★蔡麗麗中衡特爾維檢測技術(shù)（北京）有限公司

關(guān)鍵詞：數(shù)字化；智能化；工業(yè)控制系統(tǒng)；風(fēng)險評估

1　引言

黨的二十大報告提出，到2035年基本實現(xiàn)新型工業(yè)化。在推動新階段新型工業(yè)化進(jìn)程中，數(shù)字化、智能化成為工業(yè)企業(yè)技改升級的重要抓手。繼工業(yè)互聯(lián)網(wǎng)賦能之后，工業(yè)企業(yè)圍繞“數(shù)字化轉(zhuǎn)型”“智能化升級”，加強(qiáng)新一代信息技術(shù)與工業(yè)生產(chǎn)的集成應(yīng)用，加速發(fā)展新質(zhì)生產(chǎn)力。網(wǎng)絡(luò)化是數(shù)字化、智能化的基礎(chǔ)資源保障和數(shù)據(jù)要素來源，經(jīng)典工業(yè)控制系統(tǒng)模型在網(wǎng)絡(luò)化背景下已發(fā)生改變，能否針對工業(yè)控制系統(tǒng)實施信息安全風(fēng)險控制、防范化解網(wǎng)絡(luò)和數(shù)據(jù)安全風(fēng)險隱患，成為工業(yè)企業(yè)順利實現(xiàn)轉(zhuǎn)型升級的關(guān)鍵因素。

2　新型工業(yè)化背景下的工業(yè)控制系統(tǒng)風(fēng)險

經(jīng)典的工業(yè)控制系統(tǒng)層次結(jié)構(gòu)圖，從上到下依次為企業(yè)資源層、生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設(shè)備層。隨著工業(yè)互聯(lián)網(wǎng)的發(fā)展，以及企業(yè)的數(shù)字化轉(zhuǎn)型、智能化升級提速，該層次已不能完全適用。新技術(shù)、新裝備的使用，以及工業(yè)企業(yè)上云等，使得對應(yīng)風(fēng)險評估的資產(chǎn)、脆弱性和威脅也發(fā)生了變化。

（1）新型工業(yè)化背景下的工業(yè)控制系統(tǒng)風(fēng)險現(xiàn)狀

經(jīng)典工業(yè)控制系統(tǒng)通常包括SCADA（監(jiān)控和數(shù)采系統(tǒng)）、DCS（分布式控制系統(tǒng)）、PLC（可編程邏輯控制器）等，應(yīng)用環(huán)境封閉、獨(dú)立，信息安全隱患不足為慮。我國大部分工業(yè)控制系統(tǒng)建設(shè)較早，在信息技術(shù)欠發(fā)達(dá)時代考慮的信息安全較少，且并沒有隨著科技發(fā)展而升級，導(dǎo)致其自身安全能力不足^[1]。隨著新技術(shù)如云計算、大數(shù)據(jù)、人工智能、邊緣計算等在工業(yè)生產(chǎn)中的應(yīng)用，以及越來越多的軟硬件設(shè)施包括智能終端、采集設(shè)備等接入網(wǎng)絡(luò)，打破了相對封閉可信的傳統(tǒng)工業(yè)控制系統(tǒng)環(huán)境，OT、IT、DT、CT緊密融合，安全邊界逐漸模糊，互聯(lián)網(wǎng)的威脅進(jìn)入工業(yè)控制系統(tǒng)，工業(yè)控制系統(tǒng)的脆弱性被黑客瞄準(zhǔn)。與此同時，邊緣計算平臺、云平臺接入工業(yè)控制系統(tǒng)，匯聚了海量的多源異構(gòu)數(shù)據(jù)，使得數(shù)據(jù)處理和利用不斷促進(jìn)數(shù)字化、智能化，但也引入了數(shù)據(jù)安全風(fēng)險。所以傳統(tǒng)的僅針對工業(yè)控制系統(tǒng)的信息安全風(fēng)險評估在新形勢下的適用性、有效性大幅下降，從而催生了新型工業(yè)化背景下的工業(yè)控制系統(tǒng)信息安全風(fēng)險評估，進(jìn)而為數(shù)智升級提供可靠保障。

