上海水務(wù)行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全管理工作思考

宗志鋒 宋亮 王驍棟

[摘? ? 要] 隨著《國(guó)家網(wǎng)絡(luò)安全法》頒布，關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保障被提升至法律責(zé)任。上海城市用水安全事關(guān)社會(huì)經(jīng)濟(jì)運(yùn)行和數(shù)千萬(wàn)人工作生活，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全問(wèn)題尤為重要。文章介紹了網(wǎng)絡(luò)安全工作的背景、梳理了當(dāng)前水務(wù)業(yè)務(wù)和網(wǎng)絡(luò)安全現(xiàn)狀、分析了網(wǎng)絡(luò)安全相關(guān)需求，并就如何開(kāi)展水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全工作提出了思路與建議。

[關(guān)鍵詞] 水務(wù);關(guān)鍵信息基礎(chǔ)設(shè)施;網(wǎng)絡(luò)安全

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2019. 11. 062

[中圖分類(lèi)號(hào)] F407? ? [文獻(xiàn)標(biāo)識(shí)碼]? A? ? ? [文章編號(hào)]? 1673 - 0194（2019）11- 0145- 03

1? ? ? 背? ? 景

十八大以后，黨中央對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全工作高度重視。早在2016年4月19日，習(xí)近平總書(shū)記就在中央網(wǎng)信辦工作會(huì)議講話中指出“我們必須深入研究，采取有效措施，切實(shí)做好國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)”。2016年7月，中央網(wǎng)信辦頒布《關(guān)鍵信息基礎(chǔ)設(shè)施確定指南》（試行），其中明確提到水利樞紐運(yùn)行及管控、長(zhǎng)距離輸水管控、城市水源地管控，市政的水供應(yīng)管理、污水處理等為關(guān)鍵業(yè)務(wù)，只要達(dá)到一定規(guī)模所運(yùn)行的系統(tǒng)即為關(guān)鍵信息基礎(chǔ)設(shè)施。2017年6月1日，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》頒布，其中獨(dú)辟一個(gè)章節(jié)專門(mén)描述關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者法律責(zé)任。自此國(guó)家層面的法律規(guī)章制度已經(jīng)將關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全提升到了前所未有的高度。

上海作為全球超大城市，其用水安全事關(guān)社會(huì)經(jīng)濟(jì)運(yùn)行和數(shù)千萬(wàn)人工作生活，重要性不言而喻。隨著工業(yè)互聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算等技術(shù)的發(fā)展與應(yīng)用，上海水務(wù)正在向著智能化和智慧方向發(fā)展，這種發(fā)展需要水務(wù)領(lǐng)域工業(yè)控制系統(tǒng)與業(yè)務(wù)管理系統(tǒng)進(jìn)行信息交換，從而改變了傳統(tǒng)的隔離與專用的工業(yè)網(wǎng)絡(luò)。同時(shí)隨著各種攻擊、滲透技術(shù)的不斷發(fā)展，如針對(duì)物聯(lián)網(wǎng)設(shè)置的Botne病毒、WannaCry勒索病毒等，給水務(wù)行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施安全帶來(lái)了嚴(yán)重威脅。因此無(wú)論從政策要求、技術(shù)發(fā)展還是安全態(tài)勢(shì)，上海水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全工作都勢(shì)在必行，刻不容緩。

2? ? ? 現(xiàn)狀分析

2.1? ?水務(wù)業(yè)務(wù)現(xiàn)狀

城市水務(wù)主要包括原水、制水、給排水和污水處理四大環(huán)節(jié)。上海水務(wù)行業(yè)的原水包括青草沙、東風(fēng)西沙、陳行和金澤四大原水。原水廠負(fù)責(zé)將原水地水庫(kù)的水輸送到自來(lái)水廠。上海市的原水廠多為增壓水泵，業(yè)務(wù)連續(xù)性要求較高，一旦中斷，將直接影響全市自來(lái)水廠供水。上海規(guī)模以上自來(lái)水廠幾十家，屬于關(guān)鍵信息基礎(chǔ)設(shè)施范疇，自動(dòng)化程度較高。給排水包括全市供水管網(wǎng)和河道閘門(mén)泵房的給排水管網(wǎng)控制系統(tǒng)組成。上海市的污水處理包括面向生活污水處理的各區(qū)污水處理廠和面向特定工業(yè)的專業(yè)污水處理廠，污水處理控制系統(tǒng)一旦發(fā)生事故，將對(duì)環(huán)境生態(tài)造成嚴(yán)重影響。

