李莹

（国家工业信息安全发展研究中心，北京 100040）

0 引言

2021年7月21日，美能源部（DOE）网络安全、能源安全与应急响应办公室（CESER）发布C2M2 2.0[1]。C2M2 2.0是DOE电力安全“百日冲刺”计划的组成部分，旨在通过对网络安全风险等级的定量评估，指导能源企业提升工业控制系统（ICS）网络安全水平，以应对日益严重的能源网络安全威胁。对C2M2 2.0进行研究，对于了解美国能源领域工控安全最新发展方向，进一步提升我国工控安全防护能力具有重要意义。

1 能源行业网络安全能力成熟度模型更新背景

近年来，针对能源领域的网络攻击日益增多、攻击手段越发复杂、造成损失不断加大。为应对这一局面，美持续完善能源ICS网络安全政策机制，强化工控安全能力建设。

1.1 能源领域网络安全威胁日益严峻

能源安全事件数量猛增。据美能源可靠性公司（NERC）的年度报告[2]显示，2020年上报给北美电力行业信息共享中心的网络安全相关事件数量达到2624件，同比增加98%。

能源行业脆弱性大幅上升。美国政府问责局（GAO）在3月的一份报告[3]中指出，由于监控技术的大面积应用，电网的配电系统面临存在重大安全隐患。安全公司Nozomi Networks报告[4]显示，2021年上半年ICSCERT报告漏洞增加了44%，其中能源行业排名前三。

能源安全事件影响恶劣。今年1月以来，荷兰能源供应商Eneco、巴西主要电力公司Eletrobras和Copel、美国最大成品油管道商Colonial Pipeline、印度电力公司等国家重要能源设施均遭受网络攻击，造成重大影响，美国东海岸燃油供应还因此一度陷入瘫痪。能源领域安全威胁的不断加剧促使美国加紧采取应对措施。……