中国工控信息安全技术标准体系

1、中国工控信息安全技术标准体系梅恪机械工业仪器仪表综合技术经济研究所（ITEI）全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124）9月中国工控信息安全技术标准体系第1页 工控技术发展与信息安全势态 国际工控信息安全技术标准情况 国家工控信息安全技术标准情况 技术标准体系构建 面临问题 总结/10/10机械工业仪器仪表综合技术经济研究所（ITEI）/10/10/10/10中国工控信息安全技术标准体系第2页技术发展需求/10/10机械工业仪器仪表综合技术经济研究所（ITEI）以智能制造为主导第四次工业革命正在兴起中国工控信息安全技术标准体系第3页技术发展需求工控系统发展方向全球互联、

2、嵌入式智能、自组织 传统系统封闭式系统演变到开放式网络系统开放硬件体系开放协议体系 过程控制和企业信息系统集成供给链集成企业间协同 无线技术广泛应用中国工控信息安全技术标准体系第4页/10/10机械工业仪器仪表综合技术经济研究所（ITEI）/10/10/10/10安全势态伊朗政府核电站员工感染Stuxnet病毒，严重威胁核反应堆安全运行 黑客入侵数据采集与监控系统，使美国伊利诺伊州城市供水系统供水泵遭到破坏 两座美国电厂遭USB病毒攻击，感染了每个工厂工控系统，可被窃取数据 微软警告称最新发觉“Duqu”病毒可从工业控制系统制造商搜集情报数据 发觉攻击多个中东国家恶意程序Flame火焰病毒，它

3、能搜集各行业敏感信息 工控系统信息安全势态：我国：齐鲁石化、大庆石化炼油厂，某装置控制系统分别感染Conficker蠕虫病毒，都造成控制系统服务器与控制器通讯不一样程度地中止中国工控信息安全技术标准体系第5页/10/10机械工业仪器仪表综合技术经济研究所（ITEI）企业分层模型以MES制造执行系统层分界向上为传统IT领域向下为工控领域中国工控信息安全技术标准体系第6页传统信息系统：保密性完整性可用性仪控系统：可用性完整性保密性IT系统与工控系统需求比较/10/10机械工业仪器仪表综合技术经济研究所（ITEI）IT系统工控系统可用性允许短时间/周期性间断或维护要求24h/7d/365d模式可用性

4、时间敏感性允许一定时延要求实时响应系统生命周期3-5年5-信息安全意识及准备很好没有基础保密性较高要求较低设备类型较少较多无线技术应用很多刚才起步中国工控信息安全技术标准体系第7页VDI/VDEBSI GrundschutzNISTRoadmap to Secure Control Systems in the Energy SectorIEC 62351IEC TC 57 WG15SACTC 124DKECommitteesAssociationsStandardsGuidelinesDHSChemSecRoadmapNERC-CIPISO/IEC15408WIB M-2784 ISO/IE

5、C 2700 x IEC 62443 / ISA-99IACS IS信息安全标准/10/10机械工业仪器仪表综合技术经济研究所（ITEI）中国工控信息安全技术标准体系第8页IEC62443系列标准框架/10/10机械工业仪器仪表综合技术经济研究所（ITEI）中国工控信息安全技术标准体系第9页/10/10机械工业仪器仪表综合技术经济研究所（ITEI）10/10/1010/10/1010IEC/TC65组织结构图中国工控信息安全技术标准体系第10页/10/10全国工业过程测量和控制标准化技术委员会（SAC/TC124）11SystemsDevicesISA Secure测试验证中国工控信息安全技术

6、标准体系第11页12嵌入式设备安全确保(EDSA)软件开发安全评定(SDSA)功效性安全评定(FSA)通信健壮性测试(CRT)检测和防止系统设计错误审核供给商软件开发和维护程序确保组织机构遵照稳定和安全软件开发程序检测执行错误 / 疏忽按照目标安全等级要求对组件安全功效进行审核确保产品能够到达安全功效要求判别网络和设备缺点依据通信健壮性要求测试组件通信健壮性基于4层OSI参考模型进行缺点测试ISA Secure嵌入式设备测试/10/10机械工业仪器仪表综合技术经济研究所（ITEI）中国工控信息安全技术标准体系第12页 NIST: SP800-82工业控制系统信息安全指南 WIB M2784过程

