欧美工控信息安全标准建设现状及启示

龙源期刊网欧美工控信息安全标准建设现状及启示作者：刘金芳来源：《网络空间安全》2018年第02期摘要：近年，全球工业控制系统面临严峻的网络攻击：其针对性极强，直击关键信息基础设施；其破坏力度大，造成工控系统瘫痪；其攻击范围广，波及世界大量国家。文章通过分析欧美工控信息安全标准建设的现状，发现其特点：国际工控信息安全标准以电力领域为焦点，美国工控信息安全标准以石油天然气领域为重点，欧盟各国工控信息安全标准以通用标准为核心。文章通过总结欧美工控信息安全标准建设经验，对我国工控信息安全标准建设提出建议：借鉴欧美经验，建立健全我国工控信息安全国家标准体系；加快工控信息安全国家标准的制定、修订，确保标准统一和连贯；制定重点领域工控信息安全标准，做到有章可循；积极宣贯已有标准，充分发挥标准作用。关键词：工业控制系统；信息安全；标准中图分类号：TP309文献标识码：AThestatusquoandenlightenmentoftheconstructionofindustrialcontrolinformationsecuritystandardintheUnitedStatesandEU.Abstract：Inrecentyears，theglobalindustrialcontrolsystemshavebeenfacingseriouscyberattack：Theyhavefixedtargets，directingtocriticalinformationinfrastructures；Theirdestructionisserious，resultinginparalysisofindustrialcontrolsystems；Theydestroyawiderange，spreadingtoalargenumberofcountriesintheworld.ThisarticleanalyzesthestatusquooftheconstructionofindustrialinformationsecuritystandardsintheUnitedStatesandEUandfindsitscharacteristics：theinternationalindustrialinformationsecuritystandardsfocusonthefieldofelectricity，theUnitedStatesindustrialinformationsecuritystandardsfocusontheoilandgasfield，theEUindustrialinformationsecuritystandardsfocusoncommonstandards.ThispapersummarizestheconstructionofindustrialinformationsecuritystandardsintheUnitedStatesandEU，andhaveproposedtheconstructionofourcountryhowtosetupindustrialinformationsecuritystandardsrecommendations：learningfromEuropeandtheUnitedStatesstandards，setuptheformationofnationalstandardssystem；speedingupthedevelopmentofnationalstandards，amendmentstoensurestandardunityandconsistency；Actingthepublicstandards，givefullplaytotheroleofthestandards.Keywords：industrialcontrolsystem；informationsecurity；standard1引言龙源期刊网近年，全球工业控制系统信息安全风险加剧，我国工业控制系统更是受灾区，卡巴斯基实验室报告显示，2016年7月至2017年6月期间我国工控系统受损占比57.1%，排在全球第五位。为加快我国工业控制系统信息安全保障体系建设，提升工业企业工业控制系统信息安全防护能力，促进工业信息安全产业发展，2017年12月12日工业和信息化部印发《工业控制系统信息安全行动计划（2018-2020年）》（工信部信软〔2017〕316号），提出“建立健全标准体系”。本文通过分析全球工控信息安全挑战，学习欧美等网络强国在工控信息安全标准建设的经验，旨在促进我国工业控制系统信息安全标准建设。2全球工控信息安全面临严峻挑战2.1针对性极强，直击关键信息基础设施近年全球工控信息安全形势越发严峻，以色列、乌克兰等一些国家关键信息基础设施遭受严重的网络攻击。2016年1月，以色列电力供应系统遭受有史以来最大的网络攻击，勒索软件正是造成事故的直接原因，据推测此次攻击事件的幕后主导者很可能是恐怖组织。2016年2月，乌克兰矿业和铁路系统遭受BlackEnergy攻击，对国家造成严重破坏。其攻击原因可能是攻击者想通过持续地破坏电力、矿业和交通运输等设施，达到破坏乌克兰的稳定的目的。2017年10月，瑞典交通署信息系统遭黑客攻击，导致列车延误，并伴随道路和桥梁在内的瑞典关键基础设施数据的泄露。从这些攻击事件中可以看出，网络攻击从虚拟世界转向现实世界，关键性基础设施已成为安全威胁的指向目标，常掺杂着政治色彩，严重影响国家和社会的安全。2.2破坏力度大，造成工控系统瘫痪随着工控信息安全风险的升级，工控信息安全事件的后果严重。2009年，国际上发生的震网事件，美国和以色列通过震网（Stuxnet）病毒秘密攻击伊朗布什尔核电站，Stuxnet渗透至伊朗核电站的计算机系统并破坏了伊朗铀浓缩离心机，造成五分之一的离心机报废。