《汽車制造工業(yè)控制系統(tǒng)信息安全技術(shù)規(guī)范》編制說(shuō)明《汽車制造工業(yè)控制系統(tǒng)信息安全技術(shù)規(guī)范》標(biāo)準(zhǔn)編制組 8.標(biāo)準(zhǔn)的主要內(nèi)容 109.與有關(guān)的現(xiàn)行法律、法規(guī)和強(qiáng)制性國(guó)家標(biāo)準(zhǔn)的關(guān)系 10 11.研究背景近年，全球工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)加劇，我國(guó)工業(yè)控制系統(tǒng)更是受災(zāi)區(qū)。卡巴斯基實(shí)驗(yàn)室報(bào)告顯示，2016年7球第五位。為加快我國(guó)工業(yè)控制系統(tǒng)信息安全保障體系建設(shè)，提升工業(yè)企業(yè)工業(yè)控制系統(tǒng)信息安全防護(hù)能力，促進(jìn)工業(yè)信業(yè)控制系統(tǒng)信息安全行動(dòng)計(jì)劃(2018-2020年)》(工信部信軟[2017]316號(hào))，提出“建立健全標(biāo)準(zhǔn)體系”。近年全球工控信息安全形式越發(fā)嚴(yán)峻，以色列、烏克蘭等一些國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施遭受嚴(yán)重的網(wǎng)絡(luò)攻擊。2016年1月，以色列電力供應(yīng)系統(tǒng)遭受有史以來(lái)最大的網(wǎng)絡(luò)攻擊。對(duì)國(guó)家造成嚴(yán)重破壞。2017年10月，瑞典交通署信息系統(tǒng)遭黑客攻擊，導(dǎo)致列車延誤，并伴隨道路和橋梁在內(nèi)的瑞典關(guān)鍵基礎(chǔ)設(shè)施數(shù)據(jù)的泄露。從這些攻擊事件中可以看出，網(wǎng)絡(luò)攻擊從虛擬世界轉(zhuǎn)向現(xiàn)實(shí)世界，關(guān)鍵性基礎(chǔ)設(shè)施已成為安全威脅的指向目標(biāo)，常摻雜著政治色彩，嚴(yán)重影響國(guó)家和社會(huì)的安全。隨著工控信息安全風(fēng)險(xiǎn)的升級(jí)，工控信息安全事件的后果嚴(yán)重。2009年，國(guó)際上發(fā)生的震網(wǎng)事件，美國(guó)和以色列通過(guò)震網(wǎng)(Stuxnet)病毒秘密攻擊伊朗布什爾核電站，Stuxnet滲透至伊朗核電站的計(jì)算機(jī)系統(tǒng)并破壞了伊朗鈾濃縮離心機(jī)，造成五分之一的離心機(jī)報(bào)廢。2017年12月，某國(guó)家支持的黑客入侵沙特阿拉伯能源工廠安全系統(tǒng)，造成工廠停止運(yùn)行。由此可見(jiàn)，工控系統(tǒng)一旦遭受攻擊，受破壞程度巨大，2可導(dǎo)致工控系統(tǒng)癱瘓、設(shè)備報(bào)廢、工廠停工。工控信息安全事件波及范圍廣，涉及世界多個(gè)國(guó)家的多個(gè)領(lǐng)域。近年發(fā)生的工控信息安全事件影響范圍不僅僅是某個(gè)國(guó)家或地區(qū)，也不僅僅是某個(gè)領(lǐng)域，它已波及全球，影響多領(lǐng)域多行業(yè)，工控信息安全威脅愈演愈烈。工信部針對(duì)國(guó)內(nèi)大型工業(yè)企業(yè)的核心管控系統(tǒng)開(kāi)展檢查，發(fā)現(xiàn)企業(yè)工業(yè)應(yīng)用系統(tǒng)普遍存在安全漏洞，缺乏有效的安全配置策略，外網(wǎng)邊界容易被突破。內(nèi)網(wǎng)邊界防護(hù)薄弱，工控設(shè)備普遍開(kāi)啟遠(yuǎn)程訪問(wèn)進(jìn)行維護(hù)，工控主機(jī)安全防護(hù)措施較弱，控制權(quán)極易被遠(yuǎn)程獲取；對(duì)工業(yè)控制系統(tǒng)的信息安全管理相對(duì)薄弱，嚴(yán)重滯后于工業(yè)互聯(lián)網(wǎng)的發(fā)展。