【解读】《信息安全技术 重要工控系统网络安全防护导则》
前言：
重要工业控制系统信息安全问题涉及电力、石油、化工、核设施、交通、冶金、水处理、生产制造及国防科技工业等重要行业，直接关系到国家关键基础设施和国民经济。由于工业控制系统安全事故频发并呈逐年上升趋势，工业控制系统信息安全的严峻形势引起了国内外的高度关注。作为国家基础性战略资源，电力、能源等重要工业控制系统网络安全的重要性日益凸显。
在此背景下，由全球能源互联网研究院有限公司、国家电网有限公司等40家单位编写了《GB/Z 41288-2022信息安全技术 重要工业控制系统网络安全防护导则》（以下简称《导则》），已于2022年10月1日正式实施。
本《导则》是在《GB/T 36572-2018电力监控系统网络安全防护导则》、国能安全[2015]36号文 电力监控系统安全防护总体方案、网络安全等级保护制度等有关法律法规标准的基础上制定。
▲《导则》目录体系结构
制定目的：
为加强重要工业控制系统的安全管理，细化重要工业控制系统防护的技术细节，以建立重要工业控制系统的网络安全防护体系，防范关键信息基础设施网络安全事件的发生。
适用对象：
本《导则》中定义的重要工业控制系统，则是按照 GB/T22239网络安全等级保护基本要求中描述的第三级和第四级的工业控制系统。
▲部分定级为第三级和第四级的工控系统
标准解读
01
遵循基本原则，构建防护体系
重要工业控制系统要求具备高可靠性、强实时性、高安全性、强连续性。其网络安全防护体系从x轴安全防护技术（T）、y轴应急备用措施（E）、z轴安全管理（M）三维空间坐标，和一维时间坐标（t）形成安全防护体系的立体结构，称为TEMt防护体系。几个维度相互支撑、相互融合、动态关联，形成动态的四维时空立体结构，并随着技术进步而不断动态发展完善。
▲重要工业控制系统网络安全防护体系结构
安全防护技术与应急备用措施，是构筑重要工业控制系统网络安全防护体系的基础。辅以网络安全管理手段，融入企业安全生产管理体系，对全体人员、全部设备、全生命周期进行全方位的安全管理，保障重要工业控制系统安全，确保重要工业控制系统安全稳定经济运行。
▲重要工业控制系统网络安全防护体系
02
落实“四个方面”，强化安全防护
作为重要工业控制系统网络安全防护的基础，《导则》第6章“安全防护技术”在“基础设施安全”、“体系结构安全”、“系统自身安全”和“安全可信防护”4个方面进行了详细叙述，其重要性不言而喻。基础设施安全：基础设施安全部分基本按照等级保护2.0第三级和第四级中物理安全部分相关规定进行描述，包括机房和生产场地在电力、门禁、视频监控等方面的要求。另外要求重要工业控制系统所有的密码基础设施，应符合国家商用密码管理要求。
体系结构安全：体系结构安全是重要工业控制系统网络安全防护体系的基础框架，也是所有其他安全防护措施的重要基础。重要工业控制系统体系结构安全应采用“安全分区、网络专用、横向隔离、纵向认证”的基本防护策略。
▲重要工业控制系统体系结构安全总体框架示意图
自身系统安全：在重要工业控制系统网络安全防护体系架构中，构成体系的各个模块应实现自身的安全，依次分为重要工业控制系统软件的安全、操作系统和基础软件的安全、计算机和网络设备及专用测控设备的安全、核心处理器芯片的安全。上述任一层面的安全加强，都是对本体安全的重要贡献。不必追求所有层面的安全防护措施同时实施。新开发的工业控制系统应尽可能一步实现内生安全，但对于老的在运控制系统，只能先强化边界安全并加强安全管理，待控制系统技改大修或升级换代时再实现内生安全。安全可信防护：安全可信防护中，提出对关键控制软件的强制版本管理和软件运行环境管控两个层面。其核心思想是采用基于可信计算的安全可信防护技术，形成对病毒木马等恶意代码的自动免疫。后期逐步应用以密码硬件为核心的可信计算技术，用于实现计算环境和网络环境安全可信防护，免疫未知恶意代码，防范有组织的、高级别的恶意攻击。
03
应急备用，防患未然
应急备用措施中提出对重要工业控制系统的冗余备用、多道防线和应急响应的要求。从安全生产的角度看，不存在百分百安全的系统，任何节点或设备都有可能被突破。所以重要工业控制系统的各个环节和各个模块均应具备必要的应急备用措施。工控的实时数据采集、网络传输、控制决策、命令执行、控制中心等环节都应根据业务需要设置冗余备用机制，冗余机制也是拟态防御的重要组成部分。
04
以人员、设备安全贯穿生命周期管理
针对当前重要工业控制系统缺乏安全管理机制、未建立相关安全岗位、未建立安全身份认证制度、缺少相应审计流程及制度规范等常见问题，提出通过“融入安全生产管理体系”、“全体人员安全管理”、“全部设备安全管理”、“全生命周期安全管理”四个层面指导重要工业控制系统的安全管理工作。三分技术七分管理，虽然安全防护技术非常重要，但只要涉及人员和设备，管理就是必不可少的。应将安全防护技术融入工业控制系统的采集、传输、控制等各个环节和各业务模块，融入工业控制系统的设计研发、安装调试、运行维护、退役销毁等过程中；应将网络安全管理融入企业安全生产管理体系，对全体人员（包括内部人员和外部调试或测试人员）、全部设备（包括安全设备和生产设备等）、全生命周期进行全方位的安全管理。
