工業控制系統密碼統一服務平臺建設

◎北京海泰方圓科技股份有限公司 王少華

工業控制系統所面臨的信息安全和攻擊威脅問題日益嚴重。密碼作為保護網絡與信息安全的重要手段，是解決數據安全的核心手段。為此，本文分析了當前工業控制系統的安全現狀，并提出了工控系統密碼統一服務平臺建設的主要內容、系統架構、特點及優勢等，以進一步提升工業控制系統在數據安全防護方面的能力。

隨著計算機技術和網絡技術的發展，特別是互聯網及社會公共網絡平臺的快速發展，在“兩化”融合的行業發展需求下，為了提高生產運行、生產管理效率，國內眾多行業大力推進工業控制系統自身的集成化、集中化管理。系統的互聯互通性逐步加強，與辦公網、互聯網也存在千絲萬縷的聯系。但是工業控制系統建設時更多的是考慮各自系統的可用性，并沒有考慮系統之間互聯互通的安全風險和防護建設。

工業控制系統脆弱的安全狀況以及面臨的日益嚴重的攻擊威脅，已經引起了國家的高度重視，甚至提升到國家安全戰略的高度，并在政策、標準、技術、方案等方面展開了積極應對。在明確重點領域工業控制系統信息安全管理要求的同時，國家主管部門在政策和科研層面上也在積極部署工業控制系統的安全保障工作。目前，絕大多數先進制造企業已經提升了在工業控制網絡及物理方面的安全級別，但在工控數據保護方面卻面臨著嚴重的安全隱患。

密碼作為保護網絡與信息安全的重要手段，是解決數據安全的核心手段。2015年，中共中央辦公廳、國務院辦公廳聯合下發了《關于加強重要領域國產密碼應用的指導意見》，明確提出使用密碼手段來加強基礎信息網絡、重要信息系統、重要工業控制系統以及面向社會服務的政務信息系統的安全。

為了進一步提升工業控制系統在數據安全防護方面的能力，需要結合企業的實際情況以及國家有關的規章制度，盡快完成企業工控系統密碼統一服務平臺的建設工作。

一、工業控制系統安全現狀分析

1、缺少信息安全風險監控技術手段，不能及時發現信息安全問題，出現問題后靠人員經驗排查。在工控網絡上普遍缺少信息安全監控機制，不能及時了解網絡狀況，一旦發生問題不能及時確定問題所在，及時排查到故障點，排查過程耗費大量人力成本、時間成本。

2、缺少對于工控系統中不同類型數據的加密防護。目前，絕大多數的先進制造企業內的工控系統，在進行數據傳輸和存儲的過程中都是明文數據，一旦數據被竊取，將對企業甚至是國家造成不可估量的損失。

3、第三方人員運維生產系統無審計措施。出現問題后無法及時準確定位問題原因、影響范圍及追究責任。

4、工控系統中使用的文件沒有及時得到安全清除，存在泄漏風險。

二、工業控制系統密碼統一服務平臺建設內容

密碼統一服務平臺由3個后臺服務系統組成，分別為：密鑰管理系統、數據加解密服務系統、數據可信驗證服務系統。該平臺前端業務系統為：日志審計系統和數據安全清除系統。保障了工控業務系統中數據流轉時數據的真實性、完整性。如：MES系統數據下發到各個工廠或車間，會通過網間檢測、殺毒、單向導入等系統環節。

（一）前端業務系統建設

1、日志審計系統

日志審計系統對數據在各環節流轉時所產生的全部日志信息抓取、匯聚，一旦出現問題通過日志審計系統可以快速定位問題所在，在MES系統數據導出時，密碼統一服務平臺會對數據進行數字簽名，當數據流轉到單項導入系統時平臺會對數據進行驗簽，保障數據未被篡改，驗簽通過后數據會流轉向各個工廠或車間，實現對MES數據的完整性、真實性保障。