（2）工業(yè)企業(yè)上云導(dǎo)致的風(fēng)險

《2023上半年云安全態(tài)勢報告》顯示，工業(yè)云是遭受攻擊最多的三大行業(yè)之一^[2]。在數(shù)字化轉(zhuǎn)型過程中，工業(yè)企業(yè)使用工業(yè)互聯(lián)網(wǎng)平臺、邊緣計算平臺存儲、處理數(shù)據(jù)。對于工業(yè)互聯(lián)網(wǎng)平臺，涉及到如MES（生產(chǎn)過程執(zhí)行系統(tǒng)）、PLM（產(chǎn)品生命周期管理系統(tǒng)）等系統(tǒng)的云化部署、本地部署的常規(guī)工業(yè)控制系統(tǒng)數(shù)據(jù)上云。對于邊緣計算平臺，通過控制器、網(wǎng)關(guān)或服務(wù)器連接大量的現(xiàn)場設(shè)備、機(jī)床或產(chǎn)線，使得存儲和計算下移。工業(yè)互聯(lián)網(wǎng)平臺、邊緣計算平臺帶來的其自身的風(fēng)險評估情況、接入安全風(fēng)險及公有云安全風(fēng)險管理，都將成為工業(yè)控制系統(tǒng)信息安全風(fēng)險評估考量的因素。

（3）智能資產(chǎn)導(dǎo)致的風(fēng)險

在智能化升級過程中，智能裝備如數(shù)控機(jī)床、數(shù)控電氣，智能設(shè)備如工業(yè)機(jī)器人、智能車載等資產(chǎn)的廣泛使用，使得工業(yè)控制系統(tǒng)呈現(xiàn)新的風(fēng)險因素。智能資產(chǎn)系統(tǒng)可能存在漏洞及后門，攻擊者可以通過漏洞控制設(shè)備、通過后門竊取數(shù)據(jù)，造成工業(yè)企業(yè)的損失。另外，智能資產(chǎn)所在的網(wǎng)絡(luò)區(qū)域，若未使用防火墻、網(wǎng)閘等邊界安全設(shè)備，同時又使用智能終端通過互聯(lián)網(wǎng)對其進(jìn)行遠(yuǎn)程監(jiān)測時，IT和OT的邊界消失，極易遭受來自IT端的網(wǎng)絡(luò)攻擊。因此，智能資產(chǎn)的信息安全風(fēng)險評估成為工業(yè)控制系統(tǒng)風(fēng)險評估的一部分。

（4）供應(yīng)鏈安全導(dǎo)致的風(fēng)險

新型工業(yè)化背景下，工業(yè)企業(yè)應(yīng)用固件、軟件、組件和系統(tǒng)越來越多，軟件或系統(tǒng)封裝層級越來越高，針對供應(yīng)鏈各個環(huán)節(jié)的攻擊急劇上升，導(dǎo)致整體供應(yīng)鏈安全威脅越來越大。針對供應(yīng)鏈的安全攻擊事件呈快速增長態(tài)勢，Gartner曾預(yù)測，到2025年全球至少45%的企業(yè)機(jī)構(gòu)將遭遇軟件供應(yīng)鏈攻擊。再者軟件開發(fā)工具，若植入惡意代碼，將會編譯出缺陷代碼。曾疑似IOS開發(fā)工具Xcode被植入了惡意代碼，用該工具編譯的App會泄漏手機(jī)隱私信息。因此開展供應(yīng)鏈安全風(fēng)險評估，是對新型工業(yè)化背景下工業(yè)控制系統(tǒng)要求的細(xì)化，可以幫助企業(yè)識別供應(yīng)鏈安全弱點、實施控制措施、提升其關(guān)鍵環(huán)節(jié)的安全防護(hù)能力。

3　新型工業(yè)化背景下的工業(yè)控制系統(tǒng)信息安全風(fēng)險評估依據(jù)

我國高度重視工業(yè)控制系統(tǒng)信息安全風(fēng)險評估，多部法律法規(guī)提出了風(fēng)險評估要求，多項國家標(biāo)準(zhǔn)對風(fēng)險評估實施過程提供了指導(dǎo)，針對風(fēng)險評估進(jìn)行已有安全措施確認(rèn)。新階段的工業(yè)企業(yè)風(fēng)險評估不能僅遵守工業(yè)控制系統(tǒng)相關(guān)的風(fēng)險評估，而應(yīng)能更適應(yīng)聯(lián)網(wǎng)化、數(shù)字化、智能化的發(fā)展趨勢，為企業(yè)數(shù)智升級提供安全保障。

