石油石化行業(yè)是我國的支柱產(chǎn)業(yè),，是基礎(chǔ)性產(chǎn)業(yè),，它為農(nóng)業(yè),、能源,、交通,、機(jī)械,、電子,、紡織,、輕工,、建筑,、建材等工農(nóng)業(yè)和人民日常生活提供配套和服務(wù)，在我國國民經(jīng)濟(jì)的發(fā)展中起著舉足輕重的作用,。我國已進(jìn)入世界石油石化大國前列,，通過科技創(chuàng)新，已擁有一批具有自主知識產(chǎn)權(quán)的核心技術(shù)和專有技術(shù)，具備依靠自有技術(shù)建設(shè)千萬噸級煉油,、百萬噸級乙烯生產(chǎn)裝置的能力,，裝置大型化、產(chǎn)業(yè)集中度不斷提高,。隨著信息化與工業(yè)化不斷深入融合,，信息技術(shù)深刻影響和改變著石油石化行業(yè)經(jīng)營管理方式，信息技術(shù)在油田,、煉油,、化工、銷售全產(chǎn)業(yè)鏈上得到應(yīng)用,，信息系統(tǒng)已經(jīng)成為各企業(yè)經(jīng)營管理,、生產(chǎn)運(yùn)營、營銷服務(wù)的中樞神經(jīng),，智能油氣田,、智能煉化、銷售電商平臺,、一體化客戶管理,、全球供應(yīng)鏈與物流等信息化工作取得初步進(jìn)展，正在促進(jìn)引領(lǐng)石油石化行業(yè)的發(fā)展,。工業(yè)控制系統(tǒng)的定義是指由計算機(jī)與工業(yè)過程控制部件組成的自動控制系統(tǒng)[1],。本文所指的工業(yè)控制系統(tǒng)是指用于監(jiān)視和控制石油石化行業(yè)生產(chǎn)及供應(yīng)過程的、基于計算機(jī)及網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)及智能設(shè)備,，以及作為基礎(chǔ)支撐的通信及數(shù)據(jù)網(wǎng)絡(luò)等,；存量工業(yè)控制系統(tǒng)是指已正式投入生產(chǎn)運(yùn)行、尚無退運(yùn)計劃的工業(yè)控制系統(tǒng),。
1 存量工業(yè)控制系統(tǒng)等級保護(hù)實(shí)施的擴(kuò)展基本原則
存量工業(yè)控制系統(tǒng)等級保護(hù)實(shí)施工作除要遵守信息系統(tǒng)等級保護(hù)實(shí)施的“自主保護(hù),、重點(diǎn)保護(hù),、同步建設(shè),、動態(tài)調(diào)整”原則之外，還應(yīng)按照國家和行業(yè)對信息安全等級保護(hù)的有關(guān)要求,，堅持以下原則[2]：
1.1 結(jié)構(gòu)優(yōu)先原則
結(jié)構(gòu)安全是存量工業(yè)控制系統(tǒng)的安全基礎(chǔ),。存量工業(yè)控制系統(tǒng)大多投運(yùn)時間較早，在最初投運(yùn)時缺乏安全功能設(shè)計,，難以進(jìn)行技術(shù)改造或改造成本巨大,。通過優(yōu)化結(jié)構(gòu)，強(qiáng)化邊界防護(hù),，減少對威脅的暴露面,，降低脆弱性的可利用性，設(shè)置多道防線，重點(diǎn)防護(hù)實(shí)時控制系統(tǒng),。在確保結(jié)構(gòu)安全的前提下,，通過規(guī)范內(nèi)部物理和環(huán)境、網(wǎng)絡(luò)和通信,、設(shè)備和計算,、應(yīng)用和數(shù)據(jù)安全，加強(qiáng)安全策略和管理制度,、安全管理機(jī)構(gòu)和人員,、安全建設(shè)管理、安全運(yùn)維管理,，提高系統(tǒng)整體安全防護(hù)能力,，保證存量工業(yè)控制系統(tǒng)運(yùn)行及重要數(shù)據(jù)的安全。
1.2 聯(lián)合防護(hù)原則
