工业信息安全标准概述.docx

文献标识码：b 文章编号：1003-0492(2014)10-0094-04 中图分类号：tp393.08工业信息安全标准概述overview on industrial information security standards隋爱芬（西门子（中国）有限公司，北京 100102）业信息安全建设提供重要依据。本文在分析了工业信息安全威胁和需求基础上，对目前主要的工业信息安全规范做了调研，并重 点介绍了iec62443工业控制系统信息安全规范，从中可以看出主 要国际标准组织对工业信息安全的应对思路。摘要：本文分析了工业信息安全威胁和需求，对目前工业信息安全规范做了简要概述，重点介绍了iec62443工业控制系统信息安全规范，并分析主 要国际标准组织对工业信息安全的应对思路，同时对其他国际标准组织或 行业协会制定的工业信息安全规范做了简要介绍。 关键词：工业自动化控制系统；工业信息安全；标准化；iec62443abstract: in this paper, we analyzed the industrial security threats and requirements, summarized the main industrial security standards, and then focused on iec62443 industrial security standard for control systems to depict the main ideas for industrial security. other standards are introduced at last.key words: industrial automation control system；industrial informationsecurity；standardization；iec624431工业信息安全威胁与需求传统上，工业自动化控制系统多为采用专用技术的封闭网络，对外没有互联互通，其面临的信息安全威胁不突出。相应 地，各种工业控制设备、应用、系统、通信协议都主要针对专有 的封闭环境而设计。由于没有现实的信息安全威胁，工业自动化 控制系统在设计、实现与部署过程中，其主要指标是可用性、功 能、性能、（物理）安全性、实时性等，而无须过多考虑网络攻 击、信息安全等问题。但近几十年来，各种工业自动化控制系统正快速地从封闭、 孤立的系统走向互联，例如自动化网络与it网络相连，为实现远 程维护与internet连接等。并开始广泛采用开放和通用技术，采 用以太网、tcp/ip网络作为网络基础设施；采用包括iwla n、 gprs等在内的各种无线网络，广泛采用标准的windows等商用操 作系统、设备、中间件与各种通用技术。典型的工业自动化控制 系统scada（supervisory control and data acquisition，数据采 集与监控系统）、dcs（distributed control system，分布式控制 系统）、plc（programmable logic controller，可编程逻辑控制 器）等正日益变得开放、通用和标准化。由于长期缺乏安全需求的推动，对网络环境下广泛存在 的安全威胁缺乏充分认识，现有工业自动化控制系统过去在设 计、研发中没有充分考虑安全问题，在部署、运维中又缺乏安工业自动化控制系统（iacs，industrial automation controlsystem）构成了现代工业基础设施的神经系统。传统上，工业自 动化控制系统多为采用专用技术的封闭网络，对外没有互联互 通，其面临的信息安全威胁不突出。但近几十年来，各种工业自 动化控制系统正快速地从封闭、孤立的系统走向互联，并开始广 泛采用开放和通用技术，随之带来了工业控制系统所面临的信息 安全威胁也日益严重。工业自动化控制系统的安全直接关系到各 重点工业行业的生产安全，因而近年来成为工业自动化以及信息 安全研究重点、热点领域。标准化作为推动行业发展和行业互认的有力工具，可以为工94automation panorama 2014.10全意识、管理、流程、策略与相关专业技术的支撑，导致许多工业自动化控制系统中存在着这样或那样的安全问题，一旦被 无意或恶意利用，就会造成各种安全事件。例如由于病毒、 恶 意 软 件 等 导 致 的 工 厂 停 产 ； 恶 意 操 纵 工 控 数 据 或 应 用 软 件；对工控系统功能未经授权的访问，工业制造的核心数据、 配方被窃取等。越来越多的安全事件揭示出自动化工厂存在安 全脆弱性。但是现有it安全措施不能直接应用于工业领域，工控系统的 信息安全和it系统的信息安全是有显著区别。首先信息安全需求 不同。信息安全需求可以概括为cia，c（confidentiality）表示机 密性，i（integrity）表示完整性，a（availability）表示可用性。 it环境，最有可能发生的情况就是机密信息的丢失，但是不会造 成人员、设备与环境的直接损失，安全需求的优先级通常是机密 性、完整性、可用性。但是对于工业环境来讲，如果生产参数不 能及时监控，或者参数被恶意篡改，可能会造成严重后果，因此 其安全需求首先是可用性，在生产可持续的前提之下，要求数据 是完整的不被篡改，机密性的要求相对不突出。工业生产系统的 整个生命周期通常有1020年，甚至更长的时间，而一般办公系 统的生命周期通常只有3年。工业控制系统采用了大量嵌入式设 备、以及存储和处理能力有限的设备。这些特殊之处都对信息安 全提出了新的挑战和要求，而正在涌现的工业安全事件使得要求 更加迫切。标准化作为推动行业发展和行业互认的有力工具，可以为工 业信息安全建设提供重要依据。随着越来越多工业领域信息安全 事件的出现，全球加速了工业信息安全标准化的进程。中国政府对工业信息安全给予高度重视。2011年工业与信息化部发布“关于加强工业控制系统信息安全管理的通知”1， 明确了重点领域工业控制系统信息安全管理要求，并强调了“谁 主管谁负责、谁运营谁负责、谁使用谁负责”的原则，对连接管 理、组网管理、配置管理、设备选择与升级管理、数据管理、应 急管理等等提出了明确要求。