Transcript 下载报告
浅谈工控系统定级 国家能源局信息中心 2015年5月14日 国家能源局信息中心 一、信息安全等级保护简介 何谓等级保护？ • 计算机信息系统实行等级保护（国务院147 号令） • 计算机信息系统computer information system：计算机信息系统是由计算机及其相 关的和配套的设备、设施(含网络)构成的， 按照一定的应用目标和规则对信息进行采 集、加工、存储、传输、检索等处理的人 机系统。 （引自GB17859-1999） • 何谓等级：信息系统重要程度等级、安全 保护能力等级、监督管理强度等级 等级保护实施与管理 系统相关单位 行业管理部门 定级备 案 监督检 查 等级保护实 施与管理 密码管 理 公安机关 安全建 设 测评机构 密码管理部门 等级测 评 整改 行业政策：电力监控系统信息安 全等级测评工作应当与电力监控 系统安全防护评估工作同步进行 相 关 单 位 国家信息安全等级保护政策文件 信息安全等级保护标准文件（1） 标准类型 基础类 子类型 标准名称 // 计算机信息系统安全保护等级划分准则(GB 17859—1999) 信息系统定级 信息系统安全保护等级定级指南(GB/T 22240—2008) 等级保护实施 信息系统安全等级保护实施指南() 信息系统安全等级保护基本要求(GB/T 22239—2008) 信息系统通用安全技术要求(GB/T 20271—2006) 信息系统等级保护安全设计技术要求(GB/T 24856—2009) 信息系统安全管理要求(GB/T 20269—2006) 信息系统安全工程管理要求(GB/T 20282—2006) 应用类 信息系统安全建设 信息系统物理安全技术要求(GB/T 21052—2007) 网络基础安全技术要求(GB/T 20270—2006) 信息系统安全等级保护体系框架(GA/T 708—2007) 信息系统安全等级保护基本模型(GA/T 709—2007) 信息系统安全等级保护基本配置(GA/T 710—2007) 信息系统安全等级保护测评要求(GB/T 28448—2012) 等级测评 信息系统安全等级保护测评过程指南(GB/T 28449—2012) 信息系统安全管理测评(GA/T 713—2007) 信息安全等级保护标准文件（2） 标准类型 子类型 操作系统 数据库 标准名称 操作系统安全技术要求(GB/T 20272—2006) 操作系统安全评估准则(GB/T 20008—2005) 数据库管理系统安全技术要求(GB/T 20273—2006) 数据库管理系统安全评估准则(GB/T 20009—2005) 网络端设备隔离部件技术要求(GB/T 20279—2006) 网络端设备隔离部件测试评价方法(GB/T 20277—2006) 网络 网络脆弱性扫描产品技术要求(GB/T 20278—2006) 网络脆弱性扫描产品测试评价方法(GB/T 20280—2006) 网络交换机安全技术要求(GA/T 684—2007) 虚拟专用网安全技术要求(GA/T 686—2007) PKI 产品类 公钥基础设施安全技术要求(GA/T 687—2007) PKI系统安全等级保护技术要求(GB/T 21053—2007) 网关 网关安全技术要求(GA/T 681—2007) 服务器 服务器安全技术要求(GB/T 21028—2007) 入侵检测 入侵检测系统技术要求和检测方法(GB/T 20275—2006) 计算机网络入侵分级要求(GA/T 700—2007) 防火墙安全技术要求(GA/T 683—2007) 防火墙 防火墙技术要求和测评方法(GB/T 20281—2006) 包过滤防火墙评估准则(GB/T 20010—2005) 路由器安全技术要求(GB/T 18018—2007) 路由器 路由器安全评估准则(GB/T 20011—2005) 路由器安全测评要求(GA/T 682—2007) 交换机 网络交换机安全技术要求(GB/T 21050—2007) 交换机安全测评要求(GA/T 685—2007) 终端计算机系统安全等级技术要求(GA/T 671—2006) 终端计算机系统测评方法(GA/T 671—2006) 审计产品技术要求和测评方法(GB/T 20945—2006) 其他产品 虹膜特征识别技术要求(GB/T 20979—2007) 虚拟专网安全技术要求(GA/T 686—2007) 应用软件系统安全等级保护通用技术指南(GA/T 711—2007) 应用软件系统安全等级保护通用测试指南(GA/T 712—2007) 风险评估 其他类 信息安全风险评估规范(GB/T 20984—2007) 信息安全事件管理指南(GB/Z20985—2007) 事件管理 信息安全事件分类分级指南(GB/Z20986—2007) 信息系统灾难恢复规范(GB/T 20988—2007) 电力行业网络与信息安全政策文件 定级 根据信息系统在国家安全、经济建设、社会生活中的重要 程度，信息系统遭到破坏后对国家安全、社会秩序、公共 利益以及公民、法人和其他组织的合法权益的危害程度等 因素确定。 