工控系统等保测评必读（对于即将出台的等保标准，听听主笔人怎么说）

随着信息化和工业化的发展，工业控制系统在能源、交通、水利、公共服务等重要行业和
领域广泛应用，现代工业生产、输送、供应等自动控制环节均依赖于工业控制系统。2010
年“震网”病毒事件发生后，工业控制系统安全越来越引起各国政府与民众的高度关注，美
国等发达国家陆续发布了针对工业控制系统保护的系列标准和框架等。2013年，“棱镜门
事件表明，某些西方大国为维持其全球霸权，一直在利用其技术的原发优势，不断加强对
其他国家网络空间的渗透、控制和破坏，对这些国家的社会秩序和国家安全构成了严重威
胁。2015年，乌克兰电网公司遭受恶意代码攻击，导致7个110KV变电站和23个35KV变电
站故障，造成8000个用户断电。乌克兰电网公司受网络攻击事件被认为是有史以上规模最
大的电力系统攻击事件，其警示作用犹如棒喝，深刻揭示了工业控制系统安全防护形式之
严峻和黑客攻击实力之强悍。而对于我国来说，自改革开放以来，我国逐步从农业大国向
工业国家发展，两化融合改变了现代工业生产方式，解放了社会生产力，但随之带来的安
全现状不容忽视，由于核心技术落后于人，在较长一段时间内，关键设备大多从国外进口
，国产水平较低，网络安全基础薄弱，维护网络空间安全，实现工业控制系统的“可控、能
控、在控”的任务非常艰巨。

1994年，国务院印发《中华人民共和国计算机工业控制系统安全保护条例》，明确规定“计算
机工业控制系统实行安全等级保护”。2003年，中央办公厅、国务院办公厅印发了《国家信息
化领导小组关于加强信息安全保障工作的意见》，明确要求重点保护国家基础信息网络和关系
国家安全、经济命脉、社会稳定的重要信息系统安全，抓紧建立信息安全等级保护制度。200
7年以后，公安部会同有关部门陆续出台了《关于信息安全等级保护工作的实施意见》、《信息
安全等级保护管理办法》、《关于开展信息系统等级保护安全建设整改工作的指导意见》等一
系列政策文件。与此同时，全国信息安全标准化技术委员会和公安部工业控制系统安全标准化
技术委员会组织制定了信息安全等级保护工作基础类、应用类、产品类和其他类急需的一系列
标准。其中《信息系统安全等级保护定级指南》、《信息系统安全等级保护基本要求》、《信
息系统安全等级保护测评要求》等标准在国家信息安全监管部门、信息系统运维单位、测评机
构等相关单位广泛使用，标准内容得到了广泛验证。总体来说，我国信息安全等级保护工作已
取得很大的进展，重点行业已落实了等级保护制度。

但是在标准的使用过程中，也出现了部分条款无法适用或适用性不强的现象，特别是针对工
业控制系统，升级、打补丁、防病毒、入侵检测等通用系统保护措施，在线扫描渗透等测评
手段不适用于已投运工控系统，亟需根据工业控制系统特点制定工业控制系统的等级保护系
列标准。此外，2017年6月1日正式实施的国家《网络安全法》第三十一条规定，关键信息
基础设施要在网络安全等级保护的基础上，实行重点保护。大量工业控制系统用于重要行业
和领域，其一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生、公
共利益，应纳入关键信息基础设施保护目录。《网络安全法》的出台表明，“网络”和“网络
安全”在新形势下已有了新的定义，工业控制系统等级保护相关标准需要适应国家法律、政
策的最新要求，结合等级保护已有标准的修订，制定出台。