7、控制领域中对供给商信息安全要求 其它国家及技术组织标准其它国家及技术组织标准/10/10机械工业仪器仪表综合技术经济研究所（ITEI）中国工控信息安全技术标准体系第13页 IEC/TC65公布65/569/DC，建立一个协调Safety和Security尤其工作组（AD-HOC Group），以提出提议和新项目提案工作组研究内容包含：1、现有相关标准；2、 Safety和Security区分；3、 Safety和Security共性；4、协调Safety和Security限制；5、可能协调方法；6、紧急情况下权衡与取舍；7、提议和新项目提案范围。现向各国征集意见并召集教授（截至9月5日）第一次

8、会议定于.10.28-29 德国法兰克福/10/10机械工业仪器仪表综合技术经济研究所（ITEI）协调工作组中国工控信息安全技术标准体系第14页/10/10机械工业仪器仪表综合技术经济研究所（ITEI）IECEE认证IECEE - 工业自动化认证INDAT 工业设备电气安全（物理安全）IEC 61010-2-201: 控制系统：比如, PLC, DCS, PACIEC 61010-2-20a: 独立电源IEC 61010-2-20b: 包含运动执行器：比如，旋转，线性阀门IEC 61010-2-20c: 不包含运动执行器IEC 61010-2-20d: 人机接口 功效安全IEC 61508:

9、通用电气控制系统IEC 62061: 机械电气控制系统IEC 61511: 过程电气控制系统IEC 61131-6: 功效安全PLC 工业信息安全ISA主动推进中国工控信息安全技术标准体系第15页工控系统信息安全我国标准工作组/10/10机械工业仪器仪表综合技术经济研究所（ITEI）中国工控信息安全技术标准体系第16页机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究所、浙江大学、北京和利时系统工程有限企业、中国核电工程有限企业、中国电力科学研究院、清华大学、西南大学、重庆邮电大学、华中科技大学、上海自动化仪表股份有限企业、东土科技股份有限企业、西门子（中国）有限企业、施耐得电气（中国

10、）有限企业、罗克韦尔自动化（中国）有限企业、中国仪器仪表学会、北京海泰方圆科技有限企业、华北电力设计院工程有限企业、北京国电智深控制技术有限企业、中国科学院沈阳自动化研究所、横河电机（中国）有限企业北京研发中心、青岛多芬诺信息安全技术有限企业、北京力控华康科技有限企业、华为数字技术（都）有限企业、欧姆龙上海有限企业R&D中心、北京四方继保自动化股份有限企业、中国电子产品可靠性与环境试验研究所信息安全研究中心、启明星辰、电子科技集团三十所 工控信息安全标准起草工作组组员单位/10/10机械工业仪器仪表综合技术经济研究所（ITEI）工作组组员中国工控信息安全技术标准体系第17页/10/10 已公布

11、国家标准（2项）：GB/T 30976.1- 工控系统信息安全 第1部分：评定规范GB/T 30976.2- 工控系统信息安全 第2部分：验收规范 国家标准计划项目（6项）：0829-T-604 工业通信网络 网络和系统安全 第2-1部分（ 等同 IEC 62443-2-1：） （10月送审）0783-T-604 集散控制系统（DCS）安全防护标准（10月送审） 0784-T-604 集散控制系统（DCS）安全管理标准（10月送审） 0785-T-604 集散控制系统（DCS）安全评定标准（10月送审） 0786-T-604 集散控制系统（DCS） 风险与脆弱性检测标准（10月送审） 0787

12、-T-604 可编程逻辑控制器（PLC） 安全要求（10月送审） 行业标准计划项目（3项）JB/T 11960- 工业过程测量和控制安全 网络和系统安全IEC/TR62443-3：JB/T 11962- 工业通信网络 网络和系统安全 第1-1部分：术语、概念和模型 IEC /TS62443-1-1：JB/T 11962- 工业通信网络 网络和系统安全 第3-1部分：工业自动化和控制系统用安全技术IEC/TR62443-3-1：机械工业仪器仪表综合技术经济研究所（ITEI）我国家标准准研制进程 中国工控信息安全技术标准体系第18页 授权和认证技术 过滤/阻塞/访问控制技术 加密技术和数据有效性确

