一、引言

《商用密碼管理?xiàng)l例》自1999年10月頒布實(shí)施以來，在保障網(wǎng)絡(luò)空間安全、規(guī)范商用密碼管理、促進(jìn)商用密碼發(fā)展等方面發(fā)揮了重要作用。《密碼法》于2020年1月1日起施行，對商用密碼管理制度進(jìn)行了結(jié)構(gòu)性重塑，新修訂的《商用密碼管理?xiàng)l例》進(jìn)一步細(xì)化《密碼法》相關(guān)商用密碼管理制度，為促進(jìn)商用密碼高質(zhì)量發(fā)展奠定了堅(jiān)實(shí)基礎(chǔ)。

為保障我國工業(yè)控制系統(tǒng)安全，以實(shí)現(xiàn)工業(yè)控制行業(yè)與商用密碼深度融合為目標(biāo)，本文分析工業(yè)控制系統(tǒng)安全現(xiàn)狀，提出工業(yè)控制系統(tǒng)密碼應(yīng)用發(fā)展3項(xiàng)建議。

二、工業(yè)控制系統(tǒng)安全現(xiàn)狀與發(fā)展趨勢分析

（一）工業(yè)控制系統(tǒng)安全事件頻出，網(wǎng)絡(luò)攻擊造成巨大經(jīng)濟(jì)損失

隨著關(guān)鍵信息基礎(chǔ)設(shè)施的數(shù)字化程度不斷提高，針對關(guān)鍵信息基礎(chǔ)設(shè)施的威脅不斷增加。一旦關(guān)鍵信息基礎(chǔ)設(shè)施受到網(wǎng)絡(luò)攻擊陷入癱瘓，引起的連鎖反應(yīng)甚至?xí)σ粋€(gè)國家/地區(qū)造成巨大損失。2022年10月，伊朗核電站疑遭伊朗黑客組織攻擊，大量數(shù)據(jù)泄露。2022年2月，物流巨頭Expeditors疑遭勒索軟件攻擊，全球業(yè)務(wù)關(guān)閉。2021年5月，美國最大的燃油管道運(yùn)營商科洛尼爾管道運(yùn)輸公司（Colonial Pipeline）遭網(wǎng)絡(luò)攻擊，被迫關(guān)閉全部管道運(yùn)營系統(tǒng)。遭受攻擊2天后，美國宣布17個(gè)州和華盛頓特區(qū)進(jìn)入緊急狀態(tài)，以應(yīng)對勒索軟件的攻擊。2021年4月，荷蘭規(guī)模最大的物流服務(wù)提供商之一Bakker logistiek遭受了勒索軟件攻擊。2020年4月，葡萄牙跨國能源公司EDP遭到勒索軟件攻擊，被要求贖金1090萬美元等。

（二）我國工業(yè)控制系統(tǒng)面臨的安全威脅與風(fēng)險(xiǎn)不斷加大

隨著我國互聯(lián)網(wǎng)普及和工業(yè)4.0、大數(shù)據(jù)、數(shù)字化工程等新技術(shù)、新業(yè)務(wù)的快速發(fā)展與應(yīng)用，工業(yè)控制系統(tǒng)網(wǎng)絡(luò)復(fù)雜度在不斷提高，各生產(chǎn)單元內(nèi)部系統(tǒng)與受控系統(tǒng)信息交換的需求不斷增長，工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全需求也在快速增長。近年來，工業(yè)控制系統(tǒng)高危安全漏洞層出不窮，暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統(tǒng)及設(shè)備有增無減，網(wǎng)絡(luò)攻擊難度逐漸降低，工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全威脅與風(fēng)險(xiǎn)不斷加大，對我國工業(yè)控制系統(tǒng)安全不斷提出新的挑戰(zhàn)。我國工業(yè)控制系統(tǒng)面臨的風(fēng)險(xiǎn)包括工業(yè)協(xié)議缺陷（如Modbus、OPC、IEC101/104等缺乏認(rèn)證、授權(quán)、加密機(jī)制，使得工業(yè)控制協(xié)議易遭受第三者的竊聽及欺騙性攻擊）、工業(yè)設(shè)備缺陷（如設(shè)備安全性考慮不足，存在很多高危安全漏洞，有的甚至存在后門）、高危漏洞風(fēng)險(xiǎn)（據(jù)工業(yè)網(wǎng)絡(luò)安全公司Claroty發(fā)布，2021年上半年工業(yè)控制系統(tǒng)產(chǎn)品的漏洞為637個(gè)，超過70%的為嚴(yán)重或高嚴(yán)重等級漏洞；而該公司2020年下半年披露的漏洞數(shù)量為449個(gè)）、組態(tài)軟件缺陷（如KingView 6.53存在的緩沖區(qū)溢出漏洞）等。

