前言：

重要工業控制系統信息安全問題涉及電力、石油、化工、核設施、交通、冶金、水處理、生產制造及國防科技工業等重要行業，直接關系到國家關鍵基礎設施和國民經濟。由于工業控制系統安全事故頻發并呈逐年上升趨勢，工業控制系統信息安全的嚴峻形勢引起了國內外的高度關注。作為國家基礎性戰略資源，電力、能源等重要工業控制系統網絡安全的重要性日益凸顯。

在此背景下，由全球能源互聯網研究院有限公司、國家電網有限公司等40家單位編寫了《GB/Z 41288-2022信息安全技術 重要工業控制系統網絡安全防護導則》（以下簡稱《導則》），已于2022年10月1日正式實施。

本《導則》是在《GB/T 36572-2018電力監控系統網絡安全防護導則》、國能安全[2015]36號文 電力監控系統安全防護總體方案、網絡安全等級保護制度等有關法律法規標準的基礎上制定。

▲《導則》目錄體系結構
制定目的：
為加強重要工業控制系統的安全管理，細化重要工業控制系統防護的技術細節，以建立重要工業控制系統的網絡安全防護體系，防范關鍵信息基礎設施網絡安全事件的發生。
適用對象：
本《導則》中定義的重要工業控制系統，則是按照 GB/T22239網絡安全等級保護基本要求中描述的第三級和第四級的工業控制系統。

▲部分定級為第三級和第四級的工控系統

 標準解讀

01

遵循基本原則，構建防護體系

重要工業控制系統要求具備高可靠性、強實時性、高安全性、強連續性。其網絡安全防護體系從x軸安全防護技術（T）、y軸應急備用措施（E）、z軸安全管理（M）三維空間坐標，和一維時間坐標（t）形成安全防護體系的立體結構，稱為TEMt防護體系。幾個維度相互支撐、相互融合、動態關聯，形成動態的四維時空立體結構，并隨著技術進步而不斷動態發展完善。

▲重要工業控制系統網絡安全防護體系結構

安全防護技術與應急備用措施，是構筑重要工業控制系統網絡安全防護體系的基礎。輔以網絡安全管理手段，融入企業安全生產管理體系，對全體人員、全部設備、全生命周期進行全方位的安全管理，保障重要工業控制系統安全，確保重要工業控制系統安全穩定經濟運行。


▲重要工業控制系統網絡安全防護體系
02

落實“四個方面”，強化安全防護
作為重要工業控制系統網絡安全防護的基礎，《導則》第6章“安全防護技術”在“基礎設施安全”、“體系結構安全”、“系統自身安全”和“安全可信防護”4個方面進行了詳細敘述，其重要性不言而喻。基礎設施安全：基礎設施安全部分基本按照等級保護2.0第三級和第四級中物理安全部分相關規定進行描述，包括機房和生產場地在電力、門禁、視頻監控等方面的要求。另外要求重要工業控制系統所有的密碼基礎設施，應符合國家商用密碼管理要求。
體系結構安全：體系結構安全是重要工業控制系統網絡安全防護體系的基礎框架，也是所有其他安全防護措施的重要基礎。重要工業控制系統體系結構安全應采用“安全分區、網絡專用、橫向隔離、縱向認證”的基本防護策略。

▲重要工業控制系統體系結構安全總體框架示意圖

自身系統安全：在重要工業控制系統網絡安全防護體系架構中，構成體系的各個模塊應實現自身的安全，依次分為重要工業控制系統軟件的安全、操作系統和基礎軟件的安全、計算機和網絡設備及專用測控設備的安全、核心處理器芯片的安全。上述任一層面的安全加強，都是對本體安全的重要貢獻。不必追求所有層面的安全防護措施同時實施。新開發的工業控制系統應盡可能一步實現內生安全，但對于老的在運控制系統，只能先強化邊界安全并加強安全管理，待控制系統技改大修或升級換代時再實現內生安全。安全可信防護：安全可信防護中，提出對關鍵控制軟件的強制版本管理和軟件運行環境管控兩個層面。其核心思想是采用基于可信計算的安全可信防護技術，形成對病毒木馬等惡意代碼的自動免疫。后期逐步應用以密碼硬件為核心的可信計算技術，用于實現計算環境和網絡環境安全可信防護，免疫未知惡意代碼，防范有組織的、高級別的惡意攻擊。
03
應急備用，防患未然
應急備用措施中提出對重要工業控制系統的冗余備用、多道防線和應急響應的要求。從安全生產的角度看，不存在百分百安全的系統，任何節點或設備都有可能被突破。所以重要工業控制系統的各個環節和各個模塊均應具備必要的應急備用措施。工控的實時數據采集、網絡傳輸、控制決策、命令執行、控制中心等環節都應根據業務需要設置冗余備用機制，冗余機制也是擬態防御的重要組成部分。
04
以人員、設備安全貫穿生命周期管理
針對當前重要工業控制系統缺乏安全管理機制、未建立相關安全崗位、未建立安全身份認證制度、缺少相應審計流程及制度規范等常見問題，提出通過“融入安全生產管理體系”、“全體人員安全管理”、“全部設備安全管理”、“全生命周期安全管理”四個層面指導重要工業控制系統的安全管理工作。三分技術七分管理，雖然安全防護技術非常重要，但只要涉及人員和設備，管理就是必不可少的。應將安全防護技術融入工業控制系統的采集、傳輸、控制等各個環節和各業務模塊，融入工業控制系統的設計研發、安裝調試、運行維護、退役銷毀等過程中；應將網絡安全管理融入企業安全生產管理體系，對全體人員（包括內部人員和外部調試或測試人員）、全部設備（包括安全設備和生產設備等）、全生命周期進行全方位的安全管理。