五年磨一劍，工業(yè)控制系統(tǒng)信息安全防護(hù)的新高度
http://m.ydsygx.cn2011年9月，工信部印發(fā)《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》工信部協(xié) [2011] 451號(hào)文(簡(jiǎn)稱451號(hào)文)，掀開(kāi)了工業(yè)控制系統(tǒng)安全的“面紗”，通過(guò)規(guī)范管理等要求，使各工業(yè)企業(yè)單位，理解工業(yè)控制系統(tǒng)安全的重要性。時(shí)隔5年，2016年10月工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》(簡(jiǎn)稱指南)工業(yè)控制 從11項(xiàng)30個(gè)要點(diǎn)詳細(xì)明確安全防護(hù)工作的指導(dǎo)方針。5年的時(shí)間里工業(yè)控制 國(guó)內(nèi)涉及工業(yè)控制系統(tǒng)信息安全領(lǐng)域的公司，如雨后春筍般發(fā)芽、成長(zhǎng)，匡恩網(wǎng)絡(luò)作為工業(yè)控制系統(tǒng)信息安全領(lǐng)域的領(lǐng)軍企業(yè)，通過(guò)針對(duì)這兩份文件的細(xì)致分析，希望能為工業(yè)控制系統(tǒng)信息安全的從業(yè)者提供參考。
1、 背景不同
2016年10月系統(tǒng)信息，工信部印發(fā)了《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》系統(tǒng)信息，為工業(yè)企業(yè)制定工控安全防護(hù)實(shí)施方案提供指導(dǎo)方向。該指南的制訂系統(tǒng)信息安全防護(hù)，是在國(guó)內(nèi)深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的大背景下安全防護(hù)，國(guó)內(nèi)工業(yè)控制系統(tǒng)信息安全問(wèn)題突出的情況下安全防護(hù)，國(guó)內(nèi)工控安全多個(gè)標(biāo)準(zhǔn)發(fā)布，工控安全技術(shù)蓬勃發(fā)展的環(huán)境下，基于管理、深入技術(shù)、結(jié)合業(yè)務(wù)，以新高度為工業(yè)企業(yè)提供全面的工控安全建設(shè)指導(dǎo)。
回顧2010年震網(wǎng)事件剛剛爆發(fā)，引起了全世界范圍內(nèi)對(duì)工業(yè)控制系統(tǒng)信息安全的關(guān)注，但國(guó)內(nèi)對(duì)工業(yè)控制系統(tǒng)信息安全問(wèn)題的重視程度不夠、管理制度缺失、相關(guān)標(biāo)準(zhǔn)規(guī)范不完整，因此工信部印發(fā)451號(hào)文，從管理要求和制度責(zé)任角度，為工業(yè)企業(yè)提供建議參考。
在國(guó)內(nèi)深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的大背景下，該《指南》的發(fā)布不再是“就安全，說(shuō)安全”，而是使工業(yè)控制系統(tǒng)安全作為業(yè)務(wù)發(fā)展的重要組成部分，安全與業(yè)務(wù)的結(jié)合不再是分離，而是融合。
2、 對(duì)象不同
由于國(guó)內(nèi)工業(yè)控制系統(tǒng)信息安全背景的變化，該《指南》的發(fā)布對(duì)象與451號(hào)文比較，所面向的目標(biāo)更精準(zhǔn)，從各省、自治區(qū)、直轄市人民政府，國(guó)務(wù)院有關(guān)部門明確到地方工業(yè)和信息化主管部門，從大型國(guó)有企業(yè)擴(kuò)展到所有工業(yè)控制系統(tǒng)的應(yīng)用企業(yè)，并且提到從事工業(yè)控制系統(tǒng)規(guī)劃、設(shè)計(jì)、建設(shè)、運(yùn)維、評(píng)估的企事業(yè)單位也適用該《指南》，從主管單位、到工業(yè)企業(yè)、到服務(wù)組織都需要以該《指南》作為指導(dǎo)。
3、 目的不同
印發(fā)《指南》的通知中明確了工業(yè)和信息化部指導(dǎo)和管理全國(guó)工業(yè)企業(yè)工控安全防護(hù)和保障工作的職責(zé)，以管理和技術(shù)防護(hù)指南的形式，要求各地工業(yè)和信息主管部門指導(dǎo)工業(yè)企業(yè)制定工控安全防護(hù)實(shí)施方案，推動(dòng)企業(yè)分期分批達(dá)到該指南相關(guān)要求，從而提升國(guó)內(nèi)工控安全整體防護(hù)水平。而451文在當(dāng)時(shí)的背景下，以通知的形式呼吁政府和大型國(guó)企要高度重視，增強(qiáng)風(fēng)險(xiǎn)意識(shí)、責(zé)任意識(shí)和緊迫感，切實(shí)加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理。
4、 內(nèi)容不同
在具體的條款內(nèi)容上，《指南》與451號(hào)文比較，在技術(shù)的深入性、業(yè)務(wù)的兼容性方面更全面、更具體、更可操作。
