石油石化行业控制系统信息安全的建设思路探索

随着信息技术发展，工业控制（以下简称工控）系统中多采用通用协议、通用硬件和通用软件以各种方式与公共网络连接。传统信息系统所面临的病毒、木马等威胁正在向工控系统领域扩散，组成工控系统（ICS）的分布式控制系统（DCS）、监控与数据采集系统（SCADA）和可编程逻辑控制器（PLC）等产品的信息安全问题日益突出。

1 石油石化行业的工控系统相关程度

在石油石化行业中，各类由DCS、PLC、RTU等控制、数采设备组成的工控系统在油气田、炼油化工等主要生产环节得到广泛应用。

（1）工控系统在油气田应用情况

在油气田，工控系统应用于联合站及其下属站点，覆盖油气田生产工艺流程的全过程。

工艺处理装置较多的油气处理站（厂）采用DCS系统或大型PLC系统完成生产工艺过程的控制。工艺处理装置（单元）相对较少的油气处理站（厂），多采用中小型PLC系统。采油/采气厂井口分散，控制点数少，大多采用RTU进行控制。

（2）工控系统在炼油化工应用情况

炼化企业采用DCS系统完成常减压装置、催化裂化装置、催化重整装置、加氢裂化装置、延迟焦化装置、乙烯裂解装置、聚乙烯装置等大型生产装置的基本过程控制、操作、监视、管理，顺序控制、工艺联锁。根据工艺特点，炼化企业还将设置可燃/有毒气体检测系统、压缩机控制系统、转动设备监视系统等，这些控制系统多通过PLC实现［1］。

2 工控系统信息安全现状

当前石油石化行业工控系统信息安全建设工作处于起步阶段，下面对石油石化行业工控安全现状从技术、管理、人员3个方面进行分析。

（1）技术方面

系统本身脆弱性：当前油气田、炼油化工普遍使用的工业主机、服务器多采用通用操作系统和各类控制设备（PLC/DCS/RTU），而这些设备软硬件存在的安全漏洞不能及时修复。

系统安全配置不足：设备安全不能得到有效配置，加剧了各类设备的脆弱程度。

普遍存在入侵路径：两化融合带来工业控制系统外连，导致入侵者从其他系统入侵工控系统。

（2）管理方面

组织机构不完善：由于工控系统信息安全属于自动化、信息化和信息安全的交叉领域，涉及不同部门交叉工作，当前企业对于负责工控系统信息安全组织态度模糊，负责部门不明确。

安全制度缺乏：企业对于工控系统采用原来信息化或信息安全制度，但工控系统与普通IT网络存在较大差异，原有制度不能适用。

（3）人员方面

当前工控系统信息安全人员存在较大缺口，各岗位人员能力不能覆盖工作内容。

3 当前工控系统信息安全防护困境

为了精确收集、控制更广阔的工业生产现场信息，大量轻量级物联网终端设备在现场各生产环节得到部署；为从庞大的数据中获得优化生产的有价值信息，很多企业应用Hadoop、Spark、Hive等大数据技术对生产过程中的各项数据进行汇总、处理、分析。随着工业生产网络内底层计算技术、网络技术的更新，对前防护技术的功能、性能提出了不同于传统技术的安全要求；随着工业网络规模、工业数据量的变化，对传统的隔离、检测、统一管理的防护逻辑带来挑战。

工控系统信息安全防护方案从最开始的单一网络隔离、安全检测措施发展到现在技术措施丰富的整体防护方案，防护重点主要集中在技术防护。但当前工业企业对于工控系统信息安全设备使用、运维与信息事件处置以及应急响应等缺乏有机结合，工控系统信息安全问题的存在不能仅靠技术措施解决，而应包含安全管理、人员能力提升的系统工程。工控系统信息安全建设需逐步由单纯技术防护向全面保障过渡。

4 工控系统信息安全保障建设思路

4.1 综合保障建设思路

工控系统信息安全综合保障建设分为全面规划、工程实施、运行管理、安全教育4个阶段。

全面分析阶段，对企业当前工控系统现状进行评估分析，并以评估分析结果作为全面规划依据，合理设计信息安全综合保障方案；工程实施阶段，针对全面设计阶段形成的方案进行落地实现，通过采购—实施—交付流程实现方案设计中的技术措施、管理措施并完成交付；运行管理阶段，通过运行维护和应急响应保障日常生产安全；在安全教育阶段提升工控系统信息安全保障的参与人员安全意识及专业岗位技能。

文章来源：《石油石化物资采购》 网址: http://www.syshwzcg.cn/qikandaodu/2020/1005/416.html