工控系統(tǒng)自查報(bào)告

工控系統(tǒng)自查報(bào)告工業(yè)控制系統(tǒng)信息安全一、工業(yè)控制系統(tǒng)安全分析工業(yè)控制系統(tǒng)，是由各種自動(dòng)化控制組件和實(shí)時(shí)數(shù)據(jù)采集、監(jiān)測的過程控制組件共同構(gòu)成。其組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)、分布式控制系統(tǒng)、可編程邏輯控制器、遠(yuǎn)程終端、智能電子設(shè)備，以及確保各組件通信的接口技術(shù)。典型的ICS控制過程通常由控制回路、HMI、遠(yuǎn)程診斷與維護(hù)工具三部分組件共同完成，控制邏輯運(yùn)算，HMI執(zhí)交互，遠(yuǎn)程診斷與維護(hù)工具確保ICS能夠穩(wěn)定持續(xù)運(yùn)行?；芈酚靡钥刂菩行畔⒐I(yè)控制系統(tǒng)潛在的風(fēng)險(xiǎn)1.操作系統(tǒng)的安全漏洞問題由于考慮到工控軟件與操作系統(tǒng)補(bǔ)丁兼容性的問題，系統(tǒng)開車后一般不會(huì)對(duì)Windows平臺(tái)打補(bǔ)丁，導(dǎo)致系統(tǒng)帶著風(fēng)險(xiǎn)運(yùn)行。2.殺毒軟件安裝及升級(jí)更新問題用于生產(chǎn)控制系統(tǒng)的Windows操作系統(tǒng)基于工控軟件與殺毒軟件的兼容性的考慮，通常不安裝殺毒軟件，給病毒與惡意代碼傳染與擴(kuò)散留下了空間。3.使用U盤、光盤導(dǎo)致的病毒傳播問題。由于在工控系統(tǒng)中的管理終端一般沒有技術(shù)措施對(duì)U盤和光盤使用進(jìn)行有效的管理，導(dǎo)致外設(shè)的無序使用而引發(fā)的安全事件時(shí)有發(fā)生。4.設(shè)備維修時(shí)筆記本電腦的隨便接入問題工業(yè)控制系統(tǒng)的管理維護(hù)，沒有到達(dá)一定安全基線的筆記本電腦接入工業(yè)控制系統(tǒng)，會(huì)對(duì)工業(yè)控制系統(tǒng)的安全造成很大的威脅。5.存在工業(yè)控制系統(tǒng)被有意或無意控制的風(fēng)險(xiǎn)問題如果對(duì)工業(yè)控制系統(tǒng)的操作行為沒有監(jiān)控和響應(yīng)措施，工業(yè)控制系統(tǒng)中的異常行為或人為行為會(huì)給工業(yè)控制系統(tǒng)帶來很大的風(fēng)險(xiǎn)。6.工業(yè)控制系統(tǒng)控制終端、服務(wù)器、網(wǎng)絡(luò)設(shè)備故障沒有及時(shí)發(fā)現(xiàn)而響應(yīng)延遲的問題對(duì)工業(yè)控制系統(tǒng)中IT基礎(chǔ)設(shè)施的運(yùn)行狀態(tài)進(jìn)是工業(yè)工控系統(tǒng)穩(wěn)定運(yùn)行的基礎(chǔ)。“兩化融合”給工控系統(tǒng)帶來的風(fēng)險(xiǎn)行監(jiān)控，工業(yè)控制系統(tǒng)最早和企業(yè)管理系統(tǒng)是隔離的，但近年來為了產(chǎn)控制，滿足“兩化融合”的需求和管理的方便，通過邏輯隔離的企業(yè)管理系統(tǒng)可以直接進(jìn)行通信，而企業(yè)管理系統(tǒng)一般直接連接Internet，在這種情況下，范圍不僅擴(kuò)展到了企業(yè)網(wǎng)，而且面臨著來自實(shí)現(xiàn)實(shí)時(shí)的數(shù)據(jù)采集與生方式，使工業(yè)控制系統(tǒng)和工業(yè)控制系統(tǒng)接入的Internet的威脅。