不“搞定”等保2.0，怎么做好工控安全？

原标题：不“搞定”等保2.0，怎么做好工控安全？

最近，有一种火，叫等保2.0。

所有关注等保2.0的小伙伴应该都知道，网络安全等级保护新标准具有三个特点，其中之一就是把工业控制系统安全纳入了新型应用安全扩展要求，并且调整成为工业控制系统安全扩展要求。

今天，绿盟君就和大家唠唠等保2.0中的工控安全内容。

工业控制系统安全扩展要求

工业控制系统安全扩展要求主要从安全物理环境、安全通信网络、安全区域边界、安全计算环境以及安全建设管理五方面进行了补充，各等级要求控制点分布如表一所示：

表一：工业控制系统安全扩展要求控制点分布表

​

工业控制系统安全扩展要求（以三级为例）中关于安全物理环境、安全通信网络、安全区域边界、安全计算环境以及安全建设管理的扩展内容如下：

· 安全物理环境：增加了对室外控制设备物理防护要求，如放置控制设备的箱体或装置以及控制设备周围的环境；

· 安全通信网络：增加了适配于工业控制系统网络环境的网络架构安全防护要求、通信传输要求，如工业控制系统内部以及工业控制系统与企业其他系统之间的网络区域划分及安全防护；

· 安全区域边界： 增加了工业控制系统内部区域之间以及工业控制系统与企业其他系统之间的访问控制要求、拨号使用控制以及无线使用控制方面的安全要求；

· 安全计算环境：增加了对控制设备的安全要求，包括测试评估、安全加固、安全运维等，控制设备主要是应用到工业控制系统当中执行控制逻辑和数据采集功能的实时控制器设备，如PLC、DCS控制器等；

· 安全建设管理：增加了产品采购和使用和软件外包方面的要求，主要针对工控设备和工控专用信息安全产品的要求，以及工业控制系统软件外包时有关保密和专业性的要求。

工业控制系统应用场景

1.工业控制系统分层模型

该标准参考IEC 62264-1的层次结构模型划分，同时将SCADA系统、DCS系统和PLC系统等模型的共性进行抽象， 形成了如图二的分层架构模型，从上到下共分为5个层级，依次为企业资源层、生产管理层、过程监控层、现场控制层和现场设备层，不同层级的实时性要求不同。

A.企业资源层主要包括ERP系统功能单元，用于为企业决策层员工提供决策运行手段；

B.生产管理层主要包括MES系统功能单元，用于对生产过程进行管理，如制造数据管理、生产调度管理等；

C.过程监控层主要包括监控服务器与HMI系统功能单元，用于对生产过程数据进行采集与监控，并利用HMI系统实现人机交互；

D.现场控制层主要包括各类控制器单元，如PLC、DCS控制单元等，用于对各执行设备进行控制；

E.现场设备层主要包括各类过程传感设备与执行设备单元，用于对生产过程进行感知与操作。

根据工业控制系统的架构模型不同层次的业务应用、实时性要求以及不同层次之间的通信协议不同，需要部署的工控安全产品或解决方案有所差异，尤其是涉及工控协议通信的边界需要部署工控安全产品进行防护，不仅支持对工控协议细粒度的访问控制，同时满足各层次对实时性的要求。

图二：工业控制系统典型分层架构模型

​

同时，该标准专门标注了随着工业4.0、信息物理系统的发展，上述分层架构已不能完全适用，因此对于不同的行业企业实际发展情况，允许部分层级合并，可以根据用户的实际场景进行判断。

考虑到工业控制系统构成的复杂性，组网的多样性，以及等级保护对象划分的灵活性，给安全等级保护基本要求的使用带来了选择的需求。该标准给出了各个层次使用本标准相关内容的映射关系，可以在实际应用中参考：

​

​

2.实现等级保护的一些约束条件

工业控制系统通常是对可用性要求较高的等级保护对象，工业控制系统中的一些装置如果实现特定的安全措施可能会终止其连续运行，所以在对工业控制系统依照等级保护进行防护的时候要满足以下约束条件:

A.原则上安全措施不应对高可用性的工业控制系统基本功能产生不利影响。例如用于基本功能的账户不应被锁定，甚至短暂的也不行；

B.安全措施的部署不应显著增加延迟而影响系统响应时间；

C.对于高可用性的控制系统，安全措施失效不应中断基本功能等；

D.经评估对可用性有较大影响而无法实施和落实安全等级保护要求的相关条款时，应进行安全声明，分析和说明此条款实施可能产生的影响和后果，以及使用的补偿措施。

3.工业控制系统整体安全保护能力的要求

该标准在附录B提出了“关于等级保护对象整理安全保护能力的要求”，内容指出网络安全等级保护的核心是保证不同安全保护等级的对象具有相适应的安全保护能力。同样，对于工业控制系统在依据不同等级的安全措施时，还应考虑构建纵深的防御体系、采取互补的安全措施、保证一致的安全强度、建立统一的支撑平台、进行集中的安全管理五方面总体性要求，保证其整体安全保护能力。

4.工业控制系统等级保护安全框架和关键技术使用

在确定了工业控制系统的安全保护等级后，应根据相应安全保护等级的要求完成安全建设和整改工作，应针对工业控制系统特点建立安全技术体系和安全管理体系，构建具备响应等级的安全保护能力的网络安全综合防御体系。同时，还应根据国家网络安全等级保护政策和标准，开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。工业控制系统安全等级保护安全框架见下图：

​

另外，该标准还要求在较高级别工业控制系统的安全建设和安全整改中注重使用可信计算、强制访问控制、审计追查技术、结构化保护技术以及多级互联技术等。

绿盟科技已发布等级保护2.0系列解决方案，相关咨询请联系绿盟科技各分公司、办事处的相关人员或拨打咨询热线：400-818-6868。

Tips：工业控制系统的概念和定义

工业控制系统（ICS）是几种类型控制系统的总称，包括数据采集与监视控制系统（SCADA）系统、集散控制系统（DCS）和其它控制系统，如在工业部门和关键基础设施中经常使用的可编程逻辑控制器（PLC）。工业控制系统通常用于诸如电力、水和污水处理、石油和天然气、化工、交通运输、制药、纸浆和造纸、食品和饮料以及离散制造（如汽车、航空航天和耐用品）等行业。工业控制系统主要由过程级、操作级以及各级之间和内部的通信网络构成，对于大规模的控制系统，也包括管理级。过程级包括被控对象、现场控制设备和测量仪表等，操作级包括工程师和操作员站、人机界面和组态软件、控制服务器等，管理级包括生产管理系统和企业资源系统等，通信网络包括商用以太网、工业以太网、现场总线等。

责任编辑：