關(guān)鍵字: |
標準規(guī)范指引工業(yè)控制系統(tǒng)信息安全發(fā)展
閱讀: 發(fā)布時間:2015-11-22
隨著信息化與工業(yè)化的深度融合,工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件,以各種方式與企業(yè)ERP系統(tǒng),甚至與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接,傳統(tǒng)信息網(wǎng)絡(luò)中的病毒、木馬等威脅正在向工業(yè)控制系統(tǒng)擴散,SCADA、DCS、PLC等工業(yè)控制系統(tǒng)面臨前所未有的信息安全威脅。美國早在20年前就開始在政策層面上關(guān)注工業(yè)控制系統(tǒng)信息安全問題,先后制訂了一系列標準規(guī)范。自從伊朗“震網(wǎng)”病毒發(fā)生后,引起了的高度重視,相關(guān)標準規(guī)范制定工作開始啟動,任重道遠。
一、國外標準現(xiàn)狀
2000年,國際電工委員會正式發(fā)布了IEC61508電氣/電子/可編程電子安全系統(tǒng)的功能安全,該標準分七部分,涉及1000多個規(guī)范。
2006年,美國標準與技術(shù)研究(NIST)制定了NISTSP800-82SCADA和工業(yè)控制系統(tǒng)安全指南。
2009年,IEC/TC65/WG10(國際電工協(xié)會工業(yè)過程測量、控制與自動化/網(wǎng)絡(luò)與系統(tǒng)信息安全工作組)與國際自動化協(xié)會ISA99成立聯(lián)合工作組組織制定了IEC62443工業(yè)自動化和控制系統(tǒng)信息安全,旨在應(yīng)對工業(yè)自動化和控制系統(tǒng)信息安全挑戰(zhàn)的系列標準,以規(guī)避工業(yè)控制系統(tǒng)在信息安全方面的風(fēng)險。
2011年,NIST制定了NISTSP800-82工業(yè)控制系統(tǒng)信息安全指南,旨在指導(dǎo)開發(fā)商、集成商建立安全的工業(yè)控制系統(tǒng)。
此外,美國、英國、法國、德國、荷蘭、瑞典等非常重視工業(yè)控制系統(tǒng)信息安全標準化工作,在標準法規(guī)方面已出臺了從法規(guī)標準到行業(yè)規(guī)范指南等一系列規(guī)范性文件。
二、國內(nèi)標準現(xiàn)狀
2011年,工業(yè)過程測量和控制標準化技術(shù)委員會發(fā)布了GB/T26333-2010工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范。
2011年,工信部發(fā)布451號文《關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知》,要求加強主要工業(yè)領(lǐng)域基礎(chǔ)設(shè)施控制系統(tǒng)與SCADA系統(tǒng)的安全保護工作。
2012年,國務(wù)發(fā)布23號文《關(guān)于大力推進信息化發(fā)展和切實保障信息安全的若干意見》,明確提出要開展工業(yè)控制系統(tǒng)信息安全檢查工作。
2014年,工業(yè)過程測量和控制標準化技術(shù)委員會聯(lián)合信息安全標準化技術(shù)委員會發(fā)布了GB/T30976.1-2014工業(yè)控制系統(tǒng)信息安全第1部分評估規(guī)范和GB/T30976.2-2014工業(yè)控制系統(tǒng)信息安全第2部分驗收規(guī)范。
在工業(yè)行業(yè)領(lǐng)域,電力行業(yè)一直走在前列,先后于2005年發(fā)布了電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》,于2014年發(fā)布了發(fā)改委14號令《電力監(jiān)控系統(tǒng)安全防護規(guī)定》。
三、國內(nèi)標準規(guī)劃
傳統(tǒng)信息系統(tǒng)在信息系統(tǒng)安全等級保護系列標準的指導(dǎo)下,信息安全工作開展的如火如荼,目前,公安部牽頭組織編制工業(yè)控制系統(tǒng)信息安全等級保護系列標準,包括基本要求、設(shè)計技術(shù)指南和測評要求三部分。
針對不同的具體工業(yè)控制系統(tǒng),各項標準也在加緊制定過程中,比如,報至工業(yè)過程測量和控制標準化技術(shù)委員會聯(lián)合信息安全標準化技術(shù)委員會的可編程序控制器(PLC)系統(tǒng)信息安全要求、集散控制系統(tǒng)(DCS)安全防護要求等。
在工業(yè)行業(yè)領(lǐng)域,能源局信息中心和北京油氣調(diào)控中心分別牽頭組織編制相關(guān)領(lǐng)域安全防護標準。