2017年12月，某国家支持的黑客入侵沙特阿拉伯能源工厂安全系统被入侵，造成工厂停止运行。原因出现在施耐德工业安全技术Triconex上，然而Triconex已广泛用于核工业，石油和天燃气等能源行业。由此可见，工控系统一旦遭受攻击，受破坏程度巨大，可导致工控系统瘫痪、设备的报废、工厂停工。2.3攻击范围广，波及世界大量国家工控信息安全事件波及范围广，涉及世界多个国家的多个领域。自2015年3月以来，网络犯罪团伙对30余个国家的130家企业开展工业间谍活动，集中在2016年6月“食尸鬼行动”行动，攻击者以工业领域的企业为目标，覆盖多领域，包括石油化工、军事、航空航天、重型机械、太阳能、钢铁等领域，包括工程、航运、医药、制造、贸易、教育、旅游、IT等。2017年5月，全球爆发WannaCry勒索病毒攻击，至少150个国家、30万名用户中招。全球知名的工业设施在遭受WannaCry后被干扰或出现故障，罗马尼亚汽车制造商达契亚因之而停产、雷诺汽车因之造成部分地区停产、尼桑的桑德兰工厂和西班牙Iberdrola电力公司、Gas龙源期刊网天然气公司也受到严重影响。近年发生的工控信息安全事件影响范围不仅仅是某个国家或地区，也不仅仅是某个领域，它已波及全球，影响多领域多行业，工控信息安全威胁愈演愈烈。3欧美工控信息安全标准建设特点3.1国际工控信息安全标准以电力领域为焦点国际电工委员会（IEC）、电气和电子工程师协会（IEEE）和国际自动化协会（ISA）致力于工控信息安全国际标准建设。工控信息安全国际标准主要集中在电力系统信息安全领域：IEC于2003年发布了《电力系统控制和相关通信：数据和通信安全（IEC62210）》，并于2005年发布《电力系统管理及信息交换：数据和通信安全性（IEC62351）》；IEEE于2007年发布《变电站IED网络安全功能标准（IEEE1686-2007）》，并于2011年发布《变电站串行链路网络安全的机密协议试行标准（IEEEP1711）》。此外，通用的工控信息安全国际标准方面，IEC和ISA积极研制《工业过程测量、控制和自动化网络与系统信息安全（IEC62443）》，其中部分标准已经发布，如IEC62443-1-1、IEC62443-2-1等。国际工控信息安全标准进展情况如表1所示。3.2美国工控信息安全标准以石油天然气领域为重点美国国家标准技术研究院（NIST）、美国国土安全部（DHS）等机构致力于美国工控信息安全标准的建设。美国标准主要在三个领域：一是美国工控信息安全标准集中在石油天然气领域，美国能源部（DOE）于2002年发布《提高SCADA系统网络安全21步》，DHS于2005年发布《加强SCADA系统及工业控制系统的安全》，NIST于2006年发布《中等健壮环境下的SCADA系统现场设备保护轮廓（NIST/PCSRF）》，同年，美国天然气协会（AGA）发布《SCADA通信加密保护规范（AGAReportNO.12）》，2009年美国石油协会（API）发布《管道SCADA安全（API1164）》；二是美国针对电力、核电领域工控系统信息安全出台相应的标准，NIST于2010年发布《智能电网安全指南（NISTIR7628）》，北美电力可靠性委员会（NERC）于2011年发布《北美大电力可靠性规范（NERCCIP002-009）》；三是美国发布了一系列通用工控信息安全标准，美国国家标准技术研究院（NIST），2004年发布《系统保护轮廓——工业控制系统（NISTIR7176）》，2007年发布《联邦信息系统和组织建议的安全控制（NISTSP800-53）》，2010年发布《工业控制系统安全指南（NISTSP800-82）》，2014年发布《改善监管基础设施网络安全框架》，美国国土安全部（DHS）也发布了一系列工业控制信息安全标准，2009年发布《控制系统安全一览表：标准推荐》，2010年发布《工业控制系统安全评估指南》和《工业控制系统远程访问配置管理指南》美国工控信息安全标准进展情况如表2所示。3.3欧盟各国工控信息安全标准以通用标准为核心龙源期刊网欧盟各国注重发展通用性的工控信息安全标准。荷兰国际仪器用户协会（WIB）2006年发布《过程控制域（PCD）——供应商安全需求》，挪威石油工业协会（OLF）2009年发布《过程控制、安全和支撑ICT系统的信息安全基线要求（OLFGuidelineNO.104）》和《工程、采购及试用阶段中过程控制、安全和支撑ICT系统的信息安全的实施（OLFGuidelineNO.110）》，瑞典民防应急局（MSB）2010年发布《工业控制系统安全加强指南》。此外，欧盟国家根据各自国情关注特定领域的工控信息安全标准建设，例如德国关注制造业的信息安全问题，德国国际工业流程自动化用户协会（NAMUR）2006年发布《工业自动化系统的信息安全技术：制造工业中采取的约束措施（NAMURNA115）》。4欧美工控信息安全标准建设对我国的启示4.1借鉴欧美工控信息安全标准建设经验，建立健全我国工控信息安全国家标准体系欧美国家在研制工控信息安全标准时注重借鉴和融合。例如，国际标准化组织IEC和ISA联合发布的IEC62443标准，在研制过程中充分借鉴了荷兰WIB制定的《过程控制域（PCD）——供应商安全需求》，而美国NIST在研制《改善监管基础设施网络安全框架》时融合了国际标准化组织发布的IEC62443标准中一些的技术要求。我国工控信息安全标准起步较晚，工控信息安全标准体系尚未形成。建立健全我国工控信息安全标准体系，研制技术、产品、系统、设施等新标准，完善和修订已有标准，学习欧美借鉴、融合他国工控信息安全标准的经验，必要时实现部分工控信息安全标准的本土化。学习借鉴国外工控信息安全标准的同时，切忌将国外工控信息安全标准的一部分硬塞到我国工控信息安