信息系统的安全保护等级分为以下五级： 第一级为用户自主保护级，信息系统受到破坏后，会对公民、法人和 其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共 利益。 第二级为系统审计保护级，信息系统受到破坏后，会对公民、法人和 其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成 损害，但不损害国家安全。 第三级为安全标记保护级，信息系统受到破坏后，会对社会秩序和公 共利益造成严重损害，或者对国家安全造成损害。 第四级为结构化保护级，信息系统受到破坏后，会对社会秩序和公共 利益造成特别严重损害，或者对国家安全造成严重损害。 第五级为访问验证保护级，信息系统受到破坏后，会对国家安全造成 特别严重的损害。 二、工业控制系统 工控系统概念 • 工业自动化和控制系统industrial automation and control system： 对工业生产过程安全 （safety）、信息安全(security)和可靠运行 产生作用和影响的人员、硬件、策略和软 件的集合。系统包括，但不限于：分布式 控制系统（DCS）、可编程逻辑控制器（ PLC）、远程终端单元（RTU），智能电子 设备、监控和数据采集（SCADA）等。 工控系统逻辑图 第4层 企业系统 （工程系统） 控制中心 运营管理 第3层 监督控制 广域网 第2层 第1层 第0层 现场监视和 本地显示 本地控制 保护 被控设备 远程现场 工控系统在能源行业发展 • 电力行业，可以粗略分为电网企业、发电企业、电力设计施工等辅业 企业。支撑电力发、输、变、配、用以及调度等各环节跨企业连接的 电力监控系统已成为电力生产运行控制不可或缺的重要组成部分。各 电力企业经营管理的信息化工作也成果显著，为电力工业发展和管理 变革提供强有力的支撑和保障。 • 石油石化行业，中国石油化工集团公司、中国石油天然气集团公司和 中国海洋石油集团公司等企业建成了支撑生产运行、经营管理的信息 系统，即以ERP为核心的经营管理平台、以生产执行系统（MES）为 核心的生产营运平台和信息基础设施与运维平台，实现了信息系统在 油田、炼油、化工、销售全产业链的覆盖应用，智能油气田、智能炼 化、销售电商平台、一体化客户管理、全球供应链与物流等信息化工 作取得初步进展，正在促进引领石油石化行业的发展。 • 煤炭行业，多数大型企业建成了集自动化控制、监测监控、调度指挥 、诊断维护等多业务于一体的综合信息化自动化管控平台，煤炭工业 的信息化工作已融入煤炭安全生产、经营管理、节能环保的各个环节 三、工控系统定级 明确等级保护对象 等级保护对象target of classified security ：信息安全等级保 护工作直接作用的具体的信息和信息系统。（引自GB/T 22040-2008） 作为定级对象的信息系统应具有如下基本特征： a) 具有唯一确定的安全责任单位。 b) 具有信息系统的基本要素。作为定级对象的信息系统应该 是由相关的和配套的设备、设施按照一定的应用目标和规 则组合而成的有形实体。应避免将某个单一的系统组件， 如服务器、终端、网络设备等作为定级对象。 c) 承载单一或相对独立的业务应用。 工控系统等级保护对象分析 • 可编程逻辑控制器（PLC）、远程终端单元（RTU），智能电子设 备不具备b)特征，不能作为单独的系统进行定级 • SCADA和DCS虽具备b)特征即有计算机信息系统的基本要素，但作 为定级对象，在实施过程中需要考虑基本特征a)和 c)，故需要明确 待定级工控系统的管理边界、物理边界和逻辑边界。大部分工业 企业由生产管理部门管理第0-3层，第4层以上通常归由信息部门管 理。而从c)原则来看，第0-2层及第3层中监督控制即构成了单一或 相对独立的业务应用，综上所述，具有相对独立应用，由生产管 理部门管理或运维，由现场层、控制层、监视层组成的SCADA或 DCS可作为定级对象 • 在工业企业中，SCADA或DCS是和特定的工业业务应用密不可分的 ，如SCADA在电力行业中典型应用是作为能量管理系统、配电自动 化系统的基础平台，在石油行业典型应用中是作为油气传输SCADA 系统，在自来水行业典型应用是作为水质监测SCADA，在实际定级 备案中，往往会以其应用进行系统命名，如在电网企业中，备案 中使用能量管理系统或新一代智能电网调度技术支持系统作为调 度SCADA系统的名称。 