存量工業(yè)控制系統(tǒng)安全除依靠運(yùn)行單位外,，還需依靠系統(tǒng)供應(yīng)商和安全服務(wù)機(jī)構(gòu),。同時，大多數(shù)存量工業(yè)控制系統(tǒng)隨著企業(yè)規(guī)模的壯大,，數(shù)字化,、集中化、自動化程度會越來越高,，不同廠商的工業(yè)控制系統(tǒng)集成互聯(lián),，集控或者遠(yuǎn)控功能不斷增強(qiáng)。存量工業(yè)控制系統(tǒng)還可能隸屬于不同責(zé)任主體,?；ヂ?lián)的存量工業(yè)控制系統(tǒng)除需根據(jù)自身特點(diǎn)和安全保護(hù)等級要求，采取技術(shù)與管理措施提高自身防護(hù)能力之外,，還應(yīng)實(shí)行聯(lián)合防護(hù),，提高互聯(lián)對端的存量工業(yè)控制系統(tǒng)的安全。上位工控系統(tǒng)企業(yè)還可利用其資源和技術(shù)優(yōu)勢,，加強(qiáng)對下位工控系統(tǒng)的技術(shù)監(jiān)督和指導(dǎo),。在應(yīng)急工作中，也需要采用聯(lián)合應(yīng)急方式,。
1.3 安全可控原則
存量工業(yè)控制系統(tǒng)在進(jìn)行系統(tǒng)設(shè)計,、開發(fā)，關(guān)鍵設(shè)備選型時應(yīng)滿足安全可控的原則,。優(yōu)先選擇經(jīng)過國家網(wǎng)絡(luò)安全審查或者我國自主研發(fā),，具有自主知識產(chǎn)權(quán)的系統(tǒng)及設(shè)備，嚴(yán)格禁止選用經(jīng)國家相關(guān)管理部門檢測認(rèn)定并經(jīng)有關(guān)部門通報存在漏洞和風(fēng)險的系統(tǒng)及設(shè)備,。
存量工業(yè)控制系統(tǒng)所使用的服務(wù)器,、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、安全服務(wù)等均應(yīng)通過逐步淘汰選用符合國家及行業(yè)標(biāo)準(zhǔn)的強(qiáng)制性要求,，由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測符合要求,。服務(wù)器、網(wǎng)絡(luò)設(shè)備,、安全設(shè)備,、安全服務(wù)的提供者不得設(shè)置惡意程序。發(fā)現(xiàn)服務(wù)器,、網(wǎng)絡(luò)設(shè)備,、安全設(shè)備、安全服務(wù)存在安全缺陷,、漏洞等風(fēng)險時,，應(yīng)當(dāng)立即采取補(bǔ)救措施，按照規(guī)定及時告知用戶并向有關(guān)主管部門報告,。
網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品應(yīng)當(dāng)按照相關(guān)國家標(biāo)準(zhǔn)的強(qiáng)制性要求,，由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測符合要求后，方可銷售或者提供,。
1.4 立體防御原則
存量工業(yè)控制系統(tǒng)安全防護(hù)工作應(yīng)形成立體防御格局,，在空間上，形成橫向（與本單位管理類信息系統(tǒng)的邊界）及縱向（不同責(zé)任主體或同一責(zé)任主體在不同地域的廣域網(wǎng)邊界）邊界防護(hù)的基礎(chǔ)上,，將防護(hù)措施逐步深入到承載業(yè)務(wù)系統(tǒng)運(yùn)行的主機(jī),、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備,、安全設(shè)備等,，加強(qiáng)安全基線和策略的配置，合理優(yōu)化設(shè)備和系統(tǒng)的功能參數(shù),，提升系統(tǒng)本體安全防護(hù)能力,，逐步形成柵格狀的縱深防御體系。在管理上,，形成技術(shù)與管理互補(bǔ)格局,，技術(shù)不足管理補(bǔ)，管理不足技術(shù)補(bǔ),，完善管理制度,、落實(shí)各項措施,，加強(qiáng)對人員和行為的管控,。在時間上，形成全生命周期的立體防御,，在系統(tǒng)設(shè)計,、開發(fā)、建設(shè)、運(yùn)行,、退運(yùn)等階段開展相應(yīng)的安全技術(shù)及管理工作,，在各個階段使系統(tǒng)的安全防護(hù)能力匹配于其所面臨的安全風(fēng)險。
