RG5.71導則在國內(nèi)核設(shè)施網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用探討

錢單

摘 要 RG 5.71 《Cyber Security Programs for Nuclear Facilities》是美國核管會根據(jù)聯(lián)邦法規(guī)（the Code of Federal Regulation）中對于計算機、通信系統(tǒng)和網(wǎng)絡(luò)的保護需求，針對核設(shè)施而制定的計算機安保方面的導則。RG5.71主要從組織機構(gòu)、技術(shù)、運行和管理等方面描述了針對信息網(wǎng)絡(luò)的威脅、漏洞和攻擊需采用的對策和防護技術(shù)。導則不僅提出了針對核設(shè)施信息網(wǎng)絡(luò)安全的監(jiān)管要求，同時也提供了一個切實可行的核設(shè)施信息網(wǎng)絡(luò)安全的解決方案。本文將對RG5.71導則的內(nèi)容進行簡介，并重點探討該導則在國內(nèi)核設(shè)施信息網(wǎng)絡(luò)安全方面的應(yīng)用。

關(guān)鍵詞 RG5.71；核設(shè)施；信息網(wǎng)絡(luò)安全

中圖分類號 TP3 文獻標識碼 A 文章編號 1674-6708（2018）206-0129-02

隨著國家以及電力行業(yè)一系列信息網(wǎng)絡(luò)安全文件、導則的發(fā)布，同時由于“工業(yè)化”“信息化”兩化融合對傳統(tǒng)工業(yè)控制系統(tǒng)帶來的技術(shù)革新，核電領(lǐng)域的信息網(wǎng)絡(luò)安全工作日益受到關(guān)注，相關(guān)監(jiān)管要求日益嚴格，核設(shè)施如何有效地進行信息網(wǎng)絡(luò)安全方面的防護工作成為一個重要課題。

目前，國內(nèi)針對核設(shè)施信息網(wǎng)絡(luò)安全方面的導則、規(guī)范仍相對匱乏，而歐美國家在信息網(wǎng)絡(luò)安全領(lǐng)域起步較早，許多國家已經(jīng)建立了針對核設(shè)施信息網(wǎng)絡(luò)安全方面的導則、文件。例如RG？5.71？《Cyber？ Security？Programs？for？Nuclear？Facilities》是美國核管會根據(jù)聯(lián)邦法規(guī)（the？Code？of？Federal？ Regulation）中對于計算機、通信系統(tǒng)和網(wǎng)絡(luò)的保護需求，針對核設(shè)施而制定的計算機安保方面的導則。該導則主要從組織機構(gòu)、技術(shù)、運行和管理等方面描述了針對信息網(wǎng)絡(luò)的威脅、漏洞和攻擊應(yīng)采用的對策和防護措施。

1 RG5.71內(nèi)容簡介

1.1 通用要求

RG5.71要求核設(shè)施建立相應(yīng)的網(wǎng)絡(luò)安全計劃以描述如何執(zhí)行信息網(wǎng)絡(luò)安全相關(guān)法律、法規(guī)的要求，使核設(shè)施關(guān)鍵數(shù)字計算機、通信系統(tǒng)和網(wǎng)絡(luò)受到充分保護，避免這些系統(tǒng)、設(shè)備受到網(wǎng)絡(luò)攻擊。網(wǎng)絡(luò)安全計劃應(yīng)包含：關(guān)鍵數(shù)字資產(chǎn)的識別、網(wǎng)絡(luò)安全計劃實施維護、網(wǎng)絡(luò)安全的設(shè)計、深度防御策略（保護、檢測、響應(yīng)和恢復）、文檔化的管理制度、安全意識培訓、網(wǎng)絡(luò)安全風險評估和管理、配置管理和文檔管理等要素。

1.2 組織機構(gòu)

RG5.71描述了應(yīng)建立一個網(wǎng)絡(luò)安全團隊（CST），確定其角色、職責、授權(quán)和職能關(guān)系。主要包括：

1）網(wǎng)絡(luò)安全程序主管人員，應(yīng)為廠址高級管理層成員，并被賦予對網(wǎng)絡(luò)安全程序全面責任和問責權(quán)，并能為網(wǎng)絡(luò)安全程序的制定、執(zhí)行和維護提供必要的資源。

