五年磨一劍,工業(yè)控制系統(tǒng)信息安全防護(hù)的新高度
2011年9月,工信部印發(fā)《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》工信部協(xié)[2011] 451號(hào)文(簡(jiǎn)稱(chēng)451號(hào)文),掀開(kāi)了工業(yè)控制系統(tǒng)安全的“面紗”,通過(guò)規(guī)范管理等要求,使各工業(yè)企業(yè)單位,理解工業(yè)控制系統(tǒng)安全的重要性。時(shí)隔5年,2016年10月工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》(簡(jiǎn)稱(chēng)指南),從11項(xiàng)30個(gè)要點(diǎn)詳細(xì)明確安全防護(hù)工作的指導(dǎo)方針。5年的時(shí)間里,國(guó)內(nèi)涉及工業(yè)控制系統(tǒng)信息安全領(lǐng)域的公司,如雨后春筍般發(fā)芽、成長(zhǎng),匡恩網(wǎng)絡(luò)作為工業(yè)控制系統(tǒng)信息安全領(lǐng)域的領(lǐng)軍企業(yè),通過(guò)針對(duì)這兩份文件的細(xì)致分析,希望能為工業(yè)控制系統(tǒng)信息安全的從業(yè)者提供參考。
1、 背景不同
2016年10月,工信部印發(fā)了《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》,為工業(yè)企業(yè)制定工控安全防護(hù)實(shí)施方案提供指導(dǎo)方向。該指南的制訂,是在國(guó)內(nèi)深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的大背景下,國(guó)內(nèi)工業(yè)控制系統(tǒng)信息安全問(wèn)題突出的情況下,國(guó)內(nèi)工控安全多個(gè)標(biāo)準(zhǔn)發(fā)布,工控安全技術(shù)蓬勃發(fā)展的環(huán)境下,基于管理、深入技術(shù)、結(jié)合業(yè)務(wù),以新高度為工業(yè)企業(yè)提供全面的工控安全建設(shè)指導(dǎo)。
回顧2010年震網(wǎng)事件剛剛爆發(fā),引起了全世界范圍內(nèi)對(duì)工業(yè)控制系統(tǒng)信息安全的關(guān)注,但國(guó)內(nèi)對(duì)工業(yè)控制系統(tǒng)信息安全問(wèn)題的重視程度不夠、管理制度缺失、相關(guān)標(biāo)準(zhǔn)規(guī)范不完整,因此工信部印發(fā)451號(hào)文,從管理要求和制度責(zé)任角度,為工業(yè)企業(yè)提供建議參考。
在國(guó)內(nèi)深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的大背景下,該《指南》的發(fā)布不再是“就安全,說(shuō)安全”,而是使工業(yè)控制系統(tǒng)安全作為業(yè)務(wù)發(fā)展的重要組成部分,安全與業(yè)務(wù)的結(jié)合不再是分離,而是融合。
2、 對(duì)象不同
由于國(guó)內(nèi)工業(yè)控制系統(tǒng)信息安全背景的變化,該《指南》的發(fā)布對(duì)象與451號(hào)文比較,所面向的目標(biāo)更精準(zhǔn),從各省、自治區(qū)、直轄市人民政府,國(guó)務(wù)院有關(guān)部門(mén)明確到地方工業(yè)和信息化主管部門(mén),從大型國(guó)有企業(yè)擴(kuò)展到所有工業(yè)控制系統(tǒng)的應(yīng)用企業(yè),并且提到從事工業(yè)控制系統(tǒng)規(guī)劃、設(shè)計(jì)、建設(shè)、運(yùn)維、評(píng)估的企事業(yè)單位也適用該《指南》,從主管單位、到工業(yè)企業(yè)、到服務(wù)組織都需要以該《指南》作為指導(dǎo)。
3、 目的不同
印發(fā)《指南》的通知中明確了工業(yè)和信息化部指導(dǎo)和管理全國(guó)工業(yè)企業(yè)工控安全防護(hù)和保障工作的職責(zé),以管理和技術(shù)防護(hù)指南的形式,要求各地工業(yè)和信息主管部門(mén)指導(dǎo)工業(yè)企業(yè)制定工控安全防護(hù)實(shí)施方案,推動(dòng)企業(yè)分期分批達(dá)到該指南相關(guān)要求,從而提升國(guó)內(nèi)工控安全整體防護(hù)水平。而451文在當(dāng)時(shí)的背景下,以通知的形式呼吁政府和大型國(guó)企要高度重視,增強(qiáng)風(fēng)險(xiǎn)意識(shí)、責(zé)任意識(shí)和緊迫感,切實(shí)加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理。
4、 內(nèi)容不同
在具體的條款內(nèi)容上,《指南》與451號(hào)文比較,在技術(shù)的深入性、業(yè)務(wù)的兼容性方面更全面、更具體、更可操作。
《指南》與451號(hào)文在管理和技術(shù)內(nèi)容方面的對(duì)比
