中国工控信息安全技术标准体系ppt课件.ppt

工控技术发展与信息安全势态国际工控信息安全技术标准情况国家工控信息安全技术标准情况技术标准体系的构建面临的问题总结,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/12/15,2019/12/15,技术发展需求,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,以智能制造为主导的第四次工业革命正在兴起,技术发展需求,工控系统的发展方向全球互联、嵌入式智能、自组织传统系统封闭式系统演变到开放式的网络系统开放的硬件体系开放的协议体系过程控制和企业信息系统的集成供给链集成企业间协同无线技术的广泛应用,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/12/15,2019/12/15,安全势态,工控系统信息安全势态：,我国：2010年齐鲁石化、2011年大庆石化炼油厂，某装置控制系统分别感染Conficker蠕虫病毒，都造成控制系统服务器与控制器通讯不同程度地中断,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,企业分层模型,以MES制造执行系统层分界向上为传统IT领域向下为工控领域,传统信息系统：保密性完整性可用性仪控系统：可用性完整性保密性,IT系统与工控系统的需求比较,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,VDI/VDE,BSIGrundschutz,NIST,RoadmaptoSecureControlSystemsintheEnergySector,IEC62351,IECTC57WG15,SACTC124,DKE,CommitteesAssociations,Standards,Guidelines,DHS,ChemSecRoadmap,NERC-CIP,ISO/IEC15408,WIBM-2784,ISO/IEC2700 x,IEC62443/ISA-99,IACSIS,信息安全标准,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,IEC62443系列标准框架,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,9,2019/12/15,9,2019/12/15,9,IEC/TC65组织结构图,2019/12/15,全国工业过程测量和控制标准化技术委员会（SAC/TC124）,10,Systems,Devices,ISASecure测试验证,11,嵌入式设备安全保证(EDSA),软件开发安全评估(SDSA),功能性安全评估(FSA),通信健壮性测试(CRT),检测和避免系统设计错误审核供应商的软件开发和维护程序确保组织机构遵照稳定和安全的软件开发程序,检测执行错误/疏忽按照目标安全等级的要求对组件的安全功能进行审核确保产品能够达到安全功能要求,鉴别网络和设备缺陷根据通信健壮性要求测试组件的通信健壮性基于4层OSI参考模型进行缺陷测试,ISASecure嵌入式设备测试,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,NIST:SP800-82工业控制系统信息安全指南WIBM2784过程控制领域中对供应商的信息安全要求,其他国家及技术组织标准,其他国家及技术组织标准,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,IEC/TC65发布65/569/DC，建立一个协调Safety和Security的特别工作组（AD-HOCGroup），以提出建议和新项目提案工作组的研究内容包括：1、现有相关标准；2、Safety和Security的区别；3、Safety和Security的共性；4、协调Safety和Security的限制；5、可能的协调方法；6、紧急情况下的权衡与取舍；7、建议和新项目提案的范围。现向各国征集意见并召集专家（截至9月5日）第一次会议定于2014.10.28-29德国法兰克福,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,协调工作组,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,IECEE认证,IECEE-工业自动化认证INDAT,工业设备电气安全（物理安全）IEC61010-2-201:控制系统：例如,PLC,DCS,PACIEC61010-2-20a:独立电源IEC61010-2-20b:包含运动的执行器：例如，旋转，线性阀门IEC61010-2-20c:不包含运动的执行器IEC61010-2-20d:人机接口功能安全IEC61508:通用电气控制系统IEC62061:机械电气控制系统IEC61511:过程电气控制系统IEC61131-6:功能安全PLC工业信息安全ISA积极推进,2019/12/15,15,可编辑,工控系统信息安全,我国的标准工作组,