工业控制系统信息安全风险评估

合集下载

核电行业工业控制系统信息安全风险评估方法研究

第24卷第11期2017年11月仪器仪表用户INSTRUMENTATIONEIC Vol.242017 No.11核电行业工业控制系统信息安全风险评估方法研究徐霞军，祁勋，陶明驹，赵磊（江苏核电有限公司，江苏连云港 222000）摘要：核电行业工业控制系统中部分关键系统具有资产组成单一、整体结构简单等现状，当使用传统的以信息资产为对象的定性风险评估方式进行信息安全风险评估时，出现部分关键工业控制系统风险被低估的情况，进而导致难以全面、客观地反映出核电站工业控制系统所面临的信息安全风险。

田湾核电站组织专项研究，通过对国内外信息安全领域、工业控制领域以及电力行业的风险评估方法进行整合分析，并结合核电行业设备维修、维护管理方式的特点和特色，最终整合经典的信息安全风险评估方式、可靠性维修管理（RCM）方式以及失效模式及影响分析（FMEA）方法，形成更加适用于核电行业工业控制系统的信息安全风险评估方法。

关键词：核电；工业控制系统；风险评估；RCM；FMEA中图分类号：TL48 文献标志码：AResearch on Information Security Risk Assessment Method of IndustrialControl System in Nuclear Power IndustryXu Xiajun, Qi Xun, Tao Mingju, Zhao Lei( Jiangsu Nuclear Power Co., Ltd., Jiangsu, Lianyungang, 222000, China)Abstract: In nuclear power industry, some of the key industrial control system have the characteristics of simple structure and consisting of a single asset. If using traditional information risk assessment methods which uses information assets as objects, some of the key industrial control system will be undervalued, and it will be difficult to comprehensively and objectively reflect the information security risks faced by the industrial control system in nuclear power industry.Tianwan nuclear power plant organi-zation research group,though systematizing and analyzing the information risk analysis methods for information security, industrial control and power industry and combined with the characteristics of equipment maintenance and maintenance management style of nuclear power industry, integrated the classic information security risk assessment method, the Reliability-Centered Maintenance (RCM) method and Failure Mode and Effects Analysis (FMEA) method. The formation of information security risk assessment method is more suitable for industrial control system in nuclear power industry.Key words：nuclear power；industrial control system；risk assessment；RCM；FMEADOI:10.3969/j.issn.1671-1041.2017.11.010文章编号：1671-1041(2017)11-0037-050 引言田湾核电站在国内核电站中较早实现了由全数字化仪控系统进生产控制，在带来高效生产力的同时，由于电站建成时间早、使用时间长等原因，电站内工业控制系统的信息安全风险隐患不断积存。

工控系统信息安全防护能力评估评分操作方法表

工控系统信息安全防护能力评估检查表
严格安全测试
定变更计划并进行影响分
安全防护
（4项 6.5分）
应急响应预案，当遭受安全威胁导致工业控制系统出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地省级工业和信息化主管部门，同时注意保护现场，以便进行调查取证
应急预案演练（7项 10分）
（9项 11分）
据进行保护，根据风险评估结果对数据信息进行分级分类管理
（3项 9分）制、成立信息安全协调小组等方式，明确工控安全管理责任人，落实工控安全责任制，部署工控安全防护措施
检查人：经办人：
部门领导：。

