网络安全标准在石油石化工业控制系统中的应用

网络安全标准在石油石化工业控制系统中的应用

马松

中海油信息科技有限公司天津分公司，天津市，300457

摘要：近年来，我国的石油石化工业有了很大进展，在石油石化行业中，网络安全标准发挥着重要的作用。网络控制领域的安全性和可靠性问题越来越突出，工业控制体系变得越来越复杂，信息化加剧了系统安全的隐患。网络安全等级保护是网络安全的基本工作系统。本文首先分析了工业互联网网络组成部分，其次对现状总结，最后就网络安全标准在石油石化工业控制系统中的应用进行研究，以便提高工业控制系统的综合保护水平。

关键词：网络安全等级保护；国家标准；网络安全

引言

近年，随着我国工业生产方式的转型优化和信息化技术的不断发展，运用网络信息技术指导工业领域的生产生活成为促进产业发展的重要手段，工业技术（IndustrialTechnology）和信息技术（InformationTechnology）在网络技术的加持下迅速发展融合，为我国工业化、信息化进程提供了强大助力。然而，随着工业和信息技术融合进入“深水区”，工业领域的网络安全问题日益严峻，极大的威胁着生产活动。标准体系建设工作是实现工业领域信息和网络安全的重要技术基础，也是国家信息安全保障体系建设的重要组成。因此，梳理工业领域相关网络安全标准体系，研究其发展趋势，有利于完善国家工业领域网络安全标准体系建设、助推工业领域产业的健康发展，且对维护国家安全具有积极意义。

1工业互联网网络组成部分

网络互联主要完成设备网络接入、网络层转发和传输层传送，对应TCP/IP参考模型的链路层、网络层和传输层。数据互通主要实现跨系统的数据交换和信息互通，包括应用层通信、信息模型等功能，对应TCP/IP参考模型的应用层。系统互操作主要是指系统间能够交换信息并将信息用到自身的功能中，与其他系统进行协作。

2现状总结

随着全球工业化进程的加快及网络安全技术的推陈出新，将5G等新兴技术与传统工业产业进行深度融合是大势所趋，国外对将新兴技术纳入网络安全标准体系建设的步伐并不是十分迅速，建设进程较为缓慢。我国的工业网络安全标准体系主要聚焦于工业自动化和控制系统、工业控制网络与信息两个方向，形成涵盖安全管理、系统安全防护、产品安全评估的工控网络安全标准体系。在2020年及以前，部分工业网络安全标准处于草案或征求意见阶段，不完全具备可实施性，2021年出台的《工业互联网安全标准体系（2021年）》整合了工业各细分领域的互联网安全标准，有效填补、优化了工业网络安全标准的相关事宜。同时将“5G+工业互联网”纳入安全标准体系，推动工业产业链网络安全建设，在未来的世界竞争格局中占得先机。《工业互联网安全标准体系（2021年）》总结并制定了工业网络安全标准，然而工业互联网本身是一种对工业产业数字化、网络化、智能化发展的途径，只能作为工业领域网络安全标准体系的扩充。结合我国现有的工业网络安全标准分布情况来看，我国的工业网络安全标准体系基本包含安全管理、服务管理、行业管理、应急管理、技术管理五大管理体系。我国工业网络安全标准覆盖领域广、技术指导性强、重视对前沿新兴技术在工业领域的网络安全发展，工业网络安全标准体系建设日臻完善。不过，在工业领域网络安全标准体系的建设方面，国内外存在着一些共性问题。例如就具体的行业来看，能源、电气等重工业领域国内外相关网络安全标准体系建设较为完善，但对于食品制造、纺织缝纫等轻工业领域的网络安全标准体系建设却有所滞后。构建更为广泛的工业领域网络安全标准体系依然任重道远。

3网络安全标准在石油石化工业控制系统中的应用

3.1我国工业领域网络安全标准体系建设

我国的工业领域网络安全标准体系建设相较于国外发达国家起步较晚，但发展迅速，至今已出台多部工业网络安全相关标准，涉及信息交互安全、网络监测、网络审计等多个细分领域，已经形成较为完备的网络安全标准体系。随着5G技术的成熟与推广，在《加强工业互联网安全工作的指导意见》等政策文件的助推下，《工业互联网安全标准体系（2021年）》提出要在各行业应用“5G+工业互联网应用安全技术”，使得5G技术逐渐纳入到工业领域网络安全标准体系的构建中。我国工业领域网络安全标准体系主要围绕工业自动化和控制系统、工业控制网络与信息两方面进行构建。工业互联网安全标准体系的出台，极大地完善并丰富了我国工业领域网络安全标准体系的内容，填补了5G新兴技术运用、网络安全评估、分类分级细化管理等方向的空白，为我国未来工业领域相关网络安全标准的进一步制定指明了方向。

3.2工业控制系统安全仿真平台

在工业生产和控制过程中，需要多种生产管理系统和控制系统同时运行。针对国内企业实际，在选用国际知名品牌设备的基础上，以石油石化生产控制系统为目标，通过设计石油采集和集输系统的仿真网络，该网络完全展现多类型、多品牌工控组件的协同运行，建立一个完整的工控系统，并保留可扩展性，验证工业控制系统信息安全解决方案的有效性和适用性。

3.3加强对工业网络平台数据的维护与监管

传统的工业网络安全标准体系对数据安全的管理不够重视，当前工业互联网平台数据还缺乏统一的安全考量和通用的安全防护措施，存在巨大的安全隐患。因此加强工业数据安全监测和管理，将其纳入网络安全标准的范畴中，有利于推进工业网络安全平台健康运行。

3.4安全和人事管理机构应用

安全管理系统机构及其人员管理系统的建设情况能够在很大程度上决定整个安全管理系统构建的结果，安全和人事管理机构的相关网络安全管理团队可由行业高级管理人员和各部门领导组成，通过人事报告，负责协调和管理整个工业控制系统网络安全系统的各个方面，包括人才招聘、员工轮换安全知识培训和教育管理。保护结构的管理模式应全面贯穿整个系统生命周期，主要包括系统评估和标准、系统建设、系统综合安全评估和系统访问登记，系统所用软件的高效开发和实施都要进行对应的运行质量验收。基本上管理安全工作包含管理维护、更改、备份和恢复、安全事件处理、应急计划、运营和服务外包、网络、恶意代码、多媒体、漏洞、配置、密码等。网络设备和计算机系统中的硬件可以通过冗余系统架构合理共享安全域，并在不同区域之间进行安全隔离。通过加密可以实现整个通信过程的完整和保密，可以通过对系统核心处理器、操作系统、核心网络、堡垒机的本地化使用，让更多的维护和服务人员在远程操作和维护设备中记录、分析和审查操作，与此同时让网络设备直接用于监控和审核网络异常的通信行为。

结语

工业网络安全标准体系建设发展到今天，彰显着工业网络安全建设的重要意义。本文着眼全球工业领域网络安全标准体系建设，结合国内外相关研究展开分析，并对未来工业网络安全标准的发展趋势进行了讨论，为后续工作的开展提供借鉴参考。

参考文献

[1]王明武,王楠.工业互联网安全风险及关键防范技术研究[J].工业控制计算机,2019,32(11):112-114.

[2]张晓帆,黄海波,朱丽娜.工业信息安全应急处置工具箱标准体系研究[J].新型工业化,2021,11(10):29-31.

[3]周睿康,上官晓丽,范科峰.工业控制系统信息安全标准体系建设[J].保密科学技术,2016,(03):46-51+1.