赵凯丽

（国家工业信息安全发展研究中心，北京 100040）

0 引言

随着全球供应链日趋多样化和复杂化，工业控制系统面临的总体风险迭代升级，供应链安全形势日益严峻，能源行业面临的风险挑战不断加剧。美国能源部网络安全、能源安全和应急响应办公室（CESER）通过弹性工业控制系统网络测试（CyTRICS）项目，使能源部（DOE）能够科学评估能源系统组件的软件和固件，以识别和减轻供应链中的网络安全漏洞威胁，确保能源基础设施最关键部分的完整性、可靠性和安全性。

1 CyTRICS项目简介

1.1 CyTRICS项目已具备运营能力，并持续扩大规模

CyTRICS项目启动于2018年，并于当年完成概念验证测试。利用测试的结果，项目在2019年开发了测试操作方法草案、结果报告格式和结果存储库，2020年完成了项目流程的完整试点测试。目前，CESER已经邀请行业参与者对关键的CyTRICS过程进行反馈，包括测试操作、报告格式、深度分析和风险计算，以及协同的漏洞披露过程。此外，CESER不断完善CyTRICS项目流程，以反映行业最佳实践和不断发展的政策要求。

1.2 CESER通过CyTRICS项目进行漏洞测试，与多方共享信息以制定处置措施

通过CyTRICS项目，CESER将自愿提交测试设备的制造商、供应商、公用事业公司以及国家实验室的先进、智能分析能力联合起来，以确认软件和固件的安全性。在CyTRICS下，CESER指导网络漏洞测试和组件枚举，与制造商分享调查结果以制定处置措施，并通过受影响的组件提醒行业利益相关方，以便他们能够解决部署系统中标记的问题。其中，具有高影响力、普遍性和国家安全利益的组件被优先用于测试和分析。……