摘 要：近年，全球工业控制系统面临严峻的网络攻击：其针对性极强，直击关键信息基础设施；其破坏力度大，造成工控系统瘫痪；其攻击范围广，波及世界大量国家。文章通过分析欧美工控信息安全标准建设的现状，发现其特点：国际工控信息安全标准以电力领域为焦点，美国工控信息安全标准以石油天然气领域为重点，欧盟各国工控信息安全标准以通用标准为核心。文章通过总结欧美工控信息安全标准建设经验，对我国工控信息安全标准建设提出建议：借鉴欧美经验，建立健全我国工控信息安全国家标准体系；加快工控信息安全国家标准的制定、修订，确保标准统一和连贯；制定重点领域工控信息安全标准，做到有章可循；积极宣贯已有标准，充分发挥标准作用。

　　The status quo and enlightenment of the construction of industrial control information security standard in the United States and EU.

　　Abstract： In recent years， the global industrial control systems have been facing serious cyberattack： They have fixed targets， directing to critical information infrastructures； Their destruction is serious， resulting in paralysis of industrial control systems； They destroy a wide range， spreading to a large number of countries in the world. This article analyzes the status quo of the construction of industrial information security standards in the United States and EU and finds its characteristics： the international industrial information security standards focus on the field of electricity， the United States industrial information security standards focus on the oil and gas field， the EU industrial information security standards focus on common standards. This paper summarizes the construction of industrial information security standards in the United States and EU， and have proposed the construction of our country how to set up industrial information security standards recommendations： learning from Europe and the United States standards， set up the formation of national standards system； speeding up the development of national standards， amendments to ensure standard unity and consistency； Acting the public standards， give full play to the role of the standards.

　　Key words： industrial control system； information security； standard

　　近年，全球工业控制系统信息安全风险加剧，我国工业控制系统更是受灾区，卡巴斯基实验室报告显示，2016年7月至2017年6月期间我国工控系统受损占比57.1%，排在全球第五位。为加快我国工业控制系统信息安全保障体系建设，提升工业企业工业控制系统信息安全防护能力，促进工业信息安全产业发展，2017年12月12日工业和信息化部印发《工业控制系统信息安全行动计划（2018-2020年）》（工信部信软〔2017〕316号），提出“建立健全标准体系”。本文通过分析全球工控信息安全挑战，学习欧美等网络强国在工控信息安全标准建设的经验，旨在促进我国工业控制系统信息安全标准建设。

　　2 全球工控信息安全面临严峻挑战

　　2.1针对性极强，直击关键信息基础设施

　　近年全球工控信息安全形势越发严峻，以色列、乌克兰等一些国家关键信息基础设施遭受严重的网络攻击。2016年1月，以色列电力供应系统遭受有史以来最大的网络攻击，勒索软件正是造成事故的直接原因，据推测此次攻击事件的幕后主导者很可能是恐怖组织。2016年2月，乌克兰矿业和铁路系统遭受BlackEnergy攻击，对国家造成严重破坏。其攻击原因可能是攻击者想通过持续地破坏电力、矿业和交通运输等设施，达到破坏乌克兰的稳定的目的。2017年10月，瑞典交通署信息系统遭黑客攻击，导致列车延误，并伴随道路和桥梁在内的瑞典关键基础设施数据的泄露。从这些攻击事件中可以看出，网络攻击从虚拟世界转向现实世界，关键性基础设施已成为安全威胁的指向目标，常掺杂着政治色彩，严重影响国家和社会的安全。

　　2.2 破坏力度大，造成工控系统瘫痪

　　随着工控信息安全风险的升级，工控信息安全事件的后果严重。2009年，国际上发生的震网事件，美国和以色列通过震网（Stuxnet）病毒秘密攻击伊朗布什尔核电站，Stuxnet渗透至伊朗核电站的计算机系统并破坏了伊朗铀浓缩离心机，造成五分之一的离心机报废。2017年12月，某国家支持的黑客入侵沙特阿拉伯能源工厂安全系统被入侵，造成工厂停止运行。原因出现在施耐德工业安全技术Triconex上，然而Triconex已广泛用于核工业，石油和天燃气等能源行业。由此可见，工控系统一旦遭受攻击，受破坏程度巨大，可导致工控系统瘫痪、设备的报废、工厂停工。