工业控制系统的安全评估与风险防护指南及实践案例

工业控制系统的安全评估与风险防护指南及实践案例随着工业控制系统的广泛应用和互联互通趋势的增强，工业控制系统的安全问题日益凸显。

为了保证工业控制系统的正常运行、确保工业生产的可靠性和行业信息的安全性，对工业控制系统进行安全评估并采取相应的风险防护措施变得尤为重要。

本文将为您介绍工业控制系统的安全评估与风险防护指南，并提供一些实践案例供参考。

一、工业控制系统的安全评估1.评估目标确定在进行工业控制系统的安全评估时，首先需要明确评估的目标。

评估可以是全面的，包括硬件设备、软件程序和网络架构等方面的安全性。

也可以是针对特定的系统、部分系统或特定的组件进行的局部评估。

2.风险分析与评估通过对工业控制系统的风险进行分析与评估，可以识别潜在的威胁和漏洞，并评估其对系统安全性的影响程度。

风险分析与评估主要包括：威胁分析、脆弱性分析、风险度量、风险评估和风险通信等过程。

3.安全策略制定根据风险评估的结果，制定相应的安全策略和安全控制措施。

安全策略应综合考虑技术、管理和法规等方面的要求，以确保工业控制系统的安全性。

安全控制措施包括逻辑访问控制、身份认证与授权、数据加密、网络隔离等。

4.安全评估报告撰写综合以上步骤的分析结果和控制措施，撰写工业控制系统的安全评估报告。

报告应包括系统概述、安全评估目标与方法、风险分析与评估结果、安全策略与控制措施等内容，并提出改进建议和风险防范措施。

二、工业控制系统的风险防护指南1.物理安全防护确保工业控制系统的物理安全是保障系统稳定运行的基本前提。

包括建立适当的访问控制措施、视频监控系统、入侵报警系统和物理隔离措施等，以防止未经授权的人员进入控制区域，避免非法接触和破坏控制设备。

2.网络安全防护工业控制系统的网络安全是防止恶意攻击和未授权访问的重要环节。

需要建立网络防火墙、入侵检测系统、流量监控和分析系统等，对网络通信进行监控和审计，及时发现并阻止潜在的网络攻击。

3.安全意识与培训提高工作人员的安全意识和相关知识能力，可以有效减少内部安全漏洞的风险。

工业控制系统信息安全防护能力评估方法

附件:工业控制系统信息安全防护能力评估方法1.适用范围1.1本方法提出了工业控制系统信息安全防护能力评估的基本概念、实施流程和工作形式。

1.2本方法适用于规范对企业按照《工业控制系统信息安全防护指南》建立的工控安全防护能力开展的综合评价活动。

1.3本方法适用于评估工业控制系统的应用企业。

2.规范性文件2.1法律法规、指导性文件《中华人民共和国网络安全法》《国家网络空间安全战略》《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号）《国务院关于印发〈中国制造2025〉的通知》（国发〔2015〕28号）《国务院关于积极推进“互联网+”行动的指导意见》（国发〔2015〕40号）《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发〔2012〕23号）《工业控制系统信息安全防护指南》（工信部信软〔2016〕338号）《关于加强工业控制系统信息安全管理的通知》（工信部协〔2011〕451号）2.2标准和技术规范GB/T32919－2016《信息安全技术工业控制系统安全控制应用指南》GB/T20984－2007《信息安全技术信息安全风险评估规范》3.术语与定义下列术语和定义适用于本方法。

3.1工业控制系统工业生产控制各业务环节涉及的有关人员、软硬件系统和平台的集合。

包括但不限于：可编程逻辑控制器（PLC）、分布式控制系统（DCS）、数据采集与监控系统（SCADA）等工业生产控制系统；紧急停车系统（ESD）、安全仪表系统（SIS）等工业控制过程安全保护系统；制造执行系统（MES）、企业资源计划系统（ERP）等工业生产调度与管理信息系统；工业云平台、工业大数据平台等工业服务应用系统。

3.2工业控制系统信息安全防护通过实施管理和技术措施，避免工业控制系统遭到非授权或意外的访问、篡改、破坏及损失。

3.3工业控制系统信息安全防护能力评估从综合评价的角度，运用科学的方法和手段，系统地分析和诊断工业控制系统所面临的威胁及其存在的脆弱性，评估企业工业控制系统安全防护水平，提出有针对性的抵御威胁的防护对策和整改措施，为最大限度地保障信息安全提供科学依据。

工业控制系统信息安全风险分析

国家安全战略的重要组成部分。
３安全风险分析
３．１物理终端安全管理缺失
与传统的信息系统相比．工业控制系统安全保护主要集中在于终端生产设备及其操作过程。终端生产设备（例如ＰＬＣ目、操作员工作站、ＤＣＳ控制器），作为最终的控制单元，直接控制生产运行．监控运行数据信息。而在工控网络中，对控制单元缺乏合适的终端物理安全保护的管理办法信息技术的发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，并以各种方式与互
联网等公共网络连接。在工业控制系统愈发智能的同时，其网络也变的更加透明、开放、互联ＴＣＰ／ＩＰ存在威胁同样出现在工业网络中。病毒、木马等威胁开始向工业控制系统扩散，信息安全问题日益突出。为了保障工业控制系统的信息安全，２０１１年９月工业和信息化部专门发文《关于加强工业
ＷＵＬａｎ
（ＴｈｅＩｎｆｏｒｍａｉｔｏｎＳｅｃｕｒｉｔｙＥｖａｌｕａｉｔｏｎＣｅｎｔｅｒｏｆＪｉａｎｇｓｕＰｒｏｖｉｎｃｅ，ＪｉａｎｇｓｕＷｕｘｉ２１４０７３，Ｃｈｉｎａ）

