石油石化行业控制系统信息安全的建设思路探索

REFININGANDCHEMICALINDUSTRY第30卷石油石化行业控制系统信息安全的建设思路探索

张子良

（中国石油大庆石化公司检测信息技术中心，黑龙江大庆163714）

摘要：分析了石油石化行业的业务生产与工业控制系统的相关程度,以及工业控制系统信息安全现状。对工业控制系统信息安全防护发展历程和遇到的困境进行了研究和阐述。提出安全技术防护、安全管理及人员安全能力提升的建设思路。关键词：石油石化；工业控制系统；信息安全；建设思路中图分类号：TP309

文献标识码：B

文章编号：1671-4962（2019）03-0064-03

Constructionideaexplorationoninformationsecurityconstructionofcontrolsysteminpetrochemicalindustry

ZhangZiliang

（DetectionInformationTechnologyCenterofPetroChinaDaqingPetrochemicalCompany，Daqing163714，China）

Abstract:Thispaperanalyzedthecorrelationbetweenproductionandindustrialcontrolsysteminpetroleumandpetrochemicalin⁃dustry,andtheinformationsecuritystatusofindustrialcontrolsystem,studiedandexpoundedthedevelopmentcourseanddifficul⁃gyprotection,safetymanagementandpersonnelsafetyabilityimprovement.

tiesencounteredofinformationsecurityprotectioninindustrialcontrolsystem,putforwardtheconstructionideasofsafetytechnolo⁃Keywords:petroleumandpetrochemical;industrialcontrolsystem;informationsecurity;constructionidea

随着信息技术发展，工业控制（以下简称工控）系统中多采用通用协议、通用硬件和通用软件以各种方式与公共网络连接。传统信息系统所面临的病毒、木马等威胁正在向工控系统领域扩散，组成工控系统（ICS）的分布式控制系统（DCS）、监控与数据采集系统（SCADA）和可编程逻辑控制器（PLC）等产品的信息安全问题日益突出。１石油石化行业的工控系统相关程度

在石油石化行业中，各类由DCS、PLC、RTU等控制、数采设备组成的工控系统在油气田、炼油化工等主要生产环节得到广泛应用。

（1）工控系统在油气田应用情况

在油气田，工控系统应用于联合站及其下属站点，覆盖油气田生产工艺流程的全过程。

工艺处理装置较多的油气处理站（厂）采用DCS系统或大型PLC系统完成生产工艺过程的控制。工艺处理装置（单元）相对较少的油气处理站（厂），多采用中小型PLC系统。采油/采气厂井口分散，控制点数少，大多采用RTU进行控制。

（2）工控系统在炼油化工应用情况

炼化企业采用DCS系统完成常减压装置、催化裂化装置、催化重整装置、加氢裂化装置、延迟焦化装置、乙烯裂解装置、聚乙烯装置等大型生产装置的基本过程控制、操作、监视、管理，顺序控制、工艺联锁。根据工艺特点，炼化企业还将设置可燃/有毒气体检测系统、压缩机控制系统、转动设备监视系统等，这些控制系统多通过PLC实现［1］。2工控系统信息安全现状

当前石油石化行业工控系统信息安全建设工作处于起步阶段，下面对石油石化行业工控安全现状从技术、管理、人员3个方面进行分析。

（1）技术方面

系统本身脆弱性：当前油气田、炼油化工普遍使用的工业主机、服务器多采用通用操作系统和各类控制设备（PLC/DCS/RTU），而这些设备软硬件存在的安全漏洞不能及时修复。

