工业控制系统安全控制应用指南_dcs对接安全管理平台方案

工业控制系统安全控制应用 指南

工业控制系统（ICS）（包括监控和数据采集系统（SCADA）、分布式控制系统(DCS)、可编程逻辑控制器(PLC)等产品）在核设施、航空航天、先进制造、石油石化、油气管网、电力系统、交通运输、水利枢纽、城市设施等重要领域得到了广泛的应用。

随着信息技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，传统信息系统所面临的病毒、木马等威胁正在向工业控制系统领域不断扩散，工业控制系统的信息安全问题日益突出。

工业控制系统安全控制应用指南是针对各行业使用的工业控制系统给出的安全控制应用基本方法，是指导选择、裁剪、补偿和补充工业控制系统安全控制，形成适合组织需要的安全控制基线，以满足组织对工业控制系统安全需求，实现对工业控制系统进行适度、有效的风险控制管理。

本标准适用于工业控制系统拥有者、使用者、设计实现者以及信息安全管理部门，为工业控制系统信息安全设计、实现、整改工作提供指导，也为工业控制系统信息安全运行、风险评估和安全检查工作提供参考。

工业控制系统安全控制应用指南 范围

本标准提供了可用于工业控制系统的安全控制列表，规约了工业控制系统的安全控制选择过程，以便构造工业控制系统的安全程序–一种概念层面上的安全解决方案。

本标准适用于：

1）方便规约工业控制系统的安全功能需求，为安全设计（包括安全体系结构设计）和安全实现奠定有力的基础。

2）指导工业控制系统安全整改中安全能力的调整和提高，以便能使工业控制系统保持持续安全性。

本标准的适用对象是组织中负责工业控制系统建设的组织者、负责信息安全工作的实施者和其他从事信息安全工作的相关人员。

工业控制系统安全控制应用指南 规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 25069-2010 信息安全技术 术语

GB/T 20984-2007 信息安全技术 信息安全风险评估规范

GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求

GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南

GB/T 22081-2008 信息安全技术 信息安全管理实用规范

工业控制系统安全控制 应用术语和定义

GB/T 25069-2010界定的以及下列术语和定义适用于本标准。

工业控制系统（ICS） industrial control system

工业控制系统（ICS）是一个通用术语，它包括多种工业生产中使用的控制系统，包括监控和数据采集系统（SCADA），分布式控制系统（DCS），和其他较小的控制系统，如可编程逻辑控制器（PLC），现已广泛应用在工业部门和关键基础设施中。

监控和数据采集系统（SCADA）supervisory control and data acquisition system

在工业生产控制过程中，对大规模远距离地理分布的资产和设备在广域网环境下进行集中式数据采集与监控管理的控制系统。它以计算机为基础、对远程分布运行设备进行监控调度，其主要功能包括数据采集、参数测量和调节、信号报警等。SCADA系统一般由设在控制中心的主终端控制单元（MTU）、通信线路和设备、远程终端单元（RTU）等组成。

分布式控制系统（DCS ）distribution control system

以计算机为基础，在系统内部（组织内部）对生产过程进行分布控制、集中管理的系统。DCS系统一般包括现场控制级、控制管理级两个层次，现场控制级主要是对单个子过程进行控制，控制管理级主要是对多个分散的子过程进行调度管理、数据采集和集中显示。

可编程逻辑控制器（PLC ）programmable logic controller

采用可编程存储器，通过数字运算操作对工业生产装备进行控制的电子设备。PLC主要执行各类运算、顺序控制、定时执行等指令，用于控制工业生产装备的动作，是工业控制系统的主要基础单元。

安全控制 security control

应用于工业控制系统的管理、运行和技术上的防护措施和对策，以保护工业控制系统及其信息的保密性、完整性和可用性等。

安全程序 security program

在工业控制系统的安全建设中，为满足组织安全需求和安全目的，适当采选的一组有序的安全控制集。

安全控制族 security control family

本标准将相关主题的安全控制作为一个安全控制族，所有的安全控制分成18个安全控制族，即：规划（PL）、安全评估与授权（CA）、风险评估（RA）、系统与服务获取（SA）、程序管理（PM）、人员安全（PS）、物理与环境安全（PE）、应急计划（CP）、配置管理（CM）、维护（MA）、系统与信息完整性（SI）、介质保护（MP）、事件响应（IR）、教育培训（AT）、标识与鉴别（IA）、访问控制（AC）、审计与问责（AU）、系统与通信保护（SC）。

