技术交流 新闻信息 首页 您的位置:
谱写工业控制系统网络安全新篇章 走好新型工业化之路
http://www.cdst.com.cn    发布时间:2024-02-28    来源:中国电子报    点击次数:356

〖字体: 〗〖背景色:杏仁黄 秋叶褐 胭脂红 芥末绿 天蓝 雪青 灰 银河白(默认色)〗〖打印本稿〗〖关闭

       为适应新型工业化发展形势,提高我国工业控制系统网络安全保障水平,指导工业企业开展工控安全防护工作,以高水平安全护航新型工业化高质量发展,工业和信息化部正式印发了《工业控制系统网络安全防护指南》(以下简称《指南》),立足我国工业控制系统发展和安全建设实际,围绕安全管理、技术防护、安全运营、责任落实四方面,面向工业企业提出33项指导性安全防护基线要求,指导工业企业切实提升工控安全防护水平。

保障工控安全是加快推进新型工业化的重要举措

       工业控制系统已成为网络攻击的重要打击目标。工业控制系统广泛应用于关系国民经济命脉的重要领域,是工业生产运行的基础核心,其网络安全事关工业生产稳定运行,事关经济社会发展和国家安全。随着攻击者针对关键工业领域的网络攻击能力不断提升,工业控制系统已成为国家、组织间网络攻击的重要打击目标。据国家工业信息安全发展研究中心(以下简称“国家工信安全中心”)监测,2023年瞄准境内工业控制系统实施的扫描嗅探行为超460万次。

       做好工控安全是护航新型工业化的必要之举。当前,新一轮科技革命和产业变革加速演进,制造业数字化转型步伐加快,数字经济和实体经济深度融合,工业控制系统作为推进新型工业化的重要支撑,工控安全的基础性、保障性作用越发凸显。我国工业企业工控安全防护能力普遍薄弱,传统网络安全隐患和新型风险交织叠加问题突出,企业安全建设远远滞后于数字化转型,重发展、轻安全的思想仍普遍存在。要走好新型工业化之路,需坚持以发展促安全、以安全保发展,筑牢工业企业工业控制系统网络安全防线。

工业控制系统网络安全面临新形势与新挑战

       新技术加快工业网络开放互联,新型网络安全威胁持续升级。工业以太网、TSN、WiFi6、5G等新型工业网络技术的应用进一步推动工业网络互联互通,在提供更多设备连接、更高网络带宽、更低传输延时、更远传输距离、更强穿透能力的同时,工控网络边界越发模糊,工业控制器、工业主机、仪器仪表、生产业务系统等工业控制系统暴露的攻击路径越来越多,传统网络安全风险向工业研发、设计、生产、运行、管理等各环节各领域全面渗透,勒索病毒等恶意软件在工业控制网络中加速蔓延,APT攻击等新型网络威胁频发。随着工业互联网的应用深入,工业控制系统上云上平台趋势明显,但企业普遍缺乏“安全上云”技术手段,平台与设备间的风险传导问题突出,平台自身漏洞和互联网攻击风险可渗透到工业控制系统及现场设备,接入设备的漏洞隐患也可被恶意利用并成为攻击云平台的入口。

       工业控制系统海量异构,“带病”运行与低防护联网成常态。PLC、数控机床、RTU等传统类型设备及AGV小车、无线手持HMI、智能无线传感器、智能网关等智能工业设备广泛应用于工业内网,工业控制系统在设计之初缺乏安全考虑,设备固件、操作系统、应用软件、控制协议等漏洞频发。据国家工信安全中心统计,2023年国家工业信息安全漏洞库收录了工业领域漏洞1875条,累计收录9000余条,其中超60%为高危或极高危,漏洞在被利用时可能导致远程代码执行或拒绝服务等严重威胁。大量漏洞存在较长的修复周期,且难以验证漏洞修复是否会影响工业生产稳定运行,病毒威胁难以深层扫描、系统无法定期升级,导致工控系统“带病”运行成常态。

       工控系统重点保护的“关键少数”不突出,企业安全建设与运维管理问题严峻。工控系统生命周期长达15~20年,工业领域门类复杂,不同行业的工控系统形态和功能的差别明显,存在安全防护重点、保护规则不同等特点。我国规模以上工业企业超48万家,运行的工控系统众多,各工控系统对于国民经济和行业发展的重要程度、遭破坏后对国家安全和社会稳定的影响程度也存在差异,工控系统重点保护的对象不突出。目前,工业企业对工业控制系统网络安全防护意识薄弱,人员专业技能匮乏,供应链管理不规范、安全责任落实不到位、采购云服务后责任划分不明晰、安全运维难以落到实处等问题较为严峻。