2）網(wǎng)絡(luò)安全程序負責人，主要負責以下方面。

（1）監(jiān)督網(wǎng)絡(luò)安全操作；

（2）歸口聯(lián)絡(luò)網(wǎng)絡(luò)安全所有事項；

（3）對網(wǎng)絡(luò)安全相關(guān)事項進行監(jiān)督和指導；

（4）需要時啟動和協(xié)調(diào)網(wǎng)絡(luò)安全事件響應(yīng)小組職能；

（5）在網(wǎng)絡(luò)安全事件和事故發(fā)生前后，負責與相關(guān)部門聯(lián)絡(luò)工作；

（6）批準和監(jiān)督網(wǎng)絡(luò)安全計劃及有關(guān)程序制定、執(zhí)行和維護；

（7）組織和實施網(wǎng)絡(luò)安全意識教育、培訓活動。

3）網(wǎng)絡(luò)安全專家。

（1）保護關(guān)鍵數(shù)字資產(chǎn)（CDA）免受網(wǎng)絡(luò)威脅；

（2）配置、操作和維護網(wǎng)絡(luò)安全設(shè)備；

（3）掌握核設(shè)施網(wǎng)絡(luò)操作系統(tǒng)總體架構(gòu)、軟硬件平臺、操作系統(tǒng)等網(wǎng)絡(luò)特性；

（4）開展數(shù)字系統(tǒng)的網(wǎng)絡(luò)安全評估，對關(guān)鍵數(shù)字資產(chǎn)（CDA）進行網(wǎng)絡(luò)安全審計、脆弱性測評、網(wǎng)絡(luò)掃描和滲透測試等；

（5）在關(guān)鍵數(shù)字資產(chǎn)（CDA）損壞后進行事故調(diào)查；

（6）維持和提高網(wǎng)絡(luò)安全領(lǐng)域的專業(yè)技能和知識水平；

（7）作為應(yīng)急響應(yīng)機構(gòu)的主要指導者和領(lǐng)導者。

除上述人員外，應(yīng)成立相應(yīng)的網(wǎng)絡(luò)安全事件響應(yīng)機構(gòu)（CSIRT），包括：安保、操作、工程、應(yīng)急準備和其他支持部門的相關(guān)人員。

1.3 技術(shù)控制

RG5.71描述了應(yīng)在識別關(guān)鍵數(shù)字資產(chǎn)（CDA）的基礎(chǔ)上，采取縱深防御保護策略，建立網(wǎng)絡(luò)安全分區(qū)，控制數(shù)據(jù)流向，并在邊界上采用防御措施等技術(shù)措施。同時，導則提出了一系列包括：訪問控制、審計和問責、通信保護、識別和認證、系統(tǒng)加固、操作控制等綜合防護的控制措施。

另外，導則還要求核設(shè)施應(yīng)配置必要的評估工具，對現(xiàn)場系統(tǒng)進行漏洞掃描、滲透測試等薄弱性評估測試。

1.4 管理控制

RG5.71在管理控制方面針對系統(tǒng)服務(wù)和采購、持續(xù)監(jiān)測和安全評估、策略和規(guī)程、變更控制、記錄保留及處理等系統(tǒng)生命周期管理方面提出了相關(guān)的監(jiān)管要求。

2 RG5.71導則的應(yīng)用

RG5.71導則不僅提出了針對核設(shè)施信息網(wǎng)絡(luò)安全的監(jiān)管要求，同時也提供了一個切實可行的核設(shè)施信息網(wǎng)絡(luò)安全的解決方案。通過建立網(wǎng)絡(luò)安全計劃，從組織機構(gòu)、技術(shù)、管理等各方面描述如何建立核設(shè)施的信息網(wǎng)絡(luò)安全策略，對于國內(nèi)核設(shè)施信息網(wǎng)絡(luò)安全工作的建設(shè)具有相當?shù)慕梃b意義。

結(jié)合我國針對電力行業(yè)信息網(wǎng)絡(luò)安全的相關(guān)文件、導則，例如電力監(jiān)控系統(tǒng)安全防護規(guī)定（國家發(fā)改委2014年第14號令）、電力監(jiān)控系統(tǒng)安全防護總體方案（國能安全〔2015〕36號文）、電力行業(yè)網(wǎng)絡(luò)與信息安全管理辦法（國能安全〔2014〕317號文），國內(nèi)核設(shè)施可編制基于自身的網(wǎng)絡(luò)安全計劃或?qū)嵤┓桨福瑢嵤┓桨傅膬?nèi)容可包括但不限于核設(shè)施面臨的信息安全威脅和總體目標、各信息業(yè)務(wù)系統(tǒng)的描述、安全分區(qū)、網(wǎng)絡(luò)架構(gòu)、信息安全組織機構(gòu)、管理措施、技術(shù)措施、綜合安全防護措施、主要問題及整改計劃等。該文件可以作為核設(shè)施安全防護工作的指導性文件。？