同時(shí)，企業(yè)為了實(shí)現(xiàn)管理與控制的一體化，提高企業(yè)信息化合綜合自動(dòng)化水平，實(shí)現(xiàn)生產(chǎn)和管理的高效率、高效益，引入了生產(chǎn)執(zhí)行系統(tǒng)MES，對(duì)工業(yè)控制系統(tǒng)和管理信息系統(tǒng)進(jìn)行了集成，管理信息網(wǎng)絡(luò)與生產(chǎn)控制網(wǎng)絡(luò)之間實(shí)現(xiàn)了數(shù)據(jù)交換。導(dǎo)致生產(chǎn)控制系統(tǒng)不再是一個(gè)獨(dú)立運(yùn)行的系統(tǒng)，而要與管理系統(tǒng)甚至互聯(lián)網(wǎng)進(jìn)行互通、互聯(lián)。工控系統(tǒng)采用通用軟硬件帶來的風(fēng)險(xiǎn)工業(yè)控制系統(tǒng)向工業(yè)以太網(wǎng)結(jié)構(gòu)發(fā)展，開放性越來越強(qiáng)?；赥CP/IP以太網(wǎng)通訊的OPC技術(shù)在該領(lǐng)域得到廣泛應(yīng)用。在工業(yè)控制系統(tǒng)中，由于工業(yè)系統(tǒng)便利性，大量使用了工業(yè)以太環(huán)網(wǎng)和OPC通信協(xié)議進(jìn)行了工業(yè)控制系統(tǒng)的集成;同時(shí)，也大量的使用了PC服務(wù)器和終端產(chǎn)品，集成和使用的操作系統(tǒng)和數(shù)據(jù)庫也大量的使用了通用的系統(tǒng)，很容易遭到來自企業(yè)管理網(wǎng)或互聯(lián)網(wǎng)的病毒、木馬、黑客的攻擊。?2、MES層與工業(yè)控制層之間的安全防護(hù)通過在MES層和生產(chǎn)控制層部署工業(yè)防火墻，可以阻止來自企業(yè)信息層的病毒傳播;阻擋來自企業(yè)信息層的非法入侵;管控OPC客戶端與服務(wù)器的通訊，實(shí)現(xiàn)以下目標(biāo)：?區(qū)域隔離及通信管控：通過工業(yè)防火墻過濾MES層與生產(chǎn)控制層兩個(gè)區(qū)域網(wǎng)絡(luò)間的通信，那么網(wǎng)絡(luò)故障會(huì)被控制在最初發(fā)生的區(qū)域內(nèi)，而不會(huì)影響到其它部分。?實(shí)時(shí)報(bào)警：任何非法的訪問，通過管理平臺(tái)產(chǎn)生實(shí)時(shí)報(bào)警信息，從而使故障問題會(huì)在原始發(fā)生區(qū)域被迅速的發(fā)現(xiàn)和解決。MES層與工業(yè)控制層之間的安全防護(hù)如下圖所示：工控系統(tǒng)安全防護(hù)分域安全域是指同一系統(tǒng)內(nèi)有相同的安全保護(hù)需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡(luò)，且相同的網(wǎng)絡(luò)安全域共享一樣的安全策略。在管理層、制造執(zhí)行層、工業(yè)控制層中，進(jìn)行管理系統(tǒng)安全子域的劃分，制造執(zhí)行安全子域的劃分、工業(yè)控制安全子域的劃分。安全域的合理劃分，使用每一個(gè)安全域都要明確的邊界，便于對(duì)安全域進(jìn)行安全防護(hù)。對(duì)MES、ICS的安全域劃分如下圖所示：如上圖所示，為了保證各個(gè)生產(chǎn)線的安全，對(duì)各個(gè)生產(chǎn)線進(jìn)行了安全域劃分，同時(shí)在安全域之間進(jìn)行了安全隔離防護(hù)。