加強(qiáng)核電廠工業(yè)控制系統(tǒng)信息安全監(jiān)管的若干思考(梁昊飛)

1、2022年5月4日2022-5-41引言環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站 引言2022-5-42環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站 引言2022-5-4Dillon Beresford3 引言45 引言2022-5-4環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站6核電工控系統(tǒng)信息安全監(jiān)管現(xiàn)狀關(guān)注的主要問題對(duì)策建議2022-5-47圖1 我國核電廠工業(yè)控制系統(tǒng)信息安全監(jiān)管模式 核電廠工控系統(tǒng)是我國重要領(lǐng)域工業(yè)控制系統(tǒng)1，其信息安全直接關(guān)系到國家重大基礎(chǔ)設(shè)施安全、核安全和能源（電力）安全，因此長期以來形成了跨領(lǐng)域多部門協(xié)同監(jiān)管的模式。環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站名 稱類型中華人民共和國主席令中華人民共和國國

2、家安全法、刑法、刑法修正案（七）、治安處罰法、警察法、網(wǎng)絡(luò)安全法（草案）、放射性污染防治法法律中辦發(fā)200327號(hào)國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見中央及國務(wù)院文件國發(fā)201223號(hào)國務(wù)院關(guān)于大力推進(jìn)信息化發(fā)展和切實(shí)保障信息安全的若干意見國辦發(fā)200758號(hào)國務(wù)院辦公廳關(guān)于開展重大基礎(chǔ)設(shè)施安全隱患排查工作的通知國務(wù)院令147號(hào)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例行政法規(guī)國務(wù)院1986年10月29日發(fā)布民用核設(shè)施安全監(jiān)督管理?xiàng)l例國務(wù)院令第500號(hào)民用核安全設(shè)備監(jiān)督管理?xiàng)l例公安部令第51號(hào)計(jì)算機(jī)病毒防治管理辦法部門規(guī)章國家經(jīng)貿(mào)委令第30號(hào)電網(wǎng)和電廠計(jì)算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)安全防護(hù)規(guī)定國家環(huán)

3、?？偩至畹?6號(hào)進(jìn)口民用核安全設(shè)備監(jiān)督管理規(guī)定（HAF604）國家發(fā)改革委2014年第14號(hào)令電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定國核安發(fā)200481號(hào)核動(dòng)力廠設(shè)計(jì)安全規(guī)定(HAF102)公通字200743號(hào)信息安全等級(jí)保護(hù)管理辦法電安生1997239號(hào)并網(wǎng)核電廠電力生產(chǎn)安全管理規(guī)定辦安全201296號(hào)核電站二次系統(tǒng)安全防護(hù)技術(shù)規(guī)定（試行）公信安20071360號(hào)信息安全等級(jí)保護(hù)備案實(shí)施細(xì)則公信安2008736號(hào)公安機(jī)關(guān)信息安全等級(jí)保護(hù)檢查工作規(guī)范國能安全2014317號(hào)電力行業(yè)網(wǎng)絡(luò)與信息安全管理辦法國能安全2014318號(hào)電力行業(yè)信息安全等級(jí)保護(hù)管理辦法公通字200466號(hào)關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施

4、意見其他規(guī)范性文件電監(jiān)安全200634號(hào)電力二次系統(tǒng)安全防護(hù)方案公信安2007861號(hào)關(guān)于開展全國重要信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知電監(jiān)信息2007 34號(hào)關(guān)于開展電力行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作的通知電監(jiān)信息2007 44號(hào)電力行業(yè)信息系統(tǒng)等級(jí)保護(hù)定級(jí)工作指導(dǎo)意見公信安20091429號(hào)關(guān)于開展信息安全等級(jí)保護(hù)安全建設(shè)整改工作的指導(dǎo)意見工信部協(xié)2011451號(hào)關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知表表1.1主要核電廠工控系統(tǒng)信息安全監(jiān)管相關(guān)法規(guī)清單主要核電廠工控系統(tǒng)信息安全監(jiān)管相關(guān)法規(guī)清單2022-5-4環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站9GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)