电力是最早开展等级保护工作和等级测评体系建设的行业之一，其在工业控制系统安全防
护工作上积累了丰富经验。2012年以来，在已有工作的基础上，国家能源局对已有行业政
策进行了梳理、修订、制定。2014年，以国家发改委令的形式印发了《电力监控系统安全
防护规定》。2015年，以国家能源局文的形式印发了《电力行业网络与信息安全管理办法
》，《电力行业信息安全等级保护管理办法》、《电力监控系统安全防护总体方案等安全
防护方案和评估规范》等，这些文件对于监督指导行业网络与信息安全工作起了重要作用
。为提升工业控制系统安全防护能力，规范工控系统安全防护建设，促进我国信息安全产
业发展，在国家有关部门指导下，国家能源局信息中心组织测评机构、工控安全厂商、能
源企业等，对工业控制系统测评方法进行专题研究，编制了《工业控制系统安全等级保护
测评要求 第5部分 工业控制安全扩展测评要求》（以下简称工控测评要求）。

工控测评要求是以《信息安全技术 信息系统安全等级保护测评要求》（GB/T 28448-2012
）修订稿为基础，针对工业控制系统的特点进行了适度调整，更适用于工业控制系统测评
的现状。

工控测评要求规定了对工业控制系统安全等级保护状况进行安全测试评估的要求，包括对第
一级工业控制系统、第二级工业控制系统、第三级工业控制系统和第四级工业控制系统进行
安全测试评估的单元测评要求和工业控制系统整体测评要求。略去对第五级工业控制系统进
行单元测评的具体内容要求。

工控测评要求适用于信息安全测评服务机构、工业控制系统的主管部门及运营使用单位对工
业控制系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息
安全等级保护监督检查可以参考使用。

工控测评要求按照GB/T1.1-2009的规则起草。包含范围、规范性引用文件、术语和定义、概
述、总体要求、第一级到第四级工业控制系统单元测评等。

概述包括两个方面：1、测评描述框架；2、测评使用方法。

总体要求测评包括两个方面：1、总体要求技术单项测评；2、总体要求管理单项测评。

第一、二、三、四级工业控制系统单元测评包括两个方面：1、安全技术单项测评；2、
安全管理单项测评。

扩展测评指标编制思路为：以数据流向分析各级工业控制系统对应的主要威胁，参考基
本要求描述模型选择安全控制措施。

对于测评指标的文档结构图，我们比较了图10和图11，经过充分研究讨论，最终选择了
图11。一是因为图11保持了与基本要求文档结构的一致性；二是因为采用图11可以更加
清晰地从安全层面架构角度描述安全控制措施提升各级工控系统对应等级的安全保护能力
（如4级是策略/防护/检测/恢复/响应）；三是从操作性角度来看，对于存量工控系统，运
行单位、测评机构、检查机构很难无歧义清晰判断对象（如测评对象）属于哪一层，如励
磁装置，继电保护装置，笔者都难以描述属于哪一层；如PLC，其既具有现场组件，也具
有控制组件。而对于用户所能采取的控制措施，只能对设备整体进行保护。对于测评机构
来说，所能采取的测评实施，也只能设备整体进行测评。

图10 测评要求测评指标编制描述思路1

图11 测评要求测评指标编制描述思路2

测评指标示例如下：

总体要求-技术测评指标示例：（L0-OS5-01）工业控制系统与企业管理系统之间原则上应
划分为两个区域，区域间应采用有效的隔离技术手段；禁止任何穿越区域边界的E-Mail、
Web、Telnet、Rlogin、FTP等通用网络服务。

总体要求-管理测评指标示例：（L0-OS5-07）工控系统所属单位中出现多等级工控系统时
，通用管理要求统一采用定级最高的工控系统执行。

分级要求-技术测评指标示例：（L3-MMS5-03）在更新恶意代码库、木马库以及规则库前
，应首先在测试环境中测试通过，对隔离区域恶意代码更新应有专人负责，更新操作应离
线进行，并保存更新记录。

分级要求-管理测评指标示例：（L3-CMS5-02）工业控制系统重要软硬件系统、设备及专
用信息安全产品应采用安全可信的产品及服务进行建设。