系统安全配置不足：设备安全不能得到有效配置，加剧了各类设备的脆弱程度。

2019年第3期张子良.石油石化行业控制系统信息安全的建设思路探索

65普遍存在入侵路径：两化融合带来工业控制系统外连，导致入侵者从其他系统入侵工控系统。

（2）管理方面

组织机构不完善：由于工控系统信息安全属于自动化、信息化和信息安全的交叉领域，涉及不同部门交叉工作，当前企业对于负责工控系统信息安全组织态度模糊，负责部门不明确。

安全制度缺乏：企业对于工控系统采用原来信息化或信息安全制度，但工控系统与普通IT网络存在较大差异，原有制度不能适用。

（3）人员方面

当前工控系统信息安全人员存在较大缺口，各岗位人员能力不能覆盖工作内容。3当前工控系统信息安全防护困境

为了精确收集、控制更广阔的工业生产现场信息，大量轻量级物联网终端设备在现场各生产环节得到部署；为从庞大的数据中获得优化生产的有价值信息，很多企业应用Hadoop、Spark、Hive等大数据技术对生产过程中的各项数据进行汇总、处理、分析。随着工业生产网络内底层计算技术、网络技术的更新，对前防护技术的功能、性能提出了不同于传统技术的安全要求；随着工业网络规模、工业数据量的变化，对传统的隔离、检测、统一管理的防护逻辑带来挑战。

工控系统信息安全防护方案从最开始的单一网络隔离、安全检测措施发展到现在技术措施丰富的整体防护方案，防护重点主要集中在技术防护。但当前工业企业对于工控系统信息安全设备使用、运维与信息事件处置以及应急响应等缺乏有机结合，工控系统信息安全问题的存在不能仅靠技术措施解决，而应包含安全管理、人员能力提升的系统工程。工控系统信息安全建设需逐步由单纯技术防护向全面保障过渡。4工控系统信息安全保障建设思路4.1综合保障建设思路

工控系统信息安全综合保障建设分为全面规划、工程实施、运行管理、安全教育4个阶段。

全面分析阶段，对企业当前工控系统现状进行评估分析，并以评估分析结果作为全面规划依据，合理设计信息安全综合保障方案；工程实施阶段，针对全面设计阶段形成的方案进行落地实现，通过采购—实施—交付流程实现方案设计中的技

术措施、管理措施并完成交付；运行管理阶段，通过运行维护和应急响应保障日常生产安全；在安全教育阶段提升工控系统信息安全保障的参与人员安全意识及专业岗位技能。4.2综合保障建设内容

（1）全面规划

工控安全规划是组织实现工控安全技术和管理措施的前提，应为整个组织工控安全工作提供指导，为工控安全建设内容提供纲领性规划。工控安全规划阶段应由组织管理者、规划设计者按组织业务特点，结合组织发展和国家标准、监管机构要求等确定工控安全目标和工控安全策略。

全面规划过程中应以评估分析为规划依据，根据有关工控安全技术与管理标准，掌握企业内部工控安全现状与工控安全目标之间差距。按照工控安全建设工作的不同参与者职责，开展安全评估具有不同目的，可选择合规审计、风险评估、渗透测试３类评估工作［2］。

评估分析完成后，根据评估结果进行规划，方案中应为工控安全目标达成给出有效的实现方法和步骤，方案规划中目标系统差距分析、确定安全建设内容、安全措施选择、建设方案分期规划等。

（2）工程实施

工程实施是将前期设计保障方案中各项安全措施具体实现的过程，工程实施质量直接影响前期设计方案的实现效果。

产品采购前，由企业项目管理人员组织安全产品供应商进行安全产品测试，可选择多家厂商进行竞争性测试，详细测试产品功能、性能等，根据测试效果选择产品，确保产品达到所需要求。

工程实施中应根据工控企业的工控系统物理环境、网络环境、业务现状、现有安全管理规定等实际情况设计工程实施方案，实施方案中应明确实施范围、实施人员组织、实施进度计划、产品地址网络连接、地址规划、产品上线部署、实施风险控制等内容，实施人员按照实施方案内容完成产品安装实施。

实施完成后，由安全产品/服务提供商实施人员对企业日常运维人员进行交付培训，应明确培训目的以及预期达到的培训效果，确保产品交付后企业日常运维人员能够正常使用产品功能、处理安全告警等。

66炼油与化工

REFININGANDCHEMICALINDUSTRY第30卷（3）运行管理

工控安全运行管理是保证前期规划实施的安全措施有效执行的重要阶段，运行维护中由运维人员实现业务与安全的有机结合，发挥安全措施价值，有效管控系统风险，保障业务生产稳定运行；应急响应和异常处理是工控安全建设的重要保障，组织应通过制定严密的工控安全应急响应预案保障工控系统在遭受攻击、系统异常等情况时能够快速响应并有效处理问题［3］。

