摘要：本文介绍了《密码法》施行一年来密码在夯实工业信息安全方面起的作用，探讨了密码对工业控制系统安全、工业互联网发展的支撑作用。

关键词：密码；工业信息安全；工业控制系统；工业互联网

1　引言

2019年10月26日，第十三届全国人大常委会第十四次会议表决通过《中华人民共和国密码法》（以下简称：《密码法》）[1]，自2020年1月1日起施行。密码法的出台，对于加强我国在密码管理和应用等方面的法律保障，推广核心、普通、商用密码应用，进一步夯实工业信息安全基础等指出了路径和方向。在密码法中，相比1999年颁布的《商用密码管理条例》[2]，商用密码的管理和使用在法律条款上有了较大改变，国家对商用密码不再实行专控管理，而是给予了外资企业无差别无歧视的商用密码从业单位称号，这对于提升我国外资品牌市场占有率占70%以上的工业控制系统及大量使用开源技术设计建设的工业互联网平台的本质安全具有重大的意义。《密码法》发布之后，国家发展改革委、国家密码管理局、工业和信息化部等国家有关部门启动实施了多个密码应用专项，初步形成了试点示范效应，有效推动了商用密码在工业控制系统、工业互联网平台等非传统领域的应用。

2　密码在工业信息安全的基础支撑作用

工业信息安全是近年来新兴的一个概念。国内最早提及工业信息安全一词的文件是《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号）[3]，该文件在“二、主要任务（十）提高工业信息系统安全水平”中提到：“制定完善工业信息安全管理等政策法规，健全工业信息安全标准体系……以提升工业信息安全监测、评估、验证和应急处置等能力为重点，依托现有科研机构，建设国家工业信息安全保障中心，为制造业与互联网融合发展提供安全支撑。”

2017年，在工业和信息化部的支持下，工业和信息化部电子第一研究所更名为国家工业信息安全发展研究中心（以下简称：国家工信安全中心），国家工信安全中心对工业信息安全内涵进行了深入研究和广泛调研，组织起草了《工业信息安全标准体系白皮书》。白皮书中提到，一切涉及到工业领域的信息安全都属于工业信息安全范畴，其内涵十分丰富。从重要性来看，工业信息安全是网络安全的重要组成，是国家总体安全观在工业领域的重点体现，其事关经济发展、社会稳定和国家安全，做好工业信息安全工作是关系国计民生和国家长治久安的大事；从保障内容来看，工业信息安全泛指各工业相关领域的信息安全，包括工业控制系统安全、工业互联网安全、工业数据安全、工业云安全等。

《密码法》第二条给出了密码的定义，是指“采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务”。第三条明确了密码工作原则，“密码工作坚持总体国家安全观，遵循统一领导、分级负责，创新发展、服务大局，依法管理、保障安全的原则”。总体安全观是在2014年4月15日上午，中共中央总书记、国家主席、中央军委主席、中央国家安全委员会主席习近平主持召开中央国家安全委员会第一次会议时提出的[4]。他首次提出了总体国家安全观，并首次系统提出“11种安全”，要构建集政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全等于一体的国家安全体系。在总体安全观思想的指导下，分析密码和工业信息安全的关系，可以说密码是工业信息安全的基础或者说其夯实了工业信息安全基础。如无密码支撑，则工业信息安全根基不牢，犹如沙堆建房。

《密码法》对密码进行了分类管理。密码分为核心密码、普通密码和商用密码。核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高密级为机密级。工业领域中涉及到核心密码、普通密码使用的单位主要有工业领域政府管理或监管部门和军工企业。核心密码、普通密码主要侧重于对涉及国家秘密信息的保护，保护载体包括涉密单台台式机、涉密笔记本、涉密存储介质，联网形态包括涉密网及承载的涉密信息系统，主要执行分级保护标准。核心密码、普通密码均属于国家秘密，也属于需要保护的范围。然而无论是核心密码还是普通密码，涉密网络和系统或者涉密单机，都侧重于对信息的保护，侧重于对信息的信息安全三性需求之一——“机密性”的保护，这种“机密性”保护在特定条件下可以牺牲“可用性”，实时性和并发量要求不高。

