1　引言

近年来，自动化领域对工业控制系统（ICS）的需求不断提升，特别是两化融合以来，对工业控制系统的实时性、可交互性等要求越来越高。以往的工业控制系统是孤立、封闭的信息系统，而随着工业控制系统本身对控制实时响应速度的要求不断提高，工业控制系统的大型化和多个工业控制系统之间互联互通、整体协调需求的提出，工业控制系统逐渐向信息技术（IT）发展，从基于现场总线的单层过程控制网络发展到了通过工业以太网与工程师工作站所在的过程管理网络再到和企业办公网络互联的多层结构的复杂网络。

然而，由于工业控制系统在开发初期主要关注可用性和可靠性，而对保密性和安全性要求不高，不可避免地存在较多的安全缺陷。据相关统计，自2010年专门针对工业控制系统进行攻击的“震网”病毒被发现以来，工业控制系统的信息安全问题不断凸显，被公开披露的工业控制系统的漏洞呈井喷式的增长。相应的，工控信息安全专用产品也得到了越来越多的重视，研发生产、应用、测试、评价标准的制定等工作也在相关政策的支持下快速地开展起来。

2　我国工控安全的现状和相关政策

随着工控信息安全问题的日益凸显，我国相关职能部门也陆续出台了针对性的政策，提高业界的重视度，规范和引领工控安全领域技术、产品和系统的研发，以提高我国工控信息安全水平。

今年8月8日，工信部正式发布了《2014年工业控制系统信息安全蓝皮书》，指出目前国内工控信息安全市场规模不到2亿元，仅占信息安全整体市场1%，主要以工业防火墙和工业隔离网关等硬件产品为主，专用杀毒软件有一定应用，嵌入式模块产品有少量应用，安全服务尚处在初步导入期。其它比如入侵防护、安全审计、现场运维管理平台、工控可靠性安全管理平台等产品处于产品布局期。

但是，与之相对应的是我国工控安全严峻的现状，与欧美国家相比，国内工控安全水平、发展速度与欧美发达国家相比差距仍非常大。我国工控安全相关领域的工作起步比较晚，2011年工信部发布《关于加强工业与控制系统信息安全管理的通知》（工信部协[2011]451号，以下简称“451号文”），451号文指出了工业控制系统信息安全的重要性和紧迫性，点明了我国工业控制领域信息安全工作的问题和不足，明确重点领域工业控制系统信息安全管理要求，提出要建立工业控制系统安全测评检查和漏洞发布制度。2012年，温家宝总理主持召开国务院常务会议，审议通过了《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发〔2012〕23号），其中明确提出要“保障工业控制系统信息安全”。2012年和2013年连续两年的发改委国家信息安全专项中均有对工业控制信息安全领域相关产品的支持，包含了工控防火墙、工控系统异常行为审计、工控安管平台、面向现场设备环境的边界安全专用网关、面向集散控制系统（DCS）的异常监测、安全采集远程终端单元（RTU）和工业应用软件漏洞扫描等多种类型的工业控制系统安全产品。

可以看出，目前我国工控安全行业处于刚起步阶段，很多方面都处于空白待探索的现状，不过虽然规模小，但由于工控安全牵扯到工业生产运行安全、国家经济安全和人民生命财产安全，因此政策上的扶持力度非常大。

3　工控信息安全专用产品和系统

目前，一个典型的工业控制系统的结构如图1所示，按照AMR组织提出的一个通用的制造企业信息传递的环节，企业的信息系统可以分为三层，依次为业务计划层、制造执行层和过程控制层，是决策细化下达和执行结果汇总上传的信息沟通模式。

从网络构成来说，业务计划层是企业的办公网，主要涉及企业级应用，如ERP、OA等；制造执行层是监控网络，主要部署SCADA服务器、数据库、生产调度系统等；过程控制系统部署的是比较典型的控制网络，但也可以细分为工业以太网和工业总线网，其实也是最为复杂的网络。细分下来，可以按照通信线路和协议类型区分，企业办公网和工程师工作站通常使用传统的以太网相互连接；工程师工作站和PLC之间的通讯通常使用工业以太网，目前常用的工业以太网协议有：Modbus TCP/IP、OPC、Profinet、Ethernet/IP、EtherCAT、Powerlink等；PLC与现场控制点、现场仪表等的连接由于目前以太网并不能完全胜任复杂的工控环境，无法保证通信的实时可靠，因此仍然大量使用传统的现场总线。