從總體看，上海的水務(wù)行業(yè)企業(yè)，因其處于上海這個(gè)超大城市，整體規(guī)模較大，基本都達(dá)到關(guān)鍵信息基礎(chǔ)設(shè)施確定原則中的影響10萬(wàn)人生活起居的生產(chǎn)業(yè)務(wù)系統(tǒng)要求。這些企業(yè)的控制系統(tǒng)自動(dòng)化程度高，業(yè)務(wù)連續(xù)性要求較強(qiáng)，一旦發(fā)生問(wèn)題，對(duì)上海市的水安全影響較大。

2.2? ?網(wǎng)絡(luò)安全現(xiàn)狀

經(jīng)過(guò)多年網(wǎng)絡(luò)安全建設(shè)，水務(wù)行業(yè)網(wǎng)絡(luò)安全保障能力得到明顯提升，同時(shí)仍存在一些問(wèn)題。

（1）網(wǎng)絡(luò)安全管理體系不完善

涉水企業(yè)常年重視生產(chǎn)安全，對(duì)工業(yè)控制系統(tǒng)安全意識(shí)不強(qiáng)，認(rèn)識(shí)薄弱，特別在工業(yè)控制系統(tǒng)領(lǐng)域，未形成責(zé)任落實(shí)體系和有效的工作體系。

（2）國(guó)外產(chǎn)品普遍存在0day漏洞

水務(wù)行業(yè)早期控制系統(tǒng)主要采用西門(mén)子等國(guó)外控制系統(tǒng)和控制軟件，操作系統(tǒng)版本和控制系統(tǒng)常年不更新補(bǔ)丁，導(dǎo)致0day漏洞普遍存在，較易造成攻擊。

（3）安全技術(shù)防護(hù)薄弱

部分工控系統(tǒng)未按照等級(jí)保護(hù)要求開(kāi)展網(wǎng)絡(luò)安全防護(hù)工作，控制系統(tǒng)網(wǎng)絡(luò)邊界缺乏防護(hù)，網(wǎng)絡(luò)內(nèi)部缺乏審計(jì)，主機(jī)系統(tǒng)無(wú)防護(hù)，黑客一旦進(jìn)入控制網(wǎng)絡(luò)，基本暢行無(wú)阻。

（4）網(wǎng)絡(luò)安全人才缺失

長(zhǎng)期以來(lái)，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位沒(méi)有足夠重視網(wǎng)絡(luò)安全工作，在網(wǎng)絡(luò)安全工作落實(shí)上也沒(méi)有配備專業(yè)網(wǎng)絡(luò)安全人員，多數(shù)由其他工作崗位人員兼任，影響網(wǎng)絡(luò)安全工作實(shí)效。

總體來(lái)講，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全管理工作成效逐年提升，但是離既定的目標(biāo)和要求還有很大的差距，仍需要加倍努力。

3? ? ? 網(wǎng)絡(luò)安全需求分析

3.1? ?合規(guī)要求

根據(jù)國(guó)家法律法規(guī)和行業(yè)標(biāo)準(zhǔn)，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全管理應(yīng)符合下列要求。

（1）網(wǎng)絡(luò)安全法要求

網(wǎng)絡(luò)安全法用了一整個(gè)章節(jié)的篇幅，描述了關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者的法律義務(wù)。要求關(guān)鍵信息基礎(chǔ)設(shè)施每年開(kāi)展風(fēng)險(xiǎn)評(píng)估工作;按照等級(jí)保護(hù)要求，進(jìn)行重點(diǎn)防護(hù);并在網(wǎng)信辦指導(dǎo)下，開(kāi)展應(yīng)急響應(yīng)相關(guān)工作。

