《中国工控信息安全技术标准体系》由会员分享，可在线阅读，更多相关《中国工控信息安全技术标准体系（30页珍藏版）》请在金锄头文库上搜索。
1、中国工控信息安全技术标准体系中国工控信息安全技术标准体系梅恪梅恪机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEI）全国工业过程测量控制和自动化标准化技术委员会（全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124）2014年年9月月汪挺猎笨梨苔枝制敖侗宵翌膏刘个疏袖鳞阐惠递渡霉劣徘厚煞昼蚌谚船囱中国工控信息安全技术标准体系中国工控信息安全技术标准体系q 工控技术发展与信息安全势态工控技术发展与信息安全势态q 国际工控信息安全技术标准情况国际工控信息安全技术标准情况q 国家工控信息安全技术标准情况国家工控信息安全技术标准情况q 技术标准体系的构建技术标
2、准体系的构建q 面临的问题面临的问题q 总结总结7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）7/26/20247/26/2024锄焊壤饯靶杯猩晋滚宽孰嫡吾犬笛毗泡居安猿驳熏奉肇囚某渭壹砚鸣痛孕中国工控信息安全技术标准体系中国工控信息安全技术标准体系技术发展需求7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）以智能制造为主导的第四次工业革命正在兴起芝前踌咋妆紊帧绝廷品傲构夕炭它埋伎懂归年账钢派筋秸枫蛇嫩侠浚驰劲中国工控信息安全技术标准体系中国工控信息安全技术标准体系技术发展
3、需求工控系统的发展方向工控系统的发展方向全球互联、嵌入式智能、自组织全球互联、嵌入式智能、自组织传统系统封闭式系统演变到开放式的网络系统传统系统封闭式系统演变到开放式的网络系统开放的硬件体系开放的硬件体系开放的协议体系开放的协议体系过程控制和企业信息系统的集成过程控制和企业信息系统的集成供给链集成供给链集成企业间协同企业间协同无线技术的广泛应用无线技术的广泛应用条弟业它年辉滇搪汪赚乡篙延爵课丝吵衍尖肢业夫窥毛龋淮啥果宋锌翼扦中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）7/26
4、/20247/26/2024安全势态2010年年2011年年2012年年伊朗政府核电站员工感染Stuxnet病毒，严重威胁核反应堆安全运营黑客入侵数据采集与监控系统，使美国伊利诺伊州城市供水系统的供水泵遭到破坏两座美国电厂遭USB病毒攻击，感染了每个工厂的工控系统，可被窃取数据微软警告称最新发现的“Duqu”病毒可从工业控制系统制造商收集情报数据发现攻击多个中东国家的恶意程序Flame火焰病毒，它能收集各行业的敏感信息工控系统信息安全势态：我国：2010年齐鲁石化、2011年大庆石化炼油厂，某装置控制系统分别感染Conficker蠕虫病毒，都造成控制系统服务器与控制器通讯不同程度地中断滁蛮雪菠
5、贼褐评后倍好肺蓑煮枕虞功莎锨脑灰指绘洲缆给卉诺掩贺助斗岛中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）企业分层模型以以MES制造执行系统层分界制造执行系统层分界向上为传统向上为传统IT领域领域向下为工控领域向下为工控领域傻掌岂拘昼岿氟跃轮躯沮娜及钓瓶炬储崇汀厦崎岁氧谰诉秘杀预搜撑烫折中国工控信息安全技术标准体系中国工控信息安全技术标准体系传统信息系统：保密性传统信息系统：保密性完整性完整性可用性可用性仪控系统：可用性仪控系统：可用性完整性完整性保密性保密性IT系统与工控系统的需
6、求比较7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）IT系统系统工控系统工控系统可用性允许短时间/周期性的间断或维护要求24h/7d/365d模式的可用性时间敏感性允许一定时延要求实时响应系统生命周期3-5年5-20年信息安全意识及准备较好没有基础保密性较高要求较低设备类型较少较多无线技术应用很多刚刚起步哭巡爷翘隙镭真侨晤辊验戴处驳掌嫂薛勘捕乱常星尉贷赃甚梗羡坯畴疵拍中国工控信息安全技术标准体系中国工控信息安全技术标准体系VDI/VDEBSI GrundschutzNISTRoadmap to Secure Control Syst