　　2.3 攻击范围广，波及世界大量国家

　　工控信息安全事件波及范围广，涉及世界多个国家的多个领域。自2015年3月以来，网络犯罪团伙对30余个国家的130家企业开展工业间谍活动，集中在2016年6月“食尸鬼行动”行动，攻击者以工业领域的企业为目标，覆盖多领域，包括石油化工、军事、航空航天、重型机械、太阳能、钢铁等领域，包括工程、航运、医药、制造、贸易、教育、旅游、IT等。2017年5月，全球爆发WannaCry勒索病毒攻击，至少150个国家、30万名用户中招。全球知名的工业设施在遭受WannaCry后被干扰或出现故障，罗马尼亚汽车制造商达契亚因之而停产、雷诺汽车因之造成部分地区停产、尼桑的桑德兰工厂和西班牙Iberdrola电力公司、Gas Natural 天然气公司也受到严重影响。近年发生的工控信息安全事件影响范围不仅仅是某个国家或地区，也不仅仅是某个领域，它已波及全球，影响多领域多行业，工控信息安全威胁愈演愈烈。

　　3 欧美工控信息安全标准建设特点

　　3.1 国际工控信息安全标准以电力领域为焦点

　　国际电工委员会（IEC）、电气和电子工程师协会（IEEE）和国际自动化协会（ISA）致力于工控信息安全国際标准建设。工控信息安全国际标准主要集中在电力系统信息安全领域：IEC于2003年发布了《电力系统控制和相关通信：数据和通信安全（IEC 62210）》，并于2005年发布《电力系统管理及信息交换：数据和通信安全性（IEC 62351）》；IEEE于2007年发布《变电站IED网络安全功能标准（IEEE 1686-2007）》，并于2011年发布《变电站串行链路网络安全的机密协议试行标准（IEEE P1711）》。此外，通用的工控信息安全国际标准方面，IEC和ISA积极研制《工业过程测量、控制和自动化 网络与系统信息安全（IEC 62443）》，其中部分标准已经发布，如IEC 62443-1-1、IEC 62443-2-1等。国际工控信息安全标准进展情况如表1所示。

　　3.2 美国工控信息安全标准以石油天然气领域为重点

　　美国国家标准技术研究院（NIST）、美国国土安全部（DHS）等机构致力于美国工控信息安全标准的建设。美国标准主要在三个领域：一是美国工控信息安全标准集中在石油天然气领域，美国能源部（DOE）于2002年发布《提高SCADA系统网络安全21步》，DHS于2005年发布《加强SCADA系统及工业控制系统的安全》，NIST于2006年发布《中等健壮环境下的SCADA系统现场设备保护轮廓（NIST/PCSRF）》，同年，美国天然气协会（AGA）发布《SCADA通信加密保护规范（AGA Report NO.12）》，2009年美国石油协会（API）发布《管道SCADA安全（API1164）》；二是美国针对电力、核电领域工控系统信息安全出台相应的标准，NIST于2010年发布《智能电网安全指南（NIST IR7628）》，北美电力可靠性委员会（NERC）于2011年发布《北美大电力可靠性规范（NERCCIP002-009）》；三是美国发布了一系列通用工控信息安全标准，美国国家标准技术研究院（NIST），2004年发布《系统保护轮廓——工业控制系统（NIST IR7176）》，2007年发布《联邦信息系统和组织建议的安全控制（NIST SP800-53）》，2010年发布《工业控制系统安全指南（NIST SP800-82）》，2014年发布《改善监管基础设施网络安全框架》，美国国土安全部（DHS）也发布了一系列工业控制信息安全标准，2009年发布《控制系统安全一览表：标准推荐》，2010年发布《工业控制系统安全评估指南》和《工业控制系统远程访问配置管理指南》美国工控信息安全标准进展情况如表2所示。

　　3.3 欧盟各国工控信息安全标准以通用标准为核心

　　欧盟各国注重发展通用性的工控信息安全标准。荷兰国际仪器用户协会（WIB）2006年发布《过程控制域（PCD）——供应商安全需求》，挪威石油工业协会（OLF）2009年发布《过程控制、安全和支撑ICT系统的信息安全基线要求（OLF Guideline NO.104）》和《工程、采购及试用阶段中过程控制、安全和支撑ICT系统的信息安全的实施（OLF Guideline NO.110）》，瑞典民防应急局（MSB）2010年发布《工业控制系统安全加强指南》。此外，欧盟国家根据各自国情关注特定领域的工控信息安全标准建设，例如德国关注制造业的信息安全问题，德国国际工业流程自动化用户协会（NAMUR）2006年发布《工业自动化系统的信息安全技术：制造工业中采取的约束措施（NAMURNA115）》。