图1　典型的工业控制系统及工控安全产品的预期部署

根据目前工控信息安全面临的威胁以及可以采取的防护措施来看，和工控安全联系最为紧密的是信息管理层、生产管理层、工业控制层三个层级之间的隔离，其中使用传统以太网互联的信息管理层和生产管理层之间可以部署常规的网络隔离设备和工控安全设备，包括防火墙、工控漏洞扫描、工控专用杀毒软件、工控安管平台，用于对与外部互联网通讯的数据进行过滤，同时对整个执行制造层和过程控制层进行监控和管理；使用工业以太网互联的生产管理层和工业控制层之间通常部署工控防火墙、现场环境边界安全专用网关和工控异常行为监测与审计，主要用于防范在工程师工作站通过不安全的移动设备未授权接入带来的病毒和木马，同时对工控网络进行安全审计，及时发现异常情况并报警。

此外，作为信息安全中不可或缺的一部分，工业控制系统的信息安全还需要安全服务的支撑，包括风险评估、安全审计、咨询培训、安全管理等多个方面，目前这部分的工作仍然基本处于空白。

4　工控安全相关标准

工控信息安全专用产品作为刚起步的信息安全产品类别，尚没有完善的标准体系，但是相关的标准制定工作已经开展。我国的相关标准制定工作起步较晚，目前国际上较为完善的工业控制信息安全标准体系为IEC62443工业通信网络信息安全系列标准，是由IEC/TC65/WG10(工业过程测量、控制与自动化/网络与系统信息安全工作组)与国际自动化协会ISA99成立的联合工作组共同制定的，并在2011年对标准体系进行了优化，定名为《工业过程测量、控制和自动化网络与系统信息安全》，包含了通用、信息安全程序、系统技术和部件技术4部分共12个文档，对资产所有者、系统集成商、组件供应商进行了相关信息安全的要求。

目前，制定我国工控信息安全相关标准的组织主要有全国信息安全标准化技术委员会（TC260）和全国工业过程测量和控制标准化技术委员会（TC124），对工业控制系统信息安全的基础标准、安全管理、安全策略和应用标准开展制定工作。其中包含了工业控制系统的安全防护要求、等级保护、网络安全防护、风险评估和安全产品和系统测评相关工作的标准。此外，在行业标准方面，电力系统最早关注工控信息安全，其标准化进度也相对较为领先；而公安行业标准近两年也开始制定相关工控安全标准，主要关注专用的信息安全防护产品，涉及工控防火墙、工控审计产品、工控安全隔离与信息交换系统、工控安全管理平台和工控入侵检测系统等。在发改委组织实施的2012、2013年国家信息安全专项中，工控领域的安全产品已经形成了较为完善的行业标准和相应的测评方案。

5　对我国工控安全工作的建议

目前，国外的工控信息安全领域经过十多年的发展，已经形成了一套含风险信息发布、共享、风险漏洞处理、安全态势预警感知和响应多个环节在内的完善信息安全事件响应队伍和具有强大的漏洞验证分析和技术支撑能力的机构；对于工控信息安全产品和系统的测试与评估，也有较为完善的标准、评估体系和丰富的评估测试工具。

对比国外的发展趋势，我国的工控安全工作应该在以下几个方面进行借鉴和思考：

（1）对风险处理机制进一步完善，共享工控安全风险信息；

（2）检测审计工控安全异常数据，关联分析构成预警体系；

（3）相关研究机构成立响应小组，打造应急相应技术团队；

（4）加强工控信息安全标准制定，规范产品系统测试评估；

（5）对重点行业定期检查和认证，构建我国工控安全认证。

6　结语

工业控制系统信息安全作为近年来越来越受到重视和政策支持的领域，充满了挑战和机遇，从工控系统的设计规划到运行维护必须将信息安全考虑在每一个环节之中；工控信息安全专用产品和安全服务作为工控信息安全系统的重要组成部分，仍然处于起步阶段且缺少完善的标准体系和评价方法；因此，我国的工控安全工作仍然需要进一步的加强，逐步形成成熟的体系和产业化，为我国的工业生产安全保驾护航。

作者简介

田原（1988-），辽宁昌图人，硕士，毕业于西安交通大学，现就职于公安部第三研究所，主要从事计算机信息安全产品检测等工作。

参考文献

[1]工信部.关于加强工业与控制系统信息安全管理的通知.

[2]工信部电子科学技术情报研究所.2014年工业控制系统信息安全蓝皮书[R]. 2014.

[3]沈清泓.工业控制系统三层网络的信息安全检测与认证[J].自动化博览, 2014 (7) : 68-71.

[4]欧阳劲松，丁露.IEC62443工控网络与系统信息安全标准综述[J].信息技术与标准化，2012 (3) : 24-27.

[5]王斌.工业控制系统信息安全的安全保障－Achilles认证[J].自动化博览, 2014 (1) : 50-52.

[6]王婷,向憧,韩雷峰,彭勇.2013年工业控制系统信息安全观察与思考[J]. 2014 (4) : 114-115.

摘自《工业控制系统信息安全专刊（第一辑）》