解读《工业控制系统信息安全防护指南》

解读《工业控制系统信息安全防护指南》

解读《工业控制系统信息安全防护指南》制定《指南》的背景

通知中明确“为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号），保障工业企业工业控制系统信息安全，工业和信息化部制定《工业控制系统信息安全防护指南》。”可以看出，《工业控制系统信息安全防护指南》是根据《意见》制定的。《意见》中相关要求

《意见》“七大任务”中专门有一条“提高工业信息系统安全水平”。工信部根据《十三五规划纲要》、《中国制造2025》和《意见》等要求编制的《工业和信息化部关于印发信息化和工业化融合发展规划（2016-2020年）》中进一步明确，在十三五期间，我国两化融合面临的机遇和挑战第四条就是“工业领域信息安全形势日益严峻，对两化融合发展提出新要求”，其“七大任务”中也提到要“逐步完善工业信息安全保障体系”，“六大重点工程”中之一就是“工业信息安全保障工程”。

以上这些，就是政策层面的指导思想和要求。

《指南》条款详细解读

《指南》整体思路借鉴了等级保护的思想，具体提出了十一条三十款要求，贴近实际工业企业真实情况，务实可落地。我们从《指南》要求的主体、客体和方法将十一条分为三大类：

a、针对主体目标（法人或人）的要求，包含第十条供应链管理、第十一条人员责任：

1.10 供应链管理

b、针对客体目标（被保护的资产或数据）的安全要求，包含第八条资产安全、第九条数据安全：

1.8 资产安全

（一）建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置原则。

解读：为实现和保持对组织机构资产的适当保护，确保所有资产可查，应建设工业控制系统资产清单，并明确资产使用及处置原则，配置资产清单，定期更新清单库，并对资产进行分类。

所有资产应指定责任人，并且明确责任人的职责，明确资产使用权。制定资产在生产、调试、运行、维护、报废等过程中的处置原则。（二）对关键主机设备、网络设备、控制组件等进行冗余配置。

解读：在系统运行过程中，可能出现的宕机、中断、死机、病毒攻击、自然灾害等资产被侵害的事件发生，导致系统无法正常工作，给企业和社会带来损失，甚至威胁到员工生命和财产安全。对关键主机设备、网络设备、控制组件等进行冗余配置，防止重大安全事件的发生。

1.9 数据安全

（一）对静态存储数据和动态传输过程中的重要工业数据进行保护，根据风险评估结果对数据信息进行分级分类管理。

解读：在数据创建、使用、分发、共享、销毁的整个生命周期中，对重要数据如工艺文件、设备参数、系统管理数据、现场实时数据、控制指令数据、程序上传/下载数据、监控数据等应进行保护，如加密技术、安全存储介质等。数据遭受破坏时及时采取必要的恢复措施。

风险评估对数据的分类分级原则应包含对企业经济影响、生产稳定性影响、人身安全、法律风险、名誉度损失等角度开展，根据数据的重要程度在信息存储、信息传输、信息交换、信息使用等过程中采取相应的防护措施。

（二）定期备份关键业务数据。

解读：为保证系统在灾难发生时，数据能够尽量还原真实数据，应对历史数据库服务器、实时数据服务器、先进控制系统、优化控制系统等重要系统设备进行硬件冗余，启用实时数据备份功能，保证当主设备出现故障时冗余设备可以无扰动的切换并恢复数据，对于关键的业务数据，应定期进行软备份。

（三）对测试数据进行保护。

解读：测试数据一般来源于真实的现场设备实时数据，有必要对测试数据进行安全防护，防止发生数据泄露、篡改、破坏，保护企业资产。

c、针对保护方法措施的要求，根据工业控制网络由内而外的结构包括：终端（第一条软件选择与管理、第四条物理环境安全）；配置（第二条配置安全）；网络（第五条身份认证、第三条边界防护、第六条远程安全）；例外（第七条监测应急）。

1.1 安全软件选择与管理

（一）在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。

解读：工业控制系统对可用性和实时性要求非常高，任何未经验证测试的软件都可能影响控制系的稳定性，应对防病毒软件或应用程序白名单软件进行离线测试，测试无风险后，方可在工业主机上部署。

目前工业主机有效防护机制有“黑名单机制”和“白名单机制”，相比之下工控网络则更加注重防护的“高可用性”和“高可靠性”，鉴于工业应用的特殊性，“黑名单机制”无法应对多元化的风险及威胁。利用“白名单机制”可以建立工控行业应用程序信誉库，为工控应用程序提供可信认证、授权和评估，同时辅助沙箱检测技术和杀毒软件进行应用程序软件的安全性测试，从根本上保证了工控主机安全。

（二）建立防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。

解读：病毒和恶意代码是工控系统主要威胁之一，应对工控系统设备（例如操作员站、工程师站、控制服务器等）部署病毒和恶意代码集中监控、防护管理措施，对工业控制系统及临时接入的设备进行病毒和恶意代码扫描检测，防止遭受病毒和恶意软件攻击。

1.4 物理和环境安全防护

（一）对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。

解读：重要的工程师站、数据库、服务器是工业控制系统的核心组件，为了防止来自人为的恶意破坏。应对核心工业控制软硬件所在的位置，按照物理位置和业务功能进行区域划分，区域之间设置物理隔离装置。

在必要区域前设置交付或安装等过渡区域，特殊区域应配置电子门禁系统，7*24小时的视频监控。

对核心工业控制软硬件所在区域，出入口应安排专人值守，控制、鉴别和记录进入的人员，来访人员应经过申请和审批流程，并限制和监控其活动范围。

（二）拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用，通过主机外设安全管理技术手段实施严格访问控制。