PDCA在工控安全運維管理中的應用

來自 搜狐網 的圖片

PDCA在工控安全運維管理中的應用「PDCA」在工控安全運維管理中的應用，隨着新漏洞的不斷出現或攻擊手段的提高，現有設備及系統的安全防護能力將無法抵禦新的攻擊手段，因此工業用戶需要進行現場測評和周期性評估，以適應變化的安全環境，通過評估結果呈現的風險趨勢，並根據定製KPI安全指標綜合分析風險，幫助工業用戶識別、控制、降低或消除安全風險。本文基於持續「PDCA」的工控安全運維管理是依據國家相關標準、規範和指南要求，面向企業用戶、針對工控網絡與系統，簡要介紹所開展的全生命周期安全運維管理。通過循序漸進的評價和改進，統計隱患和潛在的工控安全隱患的實時趨勢，持續提供風險分析報告及安全整改建議，幫助企業發現漏洞，降低工業企業網絡與信息安全風險。

關鍵詞：工控安全運維；PDCA；測試評估服務；工控安全風險

目錄

1　工控系統應用與安全風險的博弈

工業控制系統面臨的風險，除了產品本身存在的出廠缺陷、軟件更新速度慢、防護策略缺失等因素外，核心要素還是因為聯網而引發的不確定性。但是技術發展的趨勢是不可逆的，在面臨新技術、新應用、新模式衝擊的同時，也接受着信息化、網絡化、智能化所帶給我們的便利，以及因開放、共享帶來的安全問題。因此，工控網絡與信息系統作為網絡安全中的關鍵信息基礎設施，信息管理人員必須做好防護工作，以保障「兩化融合」發展過程的快速、持續和穩定。

1.1　兩化融合、智能製造的大趨勢

兩化融合的提出背景是人類社會經過多年發展，進入了信息文明階段。人類社會文明走過了三個階段，並與之相對應產生了三種文明形態。第一是農業階段，大家從一萬多年前形成了農業文明；第二是從十七世紀末開始進入了工業文明階段，與之相對應形成了工業文化。那麼從20世紀50年代開始經過第三次浪潮的描述，也就是說世界進入了信息化階段。在農業階段解決了人類的生存問題，在工業階段解決了機器代替手工，快速提高人類生活品質的問題。在信息化階段，通過信息通信技術實現了社會與經濟的融合，將信息化貫穿了人類生活的方方面面。

工業化正經歷世界經濟的第三次革命，隨着科學與技術革命的發展，其內涵也在不斷的發生變化。工業化經歷了三次的工業革命的劇變，第一次工業革命以1775年蒸汽機發明為代表的大機器生產取代手工業生產，極大提高了生產力。第二次工業革命，自然科學開始同技術生產緊密結合起來，在提高生產力發展方面發揮更為重要的作用。第三次工業革命，是自動化技術快速發展提高了生產力，帶來了全新的研發設計、生產製造和經營管理過程。在第三次工業革命有這樣一些代表性的事件：1952年第一台數控機床的出現；1971年微處理芯片的發明；80年代初計算機輔助設計的技術在產品設計中的應用……那麼第三次工業革命在不同的時期又可以分為數字化、網絡化、智能化階段。

1.2　信息產業發展與安全行業監管的兩難境地

傳統信息安全與工業控制信息安全區別之一是對業務的整合能力。傳統信息安全在不同用戶之間所面臨的系統非常類似，而工控系統在不同用戶、不同行業的應用方法存在很大差異，信息安全管理人員需要從企業生產和業務流程的視角，理解風險與安全。作為工業領域的信息化決策者，首先要保證的一定是生產運行的實時性、持續性和穩定性，也就是信息和網絡系統的功能性和可用性。信息化決策是由企業最高決策層負責的，俗稱信息化工程皆為「一把手」工程，從決策主體的角度，保障了信息化和企業經營發展的高度一致。

雖然這些信息化、智能化技術提高了生產力並降低了成本，但它們使關鍵任務系統暴露在新的風險中，例如工業關鍵業務系統突然停機、上位機誤操作和竊取敏感信息等，這些風險直接威脅到工業用戶的業務增長和連續性。無論是短暫還是長時間的停機，在工業製造的操作環境中是至關重要的，並且直接影響公司的收入流，造成不可估量的損失。例如，在汽車行業業務的停機時間成本高達130萬美元每小時。一旦攻擊者進入連續生產的製造業工控網絡，宕機的風險就會增加。惡意攻擊者或可能的競爭對手可以關閉生產線，甚至破壞昂貴的機器，造成重大損失。