　　4 欧美工控信息安全标准建设对我国的启示

　　4.1 借鉴欧美工控信息安全标准建设经验，建立健全我国工控信息安全国家标准体系

　　欧美国家在研制工控信息安全标准时注重借鉴和融合。例如，国际标准化组织IEC和ISA联合发布的IEC 62443标准，在研制过程中充分借鉴了荷兰WIB制定的《过程控制域（PCD）——供应商安全需求》，而美国NIST在研制《改善监管基础设施网络安全框架》时融合了国际标准化组织发布的IEC 62443标准中一些的技术要求。

　　我国工控信息安全标准起步较晚，工控信息安全标准体系尚未形成。建立健全我国工控信息安全标准体系，研制技术、产品、系统、设施等新标准，完善和修订已有标准，学习欧美借鉴、融合他国工控信息安全标准的经验，必要时实現部分工控信息安全标准的本土化。学习借鉴国外工控信息安全标准的同时，切忌将国外工控信息安全标准的一部分硬塞到我国工控信息安全标准体系之中。

　　4.2 加快工控信息安全国家标准的制定、修订，确保标准统一和连贯

　　美国工控信息安全建设虽然已形成体系，但仍然坚持持续更新工控信息安全标准，而且注重保持标准之间的统一和连贯。例如，NIST持续更新SP800-53标准，2007年在该标准基础上补充了工业控制系统的安全控制要求，2013年又发布了修订版4；NIST于2011年发布SP800-82，为保持与SP800-53修订版的统一和连贯，2014年SP800-82根据SP800-53的变更再次作出了修订。

　　我国工控安全标准制定之初，缺乏整体规划、统筹协调较难，很难确保标准之间的统一和连贯。借鉴欧美制定、修订标准的经验，确立我国的工控信息安全国家标准体系框架、时间表和路线图，并在此基础上，根据轻重缓急，有组织、有计划，有步骤地推进标准制定工作。在基础通用领域，加紧制定推荐性工控信息安全国家标准，缩短工控信息安全国家标准的研制周期，加速发布进程。加快修订已有的工控信息安全标准，保证标准之间的统一和连贯。

　　4.3 制定重点领域工控信息安全标准，做到有章可循

　　欧美根据工控信息安全问题的导向性制定相应标准，加紧对重点领域加强信息安全标准建设，欧美工控信息安全标准集中在电力、石油天然气、核电、制造业。其中，国际工控信息安全标准以电力为主，美国工控信息安全标准以石油天然气为主，德国工控信息安全标准主要集中在制造业。

　　我国已形成了一些通用的工控信息安全标准，并在一些重要领域建立了工控信息安全标准，其中我国电力领域起步较早。目前，我国工控信息安全标准已覆盖电力、轨道交通、石油化工、机械、烟草等领域。然而，随着国工控系统信息安全形势日益严峻，亟需在国家关键信息基础设施领域制定强制性工控信息安全国家标准，视情在行业特殊需求的领域制定推荐性工控信息安全行业标准，使得重点领域的工控信息安全工作做到有章可循。

　　4.4 积极宣贯已有工控信息安全标准，充分发挥标准作用

　　国际标准组织通过推出认证计划等方式推进工控信息安全标准落地。例如，为推进IEC62443的实施，ISA下属安全合规性委员会（ISCI）推出ISASecure EDSA认证计划用于评估该标准的适用性，针对IEC62443-3-3进行了系统安全保障（SSA）认证，针对IEC62443-3-3进行了安全开发生命周期保障认证。美国通过发布相关政策、推出评估工具等方式推进工控信息安全标准实施，例如，继NIST发布《改善关键基础设施网络安全框架》标准之后，DHS实施的关键基础设施网络社区志愿计划等措施，免费为参考该标准的组织提供支持；DHS还推出了CSET（Cyber Security Evaluation Tool，网络安全评估工具）以评估工控信息安全标准NIST SP800-53等。

　　我国应及时推进工控信息安全标准的贯彻落实。在发布工控信息安全相关的政策法规的同时，发布工控信息安全标准，有利于政策落实，并为标准的贯彻提供依据。与此同时，需开发评估工具、采取认证方式等一系列手段切实推进已有工控信息安全标准的落地，充分发挥已有标准的重要作用。