汽車制造企業(yè)近年發(fā)生多次工控安全事件，導(dǎo)致生產(chǎn)業(yè)務(wù)中斷，工控安全檢查過(guò)程中發(fā)現(xiàn)工控的防病毒、補(bǔ)丁、備份等基本的管理要求均未全面覆蓋，且在事件上報(bào)、應(yīng)急響應(yīng)等方面均無(wú)法及時(shí)有效開(kāi)展，需統(tǒng)一去考慮整體的解決方案，形成覆蓋全行業(yè)的制度標(biāo)準(zhǔn)。2.國(guó)內(nèi)外工控安全發(fā)展情況近年來(lái)，工業(yè)控制系統(tǒng)信息安全的標(biāo)準(zhǔn)制定一直受到國(guó)內(nèi)外專家的高度重視。國(guó)際上針對(duì)工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)進(jìn)行研究的組織很多，其中包括許多國(guó)際標(biāo)準(zhǔn)化組織，如國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究院(NIST)、國(guó)際電工委員會(huì)(IEC)，國(guó)際自動(dòng)化協(xié)會(huì)(ISA)和電氣與電子工程師協(xié)會(huì)(IEEE)等國(guó)際電工委員會(huì)(IEC)、電氣與電子工程師協(xié)會(huì)(IEEE)和國(guó)際自動(dòng)化協(xié)會(huì)(ISA)致力于工控信息安全國(guó)際標(biāo)準(zhǔn)建設(shè)。工控信息安全國(guó)際標(biāo)準(zhǔn)主要集中在電力系統(tǒng)信息安全領(lǐng)3和通信安全(IEC62210)》，并于2005年發(fā)布《電力系統(tǒng)管理及信息交換：數(shù)據(jù)和通信安全性(IEC62351)》；IEEE于 絡(luò)安全的機(jī)密協(xié)議試行標(biāo)準(zhǔn)(IEEEP1711)》。美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究院(NIST)、美國(guó)國(guó)土安全部(DHS)等機(jī)構(gòu)致力于美國(guó)工控信息安全標(biāo)準(zhǔn)的建設(shè)。美國(guó)標(biāo)準(zhǔn)主要在三個(gè)領(lǐng)域：一是美國(guó)工控信息安全標(biāo)準(zhǔn)集中在石油天然氣領(lǐng)域；二是美國(guó)針對(duì)電力、核電領(lǐng)域工控系統(tǒng)信息安全出臺(tái)相應(yīng)的標(biāo)準(zhǔn)；三是美國(guó)發(fā)布了一系列通用工控信息安全標(biāo)準(zhǔn)。歐盟各國(guó)注重發(fā)展通用性的工控信息安全標(biāo)準(zhǔn)。此外，歐盟國(guó)家根據(jù)各自國(guó)情關(guān)注特定領(lǐng)域的工控信息安全標(biāo)準(zhǔn)建設(shè)，例如德國(guó)關(guān)注制造業(yè)的信息安全問(wèn)題。歐美國(guó)家在研究工控信息安全標(biāo)準(zhǔn)時(shí)注重借鑒和融合，準(zhǔn)，在研制過(guò)程中充分借鑒了荷蘭WIB指定的《過(guò)程控制域 (PCD)--供應(yīng)商安全需求》，而美國(guó)NIST在研制《改善監(jiān)管基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全框架》時(shí)融合了國(guó)際標(biāo)準(zhǔn)化組織發(fā)布的IEC62443標(biāo)準(zhǔn)中一些的技術(shù)要求。我國(guó)工控信息安全標(biāo)準(zhǔn)起步較晚，工控信息安全標(biāo)準(zhǔn)體系尚未形成。