可當信息化系統遇到安全問題的時候，最高負責人普遍無法直接做出決策。一方面改善安全狀況需要複雜的應對策略，而安全策略幾乎沒有固定的理論模型，只有依靠官方標準、行業經驗和政策指南等推導出的試探性的方法。另一方面，安全建設並不會直接產生生產效益，這就要求安全防護解決方案要具備有效性和及時性。

根據調查，在大多數工業企業，對於工業網絡中安全的決策者通常為CISO（首席信息安全官）或CSO（首席安全官），他們負責整個企業，包括傳統IT/企業網絡/業務網絡和工業製造/生產/SCADA網絡的安全。儘管CISO/CSO是決策者，但真正工業網絡的完善防護解決方案，還是需要了解工業控制或智能製造核心技術和業務流程的工作人員。因此，既保證信息化系統的正常運維，又要不損害系統可用性的無擾式管理和維護方法至關重要，這對工業企業來說幾乎是極其困難的。因此，如何讓企業信息化的各級參與者，都能夠投入到信息安全的管理決策，是解決工業企業信息安全規則設計和管理運維的有效方法。

1.3　態勢分析與預警的必要性

隨着信息和網絡技術的深入應用，決策者開始由發生了什麼、為什麼發生，過渡到將要發生什麼、如何規避風險。現有的傳統IT信息安全解決方案都不適合工業網絡。傳統IT信息安全解決方案通常是為某些特定入侵行為或活動而設計的防禦集合，它可能會為工業現場的流程化生產，增加不必要的管理風險，從而危及工業業務本身的連續性。此外，這些解決方案無法覆蓋複雜而又缺少公開資料的工業協議，因此無法在工業網絡中最大限度地發揮它們的潛力。

對於工控安全的管理，除了需要引入「白名單」管理思想，還需要配合一定的態勢感知預警平台，從而為各級決策部門提供主動風險監測、被動威脅發現、威脅情報收集與整合、威脅分析溯源等全方位、一體化態勢感知服務。同時這些服務可以幫助控制工程師和工廠信息化系統管理者保持警覺，匹配預警等級，提前知曉風險，防範事故。

1.4　監管與保障的思考

網絡信息安全問題不僅關乎廣大人民群眾工作生活，更與國家安全與國家發展息息相關。近些年，根據互聯網安全事件事項涉及的領域，國家中央網絡安全和信息化領導小組（以下簡稱網信辦）、工業和信息化部、公安部等多家主要政府機構協同擔負着互聯網安全管理職能。

網信辦着眼於國家安全和長遠發展，統籌協調涉及經濟、政治、文化、社會及軍事等各個領域的網絡安全和信息化重大問題，研究制定網絡安全和信息化發展戰略、宏觀規劃和重大政策，推動國家網絡安全和信息化法治建設，不斷增強安全保障能力。

工信部承擔着通信網絡安全及其信息安全管理的責任，主要從宏觀層面負責協調、維護國家層面信息安全，承擔國家信息安全保障體系的建設，對政府部門、重點行業重要信息系統與基礎信息網絡的安全保障工作進行指導監督，同時負責協調網絡與信息安全重大事件的處理。

公安部承擔着對計算機信息系統安全保護工作進行監督、檢查、指導；對計算機信息系統安全進行評估與審驗；對計算機違法犯罪案件依法查處等多項職責。而針對工控安全的監管責任還不夠清晰，存在着「九龍治水」的現象，規模化工業企業往往面臨着基礎設施安全、等保測評和定期檢查評估等同時監管的壓力。ARC的一份市場調研顯示，工業企業的首要需求是如何提升生產效率、提高生產利潤，甚至很多工業企業才剛剛解決自動化和網絡化的技術更新，在信息化方面還處於探索階段。目前我國的工控安全領域發展與歐美發達國家相比尚有一定差距，但我國的市場有其特殊性和不可替代性，若有政府或相關機構組織站出來對行業適當保障和引導，避免無序發展，最終以行業應用推動市場發展，將催生更加龐大完善的市場。

如果政府過度參與，強制企業採取全方位的防護，成本會提到很高，對企業產生較大負擔。工信部發布的《工業控制系統信息安全防護指南》值得參考，它指出工業企業還是首先進行風險評估，根據資產的重要程度、安全問題出現的概率、影響程度來採取適當措施加以防護比較權宜。