工业领域中海量面对的是不涉及国家秘密的生产数据、设备信息、工艺参数等。商用密码可用于保护此类信息，对此类信息的保护也是工业信息安全的重要组成部分。目前对非涉密信息和系统的保护，多个国家标准主要参考了国际信息安全准则和标准。如国际标准化组织ISO提出了OSI安全体系框架；美国国家安全局（NSA）提出了信息保障技术框架（IATF）和可信计算机系统评估标准（TCSEC），美国ISS公司提出了P2DR动态网络安全体系模型；欧洲提出了信息技术安全评估标准（ITSEC）；我国提出了以《网络安全等级保护基本要求》为基础的若干标准。国际通用的“信息技术安全评价通用准则标准”（简称CC标准），它是在美国的TCSEC、欧洲的ITSEC、加拿大的CTCPEC等信息安全准则的基础上，由6个国家7方（美国国家安全局和国家技术标准研究所、加拿大、英国、法国、德国、荷兰）共同提出，综合了已有的信息安全的准则和标准，形成了一个更全面的框架。分析总结这些信息安全准则和标准，会发现无论哪种安全准则、模型、框架等，都离不开密码。或者说信息安全三性（保密性、完整性、可用性）的实现离不开密码。而如果将信息安全从三性扩充到七性（保密性、完整性、可用性、可靠性、认证性、审计性、不可否认性），那么可以说除可靠性外，其它六性都与密码密不可分。

3　工业控制系统安全迫切需要密码支撑

工业控制系统发展至今大约有70年时间，经历了集中控制、分层控制、基于现场总线的网络控制、现场总线和工业以太网的混合控制等多个阶段，目前主要有以下产品形态：数据采集与监控系统（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）、现场总线控制系统（FCS)、安全仪表系统（SIS）、远程终端单元（RTU）、智能电子设备（IED）、主终端设备（MTU）。

工业控制系统广泛运用于工业制造、能源、交通、水利以及市政等领域，随着信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与企业信息内网、公共互联网等进行网络连接，工业控制系统从封闭走向开放，从专有走向通用，特别是在工业互联网的发展背景下，开放互联的趋势更加明显，典型工业企业工业控制系统体系架构如图1所示。

图1 典型数字化工业企业工业控制系统体系架构

工业控制系统安全迫切需要密码支撑。随着改革开放的不断深入，两化融合日益深化，工业控制系统广泛用于国家核心领域，工业领域社会生产力得以迅猛发展，工业生产环境逐步从封闭走向开放，工业控制系统由单机走向互联，计算机、网络、通信、自动化等多种技术在工业生产环境得到充分利用。然而，全球范围内针对工业领域的网络攻击有增无减，信息窃取、勒索攻击、病毒感染、网络间谍、黑客入侵等攻击手段花样多变，攫取经济利益、盗取知识产权、攻击关键信息基础设施等大规模的安全事件屡有发生，对政治、经济、军事、国家和社会安全等造成直接威胁和现实影响，工业控制系统安全成为各国政府高度关注的重大安全领域。解决工业控制系统安全问题必须适应工业控制系统长期处于“有毒带菌”的实际环境和难以整改的客观困难，《密码法》对提升工业控制系统本质安全、加强工业信息安全具有十分重大的意义。可以说，《密码法》的贯彻落实是提高工业控制系统信息安全保障能力的重要途径。

从工业控制系统安全的调研情况来看，工业控制系统中使用密码进行保护的比率是很低的。我国工业控制系统的国产密码应用基础薄弱，工业控制系统的国产密码应用程度较低，占比仅为2.08%，密码推广应用挑战严峻。原因主要有以下几个方面：一是我国1999年颁布的《商用密码管理条例》第三条规定：“商用密码技术属于国家秘密。国家对商用密码产品的科研、生产、销售和使用实行专控管理。”这一条款对于大量成套引进的工业控制系统（国外品牌占有率70%以上）来说无疑是障碍性条款，国外厂商不愿或者难以使用商用密码产品进行安全增强，国内安全厂商难以对国外控制系统进行安全集成。二是面向工业控制系统的专用密码产品较少，多为外挂式或者插拔式，难以嵌入工业控制系统业务流程。三是针对工业控制系统数据存储和传输等环节的密码产品较少，工业控制系统数据加密存储应用占比仅为6.9%，工业控制系统数据加密传输应用占比仅为6.0%。在工控安全领域，密码产品和算法多用于工业控制系统的访问控制和身份认证，在数据（多为时序数据，存储于时序数据库）加密存储和加密传输方面的密码应用十分缺乏，难以满足工业控制系统的数据存储和传输的安全需求。四是现有密码技术产品难以满足工业控制系统实时性、稳定性要求，现有密码技术产品在实时性等方面还需与工业控制系统进行深度的试配与验证。例如，采集执行层的无线通信加密技术和串口连接加密技术尚不成熟，集中监控层与现场控制层间的数据传输需要轻量级、低时延的密码算法支撑。若现有国产密码算法直接应用于工业控制系统数据传输的加解密操作，工业控制系统的数据实时性所受影响的严重程度尚无数据支撑。同时工业控制系统中大量数据交互、频繁加解密会占用计算资源、产生时延，降低系统性能和运行速度，还会在一定程度上增加信道占用时间，加剧信道冲突风险，导致系统运行不稳定。五是国产密码技术产品在工业控制系统中的推广应用困难，一方面因为国产密码技术产品在工业控制系统中的应用缺乏安全测评，难以让企业信服并推广应用，另一方面在工业控制系统环境中开展国产密码技术产品安全性、稳定性、可靠性测评的技术手段较为缺乏。此外，密码技术产品的市场竞争力弱、企业认可度低、应用模式不清、标准规范缺失等因素都使得国产密码推广应用受限。