同时国家标准委员会也加快标准化 的制定工作。3 iec 62443工业控制系统安全规范iec62443是在 isa-99的基础上制定的。isa99由internationalsociety of automation（isa）wg4工作组负责制定，面向各种工 业行业的工业自动化控制系统的安全。由于iec 62443充分考虑了 工业领域的不同的参与方（自动化产品厂商、系统/产品提供商、 系统集成商、终端用户）的不同安全需求，比较符合各工业行业 的对信息安全标准的需要。i e c 6 2 4 4 3 分4 个部分，第一部分是总述 2 ，定义了术语概 念和模型以及系统安全度量。第二部分是策略和规程 3 ，规定 了创建工业自动化控制系统安全计划、补丁管理、安全策略和 实践。第三部分是对系统的要求4-6，定义了工业自动化控制系 统的安全技术，以及系统安全要求和安全保障等级。第四部分 是对组件（部件）的要求 7 ，规定了产品开发要求、产品安全 技术要求。对系统和组件，分别从管理层面和技术层面提出了 要求。2工业控制系统信息安全标准化概述对于工业领域，标准化是战略性的和基础性的工作。随着越来越多工业领域信息安全事件的出现，全球加速了工业信息安全 标准化的进程。国际上，包括美国、欧洲在内的西方国家也早已意识到工 业自动化控制系统信息安全的重要性，在上个世纪90年代左右 就开始了相关的研究与标准化方面的工作。iec tc65在isa工 作基础上，借鉴了iso27000、wib m-2784等标准和规范制定了 iec62443系列标准2-6，对信息安全管理、工业控制系统、工业 控制组件提出了需求。nist sp800-82工业控制系统信息安全 指南12分析了ics面临的威胁与漏洞特征，提供了解决安全风 险的建议对策；并提供适合工业控制网络的安全控制基线措施。 nerc cip关键基础设施防护的可靠性标准14规定了北美电力 关键资产保护框架。图1 iec62443架构我国积极参与iec62443标准的制定和推广工作。sac tc124 作为iec tc65在国内的镜像标准委员会，目前正在将iec62443 已发布标准引入国内。其中工业过程和控制安全第3部分：网络 和系统信息安全（iec62443-3: 2008 security for industrial process measurement and control - network and system security）、工业952014.10 automation panoramatechnology技术纵横通信网络网络和系统安全第1-1部分：概念和模型 （iec62443-1-1: 2009 industrial communication networks - network and system security - part 1-1: terminology, concepts and models) 、工业通信网 络网络和系统安全第3-1部分：工业自动化和控制系统用安全技术（iec62443-1-1: 2009 industrial communication networks - network and system security - part 3-1: security technologies for industrialautomation and control systems) 已被等同采标为行业标准。工业通信网络网络和系统安全第2-1部分：建立工业自动化和控制系统 信息安全程序（iec 62443-2-1: industrial communication networks- network and system security-part2-1: establishing an industrialautomation and control system security program）正在被等同转化为 国标。同时，tc124基于iec62443制定了“工业控制系统信息安全 第1部分：评估规范”16和“工业控制系统信息安全第2部分：验 收规范”17，并正在进一步制定plc和dcs相关安全国家标准。 这些标准将为我国工业信息安全的评估、建设提供重要依据。图2 nist sp800-82工业控制网络安全控制措施框架力可靠性组织，n e r c 前身北美电力可靠性委员会，由电力工业创建于1968年，负责建立和强制实施大型电力系统的可靠性 标准。cip (critical infrastructure protection)由nerc负责制定，包 括9个部分：cip-001规定了破坏事件的上报机制，cip-002至cip-009规定了北美电力关键资产保护框架，如图3所示。 从2009年6月30日起，所有大型电力系统中的高压电力传输和配电（t&d）从业人员必须符合北美电力可靠性委员会的网络 安全标准（nerc cip）。发电站业主和从业人员的时间期限在6 个月之后。4其他工业安全相关国际标准除iec和isa外，还有很多国际标准组织和行业协会制定了工业信息安全相关的规范和指导文件。例如nist在联邦信息系统安 全要求9-10和信息系统安全控制措施11基础上，制定了工业控制系 统安全指南；北美电力可靠性公司nerc (north american electric reliability corporation)负责建立和强制实施大型电力系统的可靠 性标准；化学信息技术中心（chemitc）制定了化学领域的信息 安全项目，并对关键技术问题进行了规定。本章选取nist sp800-82和nerc cip做简要介绍。4.1 nist sp800-82工业控制系统信息安全指南n i s t 在联邦信息系统安全要求9-10 和信息系统安全控制措 施11基础上，制定了工业控制系统安全指南。其中fips 200和 fips199是nist制定的强制标准，fips200约束了信息系统所需 满足的最低安全要求，fips 199为信息系统安全级别分类提供了 标准和方法 ，nist sp800-53为信息系统满足fips200提供了具体 的、差异化的安全控制基线措施，nist sp800-82分析了ics面临 的威胁与漏洞特征，提供了解决安全风险的建议对策；并提供适 合工业控制网络的安全控制基线措施。