一看就懂，等保2.0下，工控等保怎么做！

2019 年 5 月 30 日 E安全

随着数字产业化与产业数字化的发展，等保2.0的等级保护对象，在包括基础信息网络的基础上，通过扩展要求和附录的形式，增加了云计算、移动互联、物联网、工业控制系统、大数据五大新兴应用场景的覆盖。同时，从防御方式上由传统的被动防护转变为网络空间主动防御体系建设，关注全方位主动防御、安全可信、动态感知和全面审计。

工业控制系统如何应对等保2.0的“合规”？这一篇，我们来谈一谈等保2.0的主要变化以及针对工业控制系统的安全扩展内容和要求。

工业控制系统应用场景

（1）工业控制系统的概念和定义

工业控制系统（ICS）是几种类型控制系统的总称，包括数据采集与监视控制系统（SCADA）系统、集散控制系统（DCS）、可编程逻辑控制器（PLC）和其它控制系统。工业控制系统通常用于诸如电力、石油化工、轨道交通、烟草、市政、以及离散制造（如汽车、航空航天和耐用品）等行业。

工业控制系统主要由过程级、操作级以及各级之间和内部的通信网络构成，对于大规模的控制系统，也包括管理级。过程级包括被控对象、现场控制设备和测量仪表等，操作级包括工程师和操作员站、人机界面和组态软件、控制服务器等，管理级包括生产管理系统和企业资源系统等，通信网络包括商用以太网、工业以太网、现场总线等。

（2）工业控制系统层次结构模型划分

参考标准IEC 62264-1的层次结构模型划分，同时将SCADA系统、DCS系统和PLC系统等模型的共性进行抽象，我们可以将工业控制系统进行如下分层：

工业控制系统各层资产梳理，在与生产相关0-3层，各层覆盖的资产如下：

•生产管理层：与生产制造相关的仓储管理、先进控制、工艺管理等系统的软件和数据资产、硬件设施。

•过程监控层：各个操作员站、工程师站、OPC服务器等物理资产，及运行的软件和数据资产。

•现场控制层：各类控制器、控制单元、记录装置，以及控制程序或组态信息。

•现场设备层：各类变送器、执行机构、保护装置。

等保2.0对工业控制系统的安全扩展要求

（1）扩展要求框架

除了安全通用要求，针对工业控制系统专门扩充了安全扩展要求内容，首次明确了区别于传统网络的工业控制系统在特殊的应用场景下，如何对等级保护建设提出要求。

（2）扩展要求新增内容

工业控制系统安全扩展要求中，针对每一部分要求，我们梳理如下（以三级为例）：

安全物理环境	增加了对室外控制设备的安全防护要求，如放置控制设备的箱体或装置以及控制设备周围的环境。
安全通信网络	增加了适配于工业控制系统网络环境的网络架构、通信传输安全防护要求，增加了拨号使用控制和无线使用控制的要求。
安全区域边界	增加了针对工业控制系统的访问控制，禁止通用网络服务穿越边界；增加了拨号适用控制、无线使用控制的要求，要求采取身份鉴别及访问控制等措施进行控制。
安全计算环境	增加了对控制设备的安全要求，控制设备主要是应用到工业控制系统当中执行控制逻辑和数据采集功能的实时控制器设备，如PLC、DCS控制器等。
安全建设管理	增加了产品采购和使用和软件外包方面的要求，主要针对工控设备和工控专用信息安全产品的要求，以及工业控制系统软件外包时有关保密和专业性的要求。