核电工业控制系统信息安全标准解读

核电工业控制系统信息安全标准解读在2014年4月15日中央国家安全委员会第一次会议中，习总书记提出了包含十一种安全的国家安全体系，其中就包括了“核安全”与“信息安全”。对于核电行业而言，保护“核安全”是重中之重，而随着“工业化”、“信息化”两化融合对传统工业控制系统带来的技术上的革新，现今的核电行业必须对其工业控制系统的信息安全问题予以高度重视。针对核电行业如何有效地进行工业控制系统信息安全方面的防护工作这一重大课题，国内外相关部门出台了许多与之有关的行业内标准。为了对国内核电行业工业控制系统信息安全的工作提供参考，本文将对各类国内外核电行业工业控制系统信息安全标准进行简单介绍和解读，并针对我国核电工业控制系统信息安全标准的建设提出一点建议。1国内外核电行业工业控制系统信息安全相关标准介绍可以看到，国内的核电工业控制系统信息安全标准、规范相对比较匮乏，而从国际范围看，电力和电子工程协会（IEEE）、国际电工委员会（IEC）、美国核能管理委员会（NRC）以及国际原子能机构（IAEA）都提出了相关的标准、指南或导则。其中，我国的核电工业控制系统信息安全标准、导则包括：（1）HAD102-16HAD102-16于2004年12月8日批准发布，主要是在核动力厂计算机重要系统软件在各个周期进行安全论证时，为其提供收集证据和编制的指导文件。导则从计算机系统各个方面如技术考虑、安全管理要求及项目计划等方面入手，详细列举了系统软件设计的各个阶段和方面应符合的要求建议，包括软件需求、设计、实现及验证等各个环节，对与软件系统关联的计算机系统，从集成、系统确认、调试、运行及修改等方面应遵循的要求建议进行了详细叙述。该导则对计算机重要软件安全涉及的方方面面，进行了较为详细的分析及建议，对核电厂信息安全防护体系的建立具有重要参考意义。（2）GB/T13284.1-2008GB/T13284.1-2008是为代替旧版本的GB/T13284-1998而制定的国家标准，该标准提供了有关核电厂安全设计应遵循的准则。标准中规定了核电厂安全系统动力源、仪表和控制部分最低限度的功能和设计要求，标准适用于为防止或减轻设计基准事件后果、保护公众健康和安全所需要的那些系统。同样适用于保护整个核电厂安全所需的所有与安全有关的系统、构筑物及设备。标准主要引用了GB/T及EJ/T系列标准和准则，主要从安全系统的设计准则、安全系统准则、检测指令设备的功能和要求、执行装置的功能和设计要求及对动力源的要求这几个方面对核工厂安全系统设计规范进行了较为详细的规范。（3）GB/T13629-2008GB/T13629-2008准则是2008年7月2日发布的，主要针对核电厂安全系统中数字计算机适用性制定的准则，用于代替原有的GB/T13629-1998《核电厂安全系统中数字计算机的适用准则》。该准则主要参考IEEEStd7-4.3.2-2003《核电厂安全系统中数字计算机的使用准则》进行修改，将其中的美国标准改为相应的中国标准。标准规定了计算机用作核电厂安全系统设备时的一般原则，规范主要引用了GB/T、EJ/T、HAF及IEEE的相关标准。2国际范围内核电工业控制系统信息安全的标准、导则、指南包括：（1）REGULATORYGUIDE5.71REGULATORYGUIDE5.71（简称RG5.71）是美国核能管理委员会于2008年9月29日批准发布的，目的是为核动力厂的数字计算机及通信网络系统提供高保障，从而使其可以应对网络攻击的威胁。RG5.71描述了一种促进防御策略的监管立场，防御策略由防守架构和一系列安全控制方式构成，这些方法基于NISTSP800-53和NISTSP800-82相关标准的《工业控制系统安全指南》。（2）REGULATORYGUIDE1.152RG1.152《核电厂安全系统计算机使用标准》是由美国核能监管委员会（NRC）于2004年12月发布的一项导则。此项规定是为使用核电厂安全系统中数字计算机时，促进其功能可靠性、设计质量、信息和网络安全而制定的。标准共包含四个部分：介绍、讨论、监管状况、实施以及监管分析。其中第三部分监管状况中主要为功能和设计要求、安全及相关参考三部分。（3）ISAIEC62443系列ISAIEC62443《工业过程测量、控制和自动化网络与系统信息安全》系列标准，其最初是由国际自动化协会（ISA）中的ISA99委员会提出。2007年，IEC/TC65/WG10与ISA99成立联合工作组，共同制定ISAIEC62443系列标准。2011年5月，IEC/TC65年会决定整合ISAIEC62443标准结构。IEC62443系列标准目前分为通用、信息安全程序、系统技术和部分技术四部分，共12个文档，每个文档描述了工业控制系统信息安全的不同方面。（4）NISTSP800-53NISTSP800-53为联邦信息系统和组织推荐的安全控制，标准制定目的是为信息系统选择和指定安全控制提供指导，以支持联邦政府执行机构满足FIPS200的要求——“联邦信息和信息系统的最低安全要求”。该指导适用于所有处理、存储或传输联邦信息的信息系统的组件。NISTSP800-53包含管理、操作和技术3类安全控制措施，为机构实施信息安全项目提供了基本信息安全控制点。（5）IEEEStd603-2009IEEEStd603-2009核电站安全系统的标准，是IEEE标准603-1980演变而来。该标准规定的功能和设计标准，是一般性质，它需要支持包含一般和具体的标准，包括安全系统的要求最小的一组标准。