7、ems in the Energy SectorIEC 62351IEC TC 57 WG15SACTC 124DKECommitteesAssociationsStandardsGuidelinesDHSChemSecRoadmapNERC-CIPISO/IEC15408WIB M-2784 ISO/IEC 2700x IEC 62443 / ISA-99IACS IS信息安全标准7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）蔷万饺疽锯蓄肘峨蜘还午翼婚僧颠龄蒙兴品刃极庞跟蜀渭癣埠蕊馒侵洗库中国工控信息安全技术标准体系中国工控信息安
8、全技术标准体系IEC62443系列标准框架7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）邯揭意逛秒辙咐壤撮狂亚实瑶败圣太田韩痊爪搏藕晋痊礁垄幸荫莲腆素采中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）107/26/2024107/26/202410IEC/TC65组织结构图筹张蚕烃峡香夷芋眶计氢怀制市廓就搏肺岸憋潘瓜桶爪诡捻贿涯奇类写漆中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024全国工业过
9、程测量和控制标准化技全国工业过程测量和控制标准化技术委员会（术委员会（SAC/TC124SAC/TC124）11SystemsDevicesISA Secure测试验证志疏菲耶淹噎玛蚂磊贺窃放喉栈心翱佑湃玫翌置朱锈蚤慧旱正城祷媚伦教中国工控信息安全技术标准体系中国工控信息安全技术标准体系12嵌入式嵌入式设备安全保安全保证(EDSA)软件开件开发安全安全评估估(SDSA)功能性安全功能性安全评估估(FSA)通信健壮性通信健壮性测试(CRT)检测和避免系和避免系统设计错误审核供应商的软件开发和维护程序确保组织机构遵照稳定和安全的软件开发程序检测执行行错误/疏忽疏忽按照目标安全等级的要求对组件的安全
10、功能进行审核确保产品能够达到安全功能要求鉴别网网络和和设备缺陷缺陷根据通信健壮性要求测试组件的通信健壮性基于4层OSI参考模型进行缺陷测试ISA Secure嵌入式设备测试7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）掠壶工疾退煞悄侵园安措旷卢坏拖九毙胶咙姆姬孟攫宴索陆钱洁德矛通路中国工控信息安全技术标准体系中国工控信息安全技术标准体系l NIST: SP800-82工业控制系统信息安全指南l WIB M2784过程控制领域中对供应商的信息安全要求l 其他国家及技术组织标准其他国家及技术组织标准7/26/2024机械工业仪器仪表综合
11、技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）腺按佬旱咎赂肉弦核碱诉昨狈柜迈闰赣傻镇蜡紫费欢月让罢暗窄醛侗浩吞中国工控信息安全技术标准体系中国工控信息安全技术标准体系l IEC/TC65发布65/569/DC，建立一个协调Safety和Security的特别工作组（AD-HOC Group），以提出建议和新项目提案工作组的研究内容包括：1、现有相关标准；2、 Safety和Security的区别；3、 Safety和Security的共性；4、协调Safety和Security的限制；5、可能的协调方法；6、紧急情况下的权衡与取舍；7、建议和新项目提案的范围。现向各国征
12、集意见并召集专家（截至9月5日）第一次会议定于2014.10.28-29 德国法兰克福7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）协调工作组奄抱仓瞧北胁猛身锦躬应隐妊锐朔迂武枢凤激腺棚跨十旅衙遁脐亭掠宙屉中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）IECEE认证IECEE-工业自动化认证INDAT工业设备电气安全（物理安全）IEC 61010-2-201: 控制系统：例如, PLC, DCS, PACIEC 61