工控系統(tǒng)安全防護(hù)分等級(jí)根據(jù)安全域在信息系統(tǒng)中的重要程度以及考慮風(fēng)險(xiǎn)威脅、安全需求、安全成本等因素，將其劃為不同的安全保護(hù)等級(jí)并采取相應(yīng)保護(hù)技術(shù)、管理措施，以保障信息的安全。安全域的等級(jí)劃分近的安全等的安全要做到每個(gè)安全域的信息資產(chǎn)價(jià)值相近，具有相同或相級(jí)、安全環(huán)境、安全策略等。安全域所涉及應(yīng)用和資產(chǎn)的價(jià)值越高，面臨的威脅越大，那么它的安全保護(hù)等級(jí)也就越高。二、工業(yè)控制系統(tǒng)安全防護(hù)設(shè)計(jì)通過以上對(duì)工業(yè)控制系統(tǒng)安全狀況分析，我們可以看到，工控系統(tǒng)采用通用平臺(tái)，加大了工控風(fēng)險(xiǎn)，而“兩化融合”和工控系統(tǒng)自身的缺陷造成的安全風(fēng)險(xiǎn)，主要從兩個(gè)方面進(jìn)行安全防護(hù)。?通過“三層架構(gòu)，二層防護(hù)”的體系架構(gòu)，對(duì)工業(yè)企業(yè)信息系、分等級(jí)，從而對(duì)工控系統(tǒng)的操作行為進(jìn)行嚴(yán)格的、系統(tǒng)面臨的安全統(tǒng)進(jìn)行分層、分域排他性控制，確保對(duì)工控系統(tǒng)操作的唯一性。?通過工控系統(tǒng)安全管理平臺(tái)，確保HMI、管理機(jī)、控制服務(wù)工控通信設(shè)施安全可信。構(gòu)建“三層架構(gòu)，二層防護(hù)”的安全體系工業(yè)控制系統(tǒng)需要進(jìn)行橫向分層、縱向分域、區(qū)域分等級(jí)進(jìn)行安全防護(hù)，否則管理信息系統(tǒng)、生產(chǎn)執(zhí)行系統(tǒng)、工業(yè)控制系統(tǒng)處于同一網(wǎng)絡(luò)平面，層次不清，來自于管理信息系統(tǒng)的入侵或病毒行為很容易對(duì)工控系統(tǒng)你中有我、我中有你。造成損害，網(wǎng)絡(luò)風(fēng)暴和拒絕式服務(wù)攻擊很容易消耗系統(tǒng)的資源，使得正常的服務(wù)功能無法進(jìn)行。工控系統(tǒng)的三層架構(gòu)一般工業(yè)企業(yè)的工業(yè)控制層。在管理訪問控制、檢測審、計(jì)鏈路冗余、內(nèi)容檢測等安全防護(hù);在制造執(zhí)行系統(tǒng)層和工層之間，主要避免管理層直接對(duì)工業(yè)控制層的訪問，保證制造執(zhí)行層對(duì)工三層架構(gòu)如下圖所示：通過上圖可以看到，我們把工業(yè)企業(yè)信息系統(tǒng)劃分為三個(gè)層次，分別是計(jì)劃管理業(yè)控制層。管理系統(tǒng)是指以ERP為代表的管理信息系統(tǒng)，其中包含了許信息系統(tǒng)，可以劃分為管理層、制造執(zhí)行層、信層與制造執(zhí)行系統(tǒng)層之間，主要進(jìn)行身份鑒別、業(yè)控制系統(tǒng)業(yè)控制層的操作唯一性。工控系統(tǒng)層、制造執(zhí)行層、工多子系統(tǒng)，如：生產(chǎn)管理、物質(zhì)管理、財(cái)務(wù)管理、質(zhì)量管理、車間管理、能源管理、銷售管理、人事管理、設(shè)備管理、技術(shù)管理、綜合管理等等，管理信息系統(tǒng)融信息服務(wù)、決策支持于一體。