《指南》與451號(hào)文在管理和技術(shù)內(nèi)容方面的對(duì)比
指南451號(hào)文
安全軟件選擇與管理設(shè)備選擇與升級(jí)管理要求
配置和補(bǔ)丁管理設(shè)備選擇與升級(jí)管理要求
邊界安全防護(hù)連接管理要求
組網(wǎng)管理要求
物理和環(huán)境安全防護(hù)
身份認(rèn)證配置管理要求
遠(yuǎn)程訪問(wèn)安全
安全監(jiān)測(cè)和應(yīng)急預(yù)案演練應(yīng)急管理要求
資產(chǎn)安全
數(shù)據(jù)安全數(shù)據(jù)管理要求
供應(yīng)鏈管理設(shè)備選擇與升級(jí)管理要求
落實(shí)責(zé)任進(jìn)一步加強(qiáng)工業(yè)控制系統(tǒng)信息安全工作的組織領(lǐng)導(dǎo)
工業(yè)控制系統(tǒng)信息安全防護(hù)指南意義重大，它對(duì)工業(yè)控制系統(tǒng)應(yīng)用企業(yè)以及從事工業(yè)控制系統(tǒng)工作的企業(yè)起到了很好的指導(dǎo)作用，解決了大家面臨的很多困惑和難題，并提供了很好的針對(duì)工業(yè)控制系統(tǒng)面臨的網(wǎng)絡(luò)安全問(wèn)題的解決思路和落地技術(shù)手段，主要體現(xiàn)在：
(1)管理要求的精準(zhǔn)化
《指南》中涉及管理的內(nèi)容包括安全軟件管理、配置和補(bǔ)丁管理、身份認(rèn)證管理、供應(yīng)鏈管理等具體的管理要求。從工業(yè)企業(yè)面臨的最急迫的管理問(wèn)題出發(fā)，并結(jié)合工業(yè)企業(yè)的信息安全管理現(xiàn)狀，提出精準(zhǔn)的管理指導(dǎo)方針。
(2)技術(shù)要求的全面化
《指南》中對(duì)技術(shù)要求的闡述非常全面，包含了工業(yè)控制系統(tǒng)信息安全防護(hù)的方方面面，包括結(jié)構(gòu)安全方面的邊界安全防護(hù)、遠(yuǎn)程訪問(wèn)安全;行為安全方面的安全監(jiān)測(cè)和應(yīng)急預(yù)案演練;本體安全方面的安全軟件選擇與管理、物理和環(huán)境安全防護(hù)、身份認(rèn)證、資產(chǎn)安全、數(shù)據(jù)安全;安全持續(xù)性方面的配置和補(bǔ)丁管理、供應(yīng)鏈管理、落實(shí)責(zé)任。
(3)技術(shù)實(shí)現(xiàn)的具體化
《指南》中對(duì)技術(shù)要求的闡述非常具體，不是抽象的描述技術(shù)原理，而是具體的防護(hù)技術(shù)措施，讓工業(yè)企業(yè)能夠直觀明了的理解技術(shù)措施的具體操作和實(shí)施過(guò)程。例如，第七條第一款“在工業(yè)控制網(wǎng)絡(luò)部署網(wǎng)絡(luò)安全監(jiān)測(cè)設(shè)備，及時(shí)發(fā)現(xiàn)、報(bào)告并處理網(wǎng)絡(luò)攻擊或異常行為”;第七條第二款“在重要工業(yè)控制設(shè)備前端部署具備工業(yè)協(xié)議深度包檢測(cè)功能的防護(hù)設(shè)備，限制違法操作”。
(4)業(yè)務(wù)兼容的可操作性
《指南》并不是完全以信息安全的角度進(jìn)行闡述，而是結(jié)合工業(yè)企業(yè)的業(yè)務(wù)現(xiàn)場(chǎng)環(huán)境，讓信息安全的防護(hù)措施能夠真正融入到工業(yè)現(xiàn)場(chǎng)的業(yè)務(wù)場(chǎng)景中，為業(yè)務(wù)系統(tǒng)的安全穩(wěn)定運(yùn)行保駕護(hù)航。例如，第一條第一款“在工業(yè)主機(jī)上采用經(jīng)過(guò)離線環(huán)境中充分驗(yàn)證測(cè)試的防病毒軟件或應(yīng)用程序白名單軟件，只允許經(jīng)過(guò)工業(yè)企業(yè)自身授權(quán)和安全評(píng)估的軟件運(yùn)行”提到的離線環(huán)境和充分測(cè)試，這是工業(yè)企業(yè)對(duì)軟件系統(tǒng)的上線要求;第六條第三款“確需遠(yuǎn)程維護(hù)的，采用虛擬專用網(wǎng)絡(luò)(VPN)等遠(yuǎn)程接入方式進(jìn)行”考慮了遠(yuǎn)程運(yùn)維在業(yè)務(wù)系統(tǒng)中普遍存在的現(xiàn)實(shí)情況提出的防護(hù)指導(dǎo)技術(shù)要求。
針對(duì)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)攻擊的手段不斷更新和變化，工業(yè)控制系統(tǒng)信息安全的防御技術(shù)也在不斷的提高和改進(jìn)，工業(yè)控制系統(tǒng)信息安全的標(biāo)準(zhǔn)規(guī)范在不斷的演進(jìn)和發(fā)布，所以《指南》的印發(fā)，從全局考慮，以新的高度對(duì)工業(yè)企業(yè)的安全防護(hù)方案提出指導(dǎo)，將全面提升國(guó)內(nèi)工業(yè)控制系統(tǒng)信息安全的整體防護(hù)水平。