（6）NISTSP800-82NISTSP800-82工业控制系统（ICS）的安全指南，其目的是为确保工业控制系统（ICS），包括监控和数据采集系统（SCADA）、分布式控制系统（DCS），以及其它系统的控制功能提供指导。文件提供了一个概述，ICS和典型系统拓扑结构，确定这些系统的典型威胁和脆弱性，并提供建议的安全对策，以减轻相关风险。2我国核电信息安全标准建设我国核安全标准体系总体呈金字塔形结构，参见图1，依托的国家法律主要有《中华人民共和国环境保护法》、《中华人民共和国放射性污染防治法》等；国务院行政法规为HAF系列，主要有《中华人民共和国民用核设施安全监督管理条例》HAF001、《中华人民共和国核材料管制条例》HAF501、《核电厂核事故应急管理条例》HAF002、《民用核安全设备监督管理条例500号令》等；指导性文件主要是核安全导则HAD，与核电厂数字仪控系统相关的有通用系列HAF003/质保类导则、HAD102/01核电厂设计总的安全原则、HAD102/10核电厂保护系统及有关设备、HAD102/14核电厂安全有关仪表和控制系统、HAD102/16核动力厂基于计算机的安全重要系统软件、HAD102/17核动力厂安全评价与验证等。可见，我国的核安全标准体系是较完善的、结构化的，但是对核电厂自动化控制系统、数字仪控系统信息安全并没有针对性的标准。同时，国内的核安全标准体系并没有与信息安全的标准体系有任何相互交叉。与之相反的是，美国的RG5.71《核设施的信息安全程序》，虽然只是美国核管会提出的核设施安全导则，却从术语、定义开始大量继承了美国联邦法规中计算机系统信息安全的相关内容。因此，可以将RG5.71视作美国核管会根据联邦法规中对于计算机、通信系统和网络保护的需求，针对核电厂而制定的法规。其所有的背景与定义均来源于联邦法规，如RG5.71保护系统与网络免受信息安全攻击的需求来源于联邦法规10CFR73.54(a)(2)部分；其对关键信息资产（CDA，criticaldigitalassets）的定义取自联邦法规10CFR73.54部分等。现在，我国工业控制系统信息安全正处于起步阶段，各主管部门都在分别编制工业控制系统信息安全相关标准，离标准正式出台还有一段时间，将工控安全与等保、分保等成熟的信息安全体系结合，并非短时间内可以完成，加之在核电领域，核安全有自身的标准体系，从顶层开始全局性地为核电信息安全建立标准体系短时期内不太可行。因此，笔者认为先制定一套符合国情、适合行业特点的核设施信息安全程序导则，对于实际环境中最终用户的信息安全需求以及科研性质的核电信息安全研究工作都很有帮助。在这方面，RG5.71可以说是提供了一个很好的参考，如前文所述，RG5.71介绍了一个完整的核设施的信息安全程序，提供了信息安全计划的模板，并根据NISTSP800-82、NISTSP800-53提出了核设施的信息安全控制项，在实际环境下，无论是对最终用户还是科研学者都有很强的指导性与操作性。RG5.71作为美国核管会的核电安全导则，其实也和国内的相关标准有着一定的同源性。RG5.71参考了IEEEStd7-4.3.2-2003《核电厂安全系统的计算机系统标准》，而IEEEStandard7-4.3.2-2003为IEEEStd603.1998《核电厂安全系统准则》的补充标准。在我国的国标体系中，GB/T13629-2008《核电厂安全系统中数字计算机的适用准则》修改采用了IEEEStd7-4.3.2-2003；GB/T13284.1-2008《核电厂安全系统第1部分：设计准则》也修改采用了IEEEStd603.1998。国家能源局已拟将参考RG5.71的思路给出一个适合我国核电行业现状的信息安全导则，在这个过程中，笔者觉得有几点需要注意的地方。（1）导则的可扩展性和可实施性。RG5.71作为美国联邦法规的一个分支，有很好的可扩展性和可实施性。但若将其引入国内，作为核电厂的标准规范，则无法充分发挥这两点的特性，并且RG5.71直接引用、参考了美国联邦法规，我们需要在我国的标准体系内根据实际核电行业工控系统特性重新定义、描述相关内容。（2）导则的适用性。RG5.71提供了一组安全控制项，这些内容都直接或间接参考了NISTSP800-53、NISTSP800-82。NISTSP800-82对工业控制系统信息安全工作有很好的参考意义，其信息安全程序与安全控制项基本适用于国内工控系统现状。但我国尚未出台直接引用或参考NISTSP800-82的标准，对参考RG5.71的适用性评价等同于NISTSP800-82对我国工控安全工作的可操作性的间接认定。所以，从这个观点出发，我们更需要相对谨慎地筛选、整理符合我国核电特点的信息安全程序与安全控制项。3结语国外核电信息安全标准化道路已经走了一段时间，我国虽起步较晚，但是也已全方面开展了相关工作。无论最终是否借鉴RG5.71的思路建设国内的核电信息安全标准，核电行业工业控制系统的信息安全始终缺乏顶层国家法规的支持，真正要规范核电行业的信息安全、提出符合国情的安全政策，还需要整合业界资源，集思广益，真正为“核安全”保驾护航、为“信息安全”添砖加瓦、为我国的“国家安全”大策略提供最有力的支持与保证。作者简介谢新勤（1975-），男，现任上海三零卫士信息安全有限公司工程安全研究室总监。长年从事信息安全工作，2010年进入工控信息安全领域研究，对物联网、云计算和大数据如何影响工控信息安全有独到的见解。