（三）我國工業(yè)控制系統(tǒng)的密碼應(yīng)用基礎(chǔ)薄弱

從我國工業(yè)控制系統(tǒng)安全的調(diào)研情況來看，工業(yè)控制系統(tǒng)中使用密碼進(jìn)行保護(hù)的比例較低，主要原因包括能嵌入工業(yè)控制系統(tǒng)的密碼設(shè)備少、密碼技術(shù)難以滿足工業(yè)控制系統(tǒng)實(shí)時(shí)性要求、密碼技術(shù)需要與工業(yè)控制系統(tǒng)進(jìn)行深度適配等等。當(dāng)前，工業(yè)控制系統(tǒng)中密碼應(yīng)用主要聚焦于一些重要領(lǐng)域。在有些工業(yè)場景中，如新能源發(fā)電，由于現(xiàn)場控制層控制器與過程監(jiān)控層的工程師站、操作員站地理位置分布較遠(yuǎn)，需要通過廣域網(wǎng)進(jìn)行各類數(shù)據(jù)的傳輸，為了防止敏感數(shù)據(jù)被竊聽、篡改、重放，使用IPSEC VPN對傳輸數(shù)據(jù)進(jìn)行網(wǎng)絡(luò)層保護(hù)。當(dāng)前，工業(yè)控制系統(tǒng)中密碼應(yīng)用呈現(xiàn)單點(diǎn)建設(shè)、缺少體系化的特點(diǎn)。

（四）使用商用密碼保護(hù)工業(yè)控制系統(tǒng)安全是必然趨勢

2020年1月1日，《密碼法》正式施行?！睹艽a法》明確“法律、行政法規(guī)和國家有關(guān)規(guī)定要求使用商用密碼進(jìn)行保護(hù)的關(guān)鍵信息基礎(chǔ)設(shè)施，其運(yùn)營者應(yīng)當(dāng)使用商用密碼進(jìn)行保護(hù)，自行或者委托商用密碼檢測機(jī)構(gòu)開展商用密碼應(yīng)用安全性評估”。能源、化工、冶金、水利等重要行業(yè)和領(lǐng)域中以PLC/DCS為代表的工業(yè)控制系統(tǒng)，是行業(yè)領(lǐng)域中重大工程和裝備的大腦，是實(shí)現(xiàn)制造業(yè)數(shù)字化、網(wǎng)絡(luò)化、智能化的關(guān)鍵設(shè)備，是國家的關(guān)鍵信息基礎(chǔ)設(shè)施。密碼是維護(hù)國家政治安全、經(jīng)濟(jì)安全、國防安全和信息安全的重要工具，將密碼技術(shù)應(yīng)用于工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)中，將有效提升工業(yè)控制系統(tǒng)的安全防護(hù)能力，解決工業(yè)控制系統(tǒng)面臨的部分安全問題。

三、工業(yè)控制系統(tǒng)密碼應(yīng)用發(fā)展建議

（一）構(gòu)建工業(yè)控制系統(tǒng)密碼應(yīng)用體系，賦能工業(yè)控制系統(tǒng)安全運(yùn)行

 

圖 1 工業(yè)控制系統(tǒng)密碼應(yīng)用體系

 

逐步推進(jìn)工業(yè)控制系統(tǒng)商用密碼改造，逐步實(shí)現(xiàn)對網(wǎng)絡(luò)安全等級保護(hù)三級以上工業(yè)控制系統(tǒng)的商用密碼應(yīng)用安全性評估。建設(shè)工業(yè)控制系統(tǒng)的密碼應(yīng)用體系，包括密碼基礎(chǔ)支撐設(shè)施建設(shè)、密碼應(yīng)用技術(shù)保障建設(shè)、密碼管理保障建設(shè)和密碼標(biāo)準(zhǔn)體系建設(shè)。建設(shè)密碼應(yīng)用技術(shù)保障，通過現(xiàn)場設(shè)備層密碼應(yīng)用、現(xiàn)場控制層密碼應(yīng)用、過程監(jiān)控層密碼應(yīng)用、生產(chǎn)管理層密碼應(yīng)用和企業(yè)資源層密碼應(yīng)用，為工業(yè)控制系統(tǒng)的數(shù)據(jù)采集類業(yè)務(wù)、參數(shù)設(shè)置類業(yè)務(wù)、控制指令類業(yè)務(wù)等提供密碼技術(shù)保障。建設(shè)密碼管理保障，通過密碼安全運(yùn)維、應(yīng)急容災(zāi)、安全保密等管理，實(shí)現(xiàn)密碼安全管理。建設(shè)密碼標(biāo)準(zhǔn)體系，通過建立工業(yè)控制系統(tǒng)密碼技術(shù)、密碼產(chǎn)品功能、密碼協(xié)議、以及密碼測評相關(guān)標(biāo)準(zhǔn)，實(shí)現(xiàn)互聯(lián)互通。

（二）將密碼融入工業(yè)控制系統(tǒng)端側(cè)，構(gòu)建基于內(nèi)生安全的工業(yè)控制系統(tǒng)