建立健全我國(guó)工控信息安全標(biāo)準(zhǔn)體系，研制技術(shù)、產(chǎn)品、系統(tǒng)、設(shè)施等新標(biāo)準(zhǔn)，完善和修訂已有標(biāo)準(zhǔn)，學(xué)習(xí)歐美借鑒、融合他國(guó)工控信息安全標(biāo)準(zhǔn)的經(jīng)驗(yàn)，必要時(shí)實(shí)現(xiàn)部分工控信息安全標(biāo)準(zhǔn)的本土化。我國(guó)已形成了一些通用的工控信息安全標(biāo)準(zhǔn)，并在一些4重要領(lǐng)域建立了工控信息安全標(biāo)準(zhǔn)，其中我國(guó)電力領(lǐng)域起步較早。目前，我國(guó)工控信息安全標(biāo)準(zhǔn)已覆蓋電力、軌道交通、石油化工、機(jī)械、煙草等領(lǐng)域。然而，隨著我國(guó)工控系統(tǒng)信息安全形勢(shì)日益嚴(yán)峻，亟需在國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域制定強(qiáng)制性工控信息安全國(guó)家標(biāo)準(zhǔn)，視情在行業(yè)特殊需求的領(lǐng)域制定推薦性工控信息安全行業(yè)標(biāo)準(zhǔn)，使得重點(diǎn)領(lǐng)域的工控信息安全工作做到有章可循?？偟膩?lái)說(shuō)，目前在信息安全領(lǐng)域人們所關(guān)注的焦點(diǎn)主要有以下幾方面：1)密碼理論與技術(shù)；2)安全協(xié)議理論與技術(shù)；3)安全體系結(jié)構(gòu)理論與技術(shù)；4)信息對(duì)抗理論與技術(shù)；5)網(wǎng)絡(luò)安全與安全產(chǎn)品。3.已有標(biāo)準(zhǔn)檢索情況目前沒(méi)有工業(yè)控制系統(tǒng)汽車制造過(guò)程安全技術(shù)規(guī)范的國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)和地方標(biāo)準(zhǔn)，與《汽車制造工業(yè)控制系統(tǒng)信息安全技術(shù)規(guī)范》相關(guān)的已經(jīng)發(fā)布的國(guó)家標(biāo)準(zhǔn)有4項(xiàng)，分別是《GB/T30976.1信息安全技術(shù)工業(yè)控制系統(tǒng)信息安全第1部分：評(píng)估規(guī)范》、《GB/T32919信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》、《GB/T36324信息安全技術(shù)工業(yè)控制系統(tǒng)信息安全分級(jí)規(guī)范》、《GB/T40813信息安全技術(shù)工業(yè)控制系統(tǒng)安全防護(hù)技術(shù)要求和測(cè)試評(píng)價(jià)方4.標(biāo)準(zhǔn)主要編制過(guò)程5以及云計(jì)算、大數(shù)據(jù)、人工智能、物聯(lián)網(wǎng)等新一代信息技術(shù)與制造技術(shù)的加速融合，工業(yè)控制系統(tǒng)由從原始的封閉獨(dú)立業(yè)企業(yè)獲得巨大發(fā)展動(dòng)能的環(huán)境背景下，也滋生了大量安全隱患，工控安全正面臨嚴(yán)峻的挑戰(zhàn)。心提出制定《工控安全技術(shù)要求》的企業(yè)標(biāo)準(zhǔn)，用于指導(dǎo)吉利汽車制造基地整車制造過(guò)程所有車間工業(yè)控制系統(tǒng)建設(shè)實(shí)施過(guò)程涉及的信息安全防護(hù)技術(shù)指標(biāo)和具體要求，在裝備安裝調(diào)試驗(yàn)收階段需要滿足的信息安全驗(yàn)收要求。