★ 中衡特尔维检测技术（北京）有限公司 蔡丽丽

党的二十大报告提出，到2035年基本实现新型工业化。在推动新阶段新型工业化进程中，数字化、智能化成为工业企业技改升级的重要抓手。继工业互联网赋能之后，工业企业围绕“数字化转型”“智能化升级”，加强新一代信息技术与工业生产的集成应用，加速发展新质生产力。网络化是数字化、智能化的基础资源保障和数据要素来源，经典工业控制系统模型在网络化背景下已发生改变，能否针对工业控制系统实施信息安全风险控制、防范化解网络和数据安全风险隐患，成为工业企业顺利实现转型升级的关键因素。

经典的工业控制系统层次结构图，从上到下依次为企业资源层、生产管理层、过程监控层、现场控制层和现场设备层。随着工业互联网的发展，以及企业的数字化转型、智能化升级提速，该层次已不能完全适用。新技术、新装备的使用，以及工业企业上云等，使得对应风险评估的资产、脆弱性和威胁也发生了变化。

（1）新型工业化背景下的工业控制系统风险现状

经典工业控制系统通常包括SCADA（监控和数采系统）、DCS（分布式控制系统）、PLC（可编程逻辑控制器）等，应用环境封闭、独立，信息安全隐患不足为虑。我国大部分工业控制系统建设较早，在信息技术欠发达时代考虑的信息安全较少，且并没有随着科技发展而升级，导致其自身安全能力不足。随着新技术如云计算、大数据、人工智能、边缘计算等在工业生产中的应用，以及越来越多的软硬件设施包括智能终端、采集设备等接入网络，打破了相对封闭可信的传统工业控制系统环境，OT、IT、DT、CT紧密融合，安全边界逐渐模糊，互联网的威胁进入工业控制系统，工业控制系统的脆弱性被黑客瞄准。与此同时，边缘计算平台、云平台接入工业控制系统，汇聚了海量的多源异构数据，使得数据处理和利用不断促进数字化、智能化，但也引入了数据安全风险。所以传统的仅针对工业控制系统的信息安全风险评估在新形势下的适用性、有效性大幅下降，从而催生了新型工业化背景下的工业控制系统信息安全风险评估，进而为数智升级提供可靠保障。

（2）工业企业上云导致的风险

《2023上半年云安全态势报告》显示，工业云是遭受攻击最多的三大行业之一。在数字化转型过程中，工业企业使用工业互联网平台、边缘计算平台存储、处理数据。对于工业互联网平台，涉及到如MES（生产过程执行系统）、PLM（产品生命周期管理系统）等系统的云化部署、本地部署的常规工业控制系统数据上云。对于边缘计算平台，通过控制器、网关或服务器连接大量的现场设备、机床或产线，使得存储和计算下移。工业互联网平台、边缘计算平台带来的其自身的风险评估情况、接入安全风险及公有云安全风险管理，都将成为工业控制系统信息安全风险评估考量的因素。

（3）智能资产导致的风险

在智能化升级过程中，智能装备如数控机床、数控电气，智能设备如工业机器人、智能车载等资产的广泛使用，使得工业控制系统呈现新的风险因素。智能资产系统可能存在漏洞及后门，攻击者可以通过漏洞控制设备、通过后门窃取数据，造成工业企业的损失。另外，智能资产所在的网络区域，若未使用防火墙、网闸等边界安全设备，同时又使用智能终端通过互联网对其进行远程监测时，IT和OT的边界消失，极易遭受来自IT端的网络攻击。因此，智能资产的信息安全风险评估成为工业控制系统风险评估的一部分。

（4）供应链安全导致的风险

新型工业化背景下，工业企业应用固件、软件、组件和系统越来越多，软件或系统封装层级越来越高，针对供应链各个环节的攻击急剧上升，导致整体供应链安全威胁越来越大。针对供应链的安全攻击事件呈快速增长态势，Gartner曾预测，到2025年全球至少45%的企业机构将遭遇软件供应链攻击。再者软件开发工具，若植入恶意代码，将会编译出缺陷代码。曾疑似IOS开发工具Xcode被植入了恶意代码，用该工具编译的App会泄漏手机隐私信息。因此开展供应链安全风险评估，是对新型工业化背景下工业控制系统要求的细化，可以帮助企业识别供应链安全弱点、实施控制措施、提升其关键环节的安全防护能力。