2 角色和職責(zé)
存量工業(yè)控制系統(tǒng)等級保護(hù)實(shí)施過程中涉及的主要角色有：國家管理部門（公安機(jī)關(guān),、國家保密部門,、密碼管理部門、行業(yè)主管部門等）,，工控系統(tǒng)所屬單位或具有垂直管理關(guān)系上級單位的主管信息安全管理工作的部門,，運(yùn)行單位，信息安全服務(wù)機(jī)構(gòu),、測評機(jī)構(gòu),，信息安全產(chǎn)品供應(yīng)商，上位工控系統(tǒng)運(yùn)行單位或調(diào)度機(jī)構(gòu),，設(shè)計單位和系統(tǒng)供應(yīng)商,。
2.1 信息安全產(chǎn)品供應(yīng)商
信息安全產(chǎn)品供應(yīng)商負(fù)責(zé)按照國家及行業(yè)網(wǎng)絡(luò)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，開發(fā)符合等級保護(hù)相關(guān)要求的信息安全產(chǎn)品,，接受安全測評,；按照等級保護(hù)相關(guān)要求銷售信息安全產(chǎn)品并提供相關(guān)服務(wù)。
存量工業(yè)控制系統(tǒng)專用產(chǎn)品供應(yīng)商除應(yīng)做好上述工作外,，還應(yīng)當(dāng)以合同條款或者保密協(xié)議的方式保證其所提供的設(shè)備及系統(tǒng)符合有關(guān)規(guī)定,，在設(shè)備及系統(tǒng)的全生命周期內(nèi)對其負(fù)責(zé)，并按照國家有關(guān)要求做好保密工作,，禁止關(guān)鍵技術(shù)和設(shè)備的擴(kuò)散,。
2.2 存量工業(yè)控制系統(tǒng)供應(yīng)商
存量工業(yè)控制系統(tǒng)供應(yīng)商應(yīng)按照存量工業(yè)控制系統(tǒng)安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，配合運(yùn)行單位存量工業(yè)控制系統(tǒng)進(jìn)行整改和重新部署,，不得設(shè)置惡意程序,。一旦發(fā)現(xiàn)其產(chǎn)品和服務(wù)存在安全缺陷、漏洞等風(fēng)險時,，應(yīng)當(dāng)立即采取補(bǔ)救措施按照規(guī)定及時告知用戶并向有關(guān)主管部門報告,。
存量工業(yè)控制系統(tǒng)供應(yīng)商應(yīng)當(dāng)為其產(chǎn)品、服務(wù)持續(xù)提供安全維護(hù),；在規(guī)定的期限內(nèi),，不得終止提供安全維護(hù)。
存量工業(yè)控制系統(tǒng)供應(yīng)商提供的產(chǎn)品,、服務(wù)具有數(shù)據(jù)采集功能的,，應(yīng)將所采集的數(shù)據(jù)類型和需求向運(yùn)行單位說明，并取得同意后方可實(shí)施,。
此外在設(shè)備選型及配置時,，應(yīng)當(dāng)禁止選用經(jīng)國家相關(guān)管理部門檢測認(rèn)定并經(jīng)國家能源局通報存在漏洞和風(fēng)險的系統(tǒng)及設(shè)備,；對于已投入運(yùn)行的系統(tǒng)及設(shè)備，應(yīng)按照國家能源局及其派出機(jī)構(gòu)的要求及時配合運(yùn)行單位進(jìn)行整改,。