工业控制系统信息安全风险评估

44研究与探索Research and Exploration ·生产与管理中国设备工程 2019.05 (上)目前我国相应工业企业采用的控制系统呈现不断提升、改进、完善的发展趋势，其系统整体安全等级标准也不断增强，但在实践期间工业控制系统仍然较难从源头上对相应风险信息做合理的检控消解，这便使得整个工业控制系统发生安全风险的概率全面上升。

信息安全风险评估的提出、推广和普及有效解决了这一现象，实现了在短时间内识别并判断系统信息风险的目的，使整个工业控制系统运行的稳定性和安全性完全达到预期要求。

1 工业控制系统内容特点工业控制系统本身所具有的机械化、自动化、智能化特点较为突出，传统的工业生产基本都是以人工操作来体现，整个工业产品从设计到成型全过程基本都是人工操作的结果，过程极为繁复且生产效率相对较低，发生操作偏差的概率相对较高。

而工业控制系统的提出和应用，能够直接通过调节各种参数对相应生产目标做提前设定和控制生产，继而使整个工业生产品质和生产效率得以全面提升，这种大规模且高度自动化、智能化的机械生产设备有效替换人工操作，简化了工业生产流程，使整个生产过程安全性也完全得以体现。

2 工业控制系统信息安全风险评估的重要性工业控制系统信息安全作为工业控制系统的重要组成内容，明确系统信息安全标准是其风险评估的直观体现，而风险评估本质上是对工业控制系统所可能受到的各种外界威胁或资源缺失等情况的提前预估判定，以此使其信息安全标准可以得到有效衡量，突出系统中所存在的弱点和威胁程度，并根据具体信息明确其危机风险，再制定针对性解决方案，以此确保工业控制系统能够平稳高效的运行。

3 工业控制系统信息安全风险评估实践（1）专业风险评估体系框架的合理设定。

工业控制系统信息安全风险评估实践，应先结合实际情况，从风险评估体系框架设定角度出发，对整个信息安全风险评估内容做统一整理划分；此期间必须明确工业控制系统信息安全风险评估本质上是对监控与之有关各项信息、系统试件、其他硬件等方法，在非常规情况下，如果对应系统受到侵犯或破坏，风险评估便会及时启动，使工业控制系统损害降至最低。

工业控制系统信息安全风险评估研究

ｄｏｉ：ｌ０．３９６９／ｉ．ｉｓｓｎ．Ｉ６７２－５４６８．２０１６．０６．００ｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙＲｉｓｋＡｓｓｅｓｓｍｅｎｔｏｆＩｎｄｕｓｔｒｉａｌＣｏｎｔｒｏｌＳｙｓｔｅｍ
系统间的集成、互联和信息化管理水平。未来为了
提高生产效率和效益，丁控网络会越来越开放，不可能完全地隔离．所以Ｔ业控制系统的安全面临着巨大的挑战近几年来，国内外许多企业的ＤＣＳ控制系统已经有中病毒或遭黑客攻击的现象。给安
ＴＡＯＺｈｉ — ｊｉａｎ，ＹＡＯＲｉ－ｈｕａｎｇ
（１．ＨｕｎａｎＰｒｏｖｉｎｃｉａｌＰｕｂｌｉｃＳｅｃｕｒｉｔｙＤｅｐａｒｔｍｅｎｔ，Ｃｈａｎｇｓｈａ４１０００１，Ｃｈｉｎａ；
也ＪＪ：－＾【ｌＪ靠
环境试验
Ｖｏ１．
Ｎｏ６
ｒ，．２０１６
ＴＲｃ
Ｔ
熟
工业控制系统信息安全风险评估研究
陶志坚 ’ ．姚日煌
（１．湖南省公安厅，湖南长沙４１０００１；
ａｌｌ（Ｉｔｈｅｒｅｑｕｉｒｅｍｅｎｔｓｏｆｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｏｆｉｎｄｕｓｔｒｉａｌｃｏｎｔｒｏｌｓｙｓｔｅｍａｒｅａｎａｌｙｚｅｄ．ａｎｔｌｔｈｅｈｉｄｄｅｎｄａｎｇｅｒｏｆｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｔｈａｔｉｎｄｕｓｔｒｉａｌｃｏｎｔｒｏｌｓｙｓｔｅｍｍａｙｆａｃｅｉｓｐｏｉｎｔｅｄｏｕｔ．ＡｎｄＯｉｌｔｈｉｓｂａｓｉｓ．ｔｈｅｃｏｎｔｅｎｔ，ｍｅｔｈｏｄａｎｄｐｒｏｃｅｓｓｏｆｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｒｉｓｋａｓｓｅｓｓｍｅｎｌｏｆｉｎｄｕｓｔｒｉａｌｃｏｎｔｒｏｌｓｙｓｔｅｍａｒｅｐｕｔｆｏｒｗａｒｄ，ａｎｄａｓｅｔｏｆｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｒｉｓｋａｓｓｅｓｓｍｅｎｔｆｏｒｔｈｅｉｎｄｕｓｔｒｉａｌｃｏｎｔｒｏｌｓｙｓｔｅｍｉｓｓｕｍｍａｒｉｚｅｄ．

