工業控制系統（Industrial Control System，以下簡稱“ICS”）是確保工業基礎設施自動運行、過程控制與監控的業務流程管控系統的統稱，由各種自動化控制組件以及對實時數據進行采集、監測的過程控制組件共同構成。數據采集與監控系統（SCADA）、分布式控制系統（DCS）、可編程邏輯控制器系統（PLC）等廣泛應用于制造業各領域，對生產設備的正常運行發揮著至關重要的作用。

工業控制系統走向開放互聯

近年來，隨著制造業數字化轉型逐步深入，物聯網、云計算、大數據、人工智能等新一代信息技術加速與實體經濟深度融合，ICS也逐步走向開放互聯，傳統信息安全威脅不可避免地擴散到工業控制領域，ICS安全防護面臨著日益嚴峻的挑戰。

ICS安全作為國家網絡空間安全的重要組成部分，受到黨中央、國務院的高度重視。《國家網絡空間戰略》《中華人民共和國網絡安全法》高度概括了工業安全對于保障關鍵國家信息基礎設施正常運行、社會穩定和國家安全的重大意義，明確了指導原則；《工業控制系統信息安全防護指南》指出，要從管理、技術等方面做好工控安全防護工作。

目前，產業界也已基于應用實踐開展了諸多ICS安全防護的標準化工作。在國際標準層面，IEC 62443系列標準從通用要求、策略和規程、系統級措施、組件級措施等方面，關注工業過程測量、控制和自動化網絡與系統的信息安全；IEC 62351系列標準重點關注電力系統管理與相關的信息交互數據和通信安全；ISO/IEC 27000系列標準重點關注信息安全管理系統的安保要求和網絡信息安全。

我國ICS安全標準體系也在不斷完善，全國信息安全標準化技術委員會（編號TC260）、全國電力系統管理及其信息交換標準化技術委員會（編號TC82）、全國工業過程測量和控制標準化技術委員會（編號TC124）以及一些行業標準化組織，從安全要求、安全等級、安全措施、安全測評等方面開展了相關標準化工作，并發布了一批國家標準及行業標準，對制造企業ICS安全防護具有重要的指導和規范作用。

工業控制系統的脆弱性及安全風險分析

根據ANSI/ISA-95企業管理系統與控制系統架構模型，企業制造系統“自底向上”依次可分為現場設備層、現場控制層、過程監控層、制造執行層、企業管理層等。在制造業數字化轉型過程中，IT、OT技術深度融合，ICS大量使用TCP/IP協議，工控網和企業管理網緊密聯系，極大地促進了企業制造系統各層級之間的集成，使得傳統企業資源管理系統（ERP）、過程控制系統（PCS）、制造執行系統（MES）與現場設備設施有機地融為一體。

當前，ICS正經歷從封閉系統向開放系統、從獨立網絡解決方案向集成化網絡互聯解決方案、從生產部門主導運營向IT部門深度協同運營、從單一安全機制向綜合安全防控機制、從面向產品的服務到面向解決方案的服務等一系列轉變。傳統ICS在體系架構、安全策略、軟件、通信協議、平臺、網絡等方面，存在一些顯而易見的脆弱性。伴隨著越來越多的系統集成、設備互聯，ICS的脆弱性進一步放大，使得制造業企業面臨諸多方面的工控安全風險。

體系架構缺乏安全設計

ICS設計之初主要考慮系統可用性，相較而言其保密性、安全性優先級較低。很多制造業企業的OT網絡與現場網絡間弱隔離，控制設備、編程軟件、組態軟件以及工業協議等普遍缺乏身份認證、授權、加密等安全舉措，通信協議設計未考慮保密和驗證機制。TCP/IP協議和OPC協議等通用協議越來越多地應用于ICS網絡中，傳統IT防火墻幾乎無法有效保障其安全性。

系統及設備存在安全漏洞

根據CNVD統計，近幾年ICS漏洞呈劇增趨勢，涉及工控領域的主流廠商，而一些安全廠商及黑客組織掌握的漏洞遠超該統計數量。很多工控關鍵設備、控制軟件、應用軟件被預留了“后門”，能夠對生產數據進行竊取，甚至發起攻擊。工業軟件的多樣性使得ICS無法形成統一的安全防護規范，面向網絡應用時還要開放端口，常規IP防火墻成效甚微。工業主機大多基于Windows平臺，企業從過程控制系統獨立性和系統運行穩定性角度考量，一般存在系統版本老舊、系統漏洞眾多且補丁更新不及時、安全配置基線無加固、殺毒軟件兼容性不足、惡意代碼防范能力弱等問題，使得攻擊工業主機在技術上相對更加容易。因此，工業主機成為攻擊的首要目標，這為ICS安全埋下了隱患。