我国高度重视工业控制系统信息安全风险评估，多部法律法规提出了风险评估要求，多项国家标准对风险评估实施过程提供了指导，针对风险评估进行已有安全措施确认。新阶段的工业企业风险评估不能仅遵守工业控制系统相关的风险评估，而应能更适应联网化、数字化、智能化的发展趋势，为企业数智升级提供安全保障。

（1）法律法规对工业控制系统风险评估的规定

《中华人民共和国网络安全法》规定：国家实行网络安全等级保护制度，国家网信部门协调有关部门建立健全网络安全风险评估和应急工作机制，国家推进网络安全社会化服务体系建设，鼓励有关企业、机构开展网络安全认证、检测和风险评估等安全服务。《中华人民共和国数据安全法》规定：国家支持有关部门、行业组织、企业、教育和科研机构、有关专业机构等在数据安全风险评估、防范、处置等方面开展协作；重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

《工业控制系统网络安全防护指南》提出，新建或升级工业控制系统上线前、工业控制网络与企业管理网或互联网连接前，应开展安全风险评估。《工业互联网企业网络安全分类分级指南（试行）》规定：三级工业互联网企业应当至少每年进行一次网络安全风险评估与审计。《工业和信息化领域数据安全管理办法（试行）》规定：工业和信息化领域重要数据和核心数据处理者应当自行或委托第三方评估机构，每年对其数据处理活动至少开展一次风险评估，及时整改风险问题，并向本地区行业监管部门报送风险评估报告；中央企业应当督促指导所属企业，在重要数据和核心数据目录备案、核心数据跨主体处理风险评估、风险信息上报、年度数据安全事件处置报告、重要数据和核心数据风险评估等工作中履行属地管理要求。

（2）工业控制系统风险评估的参考标准

GB/T 20984-2022《信息安全技术 信息安全风险评估方法》是工业互联网企业针对工业控制系统实施风险评估的核心依据，它从资产、脆弱性、威胁、已有安全措施四个方面进行风险识别，通过风险分析计算事件发生的可能性、评估对象的损失、系统资产面临的风险值，最终计算出业务风险值。GB/T 36466-2018《信息安全技术 工业控制系统风险评估实施指南》根据工业控制系统的资产安全特性，分析威胁、脆弱性和保障能力，通过风险计算完成综合分析与评价，最后根据判定结果及企业自身情况进行残留风险处置。GB/T31722-2015《信息技术安全技术 信息安全风险管理》提供了信息安全风险管理指导，可用于工业企业。当前该标准正在升级转版，新标准名称定为《信息安全技术 信息安全风险管理指导》。

（3）已有安全措施确认的标准依据

针对工业控制系统网络安全进行测评的标准，涵盖网络安全等级保护2.0标准体系，包括GB/T 22239-2019《网络安全等级保护基本要求》、GB/T 28448-2019《网络安全等级保护测评要求》等；工业互联网企业网络安全系列标准包括GB/T 44462.1-2024《工业互联网企业网络安全 第1部分：应用工业互联网的工业企业防护要求》、GB/T  44462.2-2024《工业互联网企业网络安全 第2部分：平台企业防护要求》等。这些标准可以用于企业对工业控制系统已有安全措施进行有效性确认。企业采取的防护措施包括防火墙、入侵检测、数据加密、访问控制等，是降低脆弱性并抵御威胁的手段，可通过配置核查、漏洞扫描、渗透测试等技术手段验证防护措施的有效性。

由于风险评估涉及的企业多样、人员差异等因素，导致其结果存在一定的不确定性，因此在开展工业控制信息系统信息全风险评估过程中要尽量考虑全面，并定期实施。

（1）工业控制系统风险评估面临的问题

一是，工业控制系统应用于多种类型的工业企业，如钢铁、有色、石化等，企业类型及规模大小不同，其风险评估侧重也有所不同；二是，风险评估具有主观性，工控系统风险评估无论依赖于第三方还是自身，都有其盲区，评估者的视角和经验都会影响评估结果；三是，风险评估的方法并不一致，智能资产、云平台或关键部件若单独进行风险评估，评估方法一致性是工业控制系统信息安全风险评估结果准确性的重要因素。

（2）定期开展工业控制系统信息安全风险评估

由于工业控制系统相关的资产、脆弱性和威胁不是一成不变的，因此工业企业需要通过定期开展信息安全风险评估，全面了解自身的网络和数据安全水平，根据评估结果优化防护措施，及时消除不可接受的风险隐患，将风险控制在可接受范围内，为企业数智升级提供保障，为实现新型工业化目标打下基础。

参考文献略。