张浏骅 刘克松

摘  要：工业控制系统安全标准的制定对于保障工业控制系统信息安全有着非常重要的意义。近年来，国内外各大标准组织积极开展工控系统安全标准制定工作。文章主要对国外典型的工控系统安全标准SP800，IEC62443，IEC62351进行了总结，阐述了国内的典型工控系统安全标准GB/T36324-2018、GB/T30976、GB/T33009的內容。最后，通过对国内外典型工控系统安全标准的对比思考，提出了一些有针对性的建议，为我国今后更好地开展工控系统安全标准工作提供参考。

关键词：工业控制系统;安全标准;思考

中图分类号：TP273        文献标志码：A       文章编号：2095-2945（2019）26-0081-03

Abstract： The formulation of industrial control system security standards is of great significance to ensure the information security of industrial control systems. In recent years， major standards organizations at home and abroad have actively carried out the formulation of industrial control system safety standards. This paper mainly summarizes the typical foreign industrial control system safety standards SP800，IEC62443，IEC62351， and expounds the contents of domestic typical industrial control system safety standards GB/T36324-2018， GB/T30976 and GB/T33009. Finally， through the comparative thinking of the typical industrial control system safety standards at home and abroad， some targeted suggestions are put forward， which can provide reference for our country to better carry out the safety standard work on industrial control system in the future.

Keywords： industrial control system; safety standard; analysis

1 概述

近年来，工业控制系统信息安全的标准制定一直受到国内外专家的高度重视。国际上针对工业控制系统信息安全标准进行研究的组织很多，其中包括许多国际标准化组织，如美国国家标准技术研究院（NIST）、国际电工委员会（IEC），国际自动化协会（ISA）和电气与电子工程师协会（IEEE）等等。他们已经在工业控制系统安全标准建设方面形成了一系列体系化标准文件，如SP800-82、IEC62443、IEC62351等等。在我国，目前从事相关工作的组织主要包括：全国工业过程测量与控制标准化技术委员会（SAC/TC124）、全国信息安全标准化技术委员会（TC260）、全国电力系统管理及其信息交换标准化技术委员会（SAC/TC82）和全国电力监管标准化技术委员会（SAC/TC296）等。近年来，工控安全相关标准在陆续研制和发布中，其中典型的标准如GB/T30976系列、GB/T33009系列等等。接下来对国内外几个典型的工控安全标准进行简要概述。

2 国外典型工控安全标准概述

2.1 SP800-82系列

SP800-82是NIST出台的关于工业控制系统安全的指南，它涵盖了数据监视与采集系统（SCADA）、离散控制系统（DCS）、可编程逻辑控制系统（PLC）等等，可以用于水利、电力等工业行业中，对国内工控安全从业人员非常有参考价值。它着重剖析了工业控制系统的特征、存在的问题和漏洞、面临的威胁等，针对这些问题对其提出了安全性要求，对如何开发工业控制系统项目的安全性进行了规范[1]。此外，对不同安全等级的工业控制系统，从管理、技术和运行三个方面进行了不同等级的安全划分。

2.2 IEC 62443系列

IEC 62443重点关注在工业通讯网络中的网络和系统安全问题，它是由美国国家标准协会和网络与系统信息安全小组共同制定的，受到了国际上的普遍认可，后被ISO/IEC采纳[2]。它的颁布给工业控制系统的安全带来了保障，保证了工业自动化系统的安全性，规范了工控系统的运行和维护过程，对工控系统的安全技术提出了明确的要求，规定了可采用的安全技术以及推广应用场景。IEC62443标准由四部分组成，如图1所示。

2.3 IEC 62351系列

IEC 62351《电力系统管理及信息交换-数据和通信安全性》是IEC、TC57和WG15联合制定的[3]。它主要针对在电力系统稳定运行过程中的数据和通信安全，并且是建立在IEC60870、IEC61850等全球通用电力系统通信协议基础上的加强型安全标准。IEC 62351包含以下七个部分，如图2所示。

3 国内典型工控安全标准概述

工业和信息化部于2017年12月发布《工业控制系统信息安全行动计划（2018-2020年）》。其中主要行动中明确提出要建立健全工控安全标准体系，包括确定工控安全分级标准、防护要求、实施规则、测评技术标准等，以提高工业控制系统的安全防护能力，规范工控系统评估流程，保障工业控制系统设备和产品安全[4]。以下是几个典型的工控安全标准。

3.1 GB/T36324-2018

《工业控制系统信息安全分级规范》的颁布给出了在风险评估的基础上工控系统信息安全的分类规则规范，划分了信息安全分级方法，提出了分层分类模型和分级因素的影响，强调了工业控制系统资产的潜在风险重要性。一般来说，对工控系统的信息安全等级可以根据其能力强弱划分为四个等级，其安全定级的一般方法如图3所示。