之間，主要負(fù)責(zé)制造執(zhí)行系統(tǒng)處于工業(yè)控制系統(tǒng)與管理系統(tǒng)生產(chǎn)管理和調(diào)度執(zhí)行。通過MES，管理者可以及時(shí)掌握和了解生產(chǎn)工藝各流程的運(yùn)行狀況和工藝參數(shù)的變化，實(shí)現(xiàn)對(duì)工藝的過程監(jiān)視與控制。工業(yè)控制系統(tǒng)是由各種自動(dòng)化控制組件和實(shí)時(shí)數(shù)據(jù)采集、監(jiān)測的過程控制組件共同構(gòu)成。主要完成加工作業(yè)、檢測和操控作業(yè)、作業(yè)管理等功能。工控系統(tǒng)的二層防護(hù)1、管理層與MES層之間的安全防護(hù)管理層與MES層之間的安全防護(hù)主要是為了避免管理統(tǒng)域和MES域之間數(shù)據(jù)授權(quán)訪問和濫用;對(duì)操作失誤、篡改數(shù)據(jù)，溯;避免終端違規(guī)操作;及時(shí)發(fā)現(xiàn)非法入侵行為;過濾惡意代碼。說，管理層與MES層之間的保證只有可信、合規(guī)的終端和服務(wù)器才可以在兩個(gè)區(qū)域之間進(jìn)行安全的數(shù)據(jù)信息系交換面臨的各種威脅，具體表現(xiàn)為：避免非抵賴行為的可控制、可追也就是安全防護(hù)，交換，同時(shí)，數(shù)據(jù)交換整個(gè)過程接受監(jiān)控、審計(jì)。管理層與MES層之間的安全防護(hù)如下圖所示：構(gòu)建工業(yè)控制系統(tǒng)安全管理平臺(tái)工業(yè)控制系統(tǒng)和傳統(tǒng)信息系統(tǒng)具有大多數(shù)相同的安全問題，但同時(shí)也存在獨(dú)特的安全需求。工業(yè)控制系統(tǒng)最大的安全需求是唯一性和排它性，在某一特定的工業(yè)控制系統(tǒng)中，工業(yè)控制系統(tǒng)只需用唯一的工業(yè)應(yīng)用程序和工業(yè)通信協(xié)議運(yùn)行，其他一概不需要。啟明星辰工業(yè)系統(tǒng)安全管理平臺(tái)為工業(yè)控制系統(tǒng)建立了一個(gè)相對(duì)可信的計(jì)算環(huán)境，對(duì)工控系統(tǒng)管理終端和網(wǎng)絡(luò)通信具有非常強(qiáng)的安全控制功能。工業(yè)控制系統(tǒng)安全管理平臺(tái)有兩部分組成，一部分是工業(yè)控制系統(tǒng)安全管理平臺(tái)，具有終端管理、網(wǎng)絡(luò)管理、行為監(jiān)控功能，另一部分是終端安全管理客戶端。管理平臺(tái)部分工業(yè)控制系統(tǒng)的安全運(yùn)行，主要需要保障工業(yè)控制系統(tǒng)相關(guān)基礎(chǔ)設(shè)施的安全，包括工業(yè)以太網(wǎng)網(wǎng)絡(luò)、操作終端、關(guān)系數(shù)應(yīng)用系統(tǒng)等各類IT資源的角度對(duì)工控系統(tǒng)的各類IT資源進(jìn)行監(jiān)保障工業(yè)控制系統(tǒng)的安全穩(wěn)定運(yùn)信息系統(tǒng)據(jù)庫服務(wù)器、實(shí)時(shí)數(shù)據(jù)庫服務(wù)器、操作和安全，從工業(yè)控制系統(tǒng)安全的控，實(shí)現(xiàn)對(duì)安全事件的預(yù)警與響應(yīng)，行。具體而言，工業(yè)控制系統(tǒng)安全管理平臺(tái)功能如下：1.