工业控制系统信息安全防护能力评估

工业控制系统信息安全防护能力评估嘿，朋友们，今天咱们聊聊一个挺有意思的话题，工业控制系统的信息安全防护能力评估。

听起来好像很高大上对吧？但咱们可以把它说得简单点，毕竟这事儿可关乎到我们每天的生活，比如你喝的水、用的电，甚至你吃的饭，都和这些系统有关。

想象一下，早上起来，你喝的水是从哪里来的？对，就是那些复杂的工业控制系统在背后默默操控。

可要是这玩意儿不安全，那就真得“提心吊胆”了。

咱们得知道，工业控制系统就像是一台精密的机器，所有的零件都得完美配合。

想象一下，你家里那台冰箱，里头的食材可是关乎生死的！要是冰箱的温控系统出问题，那可就得吃“变质食品”了。

这个道理放到工业控制系统上也是一样，像发电厂、水处理厂之类的地方，若是遭到攻击，那可是大事。

咱们都知道，信息安全就像是给机器穿上了一层盔甲，防止坏蛋从外面闯入，嘿，这可是“保护我们自己的保镖”呀。

好吧，那怎么评估这些系统的防护能力呢？这就得说到一些“高深莫测”的技术手段了。

评估过程就像打游戏，得先过一关再过一关，逐步摸索，找到系统的“软肋”。

咱们要看看这个系统的设计，像是架构、配置啥的。

设计得越好，安全性自然越高，反之就像是给敌人开了个门，简直是“自投罗网”。

接着得进行风险评估，听上去很复杂，但其实就是在问，哎，要是黑客来了，咱们的损失能有多大？这个得好好算算，不能光靠直觉。

然后，咱们就得进行渗透测试。

说白了，就是模拟黑客的行为，看看能不能轻易地“攻破城池”。

这个过程可得小心，不能让真实的系统受伤。

想象一下，咱们是在“做实验”，观察一下系统的反应。

真是“人算不如天算”，一些意想不到的漏洞就会在你面前暴露出来，真是让人哭笑不得。

就是定期审查。

这就像是给系统进行“体检”，确保没有潜在的风险。

俗话说，“防患未然”，可不能等到问题出现了才去解决。

对待工业控制系统的安全，绝不能掉以轻心，要时刻保持警惕。

毕竟，咱们都希望自己所依赖的这些系统能长长久久，不出差错。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

