加強工控安全防護·保障城鎮供水安全

城鎮供水的安全關系著國計民生，其重要性不言而喻，和電力、煤氣、交通、排水系統、熱力、通信等系統組成了城市賴以生存的生命線系統。一旦遭受破壞將會導致嚴重后果。因此供水企業的工控系統安全、可靠地運行，是市民的基本生活、保障城市功能正常運行的重要保障。

• 生產系統

自來水廠工控系統包括PLC等控制設備組成的工業環網、中央控制室工控主機、數據服務器等，實現對整個自來水廠工藝的生產過程監控、數據分析、故障報警等全方位的管理，以提高生產的可靠性和安全性，實現優質、低耗和高效供水。

• 防護范圍

針對當前自來水廠的網絡安全現狀，為保障其生產的安全穩定、可持續運行，需進行生產網絡安全風險評估及安全等級保護建設，涉及的范圍主要包括自來水廠自控系統。

政策依據

法律法規：《中華人民共和國網絡安全法》主席令 第五十三號

國務院：《關鍵信息基礎設施安全保護條例》國務院令第745號

工信部：《工業控制系統信息安全防護指南》（工信部信軟〔2016〕338號）

公安部：《信息安全技術 網絡安全等級保護基本要求》 （GB/T 22239-2019）

需求分析

• 標準合規性需求

作為國家重要的基礎設施，企業要加快完成安全技術體系與管理體系的建設工作，使之符合《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019）、《信息安全技術信息系統密碼應用基本要求》（GB/T 39786-2021）、《工業控制系統信息安全防護指南》等相關安全要求。

• 業務安全性需求

從工控網絡與架構、工控系統現場控制與過程監控層及工控協議安全三個層面進行需求分析：

①　工控網絡與架構 

自動化系統與信息化系統種類較 多，且大多企業存在數據流向不清晰、隔離措施不完善、隔離強度不達標等問題，造成各網絡子域間及跨網交換非授權訪問風險和病毒橫向傳播風險。

②　工控系統現場控制與過程監控層 

上位機、服務器存在大量漏洞，管理員對打補丁比較排斥，身份鑒別過于單一等情況；各主機未部署對已知與未知病毒的防護措施；同時存在誤操作、非法攻擊、勒索病毒感染等風險，生產企業迫切需要對工控主機進行加固及病毒免疫等。

③　工控協議安全 

當前在工控網絡中，各類安全威脅不斷涌入控制系統，而企業內部缺少對工業流量監測審計的手段，更無法對工控指令攻擊和控制參數篡改進行實時監測和 告警，讓網絡入侵輕易成功，最終導致安全生產事故的發生。

• 新技術安全需求

大數據、人工智能、云計算、物聯網等新技術逐漸應用到生產業務中。各生產工藝流程高度集成的自動控制系統，使得一些非法攻擊與入侵更容易進入生產控制網絡，信息安全風險極高。

解決方案

在滿足等級保護合規要求的前提下，結合自來水廠生產系統的特點，圍繞著生產系統生命周期的高可用性，安盟信息基于“一中心，兩分離、三邊界”安全防護設計思想，融合工控安全設備與生產系統功能要求，解決應用場景“個性化”安全需求，提升抵御安全風險及安全事件應對能力，確保生產系統可持續運行。

• 一中心

是指建設自來水廠自控網的網絡安全管理中心，對工業生產全景進行安全態勢感知、分析、預警及準入控制，并對異常報警行為形成工單分配給人工進行干預處理，同時與相應防護設備進行協同防御。

• 兩分離

為降低生產網因設備管理帶來的風險，建議企業規劃與業務網相對獨立的安全管理網絡，實現業務數據流和安全管理防護數據流的分離，互不干涉。安全管理網絡實現對網絡安全設備的配置管理、運行狀態收集、分析數據收集等。

• 三邊界

是指生產網邊界、內部區域邊界、主機邊界三個邊界?；谌吔绮煌踩雷o側重點和業務連續性要求，提供不同的安全防護技術和設備。

方案價值

• 業務保障

深度結合自來水廠自控系統的特點，解決系統存在的安全問題，降低安全運營風險，提高安全運維效率，為自來水廠自動化、智能化建設提供安全保障

• 安全合規

符合《工業控制系統信息安全防護指南》，符合《信息安全技術網絡安全等級保護基本要求》 (GBT22239-2019)。

• 綜合防護

通過強化區域內網絡、主機、物理環境及數據的安全防護，增強整體安全防護能力，確保自來水廠安全生產穩定運營，形成以邊界防護為要點、多層防線構成的縱深防護體系。