為了盡快制定工業(yè)控制系統(tǒng)信息安全等級(jí)保護(hù)標(biāo)準(zhǔn)，滿足國(guó)家需求和行業(yè)應(yīng)用，全國(guó)工業(yè)過(guò)程測(cè)量控制和自動(dòng)化標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC124）組織各相關(guān)行業(yè)專家成立工控信息安全等級(jí)標(biāo)準(zhǔn)起草工作組，并于2016年4月6日～7日在廣州召開(kāi)標(biāo)準(zhǔn)草案討論會(huì)。參加本次會(huì)議的專家分別來(lái)自公安部第三研究所、浙江大學(xué)、機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所、國(guó)家信息技術(shù)安全研究中心、中國(guó)軟件測(cè)評(píng)中心、工業(yè)和信息化部電子第五研究所、北京市軌道交通設(shè)計(jì)研究院有限公司、中石化齊魯石化公司、西南電力設(shè)計(jì)院、北京國(guó)電智深控制技術(shù)有限公司、西門子（中國(guó)）有限公司、施耐德電氣（中國(guó)）有限公司、北京和利時(shí)系統(tǒng)工程公司等單位。

工控安全工作組廣州召開(kāi)標(biāo)準(zhǔn)草案討論會(huì)

會(huì)議由SAC/TC124秘書(shū)處王玉敏教授級(jí)高工主持，公安部第三研究所袁靜副研究員做了《等級(jí)保護(hù)政策及標(biāo)準(zhǔn)相關(guān)說(shuō)明》的專題講座并向與會(huì)專家講解了GB/T22239.1與本標(biāo)準(zhǔn)的關(guān)系。機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所梅恪副所長(zhǎng)從國(guó)家需求、行業(yè)需求等方面闡述了工業(yè)控制系統(tǒng)等級(jí)保護(hù)標(biāo)準(zhǔn)制定的重要性及其意義。

與會(huì)專家對(duì)標(biāo)準(zhǔn)草案稿內(nèi)容進(jìn)行了認(rèn)真的討論，尤其對(duì)GB/T22239.1中的類以及相關(guān)的控制點(diǎn)是否適用于工業(yè)控制系統(tǒng)等保定級(jí)做了深入的分析。最后在確定以系統(tǒng)作為工控等保定級(jí)的基礎(chǔ)上，工作組專家達(dá)成一致意見(jiàn)：為了加快標(biāo)準(zhǔn)制定進(jìn)程，會(huì)后先由SAC/TC124秘書(shū)處以及相關(guān)單位按會(huì)議上專家的意見(jiàn)，根據(jù)GB/T30976.1-2014和IEC62443-3-3修改標(biāo)準(zhǔn)草案，將標(biāo)準(zhǔn)草案與GB/T22239.1中的控制點(diǎn)進(jìn)行映射，按照工控的技術(shù)要求和管理要求來(lái)修改本標(biāo)準(zhǔn)草案。并于6月30日前在各個(gè)行業(yè)征求意見(jiàn)。

信息安全等級(jí)保護(hù)制度是國(guó)家信息安全保障工作的基本制度、策略和方法，是促進(jìn)信息化健康發(fā)展，維護(hù)國(guó)家安全、社會(huì)秩序、公共利益、環(huán)境保護(hù)以及人身安全的根本保障。工信部協(xié)印發(fā)的《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》（[2011]451號(hào)）明確了加強(qiáng)工業(yè)控制系統(tǒng)信息安全保障的重要意義。

相關(guān)報(bào)道：上周，美國(guó)國(guó)土安全部ICS-CERT本周發(fā)布了關(guān)于工業(yè)控制系統(tǒng)（簡(jiǎn)稱ICS）的三項(xiàng)安全公告，再次強(qiáng)調(diào)基礎(chǔ)設(shè)施與工業(yè)網(wǎng)絡(luò)當(dāng)前所面臨的嚴(yán)重安全威脅。

其中一份公告ICSA-16-056-01描述了羅克韋爾自動(dòng)化公司旗下集成化架構(gòu)構(gòu)建工具（簡(jiǎn)稱IAB）應(yīng)用中的一項(xiàng)內(nèi)存訪問(wèn)沖突錯(cuò)誤。一旦被成功利用，其將允許攻擊者以等同于IAB工具的權(quán)限執(zhí)行惡意代碼。其只能由本地用戶加以利用，而且目前已經(jīng)得到修復(fù)。

在最近一篇匯總ICS當(dāng)前威脅形勢(shì)的博文當(dāng)中，F(xiàn)ortinet公司的RuchnaNigam強(qiáng)調(diào)指出：“大多數(shù)工業(yè)控制系統(tǒng)來(lái)自不同供應(yīng)商且運(yùn)行著專有操作系統(tǒng)、應(yīng)用程序以及協(xié)議（包括通用電氣、羅克韋爾、DNP3以及Modbus）。結(jié)果就是，基于主機(jī)且面向IT部門開(kāi)發(fā)的安全方案幾乎根本不適用于ICS。”