吉利汽車ME中心聯(lián)合吉利信息化中心、吉利整車制造基地、整車制造線提供商組建標(biāo)準(zhǔn)聯(lián)合編制小組。標(biāo)準(zhǔn)編制小組迅速響應(yīng)，查閱了國(guó)內(nèi)外工業(yè)控制系統(tǒng)信息安全相關(guān)的標(biāo)準(zhǔn)材料，包括國(guó)內(nèi)外有關(guān)工業(yè)控制系統(tǒng)信息安全方面的技術(shù)標(biāo)準(zhǔn)，現(xiàn)有相關(guān)法律法規(guī)和標(biāo)準(zhǔn)等，作為制定此次標(biāo)準(zhǔn)的依據(jù)，確保標(biāo)準(zhǔn)符合國(guó)家相關(guān)法律法規(guī)和管理規(guī)定的要求。此外，標(biāo)準(zhǔn)編制小組還系統(tǒng)收集了現(xiàn)有工廠工業(yè)控制系統(tǒng)的實(shí)際使用情況和安全方案，積累了大量的一手資料，力求技術(shù)完整全面便于實(shí)施。在掌握了豐富翔實(shí)的資料后，標(biāo)準(zhǔn)編制小組著手編寫標(biāo)準(zhǔn)的草案。草案經(jīng)吉利內(nèi)部進(jìn)行了標(biāo)準(zhǔn)框架和技術(shù)內(nèi)容的多基地試點(diǎn)運(yùn)行兩年，過(guò)程中與制造基地、整車制造線提供商進(jìn)行了多次討論，針對(duì)實(shí)施過(guò)程中遇到的各項(xiàng)問(wèn)題，各方提6技術(shù)要求》的企業(yè)標(biāo)準(zhǔn)文件升級(jí)為團(tuán)體標(biāo)準(zhǔn)文件。在保持原有標(biāo)準(zhǔn)編制小組成員結(jié)構(gòu)的基礎(chǔ)上，后續(xù)加入山西省汽車協(xié)吉利汽車ME中心組織相關(guān)單位的標(biāo)準(zhǔn)修訂小組成員和協(xié)會(huì)專家，以網(wǎng)絡(luò)會(huì)議的形式對(duì)標(biāo)準(zhǔn)文件進(jìn)行了多輪討論，會(huì)議對(duì)標(biāo)準(zhǔn)文件進(jìn)行了逐條討論，并提出了初步修改意見(jiàn)。ME中心根據(jù)修改意見(jiàn)做了修訂。2022年6月，分別與山西省汽車協(xié)會(huì)，行業(yè)制造企業(yè)，制造基地等單位的相關(guān)專家在太原市召開(kāi)會(huì)議深入討論，相關(guān)專家對(duì)該標(biāo)準(zhǔn)提出了大量寶貴意見(jiàn)和建議，對(duì)標(biāo)準(zhǔn)的格式和內(nèi)容進(jìn)行了改進(jìn)并進(jìn)一步完善了標(biāo)準(zhǔn)框架、技術(shù)內(nèi)容，形成了團(tuán)體標(biāo)準(zhǔn)《工業(yè)控制系統(tǒng)汽車制造過(guò)程安全技術(shù)規(guī)范》。在山西省晉中市召開(kāi)會(huì)議討論，在會(huì)上，各位專家對(duì)標(biāo)準(zhǔn)的結(jié)構(gòu)及各項(xiàng)條款進(jìn)一步進(jìn)行了補(bǔ)充要求，并形成了報(bào)批文件《汽車制造工業(yè)控制系統(tǒng)信息安全技術(shù)規(guī)范》。5.標(biāo)準(zhǔn)的編制原則在標(biāo)準(zhǔn)的編制過(guò)程中嚴(yán)格遵循國(guó)家有關(guān)方針、政策、法規(guī)和規(guī)章，標(biāo)準(zhǔn)的編寫規(guī)則及表述遵循科學(xué)、合理、可行的原則，力求做到規(guī)范、統(tǒng)一。首先，在標(biāo)準(zhǔn)制定過(guò)程中，遵循政策和協(xié)調(diào)統(tǒng)一性原則。嚴(yán)格遵循國(guó)家有關(guān)方針、政策、法規(guī)和規(guī)章，嚴(yán)格執(zhí)行強(qiáng)制性國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，與同體系標(biāo)準(zhǔn)及相關(guān)的各種基礎(chǔ)標(biāo)準(zhǔn)相銜接。