工业控制系统密码统一服务平台建设

◎北京海泰方圆科技股份有限公司 王少华

工业控制系统所面临的信息安全和攻击威胁问题日益严重。密码作为保护网络与信息安全的重要手段，是解决数据安全的核心手段。为此，本文分析了当前工业控制系统的安全现状，并提出了工控系统密码统一服务平台建设的主要内容、系统架构、特点及优势等，以进一步提升工业控制系统在数据安全防护方面的能力。

随着计算机技术和网络技术的发展，特别是互联网及社会公共网络平台的快速发展，在“两化”融合的行业发展需求下，为了提高生产运行、生产管理效率，国内众多行业大力推进工业控制系统自身的集成化、集中化管理。系统的互联互通性逐步加强，与办公网、互联网也存在千丝万缕的联系。但是工业控制系统建设时更多的是考虑各自系统的可用性，并没有考虑系统之间互联互通的安全风险和防护建设。

工业控制系统脆弱的安全状况以及面临的日益严重的攻击威胁，已经引起了国家的高度重视，甚至提升到国家安全战略的高度，并在政策、标准、技术、方案等方面展开了积极应对。在明确重点领域工业控制系统信息安全管理要求的同时，国家主管部门在政策和科研层面上也在积极部署工业控制系统的安全保障工作。目前，绝大多数先进制造企业已经提升了在工业控制网络及物理方面的安全级别，但在工控数据保护方面却面临着严重的安全隐患。

密码作为保护网络与信息安全的重要手段，是解决数据安全的核心手段。2015年，中共中央办公厅、国务院办公厅联合下发了《关于加强重要领域国产密码应用的指导意见》，明确提出使用密码手段来加强基础信息网络、重要信息系统、重要工业控制系统以及面向社会服务的政务信息系统的安全。

为了进一步提升工业控制系统在数据安全防护方面的能力，需要结合企业的实际情况以及国家有关的规章制度，尽快完成企业工控系统密码统一服务平台的建设工作。

一、工业控制系统安全现状分析

1、缺少信息安全风险监控技术手段，不能及时发现信息安全问题，出现问题后靠人员经验排查。在工控网络上普遍缺少信息安全监控机制，不能及时了解网络状况，一旦发生问题不能及时确定问题所在，及时排查到故障点，排查过程耗费大量人力成本、时间成本。

2、缺少对于工控系统中不同类型数据的加密防护。目前，绝大多数的先进制造企业内的工控系统，在进行数据传输和存储的过程中都是明文数据，一旦数据被窃取，将对企业甚至是国家造成不可估量的损失。

3、第三方人员运维生产系统无审计措施。出现问题后无法及时准确定位问题原因、影响范围及追究责任。

4、工控系统中使用的文件没有及时得到安全清除，存在泄漏风险。

二、工业控制系统密码统一服务平台建设内容

密码统一服务平台由3个后台服务系统组成，分别为：密钥管理系统、数据加解密服务系统、数据可信验证服务系统。该平台前端业务系统为：日志审计系统和数据安全清除系统。保障了工控业务系统中数据流转时数据的真实性、完整性。如：MES系统数据下发到各个工厂或车间，会通过网间检测、杀毒、单向导入等系统环节。

（一）前端业务系统建设

1、日志审计系统

日志审计系统对数据在各环节流转时所产生的全部日志信息抓取、汇聚，一旦出现问题通过日志审计系统可以快速定位问题所在，在MES系统数据导出时，密码统一服务平台会对数据进行数字签名，当数据流转到单项导入系统时平台会对数据进行验签，保障数据未被篡改，验签通过后数据会流转向各个工厂或车间，实现对MES数据的完整性、真实性保障。

