)的安全穩(wěn)定運(yùn)行取決于其在不同時(shí)期所面臨的威脅程度，安全管理系統(tǒng)的建立不能盲目提前，但要做到滿足當(dāng)前業(yè)務(wù)應(yīng)用的安全要求，也可以適應(yīng)未來的改進(jìn)[4]。

（3）工業(yè)互聯(lián)網(wǎng)安全的重點(diǎn)是積極防御和應(yīng)急響應(yīng)。考慮到現(xiàn)代網(wǎng)絡(luò)安全防護(hù)的復(fù)雜性和可變性，有必要在制定企業(yè)網(wǎng)絡(luò)和信息安全防護(hù)之前，采取先發(fā)制人的措施應(yīng)對潛在的安全威脅，及早規(guī)劃如何應(yīng)對安全事件，熟悉安全措施和處理方法，盡量減少安全事件造成的損失。

（4）動(dòng)態(tài)管理和持續(xù)改進(jìn)。企業(yè)網(wǎng)絡(luò)的信息保護(hù)是一個(gè)動(dòng)態(tài)的過程，不斷改進(jìn)和完善企業(yè)網(wǎng)絡(luò)安全措施，考慮到新出現(xiàn)的威脅和安全漏洞，不斷將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制在可接受的范圍內(nèi)[5]。

4 結(jié)語

一方面，隨著工業(yè)網(wǎng)絡(luò)與業(yè)務(wù)網(wǎng)、核心網(wǎng)絡(luò)的互聯(lián)互通，對網(wǎng)絡(luò)安全的需求越來越迫切。另一方面，黑客攻擊、病毒傳播和各種網(wǎng)絡(luò)攻擊也在增加，根據(jù)網(wǎng)絡(luò)安全立法和等級保護(hù)要求，企業(yè)應(yīng)嚴(yán)格執(zhí)行網(wǎng)絡(luò)安全制度，履行網(wǎng)絡(luò)安全義務(wù)，加強(qiáng)網(wǎng)絡(luò)威脅防護(hù)，不斷提高應(yīng)對網(wǎng)絡(luò)攻擊的能力。鋼鐵系統(tǒng)工業(yè)互聯(lián)內(nèi)網(wǎng)安全已成為生產(chǎn)的重要組成部分。企業(yè)的運(yùn)營和管理、提高網(wǎng)絡(luò)安全水平不僅是一項(xiàng)法律標(biāo)準(zhǔn)，也是一項(xiàng)關(guān)鍵的任務(wù)。實(shí)施動(dòng)態(tài)防御、主動(dòng)防御、縱深防御、精確防御和綜合防御，以達(dá)到防范的目的。