2011年9月，工信部印發(fā)《關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知》工信部協(xié) [2011] 451號文(簡稱451號文)，掀開了工業(yè)控制系統(tǒng)安全的“面紗”，通過規(guī)范管理等要求，使各工業(yè)企業(yè)單位，理解工業(yè)控制系統(tǒng)安全的重要性。時隔5年，2016年10月工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》(簡稱指南)，從11項30個要點詳細(xì)明確安全防護(hù)工作的指導(dǎo)方針。5年的時間里，國內(nèi)涉及工業(yè)控制系統(tǒng)信息安全領(lǐng)域的公司，如雨后春筍般發(fā)芽、成長，匡恩網(wǎng)絡(luò)作為工業(yè)控制系統(tǒng)信息安全領(lǐng)域的領(lǐng)軍企業(yè)，通過針對這兩份文件的細(xì)致分析，希望能為工業(yè)控制系統(tǒng)信息安全的從業(yè)者提供參考。

1、 背景不同

2016年10月，工信部印發(fā)了《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，為工業(yè)企業(yè)制定工控安全防護(hù)實施方案提供指導(dǎo)方向。該指南的制訂，是在國內(nèi)深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的大背景下，國內(nèi)工業(yè)控制系統(tǒng)信息安全問題突出的情況下，國內(nèi)工控安全多個標(biāo)準(zhǔn)發(fā)布，工控安全技術(shù)蓬勃發(fā)展的環(huán)境下，基于管理、深入技術(shù)、結(jié)合業(yè)務(wù)，以新高度為工業(yè)企業(yè)提供全面的工控安全建設(shè)指導(dǎo)。

回顧2010年震網(wǎng)事件剛剛爆發(fā)，引起了全世界范圍內(nèi)對工業(yè)控制系統(tǒng)信息安全的關(guān)注，但國內(nèi)對工業(yè)控制系統(tǒng)信息安全問題的重視程度不夠、管理制度缺失、相關(guān)標(biāo)準(zhǔn)規(guī)范不完整，因此工信部印發(fā)451號文，從管理要求和制度責(zé)任角度，為工業(yè)企業(yè)提供建議參考。

在國內(nèi)深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的大背景下，該《指南》的發(fā)布不再是“就安全，說安全”，而是使工業(yè)控制系統(tǒng)安全作為業(yè)務(wù)發(fā)展的重要組成部分，安全與業(yè)務(wù)的結(jié)合不再是分離，而是融合。

2、 對象不同

由于國內(nèi)工業(yè)控制系統(tǒng)信息安全背景的變化，該《指南》的發(fā)布對象與451號文比較，所面向的目標(biāo)更精準(zhǔn)，從各省、自治區(qū)、直轄市人民政府，國務(wù)院有關(guān)部門明確到地方工業(yè)和信息化主管部門，從大型國有企業(yè)擴(kuò)展到所有工業(yè)控制系統(tǒng)的應(yīng)用企業(yè)，并且提到從事工業(yè)控制系統(tǒng)規(guī)劃、設(shè)計、建設(shè)、運維、評估的企事業(yè)單位也適用該《指南》，從主管單位、到工業(yè)企業(yè)、到服務(wù)組織都需要以該《指南》作為指導(dǎo)。

3、 目的不同

印發(fā)《指南》的通知中明確了工業(yè)和信息化部指導(dǎo)和管理全國工業(yè)企業(yè)工控安全防護(hù)和保障工作的職責(zé)，以管理和技術(shù)防護(hù)指南的形式，要求各地工業(yè)和信息主管部門指導(dǎo)工業(yè)企業(yè)制定工控安全防護(hù)實施方案，推動企業(yè)分期分批達(dá)到該指南相關(guān)要求，從而提升國內(nèi)工控安全整體防護(hù)水平。而451文在當(dāng)時的背景下，以通知的形式呼吁政府和大型國企要高度重視，增強風(fēng)險意識、責(zé)任意識和緊迫感，切實加強工業(yè)控制系統(tǒng)信息安全管理。

4、 內(nèi)容不同

在具體的條款內(nèi)容上，《指南》與451號文比較，在技術(shù)的深入性、業(yè)務(wù)的兼容性方面更全面、更具體、更可操作。

《指南》與451號文在管理和技術(shù)內(nèi)容方面的對比

指南451號文

安全軟件選擇與管理設(shè)備選擇與升級管理要求

配置和補丁管理設(shè)備選擇與升級管理要求

邊界安全防護(hù)連接管理要求

組網(wǎng)管理要求

物理和環(huán)境安全防護(hù)