13、认 管理、审记、监控和检测工具信息安全标准要素需求技 术管 理 信息安全管理体系ISO2700 x对象系统和设备人员和机构 DCS、SCADA、FCS 等 IPC、PLC、交换设备、智能仪表等 资质、培训 等 评审、认可、制度等/10/10机械工业仪器仪表综合技术经济研究所（ITEI）中国工控信息安全技术标准体系第19页 管理等级 基于ISO27002管理要求； 基于WIB； 三级划分； 系统能力等级 基于IEC62443-3-3技术要求； 四级划分； 信息安全等级 管理要求与技术要求加权； 四级划分。信息安全等级 /10/10机械工业仪器仪表综合技术经济研究所（ITEI） 系统能力等级 信息

14、安全等级管理等级CL1CL2CL3CL4ML1SL1SL1SL1SL1ML2SL1SL2SL2SL3ML3SL1SL2SL3SL4中国工控信息安全技术标准体系第20页确定评定目标制定评定计划选择评定方法获取必备信息高级风险评定详细风险评定综合评定结果改进办法提议识别工况环境办法风险分析办法详细实施风险处置方案整改实施计划安全办法验证系统完整性验证IACS生命周期评定验收IACS安全周期V模型安全态势分析常规分析与汇报定时审计与办法重新评定与验收/10/10机械工业仪器仪表综合技术经济研究所（ITEI）IACS安全周期V模型中国工控信息安全技术标准体系第21页/10/10机械工业仪器仪表综合技术

15、经济研究所（ITEI）PLC系统信息安全要求 定义了从现场设备层到运行管理层信息安全要求。 主要描述风险内容、安全技术要求、安全管理要求、检测与验收等。 包含系统生命周期内设计开发、安装、运行维护、退出使用等各阶段与系统相关全部活动。PLC系统信息安全要求工业环境适应性要求 气候环境、电磁兼容、电气安全、机械适应性、外壳防护要求等中国工控信息安全技术标准体系第22页安全防护标准中定义了集散控制系统在运行和维护过程中应具备安全能力和防护技术要求风险与脆弱性安全防护安全管理安全评定安全评定标准定义了集散控制系统在运行和维护过程中对系统技术防护能力和安全管理有效性评定过程和方法。安全管理标准定义了集

16、散控制系统在运行和维护过程中应具备安全管理关键点和防护管理要求风险与脆弱性检测标准定义了集散控制系统在运行和维护过程中潜在系统脆弱性和安全风险检测内容和测试方法DCS系统信息安全要求/10/10机械工业仪器仪表综合技术经济研究所（ITEI）DCS系统信息安全要求中国工控信息安全技术标准体系第23页/10/10机械工业仪器仪表综合技术经济研究所（ITEI）信息安全标准现实状况经过11项国家/行业标准制订，已经初步建立了系统级安全要求标准体系： 顶层设计：建立了基于技术与管理方法评定规范和验收规范； 系统设计：建立了DCS、现场总线、PLC系统安全设计规范； 产品设计：即将建立基于嵌入式系统产品安

17、全规范。中国工控信息安全技术标准体系第24页/10/10机械工业仪器仪表综合技术经济研究所（ITEI）技术标准体系工控信息安全标准化： 层域划分：将工控系统按功效划分层次，按工艺划分区域； 要求映射：将技术要求与管理要求映射到不一样层域； 定性定量：安全等级、量化风险评定结果等；中国工控信息安全技术标准体系第25页技术标准体系/10/10机械工业仪器仪表综合技术经济研究所（ITEI）标准体系： 领域：适应工控系统全部应用领域； 层次：现场设备层到MES层； 系统：产品全生命周期；中国工控信息安全技术标准体系第26页技术层面问题 1、面向生产工艺资产模型与安全决议； 2、探测与侦别异常信息伎俩； 3、多维联动报警与故障恢复技术； 4、工业级边界防护设备； 5、工控软件健壮性设计；机械工业仪器仪表综合技术经济研究所（ITEI）面临问题中国工控信息安全技术标准体系第27页机