（2）等級(jí)保護(hù)要求

關(guān)鍵信息基礎(chǔ)設(shè)施至少應(yīng)達(dá)到等級(jí)保護(hù)三級(jí)以上要求。上海的水務(wù)行業(yè)企業(yè)因其規(guī)模多數(shù)屬于關(guān)鍵信息基礎(chǔ)設(shè)施，應(yīng)該按照等級(jí)保護(hù)要求實(shí)施防護(hù)措施。技術(shù)上建立物理和環(huán)境、網(wǎng)絡(luò)和通信、設(shè)備和計(jì)算、應(yīng)用和數(shù)據(jù)方面的安全技術(shù)體系，管理上應(yīng)建立安全策略和管理制度、安全管理機(jī)構(gòu)和人員、安全建設(shè)管理、安全運(yùn)維管理等管理體系。應(yīng)主動(dòng)完成等保備案工作，按照等級(jí)保護(hù)要求，每年開(kāi)展測(cè)評(píng)工作，建立長(zhǎng)效的等保工作機(jī)制。

（3）工業(yè)控制系統(tǒng)信息安全應(yīng)用要求

在具體工作開(kāi)展過(guò)程中，應(yīng)參考工信部頒布的《工業(yè)控制系統(tǒng)信息安全應(yīng)用指南》、《工業(yè)控制系統(tǒng)信息安全防護(hù)能力測(cè)評(píng)標(biāo)準(zhǔn)》等工控實(shí)踐性較強(qiáng)的標(biāo)準(zhǔn)。認(rèn)真分析自身的信息安全特點(diǎn)，面向自身實(shí)際情況，建立合理調(diào)整和裁剪的安全基線，并圍繞基線，開(kāi)展有工控特色的白名單基線管控體系建設(shè)。

（4）網(wǎng)絡(luò)安全審查要求

積極學(xué)習(xí)關(guān)鍵信息基礎(chǔ)設(shè)施的安全管理體系，慎選工控信息安全產(chǎn)品和服務(wù)提供商，增強(qiáng)網(wǎng)絡(luò)安全管控體系的自主可控程度。

從合規(guī)方面看，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全管理應(yīng)遵循在網(wǎng)絡(luò)安全法指導(dǎo)下公安部的等級(jí)保護(hù)標(biāo)準(zhǔn)體系、工信部主導(dǎo)的重要工業(yè)控制系統(tǒng)信息安全保障能力和應(yīng)用要求、網(wǎng)信辦主導(dǎo)的關(guān)鍵信息基礎(chǔ)設(shè)施審查體系等三大體系的合規(guī)要求。

3.2? ?網(wǎng)絡(luò)安全保障需求

從網(wǎng)絡(luò)安全保障能力來(lái)看，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位應(yīng)積極開(kāi)展有針對(duì)性的、具體的風(fēng)險(xiǎn)評(píng)估工作。從原理上，遵從《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（GB/T 20984-2015），對(duì)具體的應(yīng)用系統(tǒng)，分析威脅、資產(chǎn)、脆弱性和已采取的安全措施，最后形成剩余風(fēng)險(xiǎn)清單，并制定風(fēng)險(xiǎn)處理策略。從實(shí)踐上，要針對(duì)具體的安全事件，如勒索病毒、黑客入侵、內(nèi)部人員誤操作等，在系統(tǒng)中進(jìn)行推演，從而真正發(fā)現(xiàn)威脅利用脆弱性對(duì)資產(chǎn)的攻擊路徑和已采取的安全措施對(duì)攻擊路徑的阻斷效果。通過(guò)這個(gè)方法也可以發(fā)現(xiàn)主要問(wèn)題設(shè)備和所有路徑中的關(guān)鍵節(jié)點(diǎn)，并以關(guān)鍵節(jié)點(diǎn)為要點(diǎn)，補(bǔ)強(qiáng)網(wǎng)絡(luò)安全防護(hù)措施。