2.3 存量工業(yè)控制系統(tǒng)設(shè)計單位
工業(yè)控制系統(tǒng)設(shè)計單位和供應(yīng)商可能為不同單位,。存量工業(yè)控制系統(tǒng)技改時，運(yùn)行單位需協(xié)調(diào)系統(tǒng)原設(shè)計單位對技改部分進(jìn)行安全確認(rèn),，確保所實(shí)施的技改細(xì)節(jié)與原系統(tǒng)設(shè)計細(xì)節(jié)無沖突,。存量工業(yè)控制系統(tǒng)設(shè)計單位規(guī)劃設(shè)計信息系統(tǒng)時，應(yīng)明確系統(tǒng)的安全保護(hù)需求,，設(shè)計合理的安全總體方案,，制定安全實(shí)施計劃，負(fù)責(zé)信息系統(tǒng)安全建設(shè)工程的實(shí)施,。在設(shè)計過程中,，應(yīng)充分考慮系統(tǒng)整體結(jié)構(gòu)方面與存量工業(yè)控制系統(tǒng)安全防護(hù)原則的一致性，以及主機(jī),、網(wǎng)絡(luò),、應(yīng)用、數(shù)據(jù)等方面與存量工業(yè)控制系統(tǒng)信息安全等級保護(hù)要求的一致性,。
2.4 上位工控系統(tǒng)運(yùn)行單位或調(diào)度機(jī)構(gòu)
當(dāng)本級工業(yè)控制系統(tǒng)與上位工控系統(tǒng)運(yùn)行單位為不同單位時,，上位工控系統(tǒng)運(yùn)行單位或調(diào)度機(jī)構(gòu)需對下位工控系統(tǒng)運(yùn)行單位的等級保護(hù)工作實(shí)施技術(shù)監(jiān)督。
本級工控系統(tǒng)安全防護(hù)實(shí)施方案需經(jīng)本企業(yè)的上級專業(yè)管理部門和信息安全管理部門以及相應(yīng)上位工控系統(tǒng)運(yùn)行單位或調(diào)度機(jī)構(gòu)的審核,，方案實(shí)施完成后應(yīng)當(dāng)報請上述機(jī)構(gòu)參與驗收工作,。
接入上位工控系統(tǒng)網(wǎng)絡(luò)的設(shè)備和應(yīng)用系統(tǒng)，其接入技術(shù)方案和安全防護(hù)措施必須經(jīng)直接負(fù)責(zé)的上位工控系統(tǒng)或調(diào)度機(jī)構(gòu)同意,。
建立健全聯(lián)合防護(hù)和應(yīng)急機(jī)制,，制定專項應(yīng)急預(yù)案。上位工控系統(tǒng)運(yùn)行單位或調(diào)度機(jī)構(gòu)負(fù)責(zé)統(tǒng)一指揮其接入或調(diào)度范圍內(nèi)的工業(yè)控制系統(tǒng)安全應(yīng)急處理,。其它角色和職能參見國標(biāo)《信息系統(tǒng)安全等級保護(hù)實(shí)施指南》（GB/T 25058-2010）,。
圖1 劃為等級保護(hù)對象的工業(yè)控制系統(tǒng)定級階段工作流程
3 存量工業(yè)控制系統(tǒng)定級與備案
定級階段的目標(biāo)是運(yùn)行單位按照國家和行業(yè)有關(guān)標(biāo)準(zhǔn)和管理規(guī)范，確定劃入等級保護(hù)對象范圍內(nèi)的工業(yè)控制系統(tǒng)的安全保護(hù)等級,，經(jīng)相關(guān)信息安全管理部門審核,、批準(zhǔn)后，報公安機(jī)關(guān)備案,，獲取《信息系統(tǒng)安全等級保護(hù)備案證明》,，行業(yè)主管部門有要求的，定級備案結(jié)果抄送行業(yè)主管部門備案[3],。