《指南》有力指导企业提升工控安全防护水平

       指导企业建立工控安全综合防护体系。为应对复杂严峻的安全威胁形势、多变的网络攻击路径、持续升级的网络攻击手段,《指南》强调技管结合,从技术防护、安全管理、安全运营、责任落实四方面指导企业建立综合防护能力,突出管理重点对象,强化技术应对策略,增强威胁发现及处置能力,切实提升企业工控安全防护水平。

       提升新形势新挑战下的风险防范应对能力。顺应异构工业终端海量接入、新型工业网络技术应用、工业控制系统设备上云上平台、新型网络威胁频发等新发展趋势,《指南》与时俱进,充分衔接已有法律法规相关要求,提出贴合实际、适应变化、落实有效的安全防护策略。《指南》明确智能终端安全、无线网络安全、上云安全、监测预警运营中心、应急处置、漏洞管理、供应链安全、资产管理等要求,指导企业理清系统资产底数,防范内外部网络攻击,强化网络安全事前、事中、事后全流程安全风险应对能力。

       聚焦重要工业控制系统网络安全防护。重要工业控制系统承载业务的重要性高、规模大,发生网络安全事件的危害程度高,《指南》强调要建立重要工业控制系统清单并实施重点保护,要求对重要工业控制系统相关设备实施冗余备份,加强对重要工业控制系统安全防护能力评估,定期开展重要工业控制系统漏洞排查,及时对系统升级加固。

       压实企业工控安全主体责任。企业是网络安全的责任主体,承载着维护网络安全的重要职责,《指南》强调工业企业承担本企业工控安全主体责任,应明确责任部门和责任人,建立健全工控安全管理制度,落实工控安全防护要求,强化企业资源保障力度,确保安全防护措施与工业控制系统同步规划、同步建设、同步使用。

以高水平工控安全护航新型工业化

       在新时期、新形势下,要积极落实《指南》要求,以护航新型工业化网络安全为目标,以重点行业企业、重要工业控制系统安全管理为主线,加强政策标准体系建设、优化安全管理模式、提升技术手段能力、增强协同化产业供给。

       完善工业领域网络安全政策标准体系。加强《指南》与工业领域网络安全工作的统筹协同,完善标准体系建设,有序推动重点国家和行业标准研制与发布。研究制定重要工业控制系统识别认定规则,建立健全工业领域网络安全信息共享与通报、应急处置等工作机制。体系化开展工业领域网络安全政策标准宣贯与培训,引导企业提升安全意识与防护水平。

       强化重点行业企业、重要系统安全管理。有序推进工业领域网络安全工作向重点行业深化落地,深入实施工业互联网企业网络安全分类分级管理,建立重点工业互联网企业清单。推动开展全国重要工业控制系统识别认定,强化重要工业控制系统防护能力评估、漏洞排查与修复,掌握“关键少数”底数,“以点带面”探索构建工业控制系统差异化安全管理和防护。

       提升工业领域网络安全技术能力。打造集工业领域网络安全监测预警、信息通报、应急处置、分析溯源于一体的技术手段,强化主动监测、精准预警、实时处置等关键能力,形成“横向联通、纵向联动”的协同监测与响应体系。深入开展工控安全漏洞专项治理行动,提升工业控制系统安全漏洞发现、验证、修复能力,强化工控安全漏洞全生命周期管理。

       把握《指南》重点要求,推动工控安全防护管理走深向实。督促企业落实网络安全主体责任,强化安全防护体系建设与资源保障力度。有序开展全国工控安全防护能力评估试点,深入开展安全深度行活动,遴选打造工控安全防护优秀解决方案。加强产学研用协同,优化工业控制系统网络安全产业供给。

       作者系国家工业信息安全发展研究中心主任

版权所有:成都市世腾信息服务中心    技术联系:shiteng588@163.com    售前咨询: 点击这里给我发消息  点击这里给我发消息    售后服务:点击这里给我发消息
Copyright 2002-2024 by 世腾信息 all rights reserved    蜀ICP备08104013号    法律顾问:  四川汇韬律师事务所    周艳律师