工业控制系统信息安全保障体系研究

李浩伟，郝园

（河北省工业和信息化发展研究院，河北 石家庄 050000）

0 引言

工业是国民经济的基础。近年来，随着互联网等新一代信息技术与工业生产活动融合的不断深入，工业信息安全面临日益严峻的威胁。工信部落实《网络安全法》《国家网络安全事件应急预案》等法律法规和规范性文件，出台了《工业控制系统信息安全防护指南》《工业控制系统信息安全事件应急管理工作指南》等系列政策文件，提出要加快工业控制系统（以下简称“工控系统”）信息安全保障体系建设，提升工业企业工控系统信息安全防护能力，为促进制造强国和网络强国建设提供重要保障[1-2]。

1 工业控制系统信息安全态势

随着网络化、数字化、智能化的不断发展，工业控制系统从单机走向互联，从封闭走向开放，从自动化走向智能化，工业控制系统面临着日益严峻的信息安全威胁[3]。

一是工控系统高危漏洞层出不穷，制造、能源、交通等重要领域首当其冲。2020年，国家工业信息安全漏洞库共收录工业信息安全漏洞2 138个，较2019年上升22.2%，其中通用型漏洞2 045个，事件型漏洞93个，通用型漏洞中高危漏洞占比高达62.5%。漏洞基本涵盖国内外主流设备厂商，影响制造、能源、医疗等重点领域。随着两化融合继续深入，未来工控系统安全漏洞和威胁也会继续快速增长。

二是企业工业控制系统信息安全责任意识淡薄，管理和防护尚不到位。从国家抽查情况看，90%的企业存在安全管理制度落实不到位，U盘、Wi-Fi、手机违规使用；67%的应用系统防护不足，弱口令、任意文件上传等漏洞大量存在，容易成为攻击跳板[4]。

三是工业互联网对工业信息安全带来新的挑战。随着工业互联网的发展和应用，工控系统原有相对封闭的使用环境被打破，开放性和互联性越来越强，暴露在互联网上的工控系统、智能装备数量日益增多。从已研判的案例统计看，89%的设备、系统未采取有效安全防护措施，被攻击的风险很大，工业控制系统信息安全面临着更大的考验。

2 工业控制系统信息安全的风险来源

工业控制系统信息安全面临的风险主要包括技术层面的风险和管理层面的风险[5]。

技术层面的风险主要是指组成工控系统的工业网络、工业设备、工业系统和工业数据存在被攻击的风险。黑客通过物理侵入或网络侵入等技术手段，取得对所攻击对象的控制权，篡改程序、阈值、参数设置导致相应工控系统不能正常运行甚至损毁工控系统[6]。

管理层面的风险主要是指由于工控系统运营主体存在管理制度缺失或不健全导致工控系统出现意外事故的风险。通常包括工程技术人员误操作、用户访问策略不清晰、文件管理混乱等造成工控系统的故障。

3 工业控制系统信息安全保障体系

在坚持总体国家安全观，以落实企业主体责任为关键，紧紧围绕新时期两化深度融合发展需求的发展思路下，重点打造组织管理、安全防护、态势感知、应急响应、政策标准和人才技术服务支撑等六大体系，如图1所示[7]。

图1 工业控制系统信息安全保障体系框架

3.1 组织管理体系

（1）落实企业主体责任。通过建立工业信息安全管理机制、成立工业信息安全协调小组等方式，明确企业法人代表、经营负责人为工业信息安全管理第一责任人，完善管理制度，落实工业信息安全责任制，实行日常值班值守，积极开展防护能力评估，持续加大资金投入，部署工业信息安全防护措施[8]。

（2）落实指导推动责任。各级主管部门负责组织工业信息安全政策标准宣贯培训，提高安全意识；指导工业企业开展工业信息安全检查评估，支持开展工业信息安全试点示范项目建设，推动企业主体责任落实；争取专项资金，推动全省监测、预警、应急等能力建设，持续完善地方工业控制系统信息安全保障体系。