工業(yè)控制系統(tǒng)和等級保護(hù)對象均是個統(tǒng)稱,。需對工業(yè)控制系統(tǒng)進(jìn)行分析，劃分其需納入等級保護(hù)對象的范圍,，在劃分了等級保護(hù)對象后,，逐一對各工業(yè)控制系統(tǒng)進(jìn)行分析，確定作為同一定級對象的工業(yè)控制系統(tǒng)的基本特征,。應(yīng)根據(jù)其承載業(yè)務(wù)和管理方式的變化動態(tài),、合理確定工業(yè)控制系統(tǒng)的定級對象。定級對象的基本特征為[3]：
?。?）具有唯一確定的安全責(zé)任單位
作為定級對象的工業(yè)控制系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位,。如果運(yùn)行單位（如調(diào)度中心或工廠運(yùn)行班組）負(fù)責(zé)系統(tǒng)安全建設(shè)、運(yùn)行維護(hù)等過程的全部安全責(zé)任,，則運(yùn)行單位可以成為此系統(tǒng)的安全責(zé)任單位,；如果一個單位中的不同下級單位分別承擔(dān)系統(tǒng)不同方面的安全責(zé)任，則該系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級單位共同所屬的單位,，如班組1運(yùn)行dcs1,班組2運(yùn)行dcs2,，dcs1和dcs2為同一供應(yīng)商同一型號的產(chǎn)品，單位（如廠級層面）有意將dcs1和dcs2統(tǒng)一定級為一個系統(tǒng),，則其責(zé)任單位可由班組1和班組2的上級單位如安生部承擔(dān),。
（2）具有信息系統(tǒng)的基本要素
作為定級對象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備,、設(shè)施按照一定的應(yīng)用目標(biāo)和規(guī)則組合而成的有形實(shí)體,。應(yīng)避免將某個單一的系統(tǒng)組件，如服務(wù)器,、終端,、網(wǎng)絡(luò)設(shè)備等作為定級對象。在具體的工業(yè)控制系統(tǒng)中,，PLC,、RTU等所處理的業(yè)務(wù)是業(yè)務(wù)系統(tǒng)的一部分，其不具備信息系統(tǒng)的基本要素,。
?。?）承載單一或相對獨(dú)立的業(yè)務(wù)應(yīng)用
定級對象承載“單一”的業(yè)務(wù)應(yīng)用是指該業(yè)務(wù)應(yīng)用的業(yè)務(wù)流程獨(dú)立，與其他業(yè)務(wù)應(yīng)用沒有數(shù)據(jù)交換,，且獨(dú)享所有信息處理設(shè)備,。定級對象承載“相對獨(dú)立”的業(yè)務(wù)應(yīng)用是指其業(yè)務(wù)應(yīng)用的主要業(yè)務(wù)流程獨(dú)立，同時與其他業(yè)務(wù)應(yīng)用有少量的數(shù)據(jù)交換,，定級對象可能會與其他業(yè)務(wù)應(yīng)用共享一些設(shè)備,，尤其是網(wǎng)絡(luò)傳輸設(shè)備。
應(yīng)避免單個裝置或設(shè)備（如PLC,、RTU等）作為單個定級對象進(jìn)行備案,。同一安全區(qū)域同一安全責(zé)任單位同一等級的工業(yè)控制系統(tǒng)可以整合成一個系統(tǒng)進(jìn)行備案。定級備案結(jié)果需相對合理,，沒有絕對正確和絕對統(tǒng)一的定級備案結(jié)果,。
4 存量工業(yè)控制系統(tǒng)等級測評與安全防護(hù)評估