體來說,國內(nèi)工業(yè)控制系統(tǒng)信息安全領(lǐng)域標準正在逐步建立和完善,在翻譯和消化國外類似標準規(guī)范的同時,國內(nèi)工業(yè)控制系統(tǒng)制造企業(yè)積極參與標準制定工作,在技術(shù)要求的國產(chǎn)化方面起到了很大的作用。目前,當務(wù)之急是建立切實可行且行之有效的工業(yè)控制系統(tǒng)等級保護強制標準,約束新建工業(yè)控制系統(tǒng)信息安全的同時,也能對原有工業(yè)控制系統(tǒng)起到很好的作用,賽迪工控作為國內(nèi)工業(yè)控制系統(tǒng)測評機構(gòu),也在積極推動標準的規(guī)劃與制定。此外,各個工業(yè)行業(yè)應(yīng)向電力行業(yè)看齊,積極制定符合本行業(yè)特征的工業(yè)控制系統(tǒng)信息安全標準規(guī)范,以指導(dǎo)和規(guī)范本行業(yè)的工業(yè)控制系統(tǒng)信息安全工作
一、國外標準現(xiàn)狀
2000年,國際電工委員會正式發(fā)布了IEC61508電氣/電子/可編程電子安全系統(tǒng)的功能安全,該標準分七部分,涉及1000多個規(guī)范。
2006年,美國標準與技術(shù)研究(NIST)制定了NISTSP800-82SCADA和工業(yè)控制系統(tǒng)安全指南。
2009年,IEC/TC65/WG10(國際電工協(xié)會工業(yè)過程測量、控制與自動化/網(wǎng)絡(luò)與系統(tǒng)信息安全工作組)與國際自動化協(xié)會ISA99成立聯(lián)合工作組組織制定了IEC62443工業(yè)自動化和控制系統(tǒng)信息安全,旨在應(yīng)對工業(yè)自動化和控制系統(tǒng)信息安全挑戰(zhàn)的系列標準,以規(guī)避工業(yè)控制系統(tǒng)在信息安全方面的風(fēng)險。
2011年,NIST制定了NISTSP800-82工業(yè)控制系統(tǒng)信息安全指南,旨在指導(dǎo)開發(fā)商、集成商建立安全的工業(yè)控制系統(tǒng)。
此外,美國、英國、法國、德國、荷蘭、瑞典等非常重視工業(yè)控制系統(tǒng)信息安全標準化工作,在標準法規(guī)方面已出臺了從法規(guī)標準到行業(yè)規(guī)范指南等一系列規(guī)范性文件。
二、國內(nèi)標準現(xiàn)狀
2011年,工業(yè)過程測量和控制標準化技術(shù)委員會發(fā)布了GB/T26333-2010工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險評估規(guī)范。
2011年,工信部發(fā)布451號文《關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知》,要求加強主要工業(yè)領(lǐng)域基礎(chǔ)設(shè)施控制系統(tǒng)與SCADA系統(tǒng)的安全保護工作。
2012年,國務(wù)發(fā)布23號文《關(guān)于大力推進信息化發(fā)展和切實保障信息安全的若干意見》,明確提出要開展工業(yè)控制系統(tǒng)信息安全檢查工作。
2014年,工業(yè)過程測量和控制標準化技術(shù)委員會聯(lián)合信息安全標準化技術(shù)委員會發(fā)布了GB/T30976.1-2014工業(yè)控制系統(tǒng)信息安全第1部分評估規(guī)范和GB/T30976.2-2014工業(yè)控制系統(tǒng)信息安全第2部分驗收規(guī)范。
在工業(yè)行業(yè)領(lǐng)域,電力行業(yè)一直走在前列,先后于2005年發(fā)布了電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》,于2014年發(fā)布了發(fā)改委14號令《電力監(jiān)控系統(tǒng)安全防護規(guī)定》。
三、國內(nèi)標準規(guī)劃
傳統(tǒng)信息系統(tǒng)在信息系統(tǒng)安全等級保護系列標準的指導(dǎo)下,信息安全工作開展的如火如荼,目前,公安部牽頭組織編制工業(yè)控制系統(tǒng)信息安全等級保護系列標準,包括基本要求、設(shè)計技術(shù)指南和測評要求三部分。
針對不同的具體工業(yè)控制系統(tǒng),各項標準也在加緊制定過程中,比如,報至工業(yè)過程測量和控制標準化技術(shù)委員會聯(lián)合信息安全標準化技術(shù)委員會的可編程序控制器(PLC)系統(tǒng)信息安全要求、集散控制系統(tǒng)(DCS)安全防護要求等。
在工業(yè)行業(yè)領(lǐng)域,能源局信息中心和北京油氣調(diào)控中心分別牽頭組織編制相關(guān)領(lǐng)域安全防護標準。
體來說,國內(nèi)工業(yè)控制系統(tǒng)信息安全領(lǐng)域標準正在逐步建立和完善,在翻譯和消化國外類似標準規(guī)范的同時,國內(nèi)工業(yè)控制系統(tǒng)制造企業(yè)積極參與標準制定工作,在技術(shù)要求的國產(chǎn)化方面起到了很大的作用。目前,當務(wù)之急是建立切實可行且行之有效的工業(yè)控制系統(tǒng)等級保護強制標準,約束新建工業(yè)控制系統(tǒng)信息安全的同時,也能對原有工業(yè)控制系統(tǒng)起到很好的作用,賽迪工控作為國內(nèi)工業(yè)控制系統(tǒng)測評機構(gòu),也在積極推動標準的規(guī)劃與制定。此外,各個工業(yè)行業(yè)應(yīng)向電力行業(yè)看齊,積極制定符合本行業(yè)特征的工業(yè)控制系統(tǒng)信息安全標準規(guī)范,以指導(dǎo)和規(guī)范本行業(yè)的工業(yè)控制系統(tǒng)信息安全工作