從網(wǎng)絡(luò)安全能力建設(shè)來(lái)看，可參照《信息安全技術(shù) 信息系統(tǒng)安全保障評(píng)估框架》（GB/T 20274）系列標(biāo)準(zhǔn)，建立控制系統(tǒng)的保護(hù)輪廓，即面向控制系統(tǒng)的工作目標(biāo)、安全假設(shè)、工作環(huán)境，用形式化語(yǔ)言表述系統(tǒng)的信息安全定義，并根據(jù)保護(hù)輪廓選擇系統(tǒng)應(yīng)有的安全功能組件和安全保障組件。針對(duì)系統(tǒng)，建設(shè)網(wǎng)絡(luò)安全技術(shù)保障、管理保障和工程保障體系。

4? ? ? 網(wǎng)絡(luò)安全工作思路

為保障上海這個(gè)國(guó)際性超大城市的用水安全，上海水務(wù)行業(yè)需進(jìn)一步加快工控系統(tǒng)網(wǎng)絡(luò)安全工作，主要采取以下措施。

（1）管理體系建設(shè)

關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位應(yīng)首先樹(shù)立正確的工控網(wǎng)絡(luò)安全觀，將網(wǎng)絡(luò)安全提升到企業(yè)戰(zhàn)略高度，把網(wǎng)絡(luò)安全與生產(chǎn)安全相融合，建立健全可落實(shí)責(zé)任的管理體系。按照《網(wǎng)絡(luò)安全法》、《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》、《信息安全技術(shù) 工業(yè)控制系統(tǒng)安全管理基本要求》（GB/T 36323-2018）等法規(guī)標(biāo)準(zhǔn)，結(jié)合本單位實(shí)際情況，制定符合各方要求且操作性強(qiáng)的管理制度，建立工控網(wǎng)絡(luò)安全制度體系，規(guī)范工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全管理。

作為行業(yè)主管部門(mén)，可以通過(guò)試點(diǎn)工程推進(jìn)管理制度建設(shè)。在梳理國(guó)內(nèi)外法規(guī)標(biāo)準(zhǔn)的基礎(chǔ)上，選取具有代表性的關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位進(jìn)行試點(diǎn)，形成行業(yè)規(guī)范案例，為其他同類(lèi)型運(yùn)行單位提供可借鑒的經(jīng)驗(yàn)。

（2）技術(shù)防護(hù)體系建設(shè)

關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位應(yīng)根據(jù)工控系統(tǒng)實(shí)際情況劃分物理區(qū)域、網(wǎng)絡(luò)網(wǎng)段和應(yīng)用權(quán)限三個(gè)維度的安全區(qū)域，按照“安全基線”防護(hù)理念開(kāi)展技術(shù)防護(hù)體系建設(shè)，主要內(nèi)容包括網(wǎng)絡(luò)基線（如點(diǎn)對(duì)點(diǎn)通信模型、點(diǎn)對(duì)點(diǎn)通信協(xié)議模型、通信協(xié)議的指令模型、指令的參數(shù)序列等）、主機(jī)基線（如主機(jī)可運(yùn)行進(jìn)程清單、可安裝硬件、可開(kāi)放端口、可運(yùn)行服務(wù)等）、應(yīng)用基線（如應(yīng)用自身完整性、功能訪問(wèn)最小授權(quán)等）、數(shù)據(jù)基線（如數(shù)據(jù)訪問(wèn)最小授權(quán)、數(shù)據(jù)變更規(guī)則等）。針對(duì)上述基線，采用工業(yè)防火墻、工控網(wǎng)絡(luò)監(jiān)控審計(jì)系統(tǒng)、工控主機(jī)衛(wèi)士等安全產(chǎn)品，建立基線管控體系，形成工控安全管理中心，一旦發(fā)現(xiàn)基線以外的行為，立即采取應(yīng)急措施，并恢復(fù)基線策略。