5、等級(jí)劃分準(zhǔn)則國家強(qiáng)制標(biāo)準(zhǔn)GA 243-2000計(jì)算機(jī)病毒防治產(chǎn)品評(píng)級(jí)準(zhǔn)則行業(yè)強(qiáng)制標(biāo)準(zhǔn)HAD102/14核動(dòng)力廠安全重要儀表和控制系統(tǒng)核安全導(dǎo)則HAD102/16核動(dòng)力廠基于計(jì)算機(jī)的安全重要系統(tǒng)軟件GB/T13284.1-2008核電廠安全系統(tǒng)第1部分：設(shè)計(jì)準(zhǔn)則核安全領(lǐng)域國家推薦標(biāo)準(zhǔn)GB/T13629-2008核電廠安全系統(tǒng)中數(shù)字計(jì)算機(jī)的適用準(zhǔn)則NB/T 20054-2011核電廠安全重要儀表和控制系統(tǒng)執(zhí)行A類功能的計(jì)算機(jī)軟件核電行業(yè)推薦標(biāo)準(zhǔn) NB/T 20055-2011核電廠安全重要儀表和控制系統(tǒng)執(zhí)行B 類和C類功能的計(jì)算機(jī)軟件NB/T 20298-2014核電廠安全重要數(shù)字儀表和控制系統(tǒng)硬

6、件設(shè)計(jì)要求NB/T 20026-2014核電廠安全重要儀表和控制系統(tǒng)總體要求NB/T 20300-2014核電廠安全重要儀表和控制系統(tǒng)執(zhí)行 A類功能的HDL可編程集成電路開發(fā)NB/T 20344-2015核電廠安全級(jí)電子設(shè)備鑒定規(guī)程GB/T 26333-2010工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估規(guī)范工業(yè)控制領(lǐng)域國家推薦標(biāo)準(zhǔn)GB/T 30976.1-2014工業(yè)控制系統(tǒng)信息安全第1部分：評(píng)估規(guī)范GB/T 30976.2-2014工業(yè)控制系統(tǒng)信息安全第2部分：驗(yàn)收規(guī)范20130783-T-604集散控制系統(tǒng)（DCS ）安全防護(hù)標(biāo)準(zhǔn)（征求意見稿）20130784-T-604集散控制系統(tǒng)（DCS ）安全管理標(biāo)準(zhǔn)

7、（征求意見稿）20130785-T-604集散控制系統(tǒng)（DCS ）安全評(píng)估標(biāo)準(zhǔn)（征求意見稿）20130786-T-604集散控制系統(tǒng)（DCS ）風(fēng)險(xiǎn)與脆弱性檢測標(biāo)準(zhǔn)（征求意見稿）20130787-T-604可編程邏輯控制器（PLC ）安全要求（征求意見稿）表表1.2主要核電廠工控系統(tǒng)信息安全監(jiān)管相關(guān)標(biāo)準(zhǔn)清單主要核電廠工控系統(tǒng)信息安全監(jiān)管相關(guān)標(biāo)準(zhǔn)清單2022-5-4環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站10監(jiān)管制度：多年來，我國在核電廠工控系統(tǒng)信息安全方面建立了安全風(fēng)險(xiǎn)和漏洞通報(bào)、信息安全產(chǎn)品強(qiáng)制性認(rèn)證、信息安全人員測評(píng)與資質(zhì)認(rèn)定等系列監(jiān)管制度；其中，最重要的是信息安全等級(jí)保護(hù)制度和核安全許可監(jiān)督制度

8、。2022-5-4環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站11 核安全許可監(jiān)督制度是1986年民用核設(shè)施安全監(jiān)督管理?xiàng)l例和國務(wù)院500號(hào)令中確定的基本制度。核電廠安全重要構(gòu)筑物、系統(tǒng)、設(shè)備的設(shè)計(jì)、制造、建造必須經(jīng)過國家核安全局的技術(shù)審評(píng)，只有在確認(rèn)滿足相關(guān)法規(guī)標(biāo)準(zhǔn)要求后，國家核安全局才頒發(fā)相應(yīng)行政許可；同時(shí)，國家核安全局派駐核安全監(jiān)督員對(duì)核電廠的設(shè)計(jì)、制造、建造、調(diào)試、運(yùn)行直至退役等活動(dòng)進(jìn)行全過程的核安全監(jiān)督。2022-5-4環(huán)境保護(hù)部華南核與輻射安全監(jiān)督站12 總體來看,信息安全等級(jí)保護(hù)制度側(cè)重在信息安全（security）的保障方面，主要考慮對(duì)人為地有意破壞進(jìn)行的保障和保衛(wèi)； 而核安全許可監(jiān)督制度通常是針對(duì)功能安全（safety）方面的，主要考慮硬件和軟件的隨機(jī)故障所導(dǎo)致工控系統(tǒng)失效對(duì)核安全、輻射環(huán)境安全和公眾安全的影響。對(duì)核電廠工控系統(tǒng)信息安全問題的特殊性認(rèn)識(shí)不足對(duì)核電廠工控系統(tǒng)信息安全問題的后果估計(jì)不足核電廠工