ICS缺乏有效安全防護

在工業生產環境中，越來越多的智能傳感器、生產設備、應用系統與辦公網、互聯網等第三方網絡進行互聯，網絡邊界越來越模糊。很多工程師站不安裝殺毒軟件，即使裝了殺毒軟件，病毒庫更新也不及時。企業在日常維護過程中經常存在筆記本電腦、U盤等移動存儲介質使用不規范或未進行嚴格訪問控制的情況，缺乏完整有效的安全策略和管理流程，導致一些病毒、木馬、蠕蟲等惡意代碼程序通過移動存儲介質進入到工業生產環境中，這也給ICS安全帶來很大威脅。

安全管理制度體系不健全

制造企業的產線通常由多個設備商、集成商共同建設，并依靠第三方維護，在ICS的長生命周期中，軟硬件資產分布于不同功能模塊，在進行系統集成、優化配置后往往更新不及時，與實際資產臺賬存在差異。很多企業建立了管理制度及生產管理規范，但針對ICS的管控制度和措施不健全，無法有效覆蓋規劃、建設、運行、維護、報廢全生命周期，如移動存儲介質使用弱管控，補丁、防病毒和訪問控制策略定義不完善，信息安全責任制不明確，信息安全審計機制缺乏，管理界面不清晰，甚至工業交換機、邊界防護網閘、防火墻屬于“三不管地界”，這些都給ICS安全埋下了很大隱患。

安全運維和應急響應機制不健全

很多制造企業委托設備廠商、系統集成商等第三方服務商開展運維工作，現場運維過程粗放式管理，對于運維人員在運維過程中出現的違規操作、誤操作、竊取生產數據等行為無監控、無審計，出現事故后無法追蹤溯源。同時，很多企業的既有安全應急響應機制往往是針對生產安全事故設立的，對于網絡安全事件的考慮不充分，相關網絡安全事件的應急預案及處置流程缺失。

安全投入和人員意識有待提升

對于制造企業而言，網絡安全投入占比較低，ICS安全投入則更低，安全投入不足難以保證全量的安全防護；同時由于安全技術門檻相對高，生產人員甚至一些管理人員缺乏充分的安全意識，針對ICS的安全教育、培訓等也相對不足。在數字化轉型背景下，ICS安全面臨新的態勢，理論及實踐層面的一些知識技能需要以更為有效的方式在制造業進行推廣普及。

綜上所述，ICS系統的脆弱性給制造企業帶來了多方面的安全技術和管理風險，要做好ICS安全防護工作，需要從安全防護技術應用和安全防護體系建設兩個方面協同并進。

部署應用ICS安全防護技術

應對ICS安全風險，安全技術是重中之重。常見的ICS安全技術包括以下五大類：鑒別與授權技術，過濾、阻止、訪問控制技術，編碼技術與數據確認技術，管理、審計、測量、監控和檢測技術，以及物理安全控制技術。

鑒別與授權技術

鑒別與授權是ICS訪問控制的基本要求，一般工業企業可根據崗位職責向不同用戶分配訪問權限，使用口令鑒別、智能卡或令牌鑒別、生物鑒別、位置信息鑒別、設備互聯互通鑒別等手段對系統訪問權限進行約束。

過濾、阻止、訪問控制技術

針對已授權設備或系統的信息流量，企業可通過過濾、阻止、訪問控制技術進行指導或調節。常見的做法包括：配置工業防火墻進行分區管控，深度解析并跟蹤應用層數據流量；在工作站或控制器部署基于主機的狀態包防火墻解決方案，用以控制進出特定設備的流量；通過將物理網絡劃分為更小的邏輯網絡，增加性能、提升可管理性。

編碼技術與數據確認技術

制造企業可以使用數據編碼技術對授權信息進行編解碼，使用數據確認技術對工業過程數據的準確性和完整性進行保護，常見的有對稱密鑰編碼技術、公鑰編碼與密鑰分配技術、虛擬專網技術等。其中，虛擬專網技術不僅可以保護網絡邊界安全，也是一種常用的網絡互聯手段，SSL VPN已廣泛應用于控制系統。

管理、審計、測量、監控和檢測技術

制造企業通過對系統日志的審核，可以發現安全事件發生的蹤跡、文件及攻擊入口，通過部署在工作站、服務器、網絡邊界的病毒和惡意代碼檢測系統，可以對非正常活動進行主動檢測；通過入侵檢測可以收集ICS關鍵點信息并進行分析；通過入侵防護技術則可以主動、智能地開展入侵檢測、防范。漏洞掃描技術通常用于對ICS惡意入侵者或在系統遭到破壞時進行檢測。辯論和分析工具則可以幫助企業對基本網絡活動中的非正常網絡流量進行分析。

物理安全控制技術

物理安全技術主要采用物理措施限制對ICS信息資產的物理訪問，常見的有攝像機、傳感器等訪問監視系統，以及圍欄、門禁等訪問控制系統。通過制定安全方針、采用安全最佳實踐等，可以有效減小ICS安全風險。