身份認(rèn)證配置管理要求

遠(yuǎn)程訪問安全

安全監(jiān)測和應(yīng)急預(yù)案演練應(yīng)急管理要求

資產(chǎn)安全

數(shù)據(jù)安全數(shù)據(jù)管理要求

供應(yīng)鏈管理設(shè)備選擇與升級管理要求

落實責(zé)任進(jìn)一步加強工業(yè)控制系統(tǒng)信息安全工作的組織領(lǐng)導(dǎo)

工業(yè)控制系統(tǒng)信息安全防護(hù)指南意義重大，它對工業(yè)控制系統(tǒng)應(yīng)用企業(yè)以及從事工業(yè)控制系統(tǒng)工作的企業(yè)起到了很好的指導(dǎo)作用，解決了大家面臨的很多困惑和難題，并提供了很好的針對工業(yè)控制系統(tǒng)面臨的網(wǎng)絡(luò)安全問題的解決思路和落地技術(shù)手段，主要體現(xiàn)在：

(1)管理要求的精準(zhǔn)化

《指南》中涉及管理的內(nèi)容包括安全軟件管理、配置和補丁管理、身份認(rèn)證管理、供應(yīng)鏈管理等具體的管理要求。從工業(yè)企業(yè)面臨的最急迫的管理問題出發(fā)，并結(jié)合工業(yè)企業(yè)的信息安全管理現(xiàn)狀，提出精準(zhǔn)的管理指導(dǎo)方針。

(2)技術(shù)要求的全面化

《指南》中對技術(shù)要求的闡述非常全面，包含了工業(yè)控制系統(tǒng)信息安全防護(hù)的方方面面，包括結(jié)構(gòu)安全方面的邊界安全防護(hù)、遠(yuǎn)程訪問安全;行為安全方面的安全監(jiān)測和應(yīng)急預(yù)案演練;本體安全方面的安全軟件選擇與管理、物理和環(huán)境安全防護(hù)、身份認(rèn)證、資產(chǎn)安全、數(shù)據(jù)安全;安全持續(xù)性方面的配置和補丁管理、供應(yīng)鏈管理、落實責(zé)任。

(3)技術(shù)實現(xiàn)的具體化

《指南》中對技術(shù)要求的闡述非常具體，不是抽象的描述技術(shù)原理，而是具體的防護(hù)技術(shù)措施，讓工業(yè)企業(yè)能夠直觀明了的理解技術(shù)措施的具體操作和實施過程。例如，第七條第一款“在工業(yè)控制網(wǎng)絡(luò)部署網(wǎng)絡(luò)安全監(jiān)測設(shè)備，及時發(fā)現(xiàn)、報告并處理網(wǎng)絡(luò)攻擊或異常行為”;第七條第二款“在重要工業(yè)控制設(shè)備前端部署具備工業(yè)協(xié)議深度包檢測功能的防護(hù)設(shè)備，限制違法操作”。

(4)業(yè)務(wù)兼容的可操作性

《指南》并不是完全以信息安全的角度進(jìn)行闡述，而是結(jié)合工業(yè)企業(yè)的業(yè)務(wù)現(xiàn)場環(huán)境，讓信息安全的防護(hù)措施能夠真正融入到工業(yè)現(xiàn)場的業(yè)務(wù)場景中，為業(yè)務(wù)系統(tǒng)的安全穩(wěn)定運行保駕護(hù)航。例如，第一條第一款“在工業(yè)主機上采用經(jīng)過離線環(huán)境中充分驗證測試的防病毒軟件或應(yīng)用程序白名單軟件，只允許經(jīng)過工業(yè)企業(yè)自身授權(quán)和安全評估的軟件運行”提到的離線環(huán)境和充分測試，這是工業(yè)企業(yè)對軟件系統(tǒng)的上線要求;第六條第三款“確需遠(yuǎn)程維護(hù)的，采用虛擬專用網(wǎng)絡(luò)(VPN)等遠(yuǎn)程接入方式進(jìn)行”考慮了遠(yuǎn)程運維在業(yè)務(wù)系統(tǒng)中普遍存在的現(xiàn)實情況提出的防護(hù)指導(dǎo)技術(shù)要求。

針對工業(yè)控制系統(tǒng)網(wǎng)絡(luò)攻擊的手段不斷更新和變化，工業(yè)控制系統(tǒng)信息安全的防御技術(shù)也在不斷的提高和改進(jìn)，工業(yè)控制系統(tǒng)信息安全的標(biāo)準(zhǔn)規(guī)范在不斷的演進(jìn)和發(fā)布，所以《指南》的印發(fā)，從全局考慮，以新的高度對工業(yè)企業(yè)的安全防護(hù)方案提出指導(dǎo)，將全面提升國內(nèi)工業(yè)控制系統(tǒng)信息安全的整體防護(hù)水平。