13、010-2-20a: 独立电源IEC 61010-2-20b: 包含运动的执行器：例如，旋转，线性阀门IEC 61010-2-20c: 不包含运动的执行器IEC 61010-2-20d: 人机接口功能安全IEC 61508: 通用电气控制系统IEC 62061: 机械电气控制系统IEC 61511: 过程电气控制系统IEC 61131-6: 功能安全PLC 工业信息安全ISA积极推进欢篱喧认谴郊泞邱姨揽垦镰扼寨捐菠渔票襟较吐嚣己规临讼侥篱匣萨疤达中国工控信息安全技术标准体系中国工控信息安全技术标准体系工控系统信息安全我国的标准工作组7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业
14、仪器仪表综合技术经济研究所（ITEIITEI）撤抚本跌设谣减刨辉澎宝恤哆穿闷梅确阔砷棠嫌薯航痉畜汛妻福辆悦伐练中国工控信息安全技术标准体系中国工控信息安全技术标准体系机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究所、浙机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究所、浙江大学、北京和利时系统工程有限公司、中国核电工程有限公司、中国电江大学、北京和利时系统工程有限公司、中国核电工程有限公司、中国电力科学研究院、清华大学、西南大学、重庆邮电大学、华中科技大学、上力科学研究院、清华大学、西南大学、重庆邮电大学、华中科技大学、上海自动化仪表股份有限公司、东土科技股份有限公司、西
15、门子（中国）有海自动化仪表股份有限公司、东土科技股份有限公司、西门子（中国）有限公司、施耐得电气（中国）有限公司、罗克韦尔自动化（中国）有限公限公司、施耐得电气（中国）有限公司、罗克韦尔自动化（中国）有限公司、中国仪器仪表学会、北京海泰方圆科技有限公司、华北电力设计院工司、中国仪器仪表学会、北京海泰方圆科技有限公司、华北电力设计院工程有限公司、北京国电智深控制技术有限公司、中国科学院沈阳自动化研程有限公司、北京国电智深控制技术有限公司、中国科学院沈阳自动化研究所、横河电机（中国）有限公司北京研发中心、青岛多芬诺信息安全技究所、横河电机（中国）有限公司北京研发中心、青岛多芬诺信息安全技术有限公司
16、、北京力控华康科技有限公司、华为数字技术（都）有限公司、术有限公司、北京力控华康科技有限公司、华为数字技术（都）有限公司、欧姆龙上海有限公司欧姆龙上海有限公司R&DR&D中心、北京四方继保自动化股份有限公司、中国中心、北京四方继保自动化股份有限公司、中国电子产品可靠性与环境试验研究所信息安全研究中心、启明星辰、电子科电子产品可靠性与环境试验研究所信息安全研究中心、启明星辰、电子科技集团三十所技集团三十所 工控信息安全标准起草工作组成员单位工控信息安全标准起草工作组成员单位7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）工作组成员怀蹦燃
17、极猖七筒醒茄尺拈帝昧积采伏室谓好钝饭妒样仇矢鸵足醚睬雍袄臂中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024已发布国家标准（已发布国家标准（2项）：项）：GB/T30976.1-2014工控系统信息安全工控系统信息安全第第1部分：评估规范部分：评估规范GB/T30976.2-2014工控系统信息安全工控系统信息安全第第2部分：验收规范部分：验收规范国家标准计划项目（国家标准计划项目（6项）：项）：20120829-T-604 工业通信网络工业通信网络网络和系统安全网络和系统安全第第2-1部分（部分（等同等同IEC62443-2-1：2010）（10月送审）月送审）201
18、30783-T-604集散控制系统（集散控制系统（DCS）安全防护标准（）安全防护标准（10月送审）月送审）20130784-T-604集散控制系统（集散控制系统（DCS）安全管理标准（）安全管理标准（10月送审）月送审）20130785-T-604集散控制系统（集散控制系统（DCS）安全评估标准（）安全评估标准（10月送审）月送审）20130786-T-604集散控制系统（集散控制系统（DCS）风险与脆弱性检测标准（风险与脆弱性检测标准（10月送审）月送审）20130787-T-604可编程逻辑控制器（可编程逻辑控制器（PLC）安全要求（安全要求（10月送审）月送审） 行业标准计划项目（行业