《密码法》的出台为工业控制系统密码推广应用奠定了基础。《密码法》在总则第八条明确规定：“商用密码用于保护不属于国家秘密的信息。公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。”对于商用密码管理和使用，《密码法》第三章共用十一条条款规定了商用密码管理和使用的多个方面，突破了我国1999发布的《商用密码管理条例》的若干规定。总体来说，《密码法》的出台将对工业控制系统商用密码应用推广有以下推动作用：

（1）推动外商投资企业在工业控制系统的密码使用。第二十一条提出了商用密码从业单位的概念，对外商投资企业和内资投资企业采用无差别化对待，“国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全统一、开放、竞争、有序的商用密码市场体系，鼓励和促进商用密码产业发展。各级人民政府及其有关部门应当遵循非歧视原则，依法平等对待包括外商投资企业在内的商用密码科研、生产、销售、服务、进出口等单位（以下统称商用密码从业单位）。国家鼓励在外商投资过程中基于自愿原则和商业规则开展商用密码技术合作。行政机关及其工作人员不得利用行政手段强制转让商用密码技术。”这一条款的出台将大大促进GE、西门子、施耐德、罗克韦尔自动化、横河电机等国外制造商在其工控产品中使用密码以达到中国用户的安全需求。同时第二十五条规定，“国家推进商用密码检测认证体系建设，制定商用密码检测认证技术规范、规则，鼓励商用密码从业单位自愿接受商用密码检测认证，提升市场竞争力。”这一条款也将改变外商对于强制条款的心理抵制，由专控管理实现市场引导。

（2）推动工业控制系统密码应用标准的制、修定。密码法第二十二条、二十三条、二十四条都对商用密码体系的建立和完善、商用密码标准国际化及转化、企业商用密码标准制定等做出了相关规定，这些条款将大大提高工业控制系统用户、安全厂商、产品厂商等制、修订标准的热情，不断建立和完善工业控制系统密码应用标准体系。

（3）推动商用密码在特定工业控制系统（列为关键信息基础设施且有密码应用要求）中使用、应用安全测评和国家安全审查。《密码法》第二十七条规定：“法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，自行或者委托商用密码检测机构开展商用密码应用安全性评估。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国网络安全法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。”工业领域的关键信息基础设施极有可能是从涉及国家安全、国计民生、社会公共利益的工业控制系统中产生，这类工业控制系统是国家势力、敌对分子、黑客蟊贼等重点关注和攻击的对象，只有建立在密码保障的基础上，才能实现此类系统的本质安全。

4　商用密码促进工业互联网平台发展

工业互联网是新一代信息技术与制造业深度融合的产物，是实现生产制造领域全要素、全产业链、全价值链连接的关键支撑，是工业经济数字化、网络化、智能化的重要基础设施，是互联网从消费领域向生产领域、从虚拟经济向实体经济拓展的核心载体。工业互联网内涵和外延也在不断拓展，工业互联网的两大属性是“工业”和“互联”，以工业互联网为纽带，工业互联网包括工业控制系统、工业物联网、工业云、工业数据及5G、区块链等其他新兴的工业互联网形态。工业云是工业互联网平台及工业物联网的基础技术，而工业互联网平台是传统工业云平台的迭代升级。工业互联网平台除工业云外，还包括边缘层、工业应用以及平台上的工业数据，并且与工业物联网有交叉关系。工业互联网的发展模糊了物理世界和虚拟世界的界限，由此引发的网络攻击往往会造成比过去更严重的影响。工业互联网安全不是单个企业乃至一个行业能够独自实现的。工业互联网体系架构如图2所示。