其次，主要技術(shù)指標(biāo)7的確定是以現(xiàn)有技術(shù)實(shí)施中基本原則與運(yùn)行效果參數(shù)、運(yùn)行維護(hù)等為目標(biāo)，確保因地制宜、節(jié)約高效等技術(shù)目標(biāo)。再次，廣泛征求管理單位、建設(shè)單位、施工單位和設(shè)計(jì)單位專家意見(jiàn)，并與技術(shù)、設(shè)計(jì)和建設(shè)等方面的專家進(jìn)行深入交流和研討，進(jìn)行適當(dāng)?shù)男薷暮鸵?guī)范，使標(biāo)準(zhǔn)既保持技術(shù)上的科學(xué)性和先進(jìn)性，又具有實(shí)施上的適用性和可操作性。同時(shí)結(jié)合汽車行業(yè)的應(yīng)用特點(diǎn)進(jìn)行補(bǔ)充，形成與國(guó)標(biāo)相輔相成并確實(shí)對(duì)汽車制造行業(yè)有落地指導(dǎo)作用的規(guī)范性文件。1)技術(shù)標(biāo)準(zhǔn)內(nèi)容收集資料要做好工控安全防護(hù)工作。實(shí)施，提出重點(diǎn)保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施。安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》正式發(fā)布，將工業(yè)控制系統(tǒng)、云計(jì)算、物聯(lián)網(wǎng)和大數(shù)據(jù)等安全納入到等級(jí)保護(hù)中。對(duì)標(biāo)合資整車廠在2015年開(kāi)始已逐步將工控安全技術(shù)引用到工業(yè)控制系統(tǒng)中去。國(guó)有背景的整車廠在2019年已經(jīng)開(kāi)始在做等保2.0滿足國(guó)家法律法規(guī)要求。2)與現(xiàn)行有效文件的協(xié)調(diào)性情況(包括但不限于國(guó)家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)、企業(yè)標(biāo)準(zhǔn)、企業(yè)質(zhì)量體系文件)從汽車制造工控建設(shè)前期規(guī)劃的角度和后期改造提升項(xiàng)目，提煉出針對(duì)汽車制造工業(yè)控制系統(tǒng)需要遵守的總體技術(shù)要求。力求從汽車制造過(guò)程中的工業(yè)裝備建設(shè)實(shí)施過(guò)程涉及的信息安全防護(hù)技術(shù)指標(biāo)和具體要求，在裝備安裝調(diào)試驗(yàn)收階段需要滿足的信息安全驗(yàn)收要求。8標(biāo)準(zhǔn)的結(jié)構(gòu)和編寫規(guī)則》規(guī)定的要求進(jìn)行編寫。6.與現(xiàn)行國(guó)家標(biāo)準(zhǔn)的關(guān)系本文件是在執(zhí)行國(guó)家標(biāo)準(zhǔn)的基礎(chǔ)上，針對(duì)行業(yè)特點(diǎn)，規(guī)范了汽車制造工業(yè)裝備建設(shè)實(shí)施過(guò)程中涉及的信息安全技術(shù)規(guī)范，對(duì)各項(xiàng)內(nèi)容進(jìn)行細(xì)化及推薦性指導(dǎo)，作為國(guó)家標(biāo)準(zhǔn)的補(bǔ)充規(guī)定。7.工控安全的定義工控，指的是工業(yè)自動(dòng)化控制，主要利用電子電氣、機(jī)械、軟件組合實(shí)現(xiàn)。即是工業(yè)控制系統(tǒng)，或者是工廠自動(dòng)化控制。工控安全指的是工業(yè)控制系統(tǒng)的數(shù)據(jù)、網(wǎng)絡(luò)和系統(tǒng)安全。