能夠?qū)?yīng)用服務(wù)器、關(guān)系設(shè)備運(yùn)行狀態(tài)進(jìn)行監(jiān)控，例如CPU、內(nèi)存、端口流數(shù)據(jù)庫服務(wù)器、實(shí)時(shí)數(shù)據(jù)庫服務(wù)器、工業(yè)以太網(wǎng)量等等。2.能夠?qū)Σ僮鹘K端外設(shè)、進(jìn)程、桌面進(jìn)行合規(guī)性在和線離線管理。3.能夠?qū)Ω鲗舆吔鐢?shù)據(jù)交換情況進(jìn)行監(jiān)控。4.能夠?qū)I(yè)控制系統(tǒng)中的網(wǎng)絡(luò)操作行為進(jìn)行審計(jì)。信息系統(tǒng)安全自查工作的報(bào)告一、注重信息安全工作及規(guī)章制度建設(shè)公司自開業(yè)以來以《xxx公司信息系統(tǒng)運(yùn)行管理制度》《xxx公司計(jì)算機(jī)信息系統(tǒng)安全、保密管理規(guī)定》等相關(guān)內(nèi)控制度為基準(zhǔn)制定了信息安全工作的安全策略、支撐安全策略實(shí)現(xiàn)的各項(xiàng)安全管理規(guī)面的信息安全管理制度體系；制訂了安全維相關(guān)安全管理制度；定以及操作規(guī)程等構(gòu)成的全組織的設(shè)立、人員的安全管理，系統(tǒng)建設(shè)及運(yùn)制訂了安全管理人員或操作人員執(zhí)行的管理操作規(guī)程；明確了安全管理各個(gè)崗位的崗位職責(zé)；按監(jiān)管機(jī)來人員管理數(shù)據(jù)安全管理。構(gòu)的要求嚴(yán)格實(shí)施了機(jī)房管理、外和信息此次自查工作主要分為三個(gè)環(huán)節(jié)逐步開展。第一個(gè)環(huán)節(jié)是以行政人事部為主，從安全管理制度、設(shè)施、人員、崗位職責(zé)等方面整體梳理總結(jié)；分公司的系統(tǒng)管理員在權(quán)限之內(nèi)負(fù)責(zé)全省的員工權(quán)限的相關(guān)配置，各中心支公司的系統(tǒng)管理員沒有配置系統(tǒng)的權(quán)限，實(shí)現(xiàn)轄內(nèi)員工的權(quán)限由分公司統(tǒng)一配置，各中心支公司系統(tǒng)管理負(fù)責(zé)維護(hù)本機(jī)構(gòu)的機(jī)、器網(wǎng)絡(luò)、桌面維護(hù)以及系統(tǒng)問題的上報(bào)。第二個(gè)環(huán)節(jié)是聯(lián)合分公司各部門、各中心支公司開全自查工作討論，補(bǔ)充現(xiàn)有制度的缺陷；展信息安第三個(gè)環(huán)節(jié)是由信息檢查小組再次梳理整體信息安全1工作，并修正檢查出的工作錯(cuò)誤。在檢查中我公司發(fā)現(xiàn)中支信息員對(duì)部分規(guī)定、通知執(zhí)行力度不夠，無法引起足夠的重視，我公司針對(duì)此類情況準(zhǔn)備下發(fā)嚴(yán)格的管控及獎(jiǎng)懲措施。我公司大部分電腦按照總公司要求加入域集中管理，安裝了網(wǎng)絡(luò)版防病毒軟件，使用上網(wǎng)行為管理設(shè)備對(duì)與工作無關(guān)的網(wǎng)站及軟件進(jìn)行了封鎖，及時(shí)更新系統(tǒng)補(bǔ)丁、修復(fù)漏洞，通過以上措施，大大降低了系統(tǒng)文件被篡改、中病毒等風(fēng)險(xiǎn)，但是通過自查發(fā)現(xiàn)分公司對(duì)此項(xiàng)工作的執(zhí)行力度較強(qiáng)，各中心支公司存在沒有進(jìn)入域管理的情文件要求各中支必須對(duì)每臺(tái)以實(shí)現(xiàn)集中管理。