安全控制基线 security control baseline

安全控制基线是安全控制选择过程的起始点，是为帮助组织选择满足安全需求的、最具成本效益的、适当的安全控制集而制定的最低安全基准线。

工业控制系统安全控制应用缩略语

ICS 工业控制系统（Industrial Control System）

SCADA 监控与数据采集系统（Supervisory Control And Data Acquisition）

DCS 分布式控制系统（Distributed Control System）

PCS 过程控制系统（Process Control System）

PLC 可编程逻辑控制器（Programmable Logic Controller）

RTU 远程终端单元（Remote Terminal Unit）

IED 智能电子设备（Intelligent Electronic Device）

DRP 灾难恢复计划（Disaster Recovery Planning）

ACL 访问控制列表（Access Control List）

DNS 域名系统（Domain Name System）

DHCP 动态主机配置协议（Dynamic Host Configuration Protocol）

DNP 分布式网络协议(Distributed Network Protocol）

RPC 远程过程调用协议（Remote Procedure Call Protocol）

DCOM 分布式组件对象模式（Microsoft Distributed Component Object Model）

OPC 用于过程控制的对象连接与嵌入(Object Linking and Embedding for Process Control)

PAD 个人数字助手，又称掌上电脑（Personal Digital Assistant）

DoS 拒绝服务(Denial of Service)

CVE 通用漏洞列表(Common Vulnerabilities and Exposures)

OVAL 脆弱性评估语言（Open Vulnerability Assessment Language）

EAL 评估保证级（Evaluation Assurance Level）

PKI 公钥基础设施(Public Key Infrastructure)

AC 访问控制（Access Control）

AT 教育培训（Awareness and Training）

AU 审计与问责（Audit and Accountability）

CA 安全评估与授权（Security Assessment and Authorization）

CM 配置管理（Configuration Management）

CP 应急计划（Contingency Planning）

IA 标识与鉴别（Identification and Authentication）

IR 事件响应（Incident Response）

MP 介质保护（Media Protection）

PE 物理与环境安全（Physical and Environmental Protection）

PL 规划（Planning）

PM 程序管理（program management)

PS 人员安全（Personnel Security）

RA 风险评估（Risk Assessment）

SA 系统与服务获取（System and Services Acquisition）

SC 系统与通信保护（System and Communications Protection）

SI 系统与信息完整性（System and Information Integrity）

工业控制系统安全控制概述

从概念上来说，工业控制系统的安全与其它领域的安全是一样的，如下图所示：

1. 安全（SECURITY）及其相关概念

该图表明了安全（security）及其相关概念间的关系。其中的控制是指：应用于工业控制系统中管理、运行和技术上的保护措施和对策，以保护工业控制系统及其信息的保密性、完整性和可用性等。应用这些控制的目的是，减少脆弱性或影响，抵御工业控制系统所面临的安全威胁，从而缓解工业控制系统的安全风险，以满足利益相关者的安全需要。

本标准附录B中给出了可用于工业控制系统的安全控制列表。

为了有效地表达工业控制系统中管理、运行和技术上的措施和对策，应给出该措施对应的动作、输入/输出及其对应的前置条件和后置条件，特别是给出该控制的效果。例如：关于审计处理失效响应的控制：

其中的“报警”和“采取组织定义的动作”，就是该控制对应的动作；而“审计处理失效的事件”就是该控制的一个输入；“向组织定义的人员（报警）”就是该控制的一个后置条件。并且，通过补充指导，强调了该措施和对策的其它要素，例如：

如果有必要强调一个控制在深度上的能力，以支持更可靠的保护，可通过控制增强来表达，例如：就上述的控制而言，其控制增强可表达为：

因此，为了更方便地使用控制选择和规约过程，把控制概括为十八个族。每个族包含一些与该族的安全功能相关的安全控制。为每个控制族赋予了唯一的由两个字符组成的标识符，并对族中的每个安全控制，采用了如下基本的描述结构：

其中：

控制节为保护组织或工业控制系统的某个特殊方面，提供了所需要的特定安全能力的简洁陈述，描述了要由组织或工业控制系统进行的与安全相关的活动或动作。对于某些控制，通过允许组织选择性地定义与该控制相关参数的输入值，如使用控制中的“赋值”和“选择”操作，实现一定程度的灵活性。

补充指导节提供了一些与特定安全控制相关的信息，指导组织在定义、开发和实现安全控制时适当地使用。在一些情况中，补充指导提供了在组织运行环境、特定业务需求或风险评估中关切的安全需求，或一些重要的注意事项，以及实现安全控制所需要的灵活性等细节。