nist sp800-82规定的安全控制措施框架如图2所示，可以大 致分为管理控制措施、运维控制措施和技术控制措施。4.2 nerc cip关键基础设施防护的可靠性标准nerc (north american electric reliability corporation)是由ferc (federal energy regulatory commission) 认证的电图3 nerc cip关键基础设施防护的可靠性标准框架5总结近年来，工业自动化控制系统自动化、数字化、网络化程度的不断提高，工业自动化控制系统与it网络的互联、互通大大增 加，并越来越多的采用通用和开放技术，随之带来了工业控制系 统所面临的信息安全威胁也日益严重。对于工业领域，标准化是战略性的和基础性的工作。随着 工业领域信息安全事件的出现，全球加速了工业信息安全标准96automation panorama 2014.10（上接93页）（2）通讯故障检测在plc程序设计中，增加了通讯故障报警信号。思路是：如 果每个通讯任务都能正常通讯，在1秒时间内，均能执行几次， 设置一个通讯指示继电器，每次正常通讯后，对其进行取反， 这样通讯指示继电器应该是一个交替信号，对该继电器进行判 断，如果不是交替信号，说明通讯故障，可发出通讯故障报警 信号。另外，还可以利用plc自身提供的通讯辅助标志位m8128、m8129进行通讯诊断编程。（3） 自动多次握手 如果有个别通讯数据非常重要，可以设计一次通讯失败后自动再次发起主动握手通讯，达到一定时间或次数仍然无法通讯就 发出报警信号。自动握手次数也可根据需要设定，但不宜过多， 否则影响其它数据的通讯。化的进程。iec tc65在isa工作基础上，借鉴了iso27000、wibm-2784、nist等标准和规范制定了iec62443系列标准，对信息 安全管理、工业控制系统、工业控制组件提出了需求。我国政府 对工业信息安全给予高度重视，2011年工业与信息化部发布“关 于加强工业控制系统信息安全管理的通知”，国家标准委员会也 加快了相关标准化的制定工作，在iec62443的基础上，制定了 工业控制系统信息安全评估规范和验收规范，并正在进一步制定 plc和dcs相关安全国家标准，这些标准将为我国工业信息安全 的建设和评估提供重要依据。参考文献：1 工业与信息化部. 关于加强工业控制系统信息安全管理的通知. 2011.2 iec62443-1-1. 2009 industrial communication networks - network and system security - part 1-1: terminology, concepts and modelss.3 iec 62443-2-1: industrial communication networks-network and system security-part2-1: establishing an industrial automation and control system security programs.4 iec62443-3: 2008 security for industrial process measurement and control - network and system securitys.5 iec62443-3-1: 2009 industrial communication networks - network and system security - part 3-1: security technologies for industrial automation and control systemss.6 isa-62443.03.03 (99.03.03):security for industrial automation and control systems, sytem security requirements and security levelss.7 iec/np 62443-4-2: industrial communication networks-network and system security-part 4-2: techinical security requirements for iacs componentss.8 iso/iec27002:2007, idt, information technology-security techniques-code of practice for information security managements.9 fips 200. minimum security requirements for federal information andinformation systems.10 fips 199. standards for security categorization of federal information andinformation systemss.11 nist sp800-53. recommended security controls for federal informationsystemss.12 nist sp800-82. guide to industrial control systems (ics) securitys.13 wib m-2784. process control domain-security requirements for vendorss.201014 nerc cip. critical infrastructure protections.15 chemical information technology center. chemical sector cyber security pro