美國石油天然氣行業(yè)ics信息安全工作綜述

《美國石油天然氣行業(yè)ics信息安全工作綜述》由會員上傳分享，免費在線閱讀，更多相關內(nèi)容在工程資料-天天文庫。

1、美國石油天然氣行業(yè)ICS信息安全工作綜述及對我國的啟示文/熊琦靖小偉詹鋒滕征岑一、從關鍵基礎設施保護到石油天然氣行業(yè)工業(yè)控制系統(tǒng)信息安全美國是全球主要的石油牛產(chǎn)國之一，其產(chǎn)量僅次于沙特阿拉伯和俄羅斯，位居世界第三，生產(chǎn)規(guī)模極其龐大。美國經(jīng)濟和社會生活對能源消費的持續(xù)增長，使得石油天然氣行業(yè)的生產(chǎn)安全成為確保其持續(xù)繁榮、穩(wěn)定的關鍵因素。此外，石油天然氣行業(yè)的生產(chǎn)和儲運環(huán)節(jié)涉及大量易燃、易爆或有毒介質(zhì)，屬于高危行業(yè)，生產(chǎn)過程稍有閃失就會釀成災難性的事故，造成生產(chǎn)、設備、人員等方面的重大損失，甚至危害國家安全，容易成為國際恐怖主義的攻擊日標。為此，美國政府對石油天然氣行業(yè)的安全引起了高度重視

2、，早在2003年頒布的《第7號國土安全總統(tǒng)令》（HSPD?7）中，將包括石油行業(yè)在內(nèi)的能源板塊列入18個國家關鍵基礎設施范疇，要求對這些能夠為國土防御、經(jīng)濟安全以及國民健康持續(xù)提供服務的行業(yè)進行重點保護，防止其遭受自然災害或者恐怖主義襲擊。為了落實HSPD-7,美國國土安全部DHS聯(lián)合國防、能源、交通、外交等14個國家直屬部委，于2006年起草了《國家關鍵基礎設施保護計劃》（NIPP）,并在2009年推出了最新的修訂版；該計劃提出了一個針對國家關鍵基礎設施的風險管理框架，明確了各部委在關鍵基礎設施保護屮所扮演的角色和承擔的責任，同時授權美國能源部（DOE）作為行業(yè)歸口主管（Sectoe

3、SpecificAgency,SSA）負責石油天然氣行業(yè)等能源領域的關鍵基礎設施保護。隨后，在DOE于2010年同DHS聯(lián)合發(fā)布的《能源領域關鍵基礎設施保護計劃XEnergySector-SpecificPlan.ESSP）中，將石油天然氣行業(yè)的工業(yè)控制系統(tǒng)安全確定為重點保護內(nèi)容,并制定了能源領域控制系統(tǒng)安全保障路線圖，明確提出在10年內(nèi)完成對工控系統(tǒng)設計、安裝、操作和維護等環(huán)節(jié)的信息安全防護工作，使得石油天然氣等能源領域的工業(yè)控制系統(tǒng)具備對互聯(lián)網(wǎng)攻擊的抵抗能力。至此，依照HSPD-7等法律法規(guī)，石油行業(yè)工業(yè)控制系統(tǒng)己經(jīng)被列入國家關鍵基礎設施的重要組成部分，形成了以國土安全部和能源部共

4、同負責的信息安全管理體制，同時明確了該領域工作的近期和遠景規(guī)劃。二、石油天然氣行業(yè)工控系統(tǒng)特點及信息安全保障情況在美國石油天然氣行業(yè)中，隨著生產(chǎn)規(guī)模H趨大型化，生產(chǎn)裝置的密集程度越來越高，對操作、控制及安全的要求越來越嚴格，大量控制系統(tǒng)被用來執(zhí)行危險或者關鍵的操作，其中油氣田板塊、油氣管道和儲運板塊通常使用SCADA系統(tǒng)實現(xiàn)對管道和采油過程的監(jiān)控；而煉化板塊則人量采用DCS和PLC系統(tǒng)，對生產(chǎn)過程參數(shù)進行連續(xù)的動態(tài)監(jiān)控，這些自動化技術的應用在提高石油天然氣產(chǎn)量的同時，也有效降低了生產(chǎn)成本，節(jié)約了人力資源的消耗。此外，由于信息技術高度發(fā)達，從互聯(lián)結構上來看，美國石油行業(yè)控制網(wǎng)絡通常向下通

5、過無線和電話網(wǎng)同RTU等遠端設備相連，實現(xiàn)對生產(chǎn)數(shù)據(jù)的收集和控制指令的下發(fā)，向上同企業(yè)牛產(chǎn)控制網(wǎng)絡、辦公網(wǎng)相連，通過OPC等協(xié)議向上共亨區(qū)域生產(chǎn)數(shù)據(jù)，從而在企業(yè)辦公等高層網(wǎng)絡上通過Web服務提供生產(chǎn)數(shù)據(jù)發(fā)布服務；這種高度互聯(lián)的生產(chǎn)控制模式一方面雖然適合進行信息的流動和共亨，有利于提高生產(chǎn)管理效率，但另一方面卻容易從互聯(lián)網(wǎng)或者遠端設備引入針對控制系統(tǒng)的信息安全威脅，導致物理設備遭到非授權控制，引發(fā)生產(chǎn)安全。針対石油行業(yè)控制系統(tǒng)安全保障，美國政府、研究機構、行業(yè)協(xié)會等機構分別從各自的業(yè)務需耍出發(fā)，在資金資助、技術研發(fā)、標準制定等方面開展工作，按照行業(yè)通用性可以分為基礎領域（包括專用領域和其

6、他領域）和專用領域兩類，其分布可以表示為圖2。（1）基礎領域是指針對SCADA、DCS和PLC等通用工控系統(tǒng)的信息安全保障的活動，主要包括：美國商務部標準技術研究院（NIST）于20們年發(fā)布了SP800-82（工業(yè)控制系統(tǒng)信息安全指南）的最終版。該標準描述了典型工業(yè)控制系統(tǒng)的組成結構，對系統(tǒng)中可能存在的安全漏洞、威脅和風險進行了分類分析，給出了規(guī)避風險的一系列推薦措施，并在第6部分給出了適用于聯(lián)邦信息系統(tǒng)的SP800-53在工控系統(tǒng)中應用的具體方法；美國國土安全部國家網(wǎng)絡安全局（NCSD）設立了CSSP（控制系統(tǒng)安全計劃），從機構設置（ICS-CERT.ICSJWG）.工控漏洞信息通告

7、、工控信息安全事件響應等方面開展工作，在2004年到2008年間完成對151ICS系統(tǒng)的信息安全風險評估，并發(fā)布報告披露對其中存在的漏洞和隱患的分析結果；美國信息皋礎設施保障研究院（InstituteofInformationInfrastructureProtection,I3P）斥資8500萬美元實施TK-TX-003計劃，花費2年時間，資助包括MITRE公司、Virginia大學、Sandia國家實驗室在內(nèi)的笛家科研機構，對關鍵基礎設施行