2、数据安全清除系统

数据安全清除系统，为企业内部工业控制系统中使用的文件提供安全清除服务，可以通过设置定期进行清除，也可以根据需要手动进行清除。

当工控业务系统中产生文件同时，数据加解密服务系统会针对该文件采用“一文一密”方式进行加密，在系统内存储、离线利用时该文件以密文形式存在，当该文件在业务系统中擦除时，统一密码服务平台会将该文件对应的密钥删除，从而保障文件无法再次利用。即便该文件已被下载到本地也将无法打开。

（二）后台服务系统建设

1、密钥管理系统

建设密钥管理系统，提供密钥的统一生成、分发、查询、更新、恢复和销毁。利用数字信封技术，对密钥进行加密封装，增强系统安全性，定义应用标识体系，分别建立密钥与应用系统、系统不同模块之间的对应关系，通过以上技术手段和方法，建立自主、可靠、安全的密钥管理系统。

2、数据加解密服务系统

通过数据加解密服务系统与工业控制系统的对接，实现敏感工业数据在传输和存储过程中的加密处理。

应用系统在调用数据加解密服务系统的服务接口前，将在系统中进行初始化注册，由数据加解密服务系统根据应用系统和系统模块信息生成对应的应用标识，每个应用标识对应唯一且随机生成的对称密钥和非对称密钥。

3、数据可信验证服务系统

建设数据可信验证服务系统，为内部工业控制系统中的数据提供真实性验证途径。系统负责数据凭证的生成、激活、利用以及注销等全生命周期的规范管理，并且保障凭证自身的可靠性、权威性。数据可信验证服务系统将以“接口”的方式为工业控制系统提供真实性验证服务支撑。

三、系统总体架构

基础设施层包括：服务器、网络设备、传统安全设备、密码安全设备、数据库系统、操作系统等支撑运行环境的基础软硬件。

网络层：平台上的绝大多数子系统都将集中部署在工业控制网络。

应用支撑层：主要是以满足本项目中工业控制系统安全支撑平台中各子系统功能实现为目标的支撑类工具。包括基础信息配置、用户及组织架构管理、接口管理等。

应用层：密码统一服务平台下属的多个系统，包括密钥管理系统、数据加解密服务系统、数据可信验证服务系统、日志审计系统和数据安全清除系统。

工业控制系统密码统一服务平台总体架构

四、平台特点及优势

通过构建密码统一服务平台，为企业内部工业控制系统提供统一的数据安全支撑服务，进一步提升企业内部的数据安全级别。

1、密码统一服务平台在不改变现有系统的业务场景及业务流程情况下，为工控系统提供安全支撑；

2、密码统一服务平台全面采用国产密码算法（SM2/SM3/SM4），符合相关政策标准；

3、使用密码技术强化工控系统身份验证、访问控制，提升系统安全；

4、使用密码技术保证数据在各环境流转中不被篡改，保障文件的真实性、有效性、可用性、安全性；

5、密码统一服务平台为业务系统提供数据加解密服务，数据生成时相应生成一个唯一的密钥，防止数据遗失所造成的泄密。

五、价值及收益

1、基于国家政策，实现智慧制造与安全制造创新机制

项目落实国家密码领域相关政策，借助国产密码技术来保障国家重要工业控制系统的安全。切实加强工业控制系统信息安全，实现工业安全生产运行，保障国家经济安全和人民生命财产安全，形成智能制造与安全制造相互融合的创新机制。

2、基于国产密码算法支撑，实现工业控制系统的安全生产模式

基于国产密码算法的安全支撑，采用数据加解密、数据可信验证服务等技术，实现工控业务系统安全登录、访问控制以及系统内数据安全、数据传输、数据存储等环节数据的机密性、完整性和可用性等安全属性的保障，形成一个高度灵活、个性化、数字化的产品与服务的生产模式。

3、基于安全加固手段，实现安全生产模式的标准化、规范化

密码技术作为基础防护手段结合企业自身特点，制定了一些数据安全、管理等方面的制度及标准规范。通过探索解决企业工控系统密码统一服务平台的机制和模式，促进该领域的制度建设，为将来平台的标准化上线使用奠定坚实的基础。