系統開展ICS安全防護管理水平提升

為指導制造企業持續開展ICS設計、建設、運維全生命周期的信息安全防護工作，切實提升企業安全防護水平，工信部印發了《工業控制系統信息安全防護指南》，全國信息安全標準化技術委員會（編號TC260）也進一步組織“產學研用”各方研制了《信息安全技術工業控制系統信息安全防護能力成熟度模型》（GB/T 41400-2022）國家標準。工控安全防護能力成熟度模型如圖1所示，由安全能力要素、能力成熟度等級和能力建設過程3個維度構成，安全能力要素包括機構建設、制度流程、技術工具、人員能力4個方面，能力成熟度等級將企業工控安全防護能力定義為基礎建設級、規范防護級、集成管控級、綜合協同級、智能優化級5個級別。同時，依據IEC 62443關于ICS層次模型的定義，能力建設過程由核心保護對象安全和通用安全兩部分組成。核心保護對象安全包含工業設備安全、工業主機安全、工業網絡邊界安全、工業控制軟件安全、工業數據安全5個方面，通用安全包含安全規劃與機構、人員管理與培訓、物理與環境安全、監測預警與應急響應、供應鏈安全保障5個方面。上述標準對于企業全方位開展ICS安全防護工作具有重要指導意義。

基于此，企業在開展ICS安全防護過程中，可以站在管理視角，做好如下幾方面工作。

開展工控安全水平評估

企業可通過安全評估，對工控資產進行識別、梳理，完善企業資產臺賬，基于資產進行漏洞無損掃描、基線檢查以及其他脆弱性識別、梳理、分析，進一步對資產、網絡流量、業務、日志等進行威脅識別、梳理、分析。

圖1工控安全防護能力成熟度模型

強化工控安全技術應用

企業可基于初步構建的工控安全防護技術體系，通過在工控網絡邊界部署工業防火墻、完整配置安全策略、合理劃分網絡隔離區域、合理設置網絡端口、及時更新系統補丁、安裝專業安全防護工具等方式保護ICS安全。基于安全評估結果，從架構優化、安全通信、邊界防護、訪問控制、安全接入、身份認證、監測審計、工業主機防護、安全運維以及監測預警等方面進行針對性防護，落實安全策略，建立安全技術防御體系。

完善安全防護管理機制

數字化轉型背景下，企業已初步認識到ICS安全防護工作的重要性，但工控安全管理制度體系仍需進一步完善。建立科學完備的ICS安全防護管理體系，需要綜合考慮安全策略和制度、管理機構和人員、安全建設與運維等。企業需做好安全規劃，明確企業方針、目標，建立工控安全組織架構，通過安全管控責任制統籌協調工控安全相關工作；還應制定覆蓋組織整體的分層工控安全管理制度體系，包括管理辦法和管理制度、操作規范、安全管理專項措施、管理流程、操作流程以及配套管理表單等。

增強企業員工安全意識

從全員參與的角度看，企業工控安全意識不足的現象仍較為突出。工控安全防護能力建設是每位員工的責任，提升自身工控安全防護意識是每位員工的義務。在管理實踐中，企業應不斷完善工控安全教育培訓制度，通過持續的培訓、教育、宣貫等工作，向各層級、各職能人員普及工控安全防護實踐知識，特別是通過開展一些實例化安全防護教育，確保工控安全防護規章制度在執行過程中“不打折”。只有全員參與，全面樹立信息安全觀念、增強信息安全意識，企業才能構筑堅實的信息安全防護“堡壘”。

開展貫標達標工作，以評促建

《信息安全技術工業控制系統信息安全防護能力成熟度模型》（GB/T 41400-2022）國家標準立足ICS安全防護設計、建設、運維全生命周期，為企業開展ICS安全防護工作提供了全方位視角，有助于引導企業統籌發展和安全，指導企業工控安全防護能力的逐級提升，為企業構建工控安全管理和技術防護體系提供低成本且有效的途徑，并量化評估企業安全防護水平。通過開展工控安全防護能力貫標工作，企業在啟動、宣貫、設計、實施、核驗等階段中，可以進一步完善工控安全建設工作方案，加深對工控安全工作的體系化認識，準確把握發展現狀及自身定位，選取合理技術路線及針對性的工控安全防護能力提升方案。通過第三方機構的核驗，可以進一步通過以評促建、以評促轉，提升企業工控安全防護能力。

在數字化轉型的大背景下，工業控制系統愈發成為制造業的核心，其安全是制造業提質降本增效的重要保障，事關制造強國和網絡強國戰略的實施。目前，我國在政策、標準、技術、產業多層次構建了工控安全防護的基礎，但由于工控系統的脆弱性，制造業仍面臨較多工控安全風險。制造企業應充分認識當前存在的問題，基于科學的方法論，從安全防護技術水平、安全防護管理水平等方面構筑工業企業安全管理防線，完善綜合技術防護體系，扎實提升工控安全防護整體水平。