精选版
-15-
15
4.3.6 信息安全等级（SL）
1. 管理等级划分
根据信息安全控制实用规则（ISO27002）的管理要求和过程自动化用户协会（WIB）的推荐要求，通过管理评估，将管理等级划分为三级，分别为ML1，ML2和ML3，由低到高分别对应低级、中级和高级。
2. 系统能力等级划分
根据前面一节的内容，基于IEC62443-3-3 技术要求，通过系统能力（技术）评估，将系统能力等级分为四级，由小到大分别对应系统能力等级的CL1，CL2、CL3和CL4。
精选版
-10-
10
4.3.1 安全保障等级（SAL）
在IEC62443中引入了信息安全保障等级（Security Assurance Level，SAL）的概念，尝试用一种定量的方法来处理一个区域的信息安全。它既适用于终端用户公司，也适用于工业控制系统和信息安全产品供应商。通过定义并比较用于信息安全扫描周期的不同阶段的目标安全保障等级（SAL-T）、达到安全保障等级（SAL-A）和能力安全保障等级（SAL-C），实现预期设计结果的安全性。
3. 信息安全等级（SL）划分
根据管理评估和系统能力评估的结果，可以得到工业控制系统的评估结果，即信息安全等级，其等级划分为四级，由低到高分别对应为SL1，SL2、SL3和SL4，如表4-1 所示。
表4-1 信息安全等级表
Байду номын сангаас精选版
-16-
16
第4章工业控制系统信息安全风险评估
-3-
精选版
3
第4章工业控制系统信息安全风险评估
4.1 系统识别 4.2 区域与管道定义 4.3 信息安全等级（SL） 4.4 风险评估过程 4.5 风险评估方法
-4-
精选版
4
4.2.1 区域定义
1．区域定义
按照IEC 62443定义，“区域”是由逻辑的或物理的资产组成的，并且共享通用的信息安全要求。区域是代表需考虑系统分区的实体集合，基于功能、逻辑和物理关系。
《工业控制系统信息安全》
第4章工业控制系统信息安全风险评估
-1-
精选版
1
第4章工业控制系统信息安全风险评估
4.1 系统识别 4.2 区域与管道定义 4.3 信息安全等级（SL） 4.4 风险评估过程 4.5 风险评估方法
-2-
精选版
2
4.1 系统识别
需考虑的系统---是指公司工业控制系统与信息安全相关的部分，并非指整个工业控制系统，是与信息安全相关的设备和网络的总称。
精选版
-14-
14
4.3.5 系统能力等级（CL）
系统能力等级（CL）：能力等级 CL1：提供机制保护控制系统防范偶然的、轻度的攻击。能力等级CL2：提供机制保护控制系统防范有意的、利用较少资源和一般技术的简单手段可能达到较小破坏后果的攻击。能力等级CL3：提供机制保护控制系统防范恶意的、利用中等资源、ICS特殊技术的复杂手段的可能达到较大破坏后果的攻击。能力等级CL4：提供机制保护控制系统防范恶意的、使用扩展资源、ICS特殊技术的复杂手段与工具可能达到重大破坏后果的攻击。
功能安全系统使用安全完整性等级（Safety Integrity Level，SIL）的概念已有近20年。它允许一个部件或系统的安全表示为单个数字，而这个数字是为了保障人员健康、生产安全和环境安全而提出的基于该部件或系统失效率的保护因子。工业控制系统信息安全的评估方法与功能安全的评估有所不同。虽然都是保障人员健康、生产安全或环境安全，但是功能安全使用安全完整性等级（SIL）是基于随机硬件失效的一个部件或系统失效的可能性计算得出的，而信息安全系统有着更为广泛的应用，以及更多可能的诱因和后果。影响信息安全的因数非常复杂，很难用一个简单的数字描述出来。然而，功能安全的全生命周期安全理念同样适用于信息安全，信息安全的管理和维护也必须是周而复始不断进行的。
精选版
-12-
12
4.3.3 基本要求（FR）
1．FR1：标识和认证控制 2．FR2：使用控制 3．FR3：系统完整性 4．FR4：数据保密性 5．FR5：限制的数据流 6．FR6：对事件的及时响应 7．FR7：资源可用性
精选版
-13-
13
4.3.4 系统要求（SR）
1．FR1：标识和认证控制系统要求 2．FR2：使用控制系统要求 3．FR3：系统完整性系统要求 4．FR4：数据保密性系统要求 5．FR5：限制的数据流系统要求 6．FR6：对事件的及时响应系统要求 7．FR7：资源可用性系统要求
图4-2 多装置区域模型图
-5-
精选版
5
4.2.1 区域定义
2．信息安全区域定义
在工业控制系统中定义和设计区域、管道的目的是将具有相同的功能性和信息安全要求的设备分成组进行标识和分析，这也有利于设备和操作的管理。这样需要保护的就不是单个的设备而是整个区域。
-6-
精选版
6
4.2.2 管道定义
1．管道定义
按照IEC 62443定义，“管道”是连接两个或多个共享安全要求区域通信渠道的逻辑组。
-7-
精选版
7
4.2.2 管道定义
2．信息安全管道定义
-8-
精选版
8
4.2.3 区域定义模板
-9-
精选版
9
第4章工业控制系统信息安全风险评估
4.1 系统识别 4.2 区域与管道定义 4.3 信息安全等级（SL） 4.4 风险评估过程 4.5 风险评估方法
目标安全保障等级（SAL-T）是为特定系统设定的SAL。
达到安全保障等级（SAL-A）是特定系统信息安全实际的SAL等级。
能力安全保障等级（SAL-C）是指系统或组件正确配置时的信息安全等级。
精选版
-11-
11
4.3.2 安全保障等级（SAL）与安全完整性等级（SIL）的区别
IEC 62443中引入了信息安全保障等级（Security Assurance Level，SAL）的概念，尝试用一种定量的方法来处理一个区域的信息安全。通过定义并比较用于信息安全生命周期的不同阶段的目标SAL、设计SAL、完成SAL和能力SAL，实现预期设计结果的安全性。它从身份和授权控制、使用控制、数据完整性、数据保密性、受限数据流、事件适时响应、资源可用性7个基本要求入手，将信息安全保障等级分为4个等级。