（3）監(jiān)督檢查

近幾年，關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查已經(jīng)逐步形成了常態(tài)化和定期化，檢查工作也從初期的系統(tǒng)信息內(nèi)容梳理提升為風(fēng)險(xiǎn)操作檢查，但檢查內(nèi)容正在逐步提高。關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位要在日常管理的基礎(chǔ)上定期開(kāi)展自查，自查內(nèi)容包括網(wǎng)絡(luò)安全日常制度執(zhí)行情況和技術(shù)漏洞與風(fēng)險(xiǎn)隱患，并及時(shí)落實(shí)完善整改工作。作為行業(yè)監(jiān)管部門(mén)，應(yīng)當(dāng)組建檢查隊(duì)伍，制定常態(tài)化的監(jiān)督檢查機(jī)制。通過(guò)監(jiān)督檢查，一方面將最新的法律法規(guī)、政策要求和標(biāo)準(zhǔn)文件進(jìn)行宣貫和落實(shí)，另一方面也反復(fù)提醒關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位的網(wǎng)絡(luò)安全意識(shí)，形成網(wǎng)絡(luò)安全警鐘長(zhǎng)鳴，安全工作常抓常新的工作態(tài)勢(shì)。

（4）風(fēng)險(xiǎn)評(píng)估和應(yīng)急響應(yīng)

風(fēng)險(xiǎn)評(píng)估是網(wǎng)絡(luò)安全工作的重要環(huán)節(jié)，通過(guò)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的資產(chǎn)、威脅、脆弱性和已采取的安全措施的評(píng)估分析，形成關(guān)鍵信息基礎(chǔ)設(shè)施風(fēng)險(xiǎn)清單，運(yùn)營(yíng)單位應(yīng)根據(jù)清單制定網(wǎng)絡(luò)安全完善措施。對(duì)于短時(shí)間內(nèi)無(wú)法解決的風(fēng)險(xiǎn)，應(yīng)該建立關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全應(yīng)急預(yù)案。在預(yù)案中要充分考慮應(yīng)急處置措施、證據(jù)保留和分級(jí)通報(bào)機(jī)制。應(yīng)急預(yù)案形成后，應(yīng)開(kāi)展定期的演練，并不斷完善。風(fēng)險(xiǎn)評(píng)估和應(yīng)急預(yù)案是相輔相成的。這兩項(xiàng)工作都需要運(yùn)營(yíng)單位長(zhǎng)期定期開(kāi)展。通過(guò)定期風(fēng)險(xiǎn)評(píng)估，不斷結(jié)合當(dāng)前政策要求和技術(shù)發(fā)展，調(diào)整對(duì)威脅和脆弱性的認(rèn)識(shí)，不斷更新風(fēng)險(xiǎn)清單，并根據(jù)風(fēng)險(xiǎn)清單，編制應(yīng)急預(yù)案，通過(guò)演練使應(yīng)急響應(yīng)團(tuán)隊(duì)招之能戰(zhàn)，戰(zhàn)之能勝。

5? ? ? 結(jié)? ? 語(yǔ)

隨著網(wǎng)絡(luò)安全相關(guān)法律法規(guī)、標(biāo)準(zhǔn)規(guī)范等不斷頒布和完善，水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)的要求越來(lái)越高，新技術(shù)應(yīng)用也將帶來(lái)更多未知風(fēng)險(xiǎn)，因此網(wǎng)絡(luò)安全保障將是一項(xiàng)長(zhǎng)期的、持續(xù)的、動(dòng)態(tài)的工作，需要運(yùn)營(yíng)單位和監(jiān)管部門(mén)建立長(zhǎng)效機(jī)制，共同促進(jìn)水務(wù)關(guān)鍵信息基礎(chǔ)設(shè)施安全、穩(wěn)定運(yùn)行，更好支撐水務(wù)業(yè)務(wù)健康發(fā)展。

主要參考文獻(xiàn)

[1]工業(yè)和信息化部.工業(yè)控制系統(tǒng)信息安全防護(hù)指南[S].2016.

[2]國(guó)家標(biāo)準(zhǔn)化管理委員會(huì).GB/T 22239-2008? 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S].2008.

[3]王惠蒞.切實(shí)加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù) [J].信息技術(shù)與標(biāo)準(zhǔn)化，2018（6）.

[4]國(guó)際標(biāo)準(zhǔn)化組織.ISO/IEC 17799：2005? 信息安全管理實(shí)施指南[S].2005.