运行维护内容主要包括工控设备管理、安全事件管理、日志管理、脆弱性管理等。工控设备管理主要关注工控资产本身，包括维护工控资产清单、掌握资产关系、资产安全状况等；安全事件管理主要关注安全事件相关处置，包括预警、监测、分析和报告信息安全事态和事件的规程；记录事件管理活动的规程等；日志管理包括收集、分析工控系统及相关网络设备、控制设备、安全设备、主机、数据库、中间件、组态软件等运行日志，以发现攻击线索，用作内部纪律处罚或司法证据；脆弱性管理针对工控系统及其支撑软硬件系统存在的脆弱性或漏洞，获取相关信息，评价组织对这些脆弱性的暴露状况并采取措施来应对相关风险。

应急响应包括事件分类分级、应急人员组织、制定应急处置流程和应急响应演练等内容。根据工业企业实际情况对工业企业可能出现的工控安全事件进行分类和定级，后续对不同事件的应急响应依据出现事件的类别和级别采取对应的响应措施；建立内部应急响应组织，可组建包含内部应急响应团队加外部专家团队组成的应急响应组织；应急响应工作中应定期组织应急演练，明确应急演练目的，合理做好应急响应规划，制定详细应急演练工作方案，编织具体应急响应演练脚本，确定应急演练流程，最终对应急演练成果进行评估，做好各种应急演练的保障措施［4］。

（4）安全教育

随着工控安全攻防技术发展，持续提升工控安全保障工作参与人员的能力是保证安全技术、管理措施有效发挥应有价值的重要工作。通过安全教育解决工控安全保障工作人员的相关问题。

工控安全保障的最低水平线由企业各个岗位的全体员工安全意识水平决定，很多安全事件的发生都是由于非安全岗位人员的安全意识不足所

导致的，因此安全教育工作中解决全体员工的安全意识不足问题，保证企业的普通员工学会如何养成良好的信息安全习惯、具备正确的信息安全意识，使个人能够依靠自身良好的信息安全意识与素养支持所在单位的信息安全保障体系建设、理解和遵守企业的信息安全管理制度、维护工业企业的信息安全和商业秘密，以保障工业生产相关系统、网络、设备安全、可靠、稳定运行［5］。

企业中工控安全岗位相关人员在工控安全保障中各阶段工作中涉及计算机、网络、自动化、信息安全等多个领域的专业技能，而前述各类技术都在短时间内都有着迅速的更新迭代，因此要求工控安全岗位相关人员的知识、技能随技术发展而不断补充。安全教育工作中通过采取各类措施保证安全岗位人员的专业知识、技能得到有效补充，满足工控安全保障工作中的安全管理、安全规划、安全实施、安全运维、应急响应等各阶段工作的知识、技能要求。5结束语

通过对石油石化行业业务生产与工控系统相关程度以及工控系统信息安全现状的分析，可以看出安全技术防护、安全管理水平的提升对石油石化工控系统信息安全保障建设具有重要的意义。只有全面规划，做好工程实施、运行管理、安全教育等各阶段的建设任务，才能为石油石化生产提供信息安全保障。

参考文献：

［1］工业和信息化部.工业控制系统信息安全防护指南［M］.北

京：电子工业出版社，2016：14-16.

［2］国家市场监督管理总局和中国国家标准化管理委员会.

GB/T36323-2018信息安全技术和工业控制系统安全管理基本要求［S］.北京：中国标准出版社，2018：12-15.

［3］中国国家标准化管理委员会.GB/T36466-2018信息安全技

术及工业控制系统风险评估实施指南［S］.北京：中国标准出版社，2018：25-28.

［4］中国国家标准化管理委员会.GB/T36626-2018信息安全技术

信息系统安全运维管理指南［S］.北京：中国标准出版社，2018：3-6.

［5］国家市场监督管理总局和中国国家标准化管理委员会.

GB/T22239-2019信息安全技术网络安全等级保护基本要求［S］.北京：中国标准出版社，2018：72-75.收稿日期：2019-05-21

作者简介：张子良，男，工程师，1987年毕业于黑龙江省电子工业学校计算机专业，现从事工业控制系统的建设与服务工作。