3.2 GB/T30976系列

GB/T 30976系列于2014年由国家工业过程测量控制和自动化标准化技术委员会（SAC/TC124）发布。它实现了工控安全标准领域的突破，给工控行业提供了可靠性依据。它由两个部分组成：GB/T 30976的第一部分规定了SCADA、DCS、PLC、PCS等工业控制系统的信息安全评估目标，评估内容和实施过程。它适用于系统设计人员，工程公司，设备制造商，系统集成商，用户，资产所有者以及评估和认证机构，用以评估工业控制系统的信息安全性。GB/T30976的第二部分填补了我国在工业控制系统方面的信息安全验收环节的空缺，提出了对工业控制系统的信息安全解决方案的的验收过程、试验内容、方法和要求。它可以应用于石油、化工等多种工业行业的控制系统和设备。

3.3 GB/T33009系列

GB/T 33009 于2016年10月13日正式发布，它是由国家质量监督检验检疫总局和国家标准化管理委员会联合提出的。GB/T 33009分为四个部分：

GB/T 33009.1 介绍了通用DCS系统的网络结构，从DCS防护要求、总体原则、访问控制等方面提出了要求，在信息安全方面从过程监控层、现场控制层和现场设备层三个层面提出了三级保护强度要求，分别为基本要求、常规加强要求和深度加强要求。

GB/T 33009.2主要包括DCS系统整体介绍，DCS运行过程中的安全需求，以及DCS信息安全管理体系。该标准详细描述了DCS安全解决办法因素的十四个方面，并且这些内容与27001的要求是相对应的。

GB/T 33009.3主要包括了DCS系统评估的全生命周期，从DCS系统评估工作开始前的准备工作，风险评估过程，风险因素识别，评估过程记录到最后的评估结果等方面都做了详细的规定。最后，在附录A中对DCS全生命周期的每个阶段示范了安全风险评估过程，附录B介绍了风险评估工具和DCS系统的通用试验内容，附录C介绍了对DCS系统的风险计算方法。

GB/T 33009.4是为检测DCS系统的风险和脆弱性提出的要求。具体包括DCS风险与脆弱性检测的要求，DCS软件安全的风险性与脆弱性要求，DCS通信安全风险性与脆弱性要求。

4 思考与建议

从以上典型的工控安全标准成果可以看出，我国与国外工控安全标准化工作的主要差距在于：

（1）NIST首先给出了工控系统安全标准的整体规划框架，据此在各个工业行业中展开标准的制定，并且在不停的更新标准的版本。而我国目前并没有正式的整体框架规划，缺乏标准建设体系化思维，并且只有在电力领域有相关工控安全标准。

（2）国外针对SCADA控制系统安全的标准较多，而我国在这片领域还是空白，仅有四份关于DCS系统安全的标准。而实际上，SCADA在控制系统中的问题是更为突出的，从中可以看出国外制定标准的路径是以问题为导向，重点解决再各个击破。相较之下，我国的工控安全标准化工作偏零散，重点基础工作的进展较慢。

（3）从已发布标准的实施效果来看，国外的大部分工控安全标准已得到了国际认可，并且有很好的推广示范，例如IEC 62443-2-1在2016年被等同采纳为国标GB/T 33007。我国在标准制定的自主化程度和提高影响力方面还需要努力，在积极转化国外先进标准的同时也需要加快研制更具有指导性的标准。

因此，在之后開展工控安全标准化工作时，我们还需从以下几方面努力：

（1）搭框架。当前的标准化工作的首要任务是需要建立一个工控安全标准的框架，形成一套适合我国工控安全现状的标准体系，并按此规划开展标准制定工作。

（2）建机制。建立以政府为主导，工业企业为主体，产学研用结合的长效工作机制，鼓励和吸引更多的企业、院校、科研院所、检测认证机构等各类积极参与标准化制定工作。

（3）补短板。对于已发布标准中不够完善的部分，以及工控安防等新技术方面的内容，及时补充，及时制定，力争在补齐短板上下功夫。

（4）促交流。积极参加国外或区域组织的标准化技术交流活动，鼓励国内的标准化工作者加强与国际标准化专家的合作交流，对新兴的工控安防技术、标准化工作进展等趋势保持敏锐的嗅觉。

（5）抓落实。需要进一步推动已发布的工控安全标准实施落地，加大宣传力度，加强场景应用推广，扩大标准的影响力。

参考文献：

[1]唐一鸿，杨建军，王惠莅.SP 800-82《工业控制系统（ICS）安全指南》研究[J].信息技术与标准化，2012.

[2]IEC.IEC/TR 62443 Edition 1.0. Industrial communication networks-Network and system security： IEC，2009-2017.

[3]王自成，广华，方芳，等.IEC 62351国际互操作的总结与思考[J].电力系统自动化，2019.

[4]工业控制系统信息安全行动计划（2018-2020年）[Z].工信部信软〔2017〕316号.