控制增强节为：

1. 对基本的控制构造附加的、相关的安全能力；
2. 增强基本控制的安全能力。

提供了相应的陈述。控制增强用于需要更大保护的工业控制系统。

通过控制节、补充指导节和控制增强节所描述的控制，使给出的每一控制可有效地表达工业控制系统的安全需求。

本标准给出的三大安全控制类(管理类、运行类和技术类)，十八个安全控制族和族标识符的对照关系如下表所示：

1. 安全控制族

工业控制系统安全控制基线及其设计

为了给出工业控制系统概念层面上的一种安全解决方案，即构造工业控制系统的安全程序，本标准结合工业控制系统基本特征（参见附录A），结合以往诸多工业控制系统的安全实践，将附录B中工业控制系统的安全控制集分为三个级别，统称为安全控制基线，即基于工业控制系统安全风险的影响程度对安全控制的一个分级，可作为规划工业控制系统中选择安全控制的一个起始点。

在设计安全控制基线中，基于了以下基本假设：

1. 工业控制系统处于物理设施内；
2. 工业控制系统中的用户数据和信息是相对长久的；
3. 工业控制系统是多用户运行的；
4. 工业控制系统中的用户数据和信息必须限制已授权用户的共享；
5. 工业控制系统处于网络化环境中；
6. 工业控制系统自然具有一些特殊目的；
7. 组织具有必要的架构、资源和基础设施，来实现所选基线中的控制。

基线设计的这些基本假设，影响着工业控制系统安全控制的选择，还影响着工业控制系统安全控制的评估、监视和改进。如果一个或多个前提假设是无效的，那么附录C中所分配给该基线的一些安全控制就可能是不适用的，针对这种情况可通过应用后续章节所述的裁剪过程以及风险评估予以处理。

相应地，一些可能的情况未包含在假设内，例如：

1. 组织内存在的内部人员攻击；
2. 工业控制系统处理、存储或传输的保密数据和信息；
3. 组织内存在高级持续性攻击（APT）；
4. 基于法律、法规、规章、制度等特殊要求的特殊保护；
5. 工业控制系统需要与其他系统进行跨安全域间通讯。

如果任何以上情况出现，就可能需要在附录B中选择一些附加的安全控制和控制增强，以确保准确的保护；以上情况也可通过应用后续章节所述的裁剪过程（特别是安全控制补充）和风险评估的结果，予以有效地处理。

本标准设计的安全控制基线（具体参见附录C），可应用于以下两种情况：

第一种情况，基于工业控制系统的安全风险评估，按风险影响程度将工业控制系统划分为低影响系统、中影响系统和高影响系统。在这种情况下，低影响系统选择第一级安全控制基线；中影响系统选择第二级安全控制基线；高影响系统选择第三级安全控制基线。

第二种情况，通过定级划分准则（参见国标GB/T 22240-2008《信息安全技术 信息系统安全等级保护定级指南》），已将工业控制系统划分为相应的安全等级。在这种情况下，1、2级系统选择第一级安全控制基线；3级系统选择第二级安全控制基线；4、5级系统选择第三级安全控制基线。

工业控制系统安全控制选择与规约

选择与规约概述

工业控制系统安全是一项系统工程，单一的产品和技术不能有效地保护工业控制系统安全，组织应在充分挖掘工业控制系统安全需求的基础上，制定满足组织使命和业务功能需求的工业控制系统安全战略。有效的工业控制系统安全战略，应采用深度防御及层次化的安全机制，使任一安全机制失效的影响最小化。工业控制系统安全应在组织工业控制系统安全战略指导下，通过适当组合配置的安全控制予以实现。

组织在充分考虑工业控制系统的特殊性、安全需求和工业控制系统与传统信息系统间的差异性（参考本标准附录A，或参阅其它相关文献资料）的基础上，通过风险评估梳理工业控制系统及相关资产，针对工业控制系统存在的脆弱性，分析工业控制系统面临的威胁和风险，评估风险发生的可能性以及风险发生可能造成的影响和危害，制定风险处置原则和处置计划，将工业控制系统安全风险控制在可接受的水平。

本标准附录C中给出的安全控制基线，仅是为了工业控制系统的安全需求规约，作为进行安全控制选择与规约的起始点。因此，为了使组织的工业控制系统是安全的，就必须实施选择并规约安全控制和控制增强的过程，该过程包括以下三个子过程：

1. 选择初始安全控制基线；
2. 裁剪所选择的初始安全控制基线；
3. 补充经裁剪的安全控制基线。

安全控制选择与规约过程可概括为下图所示：

1. 安全控制选择与规约过程

安全控制选择

选择基线安全控制是选择并规约安全控制的第一步，组织依据工业控制系统信息安全定级或工业控制系统风险评估结果，根据安全控制基线的应用指导（参见本标准第6章），从附录C中三个安全控制基线中选择一个合适的基线控制集。选择基线安全控制集时应注意第6章所描述的前提假设。

