工業控制系統信息安全產業聯盟

　　隨著越來越多的工控系統接入信息網，工控系統的信息安全成為了日益突出的問題。工控系統在電力行業、交通運輸、石油石化等重要領域有廣泛應用，這些領域的安全問題關乎國家安全；另外工控系統較多地采用了通用協議、通用硬件和通用軟件等，急需相關規范文件的約束。在這種情況下，《GB/T 32919-2016信息安全技術 工業控制系統安全控制應用指南》應運而生，它專門針對各領域各行業的工控系統編寫，規范工業控制系統的安全需求，從工業企業的方方面面指導工業企業信息安全建設，為我國工控系統信息安全相關工作奠定基礎。本期專刊中，工業控制系統信息安全產業聯盟就針對這一標準進行解讀。

　　Q：GB/T 32919-2016適用范圍是什么？

　　A：工控企業行業眾多，不同行業之間的工控系統存在較大差異，32919-2016適用于工業領域的各個行業，整個標準規約了工業企業從設計到建設到運行，從人員安全到設備安全到環境安全等各個方面。作為包含了800余個控制點的標準，它可作為工業控制系統信息安全體系建設評估依據，也可指導企業工控系統的安全整改。另一方面，可作為政府工控安全檢查的技術性規范，亦可作為企業工控安全自查的指導性文件。

　　Q：GB/T 32919-2016有哪些亮點？

　　A：32919-2016亮點很多。第一，它是國內首個覆蓋工業企業全生命周期的工控安全標準；第二，標準包括了18個控制族、近900項工控系統安全控制點，從技術、管理、運維三方面規約工業企業的信息安全設計建設；第三，32919-2016作為工業控制系統安全通用標準，可通過裁剪形成各行業的工控安全標準，為工控領域各行業規范細則的制定奠定有力的基礎。

　　Q：GB/T 32919-2016在哪些方面對開展工控安全保障相關工作提供了指導依據？

　　A：首先，該標準作為首個可應用于工業控制系統信息安全測評工作、多行業通用的國家標準，為后續工控系統信息安全測評相關標準奠定基礎。其次，從標準本身來說，該標準從技術、管理、運維的18個方面開展工控安全保障工作，覆蓋了企業生產運營的全生命周期。比如：技術上的訪問控制、系統和通信保護，管理上的安全評估、規劃管理，運維上的事件響應、介質保護等。為評估機構的測評工作以及工業企業的自查工作提供了指導依據。

　　Q：GB/T 32919-2016對于我國工控信息安全保障工作的意義是什么？

　　A：隨著“工業4.0”、工業互聯網、《中國制造2025》的不斷推進，我國傳統的工業企業逐漸從自成體系且封閉獨立的系統走向了開放，這就造成了工業領域的信息安全形勢日趨嚴峻。工業企業一旦出現信息安全問題，輕則帶來經濟損失，重則關乎公眾權益，社會穩定，國家安全。本標準有力支撐工控系統信息安全評估工作，確保我國工業企業的正常生產運營，保障信息安全，維護國家利益。標準一方面可作為工業企業的信息安全評估規范性文件，另外可作為工業企業日常自查時的指導文件。

　　Q：目前國外在工控信息安全標準的具體情況，與國內有哪些不同？

　　A：國外標準化機構、應急響應機構針對工業控制系統發布了若干的指導標準。他們從信息網絡的角度，將信息網絡的安全思路自然延伸到工業控制領域，制定相關的安全標準，典型的代表為NIST發布的SP800-82指南。

　　我國標準化機構針對工業控制系統也發布了若干標準，是在前期的企業調研、研究分析的基礎上制定的。通過調研，深刻分析工控信息安全與傳統信息安全的差異性，制定出專門針對工控系統信息安全的標準。另外，通過對工控系統多行業的分析研究，找出各行業間的差異性，在通用標準的基礎上又推動制定了不同行業的工控信息安全標準。

　　Q：未來，針對于工控信息安全領域還會有哪些標準相繼出臺？

　　A：就工業控制系統信息安全標準體系來說，目前在安全等級、安全測評、安全實施三方面的標準已較為完善，但在安全要求方面的標準仍需加強。未來將會出臺《工業控制系統安全技術基本要求》、《工業控制系統安全管理基本要求》以及針對工控產品的系列標準等，都是針對工控系統的安全要求。