工业控制系统安全扩展要求-（二）安全通信网络

安全通信网络

控制点

1.

网络架构

根据工业控制系统分层分域的特点，应从网络架构上进行分层分域隔离。应根据隔离强度的不同，采取不同的安全隔离措施，保证工业控制系统通信网络架构的安全。

a)

安全要求：工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用单向的技术隔离手段。

要求解读：在工业控制系统中，现场设备层、现场控制层、过程监控层、生产管理层与生产过程是强相关的，而企业资源管理层等企业其他系统与生产过程是弱相关的，同时，企业其他系统可能与互联网相连。因此，应将工业控制系统与企业其他系统划分为两个区域，区域间应采用单向的技术隔离手段，保证数据流只能工业控制系统单向流向企业其他系统（即只读，不允许进行写操作）。

检查方法

1．核查工业控制系统和企业其他系统之间是否部署了单向隔离设备。

2．核查是否采用了有效的单向隔离策略来实施访问控制。

3．核查使用无线通信的工业控制系统边界是否采用了与企业其他系统隔离强度相同的措施。

期望结果

1．工业控制系统与企业其他系统之间部署了单隔离设备。

2．单向隔离设备设置了有效的隔离措施，保证数据只能从工业控制系统单向流向企业其他系统，且不存在多余的策略。

3．使用无线通信的工业控制系统边界采用了与企业其他系统隔离强度相同的措施。

b)

安全要求：工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段。

要求解读：应根据工业控制系统内部承载业务和网络架构的不同，合理地进行区域划分。通常将具有相同业务特点的工业控制系统划分为独立区域，将具有不同业务特点的工业控制系统划分为不同的安全域，在不同的安全域之间采用工业防火墙、虚拟局域网等技术手段进行隔离。

检查方法

1．核查工业控制系统内部是否根据业务特点划分了不同的安全域。

2．核查各安全域之间访问控制设备是否配置了有效的访问控制策略将各安全域隔离。

期望结果

1．工业控制系统内部根据业务特点划分了不同的安全域。

2．不同安全域之间的访问控制设备运行正常，且配置了有效的访问控制策略，没有无效的或多余的访问控制策略。

c)

安全要求：涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备组网，在物理层面上实现与其他数据网及外部公共信息网的安全隔离。

要求解读：涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备进行组网，禁止与其他数据网共用网络设备，在物理层面上实现与其他数据网及外部公共信息网的安全隔离，禁止生产网与其他网络直接通信。

检查方法

核查涉及实时控制和数据传输的工业控制系统是否在物理层面上独立组网。

期望结果

涉及实时控制和数据传输的工业控制系统使用了独立的网络设备组网，在物理上与其他数据网及外部公共信息网安全隔离、无连接。

 

控制点

2.

通信传输

为了防止控制指令或相关数据交换被窃取及被非授权访问和恶意控制，工业控制系统在广域网中进行控制指令或相关数据交换时应采用加密认证手段进行身份认证、访问控制和数据加密传输，保证工业控制系统控制指令或相关数据交换的通信传输安全。

 

a)

安全要求：在工业控制系统内使用广域网进行控制指令或相关数据交换的应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。

要求解读：SCADA、RTU等工业控制系统可能会使用广域网进行控制指令或相关数据交换。在控制指令或相关数据交换过程中，应采用加密认证手段实现身份认证、访问控制和数据加密传输，只有目标身份认证通过后才能进行数据交互。在数据交互过程中，需要进行访问控制，即对通信的五元组甚至控制指令进行管控，并在广域网传输过程中进行数据加密，防止非授权用户和恶意用户进入工业控制系统及控制指令或相关数据被窃取。

检查方法

核查工业控制系统中使用广域网传输的控制指令或相关数据是否已采用加密认证技术实现身份认证、访问控制和数据加密传输。

期望结果

工业控制系统中通过广域网传输的控制指令或相关数据已采用加密认证技术实现身份认证、访问控制和数据加密传输。