《烟草行业工业控制系统网络安全技术规范》.docVIP

PAGE \* MERGEFORMAT8 《烟草行业工业控制系统网络安全技术规范》 编制说明 1 工作简况 1.1 任务来源 本标准依据《国家烟草专卖局关于印发2015年度烟草行业标准制修订项目计划的通知》（国烟科〔2015〕133号）下达的任务编制,由龙岩烟草工业有限责任公司（以下简称“龙烟公司”）提出申请开展标准预研并开展标准编制工作，由全国烟草标准化技术委员会信息分技术委员会（TC 144/SC 7）归口技术审查。 1.2 项目承担单位、协作单位及主要分工 本项目在国家局烟草经济信息中心的指导下，由龙岩烟草工业有限责任公司、福建中烟工业有限责任公司（以下简称“福建中烟”）、川渝中烟工业有限责任公司（以下简称“川渝中烟”）、浙江中烟工业有限责任公司（以下简称“浙江中烟”）、上海烟草集团有限责任公司（以下简称“上海烟草”）、湖南省烟草专卖局（公司）（以下简称“湖南烟草”）承担。龙岩烟草工业有限责任公司主要负责总体组织协调、策划、项目需求、开展调研、标准编制、征求意见等工作，川渝中烟、福建中烟、四川中烟、浙江中烟、上海烟草、湖南烟草负责标准需求调研、内容编制等工作。北京启明星辰信息安全技术有限公司参与了本标准的编制。 1.3 主要工作过程 2015年6月，在签订标准专项合同后，国家局烟草经济信息中心会同龙烟公司、福建中烟等单位成立了标准编写项目组。项目组首先基于本单位工控系统，做了工控网络、工控网络安全防护建设基本情况和现状调研，并组织对行业内多家单位进行现场和问卷调研。项目组成员单位配合工信部在龙烟公司、杭州卷烟厂进行了工控安全检测评估，发现行业工业控制系统在工控网络的安全防护方面都比较薄弱。在标准编制方面，公安部和工信部都在积极推进国家层面的工控安全标准的编制和起草工作，主要是检测和评估方面的，缺少防护方面的标准和规范。鉴于，行业工控网络存在较大的安全隐患，并出现过病毒导致生产短暂停滞等信息安全事件，急需制订结合行业实际需要的工控网络安全建设规范。 截止目前，标准编写项目组主要开展了以下几个阶段的工作： 第一，进行项目预研准备。2015年6月，在国家局信息中心指导和龙烟公司协调组织下成立了标准预研报告编写项目小组，明确了项目组各方分工，在项目组成员内部首先进行基础性调研讨论，了解参与的项目组成员自身对工控网络的了解情况和工控安全网络的建设情况。在此基础上分析整理形成了可供全行业涉及工控网络使用的行业单位填报的调研问卷《烟草行业工业控制系统网络信息安全情况调研表》，为更大范围的真实了解各行业单位工业控制系统、网络、安全防护情况打好了基础。 第二，调研和统计。2015年10月份，国家局信息中心下发《关于开展行业工业控制系统安全调研工作的通知》（国烟信综〔2015〕16号），于2015年9月至10月，对具有烟草行业典型工控网络类型的单位，采用问卷调查和现场调查方式开展实际调研，涵盖了卷烟厂、复烤厂、商烟物流中心、上海烟机等行业企业。收集和统计行业工控系统基本情况、特点和防护状况等。 第三，形成技术报告。2015年10-11月，经过项目组综合分析调研结论和研究成果，完成了技术规范的框架和主要内容，编制形成了《工业控制网络安全技术规范－技术报告》，为下一步制定相关具体标准提供依据、奠定基础。 第四，组织标准编制。2016年初，根据《工业控制网络安全技术规范－技术报告》反馈的实际情况，结合行业的实际需要，进行《工业控制网络安全技术规范》初稿的编制起草，在2016年1~10月份形成了多个版本初稿，经过项目组成员单位多次内部讨论和外部专家顾问意见征询，形成了标准的讨论稿。 第五，讨论稿修改。2016年10月，工信部印发了《工业和信息化部关于印发《工业控制系统信息安全防护指南》的通知》（工信部信软〔2016〕338号）（以下简称“工控防护指南”），要求工业控制系统应用企业应从《工控防护指南》提出的十一个方面做好工控安全防护工作。2016年11月-2017年7月，为确保行业工控安全标准能够符合工信部《工控防护指南》要求，项目组根据《工控防护指南》，以及2017年5月工信部依据《工业控制系统信息安全防护能力评估工作实施细则》对浙江中烟进行的工业控制系统信息安全防护能力评估结果和改进建议，对形成的标准讨论稿进行了多次讨论修改，并形成了新的讨论稿。 第六，技术验证。为确保行业工控安全标准的可落地，龙烟公司根据标准讨论稿的技术要求实施工控安全建设，针对技术规范中的风险评估、安全防护、安全检测、安全运维管理四个方面进行技术验证。2017年7月，工信部对龙烟公司开展工业企业工业控制系统信息安全深度核查工作。通过远程渗透和现场核查，检查组认为龙烟公司的工控安全措施能够防御大部分网络攻击。深度核查工作结果验证了行业工控安全标准技术要求的有效性和可落地。8