联系方式：010-67699308 7月20日，由中国化工学会化工自动化及仪表专业委员会、中国自动化学会仪表与装置专业委员会主办的“2017全国先进控制技术与自动化装备应用学术会议”年在丹东辽东学院召开。海天炜业被特邀出席会议，并发表《等保测评2.0下的工控系统网络安全风险评估的实践研究》的演讲。
海天炜业表示，《中华人民共和国网络安全法》规定，关系到国家安全、国计民生、公共利益的关键信息基础设施，尤其是我国的工业关键基础设施，近80%强依赖进口，存在着严重的安全隐患，一旦遭到网络攻击破坏而导致丧失功能或者数据泄露，可能会造成严重危害和国际影响。因此在网络安全等级保护制度的基础上，必须实行重点保护。而工业控制系统作为国家关键信息基础设施，是等级保护工作的核心保护对象。为了适应国家法律、政策的最新要求，工业控制系统等级保护相关标准需要扩展和完善，其中如何评价系统的安全状况将是开展后续工作的基础。
为保证工业控制系统网络安全，必须从风险评估入手，使用符合工控系统特点的理论、方法和工具，准确发现工控系统存在的主要问题和潜在风险，才能更好地指导工控系统的安全防护，才能建立满足生产需要的工控系统网络安全纵深防御体系。工业控制系统网络安全主要参考IEC 62264-1对工控系统进行层次结构划分，参考IEC 62443-1-1对工控系统进行分安全域保护，结合IEC 62264-1标准、IEC 62443系列标准、集散控制系统(DCS)安全类系列标准(GB/T 30009.1-2016~GB/T 30009.4-2016)等相关标准的基础上，通过对工控系统整体框架以及各个网络层次、各层的各个软件硬件组件，针对不同安全等级，设计出网络安全等级保护所应该保护的数据、协议、流量等等级保护要求，并根据具体的工控系统对象、应用的场合和工艺要求等确定具体的网络安全措施的落实，但必须以不影响工控系统的正常运行和SAFETY安全为前提。
此外，由于工业控制系统的特殊性，其风险评估与IT的风险评估有一些不同，有一些特殊的方面需要引起注意：
a)工控系统的敏感性和时效性都要求比较高，因此技术性的评估设备在使用过程中，需要做好充分的风险识别和处置预案，如漏洞扫描原则上不能直接应用于工控系统，而是通过在备用系统或者停产系统上漏扫的方式进行。对工控系统进行在线漏洞扫描很可能造成生产异常，在这方面有很多真实案例，例如：某一安全厂商受邀对国内某著名火电集团的工控系统做风险评估，由于使用在线的漏洞扫描方式，导致数据采集服务器宕机，从而造成关键生产数据丢失。
b)渗透测试作为风险评估的有效工具方法，其直观性显而易见，但是凡事有利就有弊，渗透测试的过程控制在工控系统风险评估中尤其重要。如果渗透人员对工控系统了解不足，在渗透过程中有误操作行为产生，那么很可能带来直接的安全问题生产灾难，将测试变成了攻击。
关于海天炜业：
2017年4月，经中国信息安全认证中心认可，海天炜业成为青岛首家获得信息安全风险评估服务资质认证(二级)的企业。该项资质的取得，是中国信息安全认证中心对海天炜业信息安全服务能力的认可。获得“信息安全风险评估”服务资质后，海天炜业的“工控网络安全整体解决方案”将优化升级，为用户提供“评估-完善-后评估”的“一站式”服务，为用户的工业控制系统安全、稳定运行保驾护航。