工控系统S和A分析 • 就信息安全三个特性对于系统的重要程度而言， 通用IT系统一般是按照机密性、完整性、可用性 的次序递增，而对于工业控制系统而言，一般是 按照可用性、完整性、机密性的次序递增，因此 在开展工业控制系统定级工作中，注意其业务信 息安全被破坏对客体的侵害程度不大于其系统服 务安全被破坏对客体的侵害程度，即如以SnAmGl 表示系统的定级组合，n表示业务信息安全保护等 级，m表示系统服务安全保护等级，l表示系统的 安全保护等级，那么nm,l=max(n,m)。 工控系统定级易存在的误区 • 在开展工业控制系统定级工作过程中，还应避免以下误区 1、认为工业控制系统不同于信息系统，不需要定级。传统 工业控制系统与通用IT系统不同，但在两化融合过程中， 工业控制系统大量采用信息技术和网络技术实现工业控制 系统的互联互通，这种互联互通将传统IT系统所面临的威 胁和脆弱性引入了工业控制系统，这样的工业控制系统也 具备了信息系统的基本要素。同时开展工业控制系统定级 工作，也有利于行业和国家信息安全监管部门确定重点保 护对象，形成国家、行业、企业三级的信息安全防护管理 机制。 2、将工业控制系统所界定的范围划分过宽。将第0至5层 认为为一个工控系统，实际执行结果会造成工业企业仅有 一个信息系统，与信息系统作为定级对象所确定的a)、b) 、c)基本特征不符，也于实行计算机信息系统分等级保护 的精神不符，这样实际上是按企业分等级保护。 四、电力系统定级 电力信息系统定级工作 • 2007年，原电监会印发《关于开展电力行业信息 系统安全等级保护定级工作的通知》（电监信息 [2014]34号）、《电力行业信息系统安全等级保 护定级工作指导意见》（电监信息［2007］44号 ），成为电力行业信息系统安全保护定级工作的 政策性文件。各重点电力企业据此开展了信息安 全等级保护定级工作。根据电力信息系统业务信 息安全和系统服务安全被破坏时对公民、法人和 其他组织的合法权益，社会秩序、公共利益和国 家安全的侵害程度，管理类电力信息系统可分为1 ～3级，生产控制类电力信息系统可分为1～4级。 电力信息系统定级 • 对于在电力行业中有重要应用的信息系统，原电 监会印发的《电力行业信息系统安全等级保护定 级指导意见）（电监[2007]44号）给出了详细的 安全保护级别的定级建议，一般来说，省级及以 上电网调度自动化系统应定级为4级，地市级调度 自动化系统、配网自动化、电力负荷管理，单机 容量300兆瓦及以上的火电机组监控系统，总装机 1000兆瓦及以上的水电机组监控系统，总装机 2000兆瓦及以上的梯级调度监控系统，电能量计 量系统、省级及以上调度生产管理系统，总装机 1000兆瓦及以上的发电厂SIS系统、核电站环境监 测系统，省级及以上单位电力市场交易系统等， 集团公司门户应定级为3级，其它为2级。 电力信息系统定级调整 • 2007年，电力行业开展了第一次全面定级工作。在全国开展的第一次 定级工作中，电力信息系统定级最为广泛彻底，摸清了底数，找准了 重点，定级工作取得了积极成效。之后几年中电力信息系统发生了一 些变化：（1）统一设计、统一开发、集中部署的信息化建设模式， 使信息系统的集成度大幅提高，通常只在总部和省级所属单位实行两 级部署；（2）电网调度自动化专业的管理模式与其技术支持系统的 体系结构均发生显著改变，无人变电站数量增多。2012年，根据电力 信息系统发展特点，原电监会适时对系统定级进行调整，主要调整为 ：（1）隶属于电网公司的变电自动化系统纳入相关调度自动化系统 作为子站进行保护，不再作为独立系统进行单独定级；（2）新一代 智能电网调度技术支持系统按照分区功能定级，I区实时监控与预警为 四级、II区调度计划与安全校核为三级、III区调度管理为二级；（3） 集团公司营销管理系统和ERP系统调整为三级。可以说，电力行业经 过2007年的全面定级和2012的定级调整，基本完成了电力工控系统的 定级，在已定级的信息系统中，电力工控系统占比70%以上。 结语 • 自2007年开始，公安部组织开展重要信息系统安全等级保护定级工作 以来，多个重点行业分别开展了等级保护定级工作。对于工业控制系 统的定级工作，其定级标准存有争议，全国信息安全标准化技术委员 会（TC260）曾于2012年确定工业控制系统安全等级保护定级指南的 立项工作，但工业控制系统等级保护定级指南尚未出台。工业控制信 息系统作为信息系统的一类，其定级依然可以按照国标 《 信息系统 安全等级保护定级指南 》（GB/T 22040-2008）和行业定级指南等进 行定级，在开展工控系统定级时，可根据其管理边界确定不同工控系 统是否可作为一个大工控系统的子系统统一定级，如将给水、除灰系 统作为辅助控制系统的子系统或子模块的前题是给水、除灰、辅助控 制系统为同一管理机构进行管理或运维，根据是否承载单一或相对独 立的业务应用来确定待定级系统的物理边界和逻辑边界。总之，开展 工业控制系统定级是开展工业控制系统等级保护工作的基础，各工控 行业可根据国家标准结合行业特点，在实践中不断总结与调整，真正 实现等级保护的实施原则“自主保护、重点保护、同步建设、动态调 整”。 感谢聆听，谢谢！ 国家能源局信息中心