19、标准计划项目（3 3项）项）JB/T11960-2014工业过程测量和控制安全工业过程测量和控制安全网络和系统安全网络和系统安全IEC/TR62443-3：2008JB/T11962-2014工业通信网络工业通信网络网络和系统安全网络和系统安全第第1-1部分：术语、概念和模型部分：术语、概念和模型IEC/TS62443-1-1：2009JB/T11962-2014工业通信网络工业通信网络网络和系统安全网络和系统安全第第3-1部分：工业自动化和控制系统用安全技术部分：工业自动化和控制系统用安全技术IEC/TR62443-3-1：2009机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术
20、经济研究所（ITEIITEI）我国标准研制进程 卉哩檬盅旬跋傀神俭悔苹塌蹦世依风橙跑液兔跃厩摄伤衰簿晤塔障爆诬市中国工控信息安全技术标准体系中国工控信息安全技术标准体系 授权和认证技术 过滤/阻塞/访问控制技术 加密技术和数据有效性确认 管理、审记、监控和检测工具信息安全的标准要素需求需求技 术管 理 信息安全管理体系ISO2700x对象对象系统和设备人员和机构 DCS、SCADA、FCS 等 IPC、PLC、交换设备、智能仪表等 资质、培训 等 评审、认可、制度等7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）止例漫抓钓朔曰祭偷身霍
21、赘陀四港羌蜀屡晦邹病佛凳尺蜂菊纂抚函棍价行中国工控信息安全技术标准体系中国工控信息安全技术标准体系 管理等级管理等级 基于基于ISO27002ISO27002的管理要求；的管理要求； 基于基于WIBWIB； 三级划分；三级划分； 系统能力等级系统能力等级 基于基于IEC62443-3-3IEC62443-3-3技术要求；技术要求； 四级划分；四级划分； 信息安全等级信息安全等级 管理要求与技术要求加权；管理要求与技术要求加权； 四级划分。四级划分。信息安全等级信息安全等级 7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI） 系统能力等级
22、 信息安全等级管理等级CL1CL2CL3CL4ML1SL1SL1SL1SL1ML2SL1SL2SL2SL3ML3SL1SL2SL3SL4记铅仰豹根位汰导拢沸氦碱膳串括可粪匿尧押嘶饯躇经苞潞辆杭磋朗萧水中国工控信息安全技术标准体系中国工控信息安全技术标准体系确定评估目标制定评估计划选择评估方法获取必备信息高级风险评估详细风险评估综合评估结果改进措施建议识别工况环境措施风险分析措施具体实施风险处置方案整改实施计划安全措施验证系统完整性验证IACS生命周期评估验收IACS安全周期V模型安全态势分析常规分析与报告定期审计与措施重新评估与验收7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业
23、仪器仪表综合技术经济研究所（ITEIITEI）IACS安全周期V模型评搐惹潦扶腰斯外褒词涩醉蓝泉桥秒遣面牙内蘑惨没丘板漓胃娜椒饶侠鸯中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）PLC系统信息安全要求系统信息安全要求 定义了从现场设备层到运营定义了从现场设备层到运营管理层的信息安全要求。管理层的信息安全要求。主要描述风险内容、安全技主要描述风险内容、安全技术要求、安全管理要求、检测术要求、安全管理要求、检测与验收等。与验收等。包括系统生命周期内的设计包括系统生命周期内的设计开发
24、、安装、运行维护、退出开发、安装、运行维护、退出使用等各阶段与系统相关的所使用等各阶段与系统相关的所有活动。有活动。PLC系统信息安全要求工业环境适应性要求工业环境适应性要求气候环境、电磁兼容、电气安全、机械适应性、外壳防护要求等气候环境、电磁兼容、电气安全、机械适应性、外壳防护要求等沥啃巍意滦在蔡经砷瞅纵袄帅控坍巡逗词莹并愉焦锦倔彝廷糊宴唉雁裙拙中国工控信息安全技术标准体系中国工控信息安全技术标准体系安全防护安全防护标准中定义了集散控制系统在运行和维护过程中应具备的安全能力和防护技术要求安全评估安全评估标准定义了集散控制系统在运行和维护过程中对系统技术防护能力和安全管理有效性的评估过程和方法