安全控制裁剪

裁剪过程

在从附录C中选择基线安全控制的初始集后，组织开始基线安全控制的裁剪过程。裁剪过程包括以下3个活动：

1. 依据所选择的基线安全控制，应用界定范围的指导，获得初步可用的控制集；
2. 需要时选择补偿安全控制，以调整初步可用的控制集，获得更可实现的控制集；
3. 通过显式的赋值陈述和选择陈述，规约安全控制中的参数，完成所选基线的定义。

界定范围的指导

界定范围的指导，就所选安全控制基线中每个安全控制的适用性和实现，为组织提供了特定的条款和条件。

应用界定范围的指导，是基于工业控制系统所支持的业务功能和系统运行环境，从初始安全控制基线中删除一些不必要或不适用的安全控制，有助于确保组织仅选择那些可为工业控制系统提供合适程度保护所需要的控制。下面给出一些界定范围的考量，它们可潜在地影响如何应用所选的安全控制基线以及如何实现安全控制。

1. 与控制和应用范围有关的考量

工业控制系统概念是个多层次抽象概念，既包括多个系统组成的复杂系统，又包括单个板卡组成的简单系统。越来越复杂的工业控制系统需要仔细分析在风险管理不同等级（组织级、业务流程级和系统级）中的安全控制的分配和应用。初始安全控制基线中的控制适用于工业控制系统层面，但未必适用于系统组件层面。基线中的一些控制，对工业控制系统范围内的每个系统部件，给出了并非必要的一些控制。一些安全控制仅适用于工业控制系统部件，提供或支持由该控制所强调的安全能力，并缓解潜在的风险。例如，通常把审计控制作为工业控制系统的一个部件，以提供审计能力，并不适用于组织内每个用户层的工作站；或当工业控制系统的部件是单一用户的、 无网络连接或是物理隔离网络的一部分时，这些特征可为不把所选择的控制应用到那些部件中提供合适的理由。组织应评估工业控制系统部件清单，以确定安全控制是否适用于各种不同的部件，而后就如何应用控制做出明确的决策，以满足组织的安全需求。

1. 与安全目的有关的考量

基线中的一些控制仅独特地支持保密性、完整性或可用性的安全目的，对此可把它们降级为低基线中对应的控制（或如果在低基线中没有给出定义的话，予以删除或修改）。该降级、修改或删除的动作当且仅当以下情况成立才进行：

1. 安全控制所完成的安全目的可以由组织风险评估所支持；
2. 不会对工业控制系统相关安全保护水平造成不利影响。

例如，一个工业控制系统被评估为中等影响，其可用性和完整性为中等影响，其保密性为低等影响，那些仅与保密性相关的安全控制在不影响安全性目标的前提下可以降低到低级别的基线要求。以下安全控制可作为降级的候选控制：

1. 与保密性相关的安全控制包括：AC-18，MA-3c)，MP-3，MP-4，MP-5，MP-5d)，MP-6，PE-4，PE-5，SC-4，SC-9，SC-9a)等；
2. 与完整性相关的安全控制包括：CM-5，CM-5a)，CP-8a)，SC-8，SC-8a)，SI-7，SI-7a)，SI-7d)，SI-8等；
3. 与可用性相关的安全控制包括：CP-2a)，CP-2b)，CP-2c)，CP-2d)，CP-2e)，CP-2f)，CP-3a)，CP-4a)，CP-4b)，CP-6，CP-6a)，CP-6b)，CP-6c)，CP-7，CP-7a)，CP-7b)，CP-7c)，CP-8，CP-8b)，CP-8c)，CP-8d)，CP-8e)，CP-8f)，CP-9a)，CP-9b)，CP-9c)，CP-9d)，MA-6，PE-9，PE-10，PE-11， PE-12，PE-13，PE-14，PE-16等。
4. 与技术有关的考量

安全控制涉及了一些特定的技术（如：无线、加密、PKI等），这样的控制仅当在工业控制系统内使用时或需要时，它们才是适用的。一些控制可通过自动化机制予以支持，如果这样的机制不存在，或市场上或政府采购产品目录中现在没有或还不能应用时，并不要求开发这样的机制。例如，为了维护最新的、完备的、精确的、现时可用的工业控制系统基线配置，可能使用一些自动化机制。如果自动化机制不是现时可用的、合算的或技术上不是可行的，就需要使用一些补偿的安全控制，通过非自动化机制或规程予以实现的，以便满足所规约的安全控制的需求（参见补偿安全控制相关章节）。