指南 |
451號(hào)文 |
安全軟件選擇與管理 |
設(shè)備選擇與升級(jí)管理要求 |
配置和補(bǔ)丁管理 |
設(shè)備選擇與升級(jí)管理要求 |
邊界安全防護(hù) |
連接管理要求 組網(wǎng)管理要求 |
物理和環(huán)境安全防護(hù) |
|
身份認(rèn)證 |
配置管理要求 |
遠(yuǎn)程訪問(wèn)安全 |
|
安全監(jiān)測(cè)和應(yīng)急預(yù)案演練 |
應(yīng)急管理要求 |
資產(chǎn)安全 |
|
數(shù)據(jù)安全 |
數(shù)據(jù)管理要求 |
供應(yīng)鏈管理 |
設(shè)備選擇與升級(jí)管理要求 |
落實(shí)責(zé)任 |
進(jìn)一步加強(qiáng)工業(yè)控制系統(tǒng)信息安全工作的組織領(lǐng)導(dǎo) |
工業(yè)控制系統(tǒng)信息安全防護(hù)指南意義重大,它對(duì)工業(yè)控制系統(tǒng)應(yīng)用企業(yè)以及從事工業(yè)控制系統(tǒng)工作的企業(yè)起到了很好的指導(dǎo)作用,解決了大家面臨的很多困惑和難題,并提供了很好的針對(duì)工業(yè)控制系統(tǒng)面臨的網(wǎng)絡(luò)安全問(wèn)題的解決思路和落地技術(shù)手段,主要體現(xiàn)在:
(1)管理要求的精準(zhǔn)化
《指南》中涉及管理的內(nèi)容包括安全軟件管理、配置和補(bǔ)丁管理、身份認(rèn)證管理、供應(yīng)鏈管理等具體的管理要求。從工業(yè)企業(yè)面臨的最急迫的管理問(wèn)題出發(fā),并結(jié)合工業(yè)企業(yè)的信息安全管理現(xiàn)狀,提出精準(zhǔn)的管理指導(dǎo)方針。
(2)技術(shù)要求的全面化
《指南》中對(duì)技術(shù)要求的闡述非常全面,包含了工業(yè)控制系統(tǒng)信息安全防護(hù)的方方面面,包括結(jié)構(gòu)安全方面的邊界安全防護(hù)、遠(yuǎn)程訪問(wèn)安全;行為安全方面的安全監(jiān)測(cè)和應(yīng)急預(yù)案演練;本體安全方面的安全軟件選擇與管理、物理和環(huán)境安全防護(hù)、身份認(rèn)證、資產(chǎn)安全、數(shù)據(jù)安全;安全持續(xù)性方面的配置和補(bǔ)丁管理、供應(yīng)鏈管理、落實(shí)責(zé)任。
(3)技術(shù)實(shí)現(xiàn)的具體化
《指南》中對(duì)技術(shù)要求的闡述非常具體,不是抽象的描述技術(shù)原理,而是具體的防護(hù)技術(shù)措施,讓工業(yè)企業(yè)能夠直觀明了的理解技術(shù)措施的具體操作和實(shí)施過(guò)程。例如,第七條第一款“在工業(yè)控制網(wǎng)絡(luò)部署網(wǎng)絡(luò)安全監(jiān)測(cè)設(shè)備,及時(shí)發(fā)現(xiàn)、報(bào)告并處理網(wǎng)絡(luò)攻擊或異常行為”;第七條第二款“在重要工業(yè)控制設(shè)備前端部署具備工業(yè)協(xié)議深度包檢測(cè)功能的防護(hù)設(shè)備,限制違法操作”。
(4)業(yè)務(wù)兼容的可操作性
《指南》并不是完全以信息安全的角度進(jìn)行闡述,而是結(jié)合工業(yè)企業(yè)的業(yè)務(wù)現(xiàn)場(chǎng)環(huán)境,讓信息安全的防護(hù)措施能夠真正融入到工業(yè)現(xiàn)場(chǎng)的業(yè)務(wù)場(chǎng)景中,為業(yè)務(wù)系統(tǒng)的安全穩(wěn)定運(yùn)行保駕護(hù)航。例如,第一條第一款“在工業(yè)主機(jī)上采用經(jīng)過(guò)離線環(huán)境中充分驗(yàn)證測(cè)試的防病毒軟件或應(yīng)用程序白名單軟件,只允許經(jīng)過(guò)工業(yè)企業(yè)自身授權(quán)和安全評(píng)估的軟件運(yùn)行”提到的離線環(huán)境和充分測(cè)試,這是工業(yè)企業(yè)對(duì)軟件系統(tǒng)的上線要求;第六條第三款“確需遠(yuǎn)程維護(hù)的,采用虛擬專(zhuān)用網(wǎng)絡(luò)(VPN)等遠(yuǎn)程接入方式進(jìn)行”考慮了遠(yuǎn)程運(yùn)維在業(yè)務(wù)系統(tǒng)中普遍存在的現(xiàn)實(shí)情況提出的防護(hù)指導(dǎo)技術(shù)要求。
針對(duì)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)攻擊的手段不斷更新和變化,工業(yè)控制系統(tǒng)信息安全的防御技術(shù)也在不斷的提高和改進(jìn),工業(yè)控制系統(tǒng)信息安全的標(biāo)準(zhǔn)規(guī)范在不斷的演進(jìn)和發(fā)布,所以《指南》的印發(fā),從全局考慮,以新的高度對(duì)工業(yè)企業(yè)的安全防護(hù)方案提出指導(dǎo),將全面提升國(guó)內(nèi)工業(yè)控制系統(tǒng)信息安全的整體防護(hù)水平。