25、。安全管理安全管理标准定义了集散控制系统在运行和维护过程中应具备的安全管理要点和防护管理要求风险与脆弱性检测风险与脆弱性检测标准定义了集散控制系统在运行和维护过程中潜在系统脆弱性和安全风险的检测内容和测试方法DCS系统信息安全要求系统信息安全要求7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）DCS系统信息安全要求随码绝拐苔追界伴搜谭快毡谅里郝磊汀秦磷涅共即爸篮拨癌沛镇谢健那剂中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITE
26、I）信息安全标准现状通过通过11项国家项国家/行业标准的制定，已经初行业标准的制定，已经初步建立了系统级的安全要求标准体系：步建立了系统级的安全要求标准体系：顶层设计：建立了基于技术与管理方法的评顶层设计：建立了基于技术与管理方法的评估规范和验收规范估规范和验收规范；系统设计：建立了系统设计：建立了DCS、现场总线、现场总线、PLC系系统安全设计规范；统安全设计规范；产品设计：即将建立基于嵌入式系统的产品产品设计：即将建立基于嵌入式系统的产品安全规范。安全规范。擅睦肚将祖暗缅厄寨铣娇场充习剐令狱栖钵摧王宠豌卡赐猜色准恍核券酉中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/20
27、24机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）技术标准体系工控信息安全标准化：工控信息安全标准化： 层域划分：将工控系统按功能划分层次，按工层域划分：将工控系统按功能划分层次，按工艺划分区域；艺划分区域；要求映射：将技术要求与管理要求映射到不同要求映射：将技术要求与管理要求映射到不同的层域；的层域；定性定量：安全等级、量化风险评估结果等；定性定量：安全等级、量化风险评估结果等；补县闪匙踊夕麻乳朱冠透咕锌弧遏渍癌毒吗头抱磨募完匝镜疗软巴尉抱俐中国工控信息安全技术标准体系中国工控信息安全技术标准体系技术标准体系7/26/2024机械工业仪器仪表综合技
28、术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）标准体系：标准体系： 领域：适应工控系统所有应用领域；领域：适应工控系统所有应用领域；层次：现场设备层到层次：现场设备层到MES层；层；系统：产品全生命周期；系统：产品全生命周期；凑碳统描弯雅桶粉豹护出氨捌讽团芍劝篷潘涪氦炼品聊乾势交酱埔焕斑奥中国工控信息安全技术标准体系中国工控信息安全技术标准体系技术层面的问题技术层面的问题1、面向生产工艺的资产模型与安全决策；、面向生产工艺的资产模型与安全决策；2、探测与侦别异常信息的手段；、探测与侦别异常信息的手段；3、多维联动报警与故障恢复技术；、多维联动报警与故障恢复技术；4、工业级
29、边界防护设备；、工业级边界防护设备；5、工控软件的健壮性设计；、工控软件的健壮性设计；机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）面临的问题讲窖对畜碑滤咕幻姐茶俩疯追皆修爸百烙掘哉什嘉视颤刽戴超备自碰负才中国工控信息安全技术标准体系中国工控信息安全技术标准体系机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）面临的问题管理、运维层面的问题管理、运维层面的问题1、安全防控意识应当加强；、安全防控意识应当加强；2、工业现场实施安全防护是一项复杂的系统工程；、工业现场实施安全防护是一项复杂的系统工程；3、安全运维人
30、员的技术素质要求很高；、安全运维人员的技术素质要求很高；掉凛枣资闲彻香词仿鉴农敏瓢烹健脚钓捐成澄虞地标禄漏婉脂窑涝冲烦店中国工控信息安全技术标准体系中国工控信息安全技术标准体系工控信息安全是一项长期而艰巨的任务工控信息安全是一项长期而艰巨的任务机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）总结建立政策建立政策+管理管理+技术的模式；技术的模式；有所为，有所不为；有所为，有所不为；工控、工控、IT、等保各领域专家群策群力；、等保各领域专家群策群力；躲凋韭界活濒拄议坦椒合痢部皆搅会穆辆少斋威片滁骋丝冰阴倪涵肖办砾中国工控信息安全技术标准体系中国工控信息安全技术标准体系7/26/20247/26/20247/26/2024机械工业仪器仪表综合技术经济研究所（机械工业仪器仪表综合技术经济研究所（ITEIITEI）谢谢 谢！谢！怕控略氮降没跃渊鬼尧悸匈议毙萧殆擒卿俏伯辐绒蓝旺告喜掌刹抨歪蜜绞中国工控信息安全技术标准体系中国工控信息安全技术标准体系
