2019年，有一種火，叫等保2.0。
所有關(guān)注等保2.0的小伙伴應(yīng)該都知道，網(wǎng)絡(luò)安全等級保護(hù)新標(biāo)準(zhǔn)具有三個特點，其中之一就是把工業(yè)控制系統(tǒng)安全納入了新型應(yīng)用安全擴(kuò)展要求，并且調(diào)整成為工業(yè)控制系統(tǒng)安全擴(kuò)展要求。
工業(yè)控制系統(tǒng)安全擴(kuò)展要求
工業(yè)控制系統(tǒng)安全擴(kuò)展要求主要從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境以及安全建設(shè)管理五方面進(jìn)行了補(bǔ)充，各等級要求控制點分布如表一所示：
工業(yè)控制系統(tǒng)安全擴(kuò)展要求控制點分布表
工業(yè)控制系統(tǒng)安全擴(kuò)展要求（以三級為例）中關(guān)于安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境以及安全建設(shè)管理的擴(kuò)展內(nèi)容如下：
1.安全物理環(huán)境：增加了對室外控制設(shè)備物理防護(hù)要求，如放置控制設(shè)備的箱體或裝置以及控制設(shè)備周圍的環(huán)境；
2.安全通信網(wǎng)絡(luò)：增加了適配于工業(yè)控制系統(tǒng)網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)架構(gòu)安全防護(hù)要求、通信傳輸要求，如工業(yè)控制系統(tǒng)內(nèi)部以及工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間的網(wǎng)絡(luò)區(qū)域劃分及安全防護(hù)；
3.安全區(qū)域邊界： 增加了工業(yè)控制系統(tǒng)內(nèi)部區(qū)域之間以及工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間的訪問控制要求、撥號使用控制以及無線使用控制方面的安全要求；
4.安全計算環(huán)境：增加了對控制設(shè)備的安全要求，包括測試評估、安全加固、安全運(yùn)維等，控制設(shè)備主要是應(yīng)用到工業(yè)控制系統(tǒng)當(dāng)中執(zhí)行控制邏輯和數(shù)據(jù)采集功能的實時控制器設(shè)備，如PLC、DCS控制器等；
5.安全建設(shè)管理：增加了產(chǎn)品采購和使用和軟件外包方面的要求，主要針對工控設(shè)備和工控專用信息安全產(chǎn)品的要求，以及工業(yè)控制系統(tǒng)軟件外包時有關(guān)保密和專業(yè)性的要求。
工業(yè)控制系統(tǒng)應(yīng)用場景
1.工業(yè)控制系統(tǒng)分層模型
該標(biāo)準(zhǔn)參考IEC 62264-1的層次結(jié)構(gòu)模型劃分，同時將SCADA系統(tǒng)、DCS系統(tǒng)和PLC系統(tǒng)等模型的共性進(jìn)行抽象， 形成了如圖二的分層架構(gòu)模型，從上到下共分為5個層級，依次為企業(yè)資源層、生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設(shè)備層，不同層級的實時性要求不同。
A.企業(yè)資源層主要包括ERP系統(tǒng)功能單元，用于為企業(yè)決策層員工提供決策運(yùn)行手段；
B.生產(chǎn)管理層主要包括MES系統(tǒng)功能單元，用于對生產(chǎn)過程進(jìn)行管理，如制造數(shù)據(jù)管理、生產(chǎn)調(diào)度管理等；
C.過程監(jiān)控層主要包括監(jiān)控服務(wù)器與HMI系統(tǒng)功能單元，用于對生產(chǎn)過程數(shù)據(jù)進(jìn)行采集與監(jiān)控，并利用HMI系統(tǒng)實現(xiàn)人機(jī)交互；
D.現(xiàn)場控制層主要包括各類控制器單元，如PLC、DCS控制單元等，用于對各執(zhí)行設(shè)備進(jìn)行控制；
E.現(xiàn)場設(shè)備層主要包括各類過程傳感設(shè)備與執(zhí)行設(shè)備單元，用于對生產(chǎn)過程進(jìn)行感知與操作。