1. 与物理基础设施有关的考量

基线中的一些控制涉及了组织物理基础设施（例如，物理控制，诸如上锁和门禁；有关温度，湿度，照明，防火以及电力等），仅适用于那些存放设施的地方，直接为工业控制系统（包括诸如场站等信息技术资产）提供保护和支持，或直接与工业控制系统有关。

1. 与策略和规章有关的考量

基线中的一些控制强调了某些法律、法规、方针、政策、标准等要求，仅当这些控制的应用环境与相关法律、法规、方针、政策、标准一致时才需要。

1. 与运行环境有关的考量

基线中的一些安全控制依赖于运行环境，仅当在环境中使用该工业控制系统时才适用。例如，一些物理安全控制不适用于那些基于空间的系统，一些温度和湿度的控制不适用于室内设施之外的远程传感器。

1. 与共用控制相关的考量

共用控制是指那些可以被组织内多个工业控制系统继承使用的安全控制。如果一个工业控制系统继承了共用控制，那么其安全性能是由另一个实体提供的，该系统就不需要显式地实现该控制。共用安全控制的标识与定义会影响组织的整体资源支出。将安全控制指定为共用安全控制的决策可能会极大地影响单个工业控制系统安全控制基线的组成。

安全控制补偿

补偿安全控制是由组织选择使用的、用于替代所选安全控制基线中一些特定的安全控制，为工业控制系统所处理、存储或传输的信息提供等价的或可比的保护。

当组织无法有效地实现初始安全控制基线中具体的安全控制时，或者当组织工业控制系统和运行环境存在特殊性时，或者当初始安全控制基线中具体的安全控制不能高效地实现风险减少或缓解时，也就是基线中的控制不是一种合算的措施或对策时，组织可以选取补偿安全控制。并为每个补偿安全控制在工业控制系统安全计划中详细描述选取的原因，以及补偿安全控制如何提供等价保护的说明。

通常，在应用界定范围的考量后，组织就可能发现有必要选择并使用补偿安全控制。组织应如此使用补偿安全控制：

首先，要从附录B中来选择补偿控制，其中如果没有合适可用的补偿控制，组织才可采用其他源中合适的补偿控制；

其次，组织为补偿控制如何为工业控制系统提供等价的安全能力以及为什么不能使用该基线安全控制，给出支持理由；

最后，组织评价并接受在工业控制系统中使用补偿安全控制所带来的相关风险。

安全控制参数赋值

安全控制基线中的部分安全控制和控制增强包含嵌入参数（例如：赋值和选择陈述），例如，审计失效响应（AU-5）：

安全控制参数为组织定义控制和控制增强的一定部分提供了灵活性，以便支持特定组织的需求。

在应用界定范围考量后，组织应评审带有赋值和选择陈述的安全控制和控制增强，并为所标识的参数确定组织定义的值。参数值可根据相关法律、法规、规章、制度、政策或标准予以规定。

一旦组织为安全控制和控制增强定义了参数值，那么这些定义的赋值和选择就成为安全控制和控制增强的有机部分。

通常，组织应在选择补偿控制前，规约安全控制参数值，因为安全控制参数的规约完成了安全控制的定义，可能会影响补偿控制的需求。

对于以上章节所述裁剪过程的实施，应当注意以下事项：

1. 在实施初始安全控制基线的裁剪过程前，应与组织相关领导协商裁剪活动，并得到批准。
2. 组织不能随意为运行方便而移出安全控制。安全控制的裁剪决策应基于业务需要，是可论证的，并是伴同明确的、基于风险的评估决定。
3. 裁剪决策，包括决策理由，以及裁剪出的安全控制及其理由，均要记录在组织工业控制系统安全计划中，并作为安全计划批准过程的一部分，得到负责领导的审批。

综上，有关安全控制裁剪过程的应用，对应图2中突出部分：

1. 安全控制裁剪过程

安全控制补充

裁剪后的安全控制基线，仅确定一个工业控制系统所需要的安全控制集的基础或起始点。只有在组织风险评估的指导下才能最后确定合适的安全控制集。在控制选择过程中的风险评估，为确定裁剪后的基线安全控制的充分性，提供了重要的输入。在许多情况中，为强调特定的威胁和脆弱性，为满足法律、法规、方针、政策、标准和规章制度等要求，需要补充一些附加的安全控制和控制增强。组织应最大化地使用附录B中所给出的安全控制，以支持补充和增强安全控制过程，向经裁剪的安全控制基线中增加安全控制和控制增强。