等級測評是測評機(jī)構(gòu)依據(jù)國家信息安全等級保護(hù)制度規(guī)定,，按照有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對非涉及國家秘密信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行檢測評估的活動,。工業(yè)控制系統(tǒng)安全防護(hù)評估[5]是評估機(jī)構(gòu)依據(jù)國家標(biāo)準(zhǔn)或行業(yè)評估規(guī)范等,，對工業(yè)控制系統(tǒng)的安全防護(hù)狀況進(jìn)行評估的活動。等級測評和安全防護(hù)評估各有側(cè)重與優(yōu)勢,，宜同步開展測評與評估,，有助于全面測評和評估單個已定級的工業(yè)控制系統(tǒng)自身的等級保護(hù)狀況和與之互聯(lián)或關(guān)聯(lián)的其它工業(yè)控制系統(tǒng)的整體安全防護(hù)狀況。等級測評與安全防護(hù)評估階段的目標(biāo)是按照系統(tǒng)安全總體方案的要求,，結(jié)合系統(tǒng)安全建設(shè)項目計劃,，分期分步落實(shí)安全措施。
測評與評估階段的工作流程如圖2和圖3所示,。
圖2 等級保護(hù)測評階段工作流程
圖3 安全防護(hù)評估階段工作流程
5 存量工業(yè)控制系統(tǒng)整改與實(shí)施
存量工業(yè)控制系統(tǒng)安全整改是等級保護(hù)工作的重要環(huán)節(jié),。本活動發(fā)生在存量工業(yè)控制系統(tǒng)等級測評、安全評估,、安全自查,、監(jiān)督檢查等工作之后，主要是針對測評,、評估,、自查、檢查工作中發(fā)現(xiàn)的安全問題進(jìn)行有計劃的建設(shè)整改或技術(shù)改造,。
安全建設(shè)整改工作包括整改方案制定,、安全整改實(shí)施、整改結(jié)果驗證等主要過程,。安全建設(shè)整改階段的工作流程如圖4所示,。
圖4 存量工業(yè)控制系統(tǒng)整改流程
存量工業(yè)控制系統(tǒng)的整改技術(shù)措施，應(yīng)先在測試環(huán)境中測試和驗證通過后,，再部署到實(shí)際生產(chǎn)環(huán)境中,，并盡量選擇大小修期間、停機(jī)狀態(tài)進(jìn)行,，避免對生產(chǎn)過程造成影響,。整改實(shí)施前應(yīng)制定應(yīng)急措施，并做好備份工作,，確保即使出現(xiàn)問題系統(tǒng)也能夠回退并恢復(fù)到整改前的狀態(tài),。
短期內(nèi)可進(jìn)行整改的技術(shù)類問題需要運(yùn)行單位、開發(fā)單位,、設(shè)計單位共同參與,；需添加設(shè)備，與其他單位聯(lián)合進(jìn)行整改的安全問題,，其整改周期較長,，應(yīng)列入技術(shù)改造計劃,，聯(lián)合設(shè)計單位、開發(fā)單位,、供應(yīng)商以及其他運(yùn)行單位共同進(jìn)行,。從開發(fā)單位、設(shè)備供應(yīng)商獲得技術(shù)支持有難度的,，應(yīng)上報上級單位或行業(yè)主管部門統(tǒng)一規(guī)劃部署,，依法依規(guī)協(xié)調(diào)督促系統(tǒng)和設(shè)備原廠提供商支持,、配合系統(tǒng)單位的安全加固整改工作,，有效落實(shí)網(wǎng)絡(luò)安全整改措施。
對于行業(yè)普遍存在的,、整改難度較大的安全問題,，可上報行業(yè)主管部門，在行業(yè)主管部門的指導(dǎo)下,，聯(lián)合行業(yè)內(nèi)其他單位共同選出典型單位,，進(jìn)行試點(diǎn)實(shí)施，形成經(jīng)典案例,，確認(rèn)無誤后再在其他同類單位推廣應(yīng)用,。
整改過程中需采購新系統(tǒng)或新設(shè)備的，應(yīng)當(dāng)選擇使用經(jīng)過國家檢測認(rèn)證的系統(tǒng)及設(shè)備,，禁止選用經(jīng)國家相關(guān)管理部門檢測認(rèn)定并經(jīng)通報存在漏洞和風(fēng)險的系統(tǒng)及設(shè)備,。管理類安全問題的整改可與技術(shù)類安全問題的整改同步進(jìn)行，確保盡快完善管理制度體系,，并保證技術(shù)措施和管理措施相互促進(jìn),、相互彌補(bǔ)。