組織機構(gòu)方面，RG5.71提出的人員架構(gòu)同樣適用于國內(nèi)的核設(shè)施。核設(shè)施應(yīng)建立以公司高層為領(lǐng)導的信息網(wǎng)絡(luò)安全團隊，配置并培養(yǎng)類似網(wǎng)絡(luò)安全程序負責人、網(wǎng)絡(luò)安全專家的專業(yè)隊伍，負責核設(shè)施信息網(wǎng)絡(luò)安全管理制度建設(shè)，并對核設(shè)施信息系統(tǒng)軟硬件操作平臺、安全策略的配置、安全防護設(shè)備管理、維護進行統(tǒng)一管理。

同時，應(yīng)建立多個部門協(xié)同的信息安全應(yīng)急響應(yīng)機構(gòu)，定期進行應(yīng)急演練。目前，國內(nèi)核設(shè)施在建立網(wǎng)絡(luò)安全專家團隊方面仍屬于薄弱環(huán)節(jié)，特別是在工控領(lǐng)域方面，缺乏這方面的專業(yè)人才及隊伍，需要進一步引起重視，并加強這方面人才隊伍的培養(yǎng)。

技術(shù)措施上，結(jié)合國內(nèi)電力行業(yè)信息安全提出的“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”之總體方針，核設(shè)施應(yīng)對自身業(yè)務(wù)系統(tǒng)的重要性進行評估識別，按照業(yè)務(wù)系統(tǒng)的重要性及其對一次系統(tǒng)的影響程度，建立分層的信息安全保護結(jié)構(gòu)，可將其劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，生產(chǎn)控制大區(qū)可進一步劃分為控制區(qū)（安全區(qū)I）和非控制區(qū)（安全區(qū)II），管理信息大區(qū)則也可進一步被劃分為（安全區(qū)III）和（安全區(qū)IV），將各信息業(yè)務(wù)系統(tǒng)和功能模塊根據(jù)重要性劃分至各個安全區(qū)域。

同時，在控制數(shù)據(jù)流向和邊界防護措施上，在生產(chǎn)控制大區(qū)和管理控制大區(qū)間設(shè)置單向隔離網(wǎng)閘，只允許數(shù)據(jù)單向傳輸。在每個安全區(qū)的系統(tǒng)邊界上設(shè)置專用的防火墻等安全防護設(shè)備，在縱向網(wǎng)絡(luò)上設(shè)置縱向加密認證。在上述基礎(chǔ)上，進一步做好在物理安全、訪問控制、防病毒措施等方面的綜合防護措施，并適時進行內(nèi)部薄弱性測試評估。

管理制度上，可依據(jù)RG5.71導則及國內(nèi)監(jiān)管當局的要求，結(jié)合自身實際情況，編制包括信息系統(tǒng)生命周期管理、人員管理、權(quán)限管理、訪問控制、介質(zhì)管理、運維管理、審計管理、備份管理、應(yīng)急響應(yīng)、培訓管理等一系列程序，從而形成完整的信息安全防護制度，并適時的進行評估修訂以便更好滿足監(jiān)管要求以及具體執(zhí)行。

3 結(jié)論

綜上所述，在國內(nèi)針對核設(shè)施信息網(wǎng)絡(luò)安全方面的導則、規(guī)范仍相對匱乏的情況下，RG5.71提供了一個切實可行的核設(shè)施信息網(wǎng)絡(luò)安全的解決方案，對于現(xiàn)階段核電領(lǐng)域信息網(wǎng)絡(luò)安全工作的開展具有相當重要的借鑒意義。國內(nèi)核設(shè)施可依據(jù)該導則，結(jié)合國內(nèi)信息網(wǎng)絡(luò)安全方面的導則、文件，建立適合核電領(lǐng)域的信息安全防護策略，從而有效提升核設(shè)施的信息網(wǎng)絡(luò)安全。

參考文獻

[1]RG 5.71《Cyber Security Programs for Nuclear Facilities》.

[2]電力監(jiān)控系統(tǒng)安全防護規(guī)定（國家發(fā)改委2014年第14號令）.

[3]電力監(jiān)控系統(tǒng)安全防護總體方案（國能安全〔2015〕36號文）.

[4]電力行業(yè)網(wǎng)絡(luò)與信息安全管理辦法（國能安全〔2014〕317號文）.

[5]電力行業(yè)信息安全等級保護管理辦法（國能安全〔2014〕318號文）.