構(gòu)建內(nèi)生安全的工業(yè)控制系統(tǒng)，關(guān)鍵在于將密碼融入工業(yè)控制系統(tǒng)的核心設(shè)備中。工業(yè)控制系統(tǒng)的核心控制設(shè)備如DCS、PLC、SIS、SCADA等，逐步將商用密碼技術(shù)、安全可信技術(shù)融入控制器設(shè)計(jì)，基于商用密碼算法實(shí)現(xiàn)訪問控制、工業(yè)協(xié)議控制、數(shù)據(jù)加密保護(hù)、用戶認(rèn)證等安全功能。在工業(yè)控制系統(tǒng)的端側(cè)，現(xiàn)場設(shè)備層中的儀表、傳感器、執(zhí)行器等，現(xiàn)場控制層的DCS控制系統(tǒng)、PLC控制系統(tǒng)、SIS控制系統(tǒng)等，過程監(jiān)控層的SCADA系統(tǒng)等通過集成密碼芯片、密碼IP核、軟件密碼模塊等實(shí)現(xiàn)密碼算力支撐；對于不能改造的設(shè)備，在邊界部署工業(yè)邊緣超融合網(wǎng)關(guān)，實(shí)現(xiàn)設(shè)備接入認(rèn)證、數(shù)據(jù)傳輸加密。在現(xiàn)場控制層和過程監(jiān)控層之間部署工業(yè)加密網(wǎng)關(guān)，實(shí)現(xiàn)訪問控制和傳輸加密。在過程控制層的操作站上部署智能密碼鑰匙，實(shí)現(xiàn)身份鑒別和主機(jī)安全管理。

（三）打造密碼基礎(chǔ)支撐設(shè)施底座，促進(jìn)工業(yè)控制系統(tǒng)密碼應(yīng)用有序建設(shè)

打造密碼基礎(chǔ)支撐設(shè)施底座，提供安全、合規(guī)、標(biāo)準(zhǔn)、適用的密碼能力。密碼基礎(chǔ)支撐設(shè)施主要包括數(shù)字證書系統(tǒng)、密鑰管理系統(tǒng)、數(shù)據(jù)庫加密系統(tǒng)、密碼監(jiān)管系統(tǒng)等。密碼基礎(chǔ)支撐設(shè)施為工業(yè)控制系統(tǒng)提供數(shù)據(jù)加密能力，實(shí)現(xiàn)工業(yè)控制系統(tǒng)中證書及密鑰的全生命周期管理，實(shí)現(xiàn)密碼資源、密碼設(shè)備、密碼應(yīng)用的全流程監(jiān)管。

工業(yè)控制系統(tǒng)密碼應(yīng)用建設(shè)采用從上到下、從易到難的原則進(jìn)行推進(jìn)，從企業(yè)資源層的供應(yīng)鏈管理系統(tǒng)、生產(chǎn)管理層的調(diào)度管理計(jì)劃管理系統(tǒng)等進(jìn)行改造，再逐步推廣到工控核心系統(tǒng)等。對現(xiàn)場設(shè)備層，能改造的則改造，不能改造的部署網(wǎng)關(guān)類密碼產(chǎn)品保護(hù)。工業(yè)控制系統(tǒng)密碼應(yīng)用建設(shè)部署如圖2所示。

圖 2 工業(yè)控制系統(tǒng)密碼應(yīng)用建設(shè)部署圖（示例）

 

（四）培養(yǎng)工控安全密碼復(fù)合型人才，推動人才隊(duì)伍建設(shè)

網(wǎng)絡(luò)空間的競爭，歸根結(jié)底是人才競爭。培養(yǎng)工業(yè)自動化、網(wǎng)絡(luò)安全、密碼應(yīng)用復(fù)合型人才，加強(qiáng)專業(yè)技能培訓(xùn)，建立人才選拔機(jī)制，是提升工控安全防護(hù)水平的核心關(guān)鍵。推動人才隊(duì)伍建設(shè)，要加強(qiáng)國家、地方政策扶持，推廣實(shí)用技能型人才教育，建立系統(tǒng)化人才培養(yǎng)機(jī)制；各高等院校和科研機(jī)構(gòu)要加強(qiáng)學(xué)科建設(shè)和專業(yè)化培養(yǎng)，加強(qiáng)國際交流，建立聯(lián)合型、實(shí)戰(zhàn)型培養(yǎng)模式；加強(qiáng)工業(yè)企業(yè)和安全企業(yè)協(xié)同合作，發(fā)揮各自在行業(yè)、專業(yè)上的優(yōu)勢，借助競賽平臺合力培養(yǎng)復(fù)合型工控安全人才。

四、結(jié)語

密碼技術(shù)作為保障網(wǎng)絡(luò)與信息安全的核心技術(shù)和基礎(chǔ)支撐，在維護(hù)國家安全、促進(jìn)經(jīng)濟(jì)發(fā)展、保護(hù)人民群眾利益中發(fā)揮著越來越重要的作用。未來，工業(yè)控制行業(yè)與商用密碼將進(jìn)一步深度融合，推動工業(yè)控制行業(yè)商用密碼科技創(chuàng)新能力顯著增強(qiáng)，構(gòu)建起以商用密碼為核心技術(shù)的工業(yè)關(guān)鍵基礎(chǔ)設(shè)施。