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究所、浙江大学、北京和利时系统工程有限公司、中国核电工程有限公司、中国电力科学研究院、清华大学、西南大学、重庆邮电大学、华中科技大学、上海自动化仪表股份有限公司、东土科技股份有限公司、西门子（中国）有限公司、施耐得电气（中国）有限公司、罗克韦尔自动化（中国）有限公司、中国仪器仪表学会、北京海泰方圆科技有限公司、华北电力设计院工程有限公司、北京国电智深控制技术有限公司、中国科学院沈阳自动化研究所、横河电机（中国）有限公司北京研发中心、青岛多芬诺信息安全技术有限公司、北京力控华康科技有限公司、华为数字技术（都）有限公司、欧姆龙上海有限公司R&D中心、北京四方继保自动化股份有限公司、中国电子产品可靠性与环境试验研究所信息安全研究中心、启明星辰、电子科技集团三十所,工控信息安全标准起草工作组成员单位,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,工作组成员,2019/12/15,已发布国家标准（2项）：GB/T30976.1-2014工控系统信息安全第1部分：评估规范GB/T30976.2-2014工控系统信息安全第2部分：验收规范国家标准计划项目（6项）：20120829-T-604工业通信网络网络和系统安全第2-1部分（等同IEC62443-2-1：2010）（10月送审）20130783-T-604集散控制系统（DCS）安全防护标准（10月送审）20130784-T-604集散控制系统（DCS）安全管理标准（10月送审）20130785-T-604集散控制系统（DCS）安全评估标准（10月送审）20130786-T-604集散控制系统（DCS）风险与脆弱性检测标准（10月送审）20130787-T-604可编程逻辑控制器（PLC）安全要求（10月送审）行业标准计划项目（3项）JB/T11960-2014工业过程测量和控制安全网络和系统安全IEC/TR62443-3：2008JB/T11962-2014工业通信网络网络和系统安全第1-1部分：术语、概念和模型IEC/TS62443-1-1：2009JB/T11962-2014工业通信网络网络和系统安全第3-1部分：工业自动化和控制系统用安全技术IEC/TR62443-3-1：2009,机械工业仪器仪表综合技术经济研究所（ITEI）,我国标准研制进程,授权和认证技术过滤/阻塞/访问控制技术加密技术和数据有效性确认管理、审记、监控和检测工具,信息安全的标准要素,需求,技术,管理,信息安全管理体系ISO2700 x,对象,系统和设备,人员和机构,DCS、SCADA、FCS等IPC、PLC、交换设备、智能仪表等,资质、培训等评审、认可、制度等,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,管理等级基于ISO27002的管理要求；基于WIB；三级划分；系统能力等级基于IEC62443-3-3技术要求；四级划分；信息安全等级管理要求与技术要求加权；四级划分。,信息安全等级,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,IACS安全周期V模型,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,PLC系统信息安全要求定义了从现场设备层到运营管理层的信息安全要求。主要描述风险内容、安全技术要求、安全管理要求、检测与验收等。包括系统生命周期内的设计开发、安装、运行维护、退出使用等各阶段与系统相关的所有活动。,PLC系统信息安全要求,工业环境适应性要求气候环境、电磁兼容、电气安全、机械适应性、外壳防护要求等,DCS系统信息安全要求,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,DCS系统信息安全要求,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,信息安全标准现状,通过11项国家/行业标准的制定，已经初步建立了系统级的安全要求标准体系：顶层设计：建立了基于技术与管理方法的评估规范和验收规范；系统设计：建立了DCS、现场总线、PLC系统安全设计规范；产品设计：即将建立基于嵌入式系统的产品安全规范。,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,技术标准体系,工控信息安全标准化：层域划分：将工控系统按功能划分层次，按工艺划分区域；要求映射：将技术要求与管理要求映射到不同的层域；定性定量：安全等级、量化风险评估结果等；,技术标准体系,2019/12/15,机械工业仪器仪表综合技术经济研究所（ITEI）,标准体系：领域：适应工控系统所有应用领域；层次：现场设备层到MES层；系统：产品全生命周期；,技术层面的问题1、面向生产工艺的资产模型与安全决策；2、探测与侦别异常信息的手段；3、多维联动报警与故障恢复技术；4、工业级边界防护设备；5、工控软件的健壮性设计；,机械工业仪器仪表综合技术经济研究所（ITEI）,面临的问题,机械工业仪器仪表综合技术经济研究所（ITEI）