根據(jù)工業(yè)控制系統(tǒng)的架構(gòu)模型不同層次的業(yè)務(wù)應(yīng)用、實時性要求以及不同層次之間的通信協(xié)議不同，需要部署的工控安全產(chǎn)品或解決方案有所差異，尤其是涉及工控協(xié)議通信的邊界需要部署工控安全產(chǎn)品進(jìn)行防護(hù)，不僅支持對工控協(xié)議細(xì)粒度的訪問控制，同時滿足各層次對實時性的要求。
工業(yè)控制系統(tǒng)典型分層架構(gòu)模型
同時，該標(biāo)準(zhǔn)專門標(biāo)注了隨著工業(yè)4.0、信息物理系統(tǒng)的發(fā)展，上述分層架構(gòu)已不能完全適用，因此對于不同的行業(yè)企業(yè)實際發(fā)展情況，允許部分層級合并，可以根據(jù)用戶的實際場景進(jìn)行判斷。
考慮到工業(yè)控制系統(tǒng)構(gòu)成的復(fù)雜性，組網(wǎng)的多樣性，以及等級保護(hù)對象劃分的靈活性，給安全等級保護(hù)基本要求的使用帶來了選擇的需求。該標(biāo)準(zhǔn)給出了各個層次使用本標(biāo)準(zhǔn)相關(guān)內(nèi)容的映射關(guān)系，可以在實際應(yīng)用中參考：
2.實現(xiàn)等級保護(hù)的一些約束條件
工業(yè)控制系統(tǒng)通常是對可用性要求較高的等級保護(hù)對象，工業(yè)控制系統(tǒng)中的一些裝置如果實現(xiàn)特定的安全措施可能會終止其連續(xù)運(yùn)行，所以在對工業(yè)控制系統(tǒng)依照等級保護(hù)進(jìn)行防護(hù)的時候要滿足以下約束條件:
A.原則上安全措施不應(yīng)對高可用性的工業(yè)控制系統(tǒng)基本功能產(chǎn)生不利影響。例如用于基本功能的賬戶不應(yīng)被鎖定，甚至短暫的也不行；
B.安全措施的部署不應(yīng)顯著增加延遲而影響系統(tǒng)響應(yīng)時間；
C.對于高可用性的控制系統(tǒng)，安全措施失效不應(yīng)中斷基本功能等；
D.經(jīng)評估對可用性有較大影響而無法實施和落實安全等級保護(hù)要求的相關(guān)條款時，應(yīng)進(jìn)行安全聲明，分析和說明此條款實施可能產(chǎn)生的影響和后果，以及使用的補(bǔ)償措施。
3.工業(yè)控制系統(tǒng)整體安全保護(hù)能力的要求
該標(biāo)準(zhǔn)在附錄B提出了“關(guān)于等級保護(hù)對象整理安全保護(hù)能力的要求”，內(nèi)容指出網(wǎng)絡(luò)安全等級保護(hù)的核心是保證不同安全保護(hù)等級的對象具有相適應(yīng)的安全保護(hù)能力。同樣，對于工業(yè)控制系統(tǒng)在依據(jù)不同等級的安全措施時，還應(yīng)考慮構(gòu)建縱深的防御體系、采取互補(bǔ)的安全措施、保證一致的安全強(qiáng)度、建立統(tǒng)一的支撐平臺、進(jìn)行集中的安全管理五方面總體性要求，保證其整體安全保護(hù)能力。
4.工業(yè)控制系統(tǒng)等級保護(hù)安全框架和關(guān)鍵技術(shù)使用
在確定了工業(yè)控制系統(tǒng)的安全保護(hù)等級后，應(yīng)根據(jù)相應(yīng)安全保護(hù)等級的要求完成安全建設(shè)和整改工作，應(yīng)針對工業(yè)控制系統(tǒng)特點建立安全技術(shù)體系和安全管理體系，構(gòu)建具備響應(yīng)等級的安全保護(hù)能力的網(wǎng)絡(luò)安全綜合防御體系。同時，還應(yīng)根據(jù)國家網(wǎng)絡(luò)安全等級保護(hù)政策和標(biāo)準(zhǔn)，開展組織管理、機(jī)制建設(shè)、安全規(guī)劃、通報預(yù)警、應(yīng)急處置、態(tài)勢感知、能力建設(shè)、監(jiān)督檢查、技術(shù)檢測、隊伍建設(shè)、教育培訓(xùn)和經(jīng)費保障等工作。工業(yè)控制系統(tǒng)安全等級保護(hù)安全框架見下圖：
另外，該標(biāo)準(zhǔn)還要求在較高級別工業(yè)控制系統(tǒng)的安全建設(shè)和安全整改中注重使用可信計算、強(qiáng)制訪問控制、審計追查技術(shù)、結(jié)構(gòu)化保護(hù)技術(shù)以及多級互聯(lián)技術(shù)等。