工業(yè)信息安全是工業(yè)互聯(lián)網(wǎng)健康有序發(fā)展的重要基石和防護(hù)中心，是工業(yè)安全和互聯(lián)網(wǎng)安全的深度結(jié)合。廣義的工業(yè)互聯(lián)網(wǎng)安全涉及設(shè)備、控制、網(wǎng)絡(luò)、平臺(tái)、工業(yè)APP、數(shù)據(jù)等多方面網(wǎng)絡(luò)安全問(wèn)題，其核心任務(wù)就是要通過(guò)監(jiān)測(cè)預(yù)警、應(yīng)急響應(yīng)、檢測(cè)評(píng)估、功能測(cè)試等手段確保工業(yè)互聯(lián)網(wǎng)健康有序發(fā)展。工業(yè)控制系統(tǒng)安全是工業(yè)互聯(lián)網(wǎng)安全的核心，一方面工業(yè)控制系統(tǒng)廣泛適用于在工業(yè)生產(chǎn)過(guò)程的控制，是工業(yè)生產(chǎn)的核心大腦；另一方面，目前80%以上的國(guó)家關(guān)鍵基礎(chǔ)設(shè)施以及智慧城市業(yè)務(wù)系統(tǒng)都是依賴于工業(yè)控制系統(tǒng)進(jìn)行控制。8.標(biāo)準(zhǔn)的主要內(nèi)容本標(biāo)準(zhǔn)針對(duì)汽車行業(yè)制造業(yè)的工業(yè)控制系統(tǒng)防護(hù)特點(diǎn)，從11個(gè)方面對(duì)工業(yè)控制系統(tǒng)信息安全的基本管理提出了規(guī)范性指導(dǎo)措施，以滿足汽車行業(yè)對(duì)其工業(yè)控制系統(tǒng)的安全管理需求，為實(shí)現(xiàn)汽車行業(yè)制造的工業(yè)控制系統(tǒng)適度、有效的9安全管理控制提供參考。標(biāo)準(zhǔn)主要從以下幾個(gè)方面闡述：1)本標(biāo)準(zhǔn)范圍規(guī)定了汽車制造過(guò)程中的工業(yè)裝備建設(shè)實(shí)施過(guò)程涉及的信息安全防護(hù)技術(shù)指標(biāo)和具體要求，在裝備安裝調(diào)試驗(yàn)收階段需要滿足的信息安全驗(yàn)收要求。2)引用現(xiàn)行國(guó)家標(biāo)準(zhǔn)文件5項(xiàng)，保證了國(guó)家和行業(yè)標(biāo)準(zhǔn)的一致性。3)對(duì)標(biāo)準(zhǔn)中需要用到的且容易產(chǎn)生歧義或意義不明確的短語(yǔ)，結(jié)合引用標(biāo)準(zhǔn)中已有的相近的定義，參考國(guó)內(nèi)外相關(guān)文獻(xiàn)，按照本標(biāo)準(zhǔn)需要給出了“工業(yè)控制系統(tǒng)”、“控制語(yǔ)的定義。4)規(guī)定了汽車制造過(guò)程工業(yè)控制系統(tǒng)安全防護(hù)技術(shù)要求和汽車制造過(guò)程工業(yè)控制系統(tǒng)安全防護(hù)驗(yàn)收要求，為工業(yè)控制系統(tǒng)汽車制造過(guò)程的安全提供規(guī)范的指導(dǎo)。9.與有關(guān)的現(xiàn)行法律、法規(guī)和強(qiáng)制性國(guó)家標(biāo)準(zhǔn)的關(guān)系本標(biāo)準(zhǔn)制定過(guò)程中，標(biāo)準(zhǔn)起草單位收集了國(guó)內(nèi)相關(guān)技術(shù)資料、標(biāo)準(zhǔn)和法律法規(guī)，嚴(yán)格貫徹國(guó)家有關(guān)方針、政策、法規(guī)和規(guī)章，嚴(yán)格執(zhí)行國(guó)家和行業(yè)標(biāo)準(zhǔn)，各項(xiàng)技術(shù)內(nèi)容不違背我國(guó)目前頒布的相關(guān)法律、法規(guī)和標(biāo)準(zhǔn)，政策性和協(xié)調(diào)性較強(qiáng)。本標(biāo)