图2 工业互联网体系架构

在工业互联网发展上，可以说我国和发达国家处于同一起跑线，我国甚至可能“集中力量办大事”，实现“弯道超车”。美国有GE公司的Predix平台，德国有西门子公司的MindSpere平台，我国具有一定行业和区域影响力的工业互联网平台总数超过了50家，重点平台平均连接的设备数量达到了59万台[5]。然而，我国工业互联网技术和设备对外依存度依然高居不下，对国外技术和设备存在的后门难以掌握。2018年工业和信息化部对全国30多家大型企业共130多种关键基础材料进行调研，结果显示，32%的关键材料在中国仍为空白，52%依赖进口，绝大多数计算机和服务器通用处理器中95%的高端专用芯片、70%以上智能终端处理器以及绝大多数存储芯片依赖进口。在装备制造领域，高档数控机床、高档装备仪器、运载火箭、大飞机、航空发动机、汽车等关键件精加工生产线上逾95%制造及检测设备依赖进口。

对国外产品的大量使用和依赖不仅涉及信息安全，也涉及供应链安全。难以确保是否存在后门，后门是否得到管控。后门是指那些人为设置的、能绕过安全性控制而获取对系统控制或访问权的秘密机制。设置方可以随时利用后门更改系统设置，使用方很难发觉。后门的危害很大。它犹如“定时炸弹”或“特洛伊木马”，可被促发或者设置时间戳，在特定时间瞬间造成严重损害，让人无力反击。我国在2000年左右，电力、民航等多个重要系统都曾发生过收到不明指令而出现系统事故的案例。此外，我国供应链安全审查还缺乏体系化的成功经验，在中美贸易的复杂形势下，如果“美国技术含量”超过25%的技术产品通过“穿马甲”的方式被引入工业互联网的基础设施和重要系统将会构成重大的安全隐患。

工业互联网安全是工业信息安全的重要组成部分，工业互联网的发展迫切需要同步应用和发展密码。后门可以通过密码进行避免，使用密码技术，对人员、软硬件、进程等进行可信验证，就可以保证没有后门。同时，工业互联网的发展迫切需要在“端管云”中全方位体系化地应用密码。“端”可以理解为采集端或执行器，端的身份在接入时需要认证，端在执行重要指令时需要对发令方身份进行认证；“管”可以理解为通信信道，端采集的数据在向平台传输时需要加密，平台向特定执行器下发数据时也需要加密；“云”可以理解为平台，平台的安全策略需要以密码为保障。工业互联网上使用的重要商用密码产品和服务需进行检测认证，《密码法》第二十六条规定：“涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供。商用密码产品检测认证适用《中华人民共和国网络安全法》的有关规定，避免重复检测认证。商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格。”

5　结束语

我国已发布一系列的商用密码标准，包括SSF33、SM1（SCB2）、SM2、SM3、SM4、SM7、SM9、祖冲之密码（ZUC）算法等。其中，SSF33、SM1、SM4、SM7、ZUC算法是对称算法，SM2、SM9是非对称算法，SM3是杂凑算法。这些算法相比MD5、RSA、DES等国外算法来说在安全性和速率方面更具优势，且在电力、银行、交通、社保等多个行业都得到成功应用。贯彻落实密码法，将大大促进密码在工业信息安全领域的应用，夯实工业信息安全基础，促进工业生产力的爆发。

作者简介：

何小龙（1969-），四川成都人，高级工程师，硕士，现任国家工业信息安全发展研究中心副主任，主要研究方向为工业信息安全、数据安全、两化融合等。

陈雪鸿（1976-），湖南怀化人，高级工程师，硕士，现任国家工业信息安全发展研究中心保障技术所所长，主要研究方向为工业信息安全、密码学、工业控制系统安全、电力监控系统安全。

杨帅锋（1989-），浙江绍兴人，工程师，硕士，现任国家工业信息安全发展研究中心保障技术所研究总监，主要研究方向为工业信息安全、数据安全、关键信息基础设施安全。

张雪莹（1992-），河南安阳人，工程师，硕士，现就职于国家工业信息安全发展研究中心保障技术所，主要研究方向为工业信息安全、数据安全、关键信息基础设施安全。

参考文献：

[1] 全国人民代表大会. 中华人民共和国密码法[EB/OL]. http://www.npc.gov.cn/, 2019.

[2] 国家密码管理局. 商用密码管理条例[EB/OL]. http://www.oscca.gov.cn/, 1999.

[3] 国务院. 国务院关于深化制造业与互联网融合发展的指导意见[EB/OL]. http://www.gov.cn/, 2016.

[4] 中央国家安全委员会第一次会议召开 习近平发表重要讲话[EB/OL]. http://www.gov.cn/, 2014.

[5] 我国工业互联网已实现全方位突破[EB/OL]. http://www.xinhuanet.com/, 2019.

摘自《自动化博览》2020年12月刊