（1）法律法規(guī)對工業(yè)控制系統(tǒng)風(fēng)險評估的規(guī)定

《中華人民共和國網(wǎng)絡(luò)安全法》規(guī)定：國家實行網(wǎng)絡(luò)安全等級保護(hù)制度，國家網(wǎng)信部門協(xié)調(diào)有關(guān)部門建立健全網(wǎng)絡(luò)安全風(fēng)險評估和應(yīng)急工作機(jī)制，國家推進(jìn)網(wǎng)絡(luò)安全社會化服務(wù)體系建設(shè)，鼓勵有關(guān)企業(yè)、機(jī)構(gòu)開展網(wǎng)絡(luò)安全認(rèn)證、檢測和風(fēng)險評估等安全服務(wù)?！吨腥A人民共和國數(shù)據(jù)安全法》規(guī)定：國家支持有關(guān)部門、行業(yè)組織、企業(yè)、教育和科研機(jī)構(gòu)、有關(guān)專業(yè)機(jī)構(gòu)等在數(shù)據(jù)安全風(fēng)險評估、防范、處置等方面開展協(xié)作；重要數(shù)據(jù)的處理者應(yīng)當(dāng)按照規(guī)定對其數(shù)據(jù)處理活動定期開展風(fēng)險評估，并向有關(guān)主管部門報送風(fēng)險評估報告。

《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)指南》提出，新建或升級工業(yè)控制系統(tǒng)上線前、工業(yè)控制網(wǎng)絡(luò)與企業(yè)管理網(wǎng)或互聯(lián)網(wǎng)連接前，應(yīng)開展安全風(fēng)險評估。《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全分類分級指南（試行）》規(guī)定：三級工業(yè)互聯(lián)網(wǎng)企業(yè)應(yīng)當(dāng)至少每年進(jìn)行一次網(wǎng)絡(luò)安全風(fēng)險評估與審計?！豆I(yè)和信息化領(lǐng)域數(shù)據(jù)安全管理辦法（試行）》規(guī)定：工業(yè)和信息化領(lǐng)域重要數(shù)據(jù)和核心數(shù)據(jù)處理者應(yīng)當(dāng)自行或委托第三方評估機(jī)構(gòu)，每年對其數(shù)據(jù)處理活動至少開展一次風(fēng)險評估，及時整改風(fēng)險問題，并向本地區(qū)行業(yè)監(jiān)管部門報送風(fēng)險評估報告；中央企業(yè)應(yīng)當(dāng)督促指導(dǎo)所屬企業(yè)，在重要數(shù)據(jù)和核心數(shù)據(jù)目錄備案、核心數(shù)據(jù)跨主體處理風(fēng)險評估、風(fēng)險信息上報、年度數(shù)據(jù)安全事件處置報告、重要數(shù)據(jù)和核心數(shù)據(jù)風(fēng)險評估等工作中履行屬地管理要求。

（2）工業(yè)控制系統(tǒng)風(fēng)險評估的參考標(biāo)準(zhǔn)

GB/T20984-2022《信息安全技術(shù)信息安全風(fēng)險評估方法》是工業(yè)互聯(lián)網(wǎng)企業(yè)針對工業(yè)控制系統(tǒng)實施風(fēng)險評估的核心依據(jù)，它從資產(chǎn)、脆弱性、威脅、已有安全措施四個方面進(jìn)行風(fēng)險識別，通過風(fēng)險分析計算事件發(fā)生的可能性、評估對象的損失、系統(tǒng)資產(chǎn)面臨的風(fēng)險值，最終計算出業(yè)務(wù)風(fēng)險值。GB/T36466-2018《信息安全技術(shù)工業(yè)控制系統(tǒng)風(fēng)險評估實施指南》根據(jù)工業(yè)控制系統(tǒng)的資產(chǎn)安全特性，分析威脅、脆弱性和保障能力，通過風(fēng)險計算完成綜合分析與評價，最后根據(jù)判定結(jié)果及企業(yè)自身情況進(jìn)行殘留風(fēng)險處置。GB/T31722-2015《信息技術(shù)安全技術(shù)信息安全風(fēng)險管理》提供了信息安全風(fēng)險管理指導(dǎo)，可用于工業(yè)企業(yè)。當(dāng)前該標(biāo)準(zhǔn)正在升級轉(zhuǎn)版，新標(biāo)準(zhǔn)名稱定為《信息安全技術(shù)信息安全風(fēng)險管理指導(dǎo)》。

