海天炜业声音 | 等保测评2.0下的工控网络安全风险评估

7月20日,由中国化工学会化工自动化及仪表专业委员会、中国自动化学会仪表与装置专业委员会主办的“2017全国先进控制技术与自动化装备应用学术会议”年在丹东辽东学院召开。海天炜业被特邀出席会议,并发表《等保测评2.0下的工控系统网络安全风险评估的实践研究》的演讲。

image.png

海天炜业表示,《中华人民共和国网络安全法》规定,关系到国家安全、国计民生、公共利益的关键信息基础设施,尤其是我国的工业关键基础设施,近80%强依赖进口,存在着严重的安全隐患,一旦遭到网络攻击破坏而导致丧失功能或者数据泄露,可能会造成严重危害和国际影响。因此在网络安全等级保护制度的基础上,必须实行重点保护。而工业控制系统作为国家关键信息基础设施,是等级保护工作的核心保护对象。为了适应国家法律、政策的最新要求,工业控制系统等级保护相关标准需要扩展和完善,其中如何评价系统的安全状况将是开展后续工作的基础。

为保证工业控制系统网络安全,必须从风险评估入手,使用符合工控系统特点的理论、方法和工具,准确发现工控系统存在的主要问题和潜在风险,才能更好地指导工控系统的安全防护,才能建立满足生产需要的工控系统网络安全纵深防御体系。工业控制系统网络安全主要参考IEC 62264-1对工控系统进行层次结构划分,参考IEC 62443-1-1对工控系统进行分安全域保护,结合IEC 62264-1标准、IEC 62443系列标准、集散控制系统(DCS)安全类系列标准(GB/T 30009.1-2016~GB/T 30009.4-2016)等相关标准的基础上,通过对工控系统整体框架以及各个网络层次、各层的各个软件硬件组件,针对不同安全等级,设计出网络安全等级保护所应该保护的数据、协议、流量等等级保护要求,并根据具体的工控系统对象、应用的场合和工艺要求等确定具体的网络安全措施的落实,但必须以不影响工控系统的正常运行和SAFETY安全为前提。

此外,由于工业控制系统的特殊性,其风险评估与IT的风险评估有一些不同,有一些特殊的方面需要引起注意:

a)工控系统的敏感性和时效性都要求比较高,因此技术性的评估设备在使用过程中,需要做好充分的风险识别和处置预案,如漏洞扫描原则上不能直接应用于工控系统,而是通过在备用系统或者停产系统上漏扫的方式进行。对工控系统进行在线漏洞扫描很可能造成生产异常,在这方面有很多真实案例,例如:某一安全厂商受邀对国内某著名火电集团的工控系统做风险评估,由于使用在线的漏洞扫描方式,导致数据采集服务器宕机,从而造成关键生产数据丢失。

b)渗透测试作为风险评估的有效工具方法,其直观性显而易见,但是凡事有利就有弊,渗透测试的过程控制在工控系统风险评估中尤其重要。如果渗透人员对工控系统了解不足,在渗透过程中有误操作行为产生,那么很可能带来直接的安全问题生产灾难,将测试变成了攻击。

关于海天炜业:

2017年4月,经中国信息安全认证中心认可,海天炜业成为青岛首家获得信息安全风险评估服务资质认证(二级)的企业。该项资质的取得,是中国信息安全认证中心对海天炜业信息安全服务能力的认可。获得“信息安全风险评估”服务资质后,海天炜业的“工控网络安全整体解决方案”将优化升级,为用户提供“评估-完善-后评估”的“一站式”服务,为用户的工业控制系统安全、稳定运行保驾护航。

相关推荐

暂无评论