为了补充已裁剪的安全控制基线，组织可使用需求定义法或空隙分析法选择安全控制和控制增强。在需求定义法中，组织获得有关敌对方活动的特定、可靠的威胁信息（或做出一种有根据的假设），以及一定能力或攻击的潜能（例如技能水平、经验、可用的资源等）。为了有效地抵御具有所陈述能力和潜能敌对方的攻击，组织应从附录B选择一些附加的安全控制和控制增强，以获得这样的安全能力。

相对于需求定义法，空隙分析法以组织当前安全能力的评估开始，基于初始的安全能力评估，组织确定可预见的威胁类型。如果组织当前的安全能力是不充分的，那么通过空隙分析就可确定所需要的安全能力。然后，组织从附录B中选择一些所需要的安全控制和控制增强，以达到期望的安全能力。

存在一些情况，为了充分保护组织使命和业务功能，组织使用了一些超出其能力的信息技术，即组织在工业控制系统中不能应用充分的安全控制来精确地减少或缓解风险。在这些情况中，就需要一种可选的安全战略，来预防组织使命和业务功能遭受负面影响。当安全控制在技术、资源约束下不能实现时或当控制缺乏期望的有效性来抵御已标识的风险时，应限制技术应用或限制工业控制系统的使用，来减少或缓解风险。可使用的限制包括：

1. 限制工业控制系统可处理、存储或转送的信息；
2. 限制组织使命和业务功能的自动化方式；
3. 禁止移动工业控制系统或系统部件；
4. 禁止外部网络访问组织工业控制系统；
5. 禁止工业控制系统部件里中、高影响的访问。

综上，对经裁剪的安全控制基线的补充，对应图２中突出部分：

1. 安全控制补充过程

建立安全控制决策文档

由于安全控制的描述相对精炼、抽象，可能缺乏实现安全控制的足够信息。组织应在工业控制系统安全计划中详细描述安全控制的实现目的、实现细节、适用范围以及安全控制与安全需求间的切合度等安全控制实现相关的规范信息。但在描述安全控制的规范信息时，不能更改安全控制的原始意图。

在安全控制选择过程期间，组织应建立所有安全控制的决策文档，为这些决策提供有力的理由。当存在对组织使命和业务功能的潜在影响，或在检查工业控制系统整个安全考量时，或当工业控制系统进行重大变更时，或当定期审核工业控制系统安全时，该文档均是基本的支撑资料。最终选择安全控制集及其选择过程的支持理由，以及任何工业控制系统的使用限制，均应记录在该工业控制系统安全计划中。该过程对应图2中突出部分：

1. 建立安全控制决策文档

工业控制系统安全控制选择过程应用

安全控制选择过程可从两个不同的角度，应用于组织的工业控制系统。一个角度是新系统的开发，另一个角度是在运行系统。对于新开发系统，由于系统并不存在，并且组织没有进行初始的安全定级，因此要从需求定义的视角来应用安全控制选择过程。包含在工业控制系统安全计划中的安全控制，作为组织的安全规格说明，应用在设计、开发、实现、运行等系统生命周期各阶段。

对于在运行系统，当系统发生重大变更时，要用空隙分析法来应用安全控制选择过程。由于系统已经存在，组织已完成了安全定级和安全控制选择过程，其结果已在系统安全计划中，并在系统中予以实现。因此，可以用以下方式应用空隙分析：

首先，基于当前系统处理、存储和传输的不同业务类型，重新评估、确认系统安全级别，必要时调整系统安全级别。

其次，重新评审现有安全计划，以确保系统风险保持在可接受的水平，分析当前使用的、相关联的安全控制与安全需求间的切合程度，记录需增加的安全控制，整理并调整到安全计划中。必要时重新实施风险评估，重新制定安全计划。

最后，实现经调整的或重新制定的安全计划中的安全控制，在措施和里程碑计划中记录任何没有实现的安全控制，并与新开发系统相同的方式继续其余步骤。

工业控制系统面临的安全风险

工业控制系统与传统信息系统对比

大多数的工业控制系统均在网络、个人计算机和互联网普及以前开发并使用，设计之初主要用于解决高效、稳定、可靠、安全等需求。通常情况下，它们与外部网络物理隔离，并且运行在专有的、具有基本错误检测和处理能力的软、硬件平台和通信协议上，缺乏面对当前互联网时代所需要的安全通信能力。虽然这些系统设计时关注了可靠性、可用性和可维护性，但没有预料到在解决性能和故障统计等需求时需要面对的信息安全问题。在当时，工业控制系统安全仅意味着物理上专有网络访问和系统控制台功能。

工业控制系统在上世纪80和90年代与微处理器、个人计算机和网络技术同步发展，在90年代后期，互联网技术开始融入到工业控制系统的设计中。这些新技术带来的变化使工业控制系统面临的新威胁，并增加了工业控制系统受到损害的可能性。