3.2 安全防护体系

（1）开展检查评估。工业企业要按照《工业控制系统信息安全防护指南》（以下简称《防护指南》）、《工业控制系统信息安全防护能力评估方法》要求，对重点产线、重点车间、重点工厂进行自评估，逐步实现全覆盖；根据评估检查存在的问题，要按照《防护指南》11个方面的具体要求进行顶层设计，坚持管理技术并重，制定工业信息安全防护能力提升计划并组织实施，对于通过企业现有技术能力和强化管理就能解决的要立行立改、边查边改[9]。

（2）企业工业信息安全综合管理平台建设。依据企业工业信息安全防护能力提升计划，在考察验证现有企业侧工业信息安全技术解决方案的基础上，突出重点，逐步建设具有对设备、控制、网络、应用、数据等资产进行安全防护与风险监测能力的综合管理平台，提升企业风险可防护、态势可感知、威胁可处置的工业信息安全保障能力。

（3）仿真测试平台建设。以真实工业生产场景为基础，模拟业务流程，还原真实现场，满足培训、测试、验证、试验等需求。鼓励科研单位和龙头制造企业搭建行业信息安全仿真测试平台，为工业企业提供仿真测试、漏洞挖掘、攻防演练等公共服务[10-11]。

3.3 态势感知体系

综合运用主/被动监测、大数据分析、威胁预警等技术手段，逐步建设具有资产识别、风险发现、风险分析、态势预警等功能的，上联国家下联企业的省级工业信息安全态势感知平台，实时掌握工业信息安全威胁情况和整体现状，及时预警重大风险隐患，为省市两级提供全天候全方位的工业信息安全态势感知展示服务，有效支撑省市两级安全决策和应急响应[12]。

3.4 应急响应体系

（1）建立应急响应预案体系。主要建立省-市-企业三级工业信息安全事件应急响应预案，并分级定期组织应急演练[13]。

（2）开展信息通报预警。依据应急预案体系，制定工业信息安全信息报送与通报管理办法，建立信息通报员、日常信息通报、应急信息通报、风险预警等制度。建设工业信息安全信息通报预警平台，及时发布风险预警信息，跟踪风险防范工作进展，形成快速高效、各方联动的信息通报预警体系。

（3）开展应急处置。依据应急预案体系，建立应急专家委员会和应急支撑队伍，构建应急资源库，汇聚漏洞、风险、解决方案、预案等信息，实现辅助决策、预案演练等功能。在突发工业信息安全事件时，支撑省市两级协调技术专家和专业队伍对事件开展分析研判，并调动相关应急资源及时有效地开展处置工作。工业企业对于可能发生或已经发生的工业信息安全事件，应立即开展应急处置，力争将损失降到最小，尽快恢复受损系统的正常运行；当事发工业企业应急处置力量不足时，可请求上级主管部门协调应急技术机构提供支援[14]。

3.5 政策标准体系

坚持政府引导和市场运作相结合，充分调动社会力量支持工业信息安全保障体系建设。有条件的地方要设立专项资金、加大支持。紧密跟踪国家工业信息安全标准建设情况，适时做好标准宣贯工作，为安全防护、态势感知、应急响应等能力建设提供标准支撑。鼓励企业、科研院所、行业组织等参与标准化工作。

3.6 人才技术服务支撑体系

（1）鼓励工业企业加强与院校合作，联合培养工业信息安全专业人才。借力京津冀协同发展，打造我省工业信息安全高端智库，围绕安全防护、态势感知、应急响应等能力建设，锻炼培养工业信息安全服务支撑队伍[15]。

（2）建立工业信息安全共享平台，实现服务队伍、风险漏洞、威胁信息、补丁程序、共性防护方案、安全事件与处置、新技术新产品等方面信息共享，开展风险分析、威胁研判、态势通报等数据精准服务，为全面提升企业工业信息安全保障能力提供支撑。

4 结语

工业控制系统一旦受到破坏，其后果不仅仅局限于眼前短期的损失，还会直接影响国民日常生活甚至造成人员伤亡，乃至社会稳定。本文分析了工业控制系统信息安全面临的问题，就形成多级联防联动工作机制，提出了工业控制系统信息安全六大保障体系，可为管理者顶层规划提供参考。