2、數據安全清除系統

數據安全清除系統，為企業內部工業控制系統中使用的文件提供安全清除服務，可以通過設置定期進行清除，也可以根據需要手動進行清除。

當工控業務系統中產生文件同時，數據加解密服務系統會針對該文件采用“一文一密”方式進行加密，在系統內存儲、離線利用時該文件以密文形式存在，當該文件在業務系統中擦除時，統一密碼服務平臺會將該文件對應的密鑰刪除，從而保障文件無法再次利用。即便該文件已被下載到本地也將無法打開。

（二）后臺服務系統建設

1、密鑰管理系統

建設密鑰管理系統，提供密鑰的統一生成、分發、查詢、更新、恢復和銷毀。利用數字信封技術，對密鑰進行加密封裝，增強系統安全性，定義應用標識體系，分別建立密鑰與應用系統、系統不同模塊之間的對應關系，通過以上技術手段和方法，建立自主、可靠、安全的密鑰管理系統。

2、數據加解密服務系統

通過數據加解密服務系統與工業控制系統的對接，實現敏感工業數據在傳輸和存儲過程中的加密處理。

應用系統在調用數據加解密服務系統的服務接口前，將在系統中進行初始化注冊，由數據加解密服務系統根據應用系統和系統模塊信息生成對應的應用標識，每個應用標識對應唯一且隨機生成的對稱密鑰和非對稱密鑰。

3、數據可信驗證服務系統

建設數據可信驗證服務系統，為內部工業控制系統中的數據提供真實性驗證途徑。系統負責數據憑證的生成、激活、利用以及注銷等全生命周期的規范管理，并且保障憑證自身的可靠性、權威性。數據可信驗證服務系統將以“接口”的方式為工業控制系統提供真實性驗證服務支撐。

三、系統總體架構

基礎設施層包括：服務器、網絡設備、傳統安全設備、密碼安全設備、數據庫系統、操作系統等支撐運行環境的基礎軟硬件。

網絡層：平臺上的絕大多數子系統都將集中部署在工業控制網絡。

應用支撐層：主要是以滿足本項目中工業控制系統安全支撐平臺中各子系統功能實現為目標的支撐類工具。包括基礎信息配置、用戶及組織架構管理、接口管理等。

應用層：密碼統一服務平臺下屬的多個系統，包括密鑰管理系統、數據加解密服務系統、數據可信驗證服務系統、日志審計系統和數據安全清除系統。

工業控制系統密碼統一服務平臺總體架構

四、平臺特點及優勢

通過構建密碼統一服務平臺，為企業內部工業控制系統提供統一的數據安全支撐服務，進一步提升企業內部的數據安全級別。

1、密碼統一服務平臺在不改變現有系統的業務場景及業務流程情況下，為工控系統提供安全支撐；

2、密碼統一服務平臺全面采用國產密碼算法（SM2/SM3/SM4），符合相關政策標準；

3、使用密碼技術強化工控系統身份驗證、訪問控制，提升系統安全；

4、使用密碼技術保證數據在各環境流轉中不被篡改，保障文件的真實性、有效性、可用性、安全性；

5、密碼統一服務平臺為業務系統提供數據加解密服務，數據生成時相應生成一個唯一的密鑰，防止數據遺失所造成的泄密。

五、價值及收益

1、基于國家政策，實現智慧制造與安全制造創新機制

項目落實國家密碼領域相關政策，借助國產密碼技術來保障國家重要工業控制系統的安全。切實加強工業控制系統信息安全，實現工業安全生產運行，保障國家經濟安全和人民生命財產安全，形成智能制造與安全制造相互融合的創新機制。

2、基于國產密碼算法支撐，實現工業控制系統的安全生產模式

基于國產密碼算法的安全支撐，采用數據加解密、數據可信驗證服務等技術，實現工控業務系統安全登錄、訪問控制以及系統內數據安全、數據傳輸、數據存儲等環節數據的機密性、完整性和可用性等安全屬性的保障，形成一個高度靈活、個性化、數字化的產品與服務的生產模式。

3、基于安全加固手段，實現安全生產模式的標準化、規范化

密碼技術作為基礎防護手段結合企業自身特點，制定了一些數據安全、管理等方面的制度及標準規范。通過探索解決企業工控系統密碼統一服務平臺的機制和模式，促進該領域的制度建設，為將來平臺的標準化上線使用奠定堅實的基礎。