最初，工业控制系统使用专门的硬件和软件系统，类似于独立运行的专用控制协议。随着低成本的互联网协议设备正在取代专有设备的解决方案产生，网络安全漏洞和安全事件发生的可能性不断增加。随着工业控制系统开始采用IT解决方案来促进企业连接和远程访问等功能，设计并使用标准计算机、操作系统和网络协议，工业控制系统越来越像IT系统。这些支持新的IT功能技术的集成，工业控制系统与之前相比减少了封闭性，也产生了新的安全需求。虽然传统IT系统已具备解决这些安全问题的解决方案，但在工业控制系统中引入这些解决方案必须考虑工业控制系统的特殊性。在某些情况下需要针对工业控制系统的特殊性裁剪这些安全解决方案。

工业控制系统与传统IT系统相比存在许多特殊性，包括不同的风险和优先级，不同的性能和可靠性要求等。下面列出了解决工业控制系统安全需要考虑的特殊性：

1. 性能需求

工业控制系统通常是严格按照时序要求的，可接受的延时和抖动标准与具体系统相关，系统需要确定的响应，高处理能力通常不是必须的。而传统IT系统需要高处理能力，而能够接受一定的延时和抖动。

1. 可用性需求

很多工业控制系统具有工作连续性，意外的中断往往是不可接受的。中断是按计划进行的，并提前数日或数周完成规划安排。详尽的部署测试是必不可少的，以确保高工业控制系统的高可用性。在某些情况下，工业控制系统所生产的产品或所使用的设备比系统处理或传递的信息更重要。因此，工业控制系统对高可用性、可靠性和可维护性要求，使用典型的IT策略，如重新启动组件，通常是不可接受的解决方案。部分工业控制系统采用冗余组件，并保持并联运行，以保证在主组件异常或不可用时保证系统运行的连续性。

1. 风险管理需求

在典型的IT系统中，数据机密性和完整性通常是首要关注问题。而工业控制系统首要关注问题是防止危害生命、公众健康或信心，监管合规，防止设备、产品或知识产权的损失等。

1. 安全焦点

在典型的IT系统中，安全焦点是保障IT资产的正常运行，并保护这些资产中处理、存储或传输的信息。在某些体系架构中，存储和处理的信息更为关键，并得到更多的保护。对于工业控制系统，边缘设备（如PLC、操作员站、DCS等）直接负责控制过程而需要仔细保护。由于可能对每个边缘设备产生不利影响，对工业控制系统中央服务器的保护也非常重要。

1. 物理交互

典型的IT系统往往与环境没有物理上的相互作用。而工业控制系统可能与物理环境间有非常复杂的相互作用。因此，集成到工业控制系统中任何安全功能必须进行严格测试，以确保安全功能不会影响工业控制系统的正常功能。

1. 时间确定性响应

在典型的IT系统中，实现访问控制时不必过多关心数据流的情况。而在工业控制系统中，系统自动响应时间或者系统对人类交互的响应是非常关键的，如：在HMI中的身份验证和授权不得妨碍或干扰工业控制系统的紧急措施，信息流不能中断。因此，工业控制系统安全控制的运用应受到严格的的限制。

1. 系统运行

工业控制系统的操作系统和应用程序可能无法容忍典型IT系统的安全实践。控制网络往往比较复杂，需要不同的专业知识（例如，控制网络通常由控制工程师管理，而非IT人员）。在运行的控制网络中，软件和硬件的升级更困难。许多系统可能不具有必要的功能，包括加密功能、错误日志记录和密码保护等IT系统中最基本的功能。

1. 资源约束

工业控制系统和它们的实时操作系统往往是资源受限的系统，通常不包括典型IT系统的安全能力。在工业控制系统组件上可能没有可用的计算资源来改造现有的安全功能。此外，在某些情况下，因为工业控制系统供应商许可证和服务协议，第三方安全解决方案是不允许的。

1. 通信

用于工业控制系统现场控制和处理器间通讯的通信协议是专有的，与典型的IT系统通信协议完全不同。

1. 变更管理

无论是IT系统还是工业控制系统，变更管理都是保证完整性的重要措施。未安装补丁的软件是一个巨大的安全漏洞。通常采用适当的安全策略和程序及时进行IT系统软件的更新，包括安全补丁更新。此外，这些更新通常使用基于服务器的工具来自动实现。因为更新需要进行全面的测试和计划，工业控制系统的更新往往不及时。另外，由于工业控制系统通常使用旧版的操作系统，供应商已停止技术支持，因此，更新程序往往不适用于工业控制系统。因此，工业控制系统的变更（包括硬件、固件和软件的变更）过程需要经过工业控制系统专家、信息安全专家和信息系统专家的仔细评估。