三、信息系統(tǒng)的安全管控為了確保電況，針對(duì)此類情況，我公司再次下發(fā)相關(guān)電腦進(jìn)入域管理，子信息系統(tǒng)安全、穩(wěn)定、可靠的運(yùn)行，網(wǎng)絡(luò)機(jī)房建設(shè)嚴(yán)格參照國家機(jī)房標(biāo)準(zhǔn)建設(shè)，我分公司至總公司網(wǎng)絡(luò)采用聯(lián)通SDH專線，備線采用電信SDH專線。機(jī)房內(nèi)現(xiàn)有設(shè)備：防火墻、3層交換機(jī)、上網(wǎng)行為管理設(shè)備、服務(wù)器、工控機(jī)各一臺(tái)，路由器2臺(tái)、二層交換機(jī)5臺(tái)，配備有長效型UPS，目前設(shè)備運(yùn)行狀況良好。機(jī)房面積12平方米，配備門鎖、中央空調(diào)，由信息管理人員專人管理，做到每月打掃衛(wèi)生、每天到場巡視。公司業(yè)務(wù)、財(cái)務(wù)、輔助系統(tǒng)采用B/S模式開發(fā)，所有數(shù)據(jù)均集中在總公司服務(wù)器，系統(tǒng)界面友好、客戶端不需各分公司維護(hù)。系統(tǒng)開發(fā)、維護(hù)由總公司掌控，分公司只有使用權(quán)，但各省公司或中支可以提需求，總公司評(píng)審后視情況落實(shí)。系統(tǒng)賬號(hào)權(quán)限實(shí)行分級(jí)管理，分公司僅有部分賬號(hào)設(shè)置權(quán)，并可以單獨(dú)設(shè)置賬號(hào)的崗位權(quán)限及機(jī)構(gòu)權(quán)限。系統(tǒng)賬號(hào)權(quán)限分工明確，收付費(fèi)等系統(tǒng)運(yùn)行正常。財(cái)務(wù)系統(tǒng)和業(yè)務(wù)系統(tǒng)可以無縫實(shí)時(shí)對(duì)接，數(shù)據(jù)信息流轉(zhuǎn)暢通。在業(yè)務(wù)系統(tǒng)數(shù)據(jù)控制方面，系統(tǒng)會(huì)對(duì)錄入項(xiàng)目的完整性進(jìn)行檢測，如未完成必填項(xiàng)目，系統(tǒng)不會(huì)流轉(zhuǎn)。分公司有權(quán)在業(yè)務(wù)流程未完成的情況下對(duì)部分?jǐn)?shù)據(jù)進(jìn)行修正，同時(shí)也對(duì)有修正權(quán)的賬號(hào)做了嚴(yán)格限制。四、數(shù)據(jù)我公司的業(yè)務(wù)數(shù)據(jù)都不儲(chǔ)存在公司提供網(wǎng)絡(luò)介質(zhì)及部分系統(tǒng)的數(shù)據(jù)，對(duì)于在我公司管理和災(zāi)備建設(shè)本地，由總公司統(tǒng)一儲(chǔ)存，我存取的數(shù)據(jù)采用雙擊備份加光盤存儲(chǔ)方式進(jìn)行數(shù)據(jù)的備份，并且在服務(wù)器發(fā)生故障時(shí)，緊急啟用呼叫轉(zhuǎn)移的方式保證呼叫中心系統(tǒng)的暢通。五、應(yīng)急響應(yīng)體系建設(shè)情況為保障系統(tǒng)穩(wěn)定、網(wǎng)絡(luò)暢通，要求信息管理人員手機(jī)24時(shí)小開機(jī)，隨時(shí)處理各種突發(fā)情況并及時(shí)與總公司聯(lián)系溝通。近期經(jīng)演練，在人為斷電后，UPS能夠?qū)崟r(shí)切換至后備電池供電狀態(tài)并堅(jiān)持12小時(shí)以上，確保網(wǎng)絡(luò)暢通。根據(jù)《通知》