（3）已有安全措施確認(rèn)的標(biāo)準(zhǔn)依據(jù)

針對工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全進(jìn)行測評的標(biāo)準(zhǔn)，涵蓋網(wǎng)絡(luò)安全等級保護(hù)2.0標(biāo)準(zhǔn)體系，包括GB/T22239-2019《網(wǎng)絡(luò)安全等級保護(hù)基本要求》、GB/T28448-2019《網(wǎng)絡(luò)安全等級保護(hù)測評要求》等；工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全系列標(biāo)準(zhǔn)包括GB/T44462.1-2024《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全第1部分：應(yīng)用工業(yè)互聯(lián)網(wǎng)的工業(yè)企業(yè)防護(hù)要求》、GB/T44462.2-2024《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全第2部分：平臺企業(yè)防護(hù)要求》等。這些標(biāo)準(zhǔn)可以用于企業(yè)對工業(yè)控制系統(tǒng)已有安全措施進(jìn)行有效性確認(rèn)。企業(yè)采取的防護(hù)措施包括防火墻、入侵檢測、數(shù)據(jù)加密、訪問控制等，是降低脆弱性并抵御威脅的手段，可通過配置核查、漏洞掃描、滲透測試等技術(shù)手段驗證防護(hù)措施的有效性。

4　結(jié)語

由于風(fēng)險評估涉及的企業(yè)多樣、人員差異等因素，導(dǎo)致其結(jié)果存在一定的不確定性，因此在開展工業(yè)控制信息系統(tǒng)信息全風(fēng)險評估過程中要盡量考慮全面，并定期實施。

（1）工業(yè)控制系統(tǒng)風(fēng)險評估面臨的問題

一是，工業(yè)控制系統(tǒng)應(yīng)用于多種類型的工業(yè)企業(yè)，如鋼鐵、有色、石化等，企業(yè)類型及規(guī)模大小不同，其風(fēng)險評估側(cè)重也有所不同；二是，風(fēng)險評估具有主觀性，工控系統(tǒng)風(fēng)險評估無論依賴于第三方還是自身，都有其盲區(qū)，評估者的視角和經(jīng)驗都會影響評估結(jié)果；三是，風(fēng)險評估的方法并不一致，智能資產(chǎn)、云平臺或關(guān)鍵部件若單獨(dú)進(jìn)行風(fēng)險評估，評估方法一致性是工業(yè)控制系統(tǒng)信息安全風(fēng)險評估結(jié)果準(zhǔn)確性的重要因素。

（2）定期開展工業(yè)控制系統(tǒng)信息安全風(fēng)險評估

由于工業(yè)控制系統(tǒng)相關(guān)的資產(chǎn)、脆弱性和威脅不是一成不變的，因此工業(yè)企業(yè)需要通過定期開展信息安全風(fēng)險評估，全面了解自身的網(wǎng)絡(luò)和數(shù)據(jù)安全水平，根據(jù)評估結(jié)果優(yōu)化防護(hù)措施，及時消除不可接受的風(fēng)險隱患，將風(fēng)險控制在可接受范圍內(nèi)，為企業(yè)數(shù)智升級提供保障，為實現(xiàn)新型工業(yè)化目標(biāo)打下基礎(chǔ)。

作者簡介

蔡麗麗（1990-），女，河北張家口人，助理工程師，學(xué)士，現(xiàn)就職于中衡特爾維檢測技術(shù)（北京）有限公司，主要從事信息系統(tǒng)安全性維護(hù)、信息系統(tǒng)測試、質(zhì)量管理等方面的研究。

參考文獻(xiàn)：

[1] 張真愷. 煙廠制絲車間工業(yè)控制系統(tǒng)信息安全風(fēng)險評估研究[D]. 昆明: 云南大學(xué), 2022.

[2] 工業(yè)級大模型應(yīng)用是一把“雙刃劍”? [EB/OL].

摘自《自動化博覽》2025年1月刊