1. 服务支持

典型的IT系统允许多样化的支持方式。而对于工业控制系统，服务支持通常来自于单一供应商，可能不存在多样化的支持方式。

1. 组件生命周期

由于技术的快速演变，典型的IT组件只有3-5年的生命周期。而工业控制系统组件的生命周期往往有15-20年，甚至更长。

1. 组件访问

典型的IT系统组件通常是本地的和易于访问的，而工业控制系统组件可能是分离的、远程的，对它们的访问需要大量的外部尝试。

信息系统安全威胁与防护措施对工业控制系统的影响

工业控制系统运行引发出许多与大多数IT系统不同的安全挑战。例如大多数安全措施是为对付因特网上黑客制定的。因特网环境与工业控制系统运行环境是极其不同的。所以在安全行业中对安全需求以及安全措施可能影响工业控制系统运行的特殊要求，通常是缺乏认识的。

（1）拒绝服务的影响：已经制定的安全服务和技术主要是为了并不具有许多严格性能和可靠性要求的行业，而这些恰恰是工业控制系统运行所需要的。例如：与授权客户不能访问其银行帐户相比，使授权调度员无法访问工业控制系统远端站场控制有可能造成更为严重的后果。所以拒绝服务的威胁远比许多典型因特网交易更为巨大。

（2）加密传输：使用工业控制系统的行业中使用的许多通信信道是窄带的而且端设备经常受到内存和计算机能力的限制，从而由于某些安全措施所需的开销而不允许采用，如加密和密钥交换。

（3）密钥管理：大多数系统和设备是位于地域广大而分散、无人的远方场所，且根本没接入到因特网。这使得密钥管理、证书撤消和其它一些安全措施难于实现。

（4）公网联接：许多系统都由公共线路通信通道连接（条件所限无专网），由于协议不兼容，所以工业通用的网络安全措施（协议）不能工作。

（5）无线通信的影响：虽然无线通信正广泛为许多应用所使用，但工业控制系统使用这些无线技术的场所和所实现的功能，有较多限制；部分是因为远端站场恶劣的电磁环境对可用性的潜在影响（如变电站的高电噪声环境）；部分是因为一些应用要求非常快速且极其可靠的响应（吞吐量），即使许多无线技术具有相应的安全措施，也可能因为增加系统开销而未实现。

工业控制系统面临的威胁

随着工业控制系统网络化、系统化、自动化、集成化的不断提高，其面临的安全威胁日益增长。从发生的典型事件看，针对工业控制系统的安全威胁主要来自五个方面：

1. 自然环境因素；
2. 人为错误或疏忽大意；
3. 设备故障；
4. 病毒等恶意软件；
5. 敌对威胁，如黑客、僵尸网络的操控者、犯罪组织、国外情报机构、恶意软件的作者、恐怖分子、工业间谍、内部攻击者等。

下表详细列出了工业控制系统可能面临的威胁。

1. 工业控制系统可能面临的威胁

工业控制系统脆弱性分析

本节列出的脆弱性是典型工业控制系统可能存在的，这些脆弱性的列出顺序不反映脆弱性发生的优先性以及脆弱性发生后造成影响的严重性。本节主要从策略和规程、网络和系统平台三方面陈述工业控制系统中可能存在的脆弱性。实际应用的工业控制系统都会遇到下面所述脆弱性中的一部分，但也可能包含下文没有提到的系统独有的脆弱性。

策略和规程脆弱性

1. 工业控制系统策略和规程脆弱性

网络脆弱性

表A.3、A.4、A.5、A.6、A.7分别描述了工业控制系统网络硬件、网络结构、网络边界、通信和无线连接及网络设备配置五个方面的脆弱性。

1. 工业控制系统网络硬件脆弱性

1. 工业控制系统网络结构脆弱性

1. 工业控制系统网络边界脆弱性

1. 通信和无线连接脆弱性

1. 工业控制系统网络设备配置脆弱性

平台脆弱性

表A.8、A.9、A.10、A.11分别描述了工业控制系统平台硬件、平台软件、平台配置及平台病毒防护四个方面的脆弱性。

1. 工业控制系统平台硬件脆弱性

1. 工业控制系统平台软件脆弱性

1. 工业控制系统平台配置脆弱性

1. 工业控制系统平台病毒防护脆弱性

延伸阅读

更多内容 可以 GB-T 32919-2016 信息安全技术 工业控制系统安全控制应用指南. 进一步学习

联系我们

商用密码应用安全性评估报告模板.pdf