推進商用密碼在工業信息安全領域應用“正當時”

趙一凡 黃力冶

浙江省電檢院大力推進商用密碼在工業領域的應用，為工業領域企業提供優質可靠的建設咨詢、測評指導服務，全面夯實全省乃至全國關鍵信息基礎設施的密碼底座

商用密碼應用安全性評估，具體是指對采用商用密碼技術、產品和服務集成建設的網絡和信息系統密碼應用的合規性、正確性、有效性進行評估。密碼是國之重器，是保障網絡安全的核心技術和基礎支撐，在網絡安全防護中具有不可替代的重要作用。2019年《中華人民共和國密碼法》（以下簡稱《密碼法》）的出臺，使商用密碼的管理和使用在法律條件上有了較大的改變，對提升工業控制系統及大量使用開源技術涉及建設的工業互聯網平臺的本質安全具有重大的意義。《密碼法》頒布后，國家發展改革委、國家密碼管理局、工業和信息化部等國家有關部門啟動實施了多個密碼應用專項，有效推動了商用密碼在工業控制系統、工業互聯網平臺等應用。

夯實基礎，做好業務支撐工作

浙江省電子信息產品檢驗研究院（以下簡稱“省電檢院”）是浙江省經濟和信息化廳（以下簡稱“省經信廳”）下屬的事業單位，下設信息安全測評中心專業從事信息安全領域相關第三方測評工作，包括關鍵信息基礎設施檢查、信息系統網絡安全等級保護測評、重要信息系統驗收測評、工控系統和工業互聯網安全風險評估等工作。具有國家信息系統安全評測工程師、等級保護測評師，國家注冊信息安全工程師（CISP），工業互聯網安全評估師（CIISA）、網絡工程師（CCNP）等各類認證技術人員。

在省經信廳的指導下，省電檢院組織開展多項工業控制領域相關工作。一是實施完成工信部2019工業互聯網創新發展工程——省級工業互聯網安全態勢感知平臺，構建“省級—市級—縣級—企業級”四級聯動機制，實現國家級、省級、企業級安全態勢的聯動、共享和應急響應；二是自2017年起，連續六年面向全省開展工控安全大檢查，每年檢查企業超500家，覆蓋11個地市，全面提升了工業互聯網平臺、重點工業企業的安全防護能力；三是組織開展工信部工業領域數據安全管理試點工作，組織14家試點企業完成重要數據核心數據目錄梳理，指導開展數據安全防護方案制定和評估。在支撐工作中，積累了豐富的網絡信息安全評測方面經驗。

率先布局，做好“密評”文章

2021年，省電檢院獲得密評試點機構資格。同年8月，浙江省密碼管理局（下簡稱“省密碼管理局”）“2021年度商用密碼應用安全性評估項目啟動會議”在省電檢院召開。以此為契機，省電檢院圍繞提升關鍵信息基礎設施的安全防護能力，緊扣工業控制系統的特殊場景，積極開展密碼安全保障體系研究。

工業控制系統（ICS）包括數據采集與監視控制系統（SCADA）、集散控制系統（DCS）、可編程邏輯控制器（PLC）等，工控領域從上到下可分為企業資源層、生產管理層、過程監控層、現場控制層和現場設備層5個層級，不同層級的實時性要求不同。企業資源層主要包括ERP系統功能單元，用于為企業決策層員工提供決策運行手段；生產管理層主要包括MES系統功能單元，用于對生產過程進行管理，如制造數據管理、生產調度管理等；過程監控層主要包括監控服務器與HMI 系統功能單元，用于對生產過程數據進行采集與監控，并利用HMI系統實現人機交互；現場控制層主要包括各類控制器單元，如PLC、DCS控制單元等，用于對各執行設備進行控制；現場設備層主要包括各類過程傳感設備與執行設備單元，用于對生產過程進行感知與操作。

典型的工業控制系統商用密碼改造內容包括五方面的內容，具體圖1所示。

密鑰管理安全設計。面向工業控制系統密鑰管理體系主要指工業控制信息系統應用層密鑰管理。該體系需結合目標系統的密碼服務支撐（密碼設備）、工業現場設備密碼嵌入式模塊等部署情況，構建滿足工業控制系統密鑰體系，并提供密鑰從產生到銷毀的全生命周期中的各個環節安全性保障，確保密鑰（除公鑰外）不被非授權的訪問、使用、泄露、修改和替換，保證公鑰不被非授權的修改和替換。

密碼設備/基礎設施。根據工業控制系統應用特點選擇適合的密碼設備/密碼基礎設施。相關的密碼設備/密碼基礎設施需要滿足相關的安全要求，同時需要滿足應用環境要求。安全要求是指采用商用密碼認證機構認證合格的密碼產品，以及符合法律法規的相關要求并獲得國家密碼管理主管部門許可的密碼服務。應用環境要求是指工作溫度、工作時間、抗震動、抗腐蝕性等環境參數要求。密碼功能包括密碼算法服務、簽名驗簽服務、數字證書服務、安全傳輸服務等。工業控制系統可根據實際建設需求，自建或接入已有的密碼服務支撐系統。

工業密碼支撐中間件。工業密碼支撐中間件針對目標工業控制信息系統構建密碼功能、密碼計算等密碼服務的提供模式，同工業控制信息系統的集成與調用方式等，構建的思路包括以下兩種：一是一體化密碼服務平臺模式，即將典型密碼功能和通用密碼功能均集成在統一工業密碼服務支撐中間件中，此類中間件稱為一體化工業密碼服務支撐平臺；二是獨立功能支撐模式，即將工業密碼服務支撐設計集成在特定硬件設備中，既有簽名驗簽服務器、加密解密服務器等提供通用密碼功能的設備，又有身份鑒別服務器、單點登錄服務器等提供典型密碼功能的設備。

密碼應用改造模塊。密碼應用改造模塊采用密碼服務適配組件接入工業控制系統，實現密碼應用安全改造工作。相關適配插件可以面向工業化管理后臺，適配相關工業軟件，也需要適配現場設備，包括數據采集與監視控制系統（SCADA）、集散控制系統（DCS）、可編程邏輯控制器（PLC）等。相關適配插件通過調用工業密碼支撐中間件獲取基礎密碼服務功能，有效支撐面向工業控制系統密碼應用安全性保障能力。實現面向工業控制系統應用場景的密碼服務適配層的各類插件，顯著減少業務層應用代碼改造量，有效提高工程實施的效率。

嵌入式密碼模塊。由于工業控制環境中獨特應用場景，在現場生產環境中具有大量的專業工業設備如數據采集與監視控制系統（SCADA）、集散控制系統（DCS）、可編程邏輯控制器（PLC）等。僅僅通過密碼應用改造模塊無法覆蓋所有安全改造場景。針對特點的安全風險以及工業控制環境具體設備應用場景，需要定制化開發嵌入式密碼模塊。該模塊定制接入特定設備中，可以是實現密碼運算功能的密碼模塊，或是具有密碼算法、可實現安全功能的安全芯片。

接下來，省電檢院將在省經信廳、省密碼管理局的指導下，積極開展密碼建設咨詢、密碼測評工作，同時持續開展密碼安全教育宣傳活動，普及密碼知識。大力推進商用密碼在工業領域的應用，為工業領域企業提供優質可靠的建設咨詢、測評指導服務，全面夯實全省乃至全國關鍵信息基礎設施的密碼底座。

（作者單位：浙江省電子信息產品檢驗研究院信息安全測評中心）