北京启明星辰信息安全技术有限公司 北京市 100085
摘要：船舶工业是我国国民经济的重要领域之一。近年来，国内外工业信息安全事件频发，我国工业基础设施正面临越来越多的病毒、木马、黑客入侵等工控信息安全威胁。本文将围绕船舶行业工业控制系统信息安全问题进行研究，介绍针对船舶行业的工控安全防护产品，推广主动防御技术和策略，旨在提升船舶行业工业控制系统信息安全保障能力。
关键字：信息安全；船舶行业；工业控制
一、国内外船舶行业现状
1.1国外船舶行业发展趋势
船舶制造是技术综合性产业，也是一个国家的战略性产业。世界先进造船国家一直研究设计制造一体化的先进技术，实现了船舶产品全生命周期管理。船舶制造信息化涉及的技术包括：辅助产品开发设计类，如CAD、CAPP（计算机辅助工艺设计）、计算机集成制造系统CIMS、计算机辅助制造CAM、柔性制造FMS、制造执行系统MES、虚拟制造VM、网络化制造NM等。国外船舶制造信息化发展已经相对成熟，正在向动态（虚拟）组合、过程仿真、模块化和数字化的方向发展。
1.2国内船舶行业发展趋势
船舶工业是我国经济的重要支柱产业，中国船舶行业造船技术近些年发展迅速。两化融合为企业信息化发展带来新的机遇，部分企业在生产设计方面引入先进的软件系统，如Tribon、NAPA等，采用CMIS对生产过程进行管理，在数字化设计、分析、验证与仿真、船厂ERP系统、集中采购等多个领域取得积极效果。两化融合发展是保障互联网与制造业融合创新的重要途径，是我国工业化与信息化发展的重要动力。因此，大力发展先进制造，加强两化融合仍是我国船舶行业未来工作的重点。
二、我国船舶行业工业化和信息化安全态势
我国船舶行业工业控制系统核心设备自主可控水平低，基本安全防护措施不足，很多企业工控系统需要国外厂商才能维护。企业在开展信息安全保障工作时，缺乏相应的安全风险发现能力，难以进行有效安全测试与评估。企业在选择工业控制系统软硬件产品、工业互联网解决方案时，无法确定是否合规。因此，提出船舶工业控制系统信息安全防护的方式方法，提升船舶工业控制系统信息安全的防护能力尤为重要。
三、船舶行业信息化过程中的信息安全问题
3.1主动防御意识不够
船舶行业的管理层通常较为重视信息化建设工作，对信息安全事件通常采取事后管理，缺乏主动防御意识。目前尚未建立体系化的工业控制系统安全管理规范，工控安全风险评估和应急响应策略不足。
3.2家底不清楚、资产不明确
工业控制子系统数量大、种类多、系统使用周期较长，各类资产数据、使用记录、运行状态都不明确,有些资产安装初期就存在安全漏洞与隐患，一旦被恶意利用会对行业生产运营造成严重影响。
3.3物理和环境安全防护意识不够
很多工业控制系统应用于生产一线，无视频监控、专人值守，处于“裸奔”状态。这些软硬件设备如果遭受自然灾害、人为破坏或者操作失误，将对生产业务系统造成严重损失。
3.4身份认证和访问策略不合规
身份认证的目的是确认操作者身份的合法性，确定该用户是否具有对某种资源的访问和使用权限，从而使工业控制系统的访问策略、操作行为合规合法。如果身份认证机制失效，易出现身份冒认、非法访问等行为，进而对工业生产的正常运行造成威胁。
3.5船舶行业工业控制软件安全
我国船舶工业控制系统多数采用国外的系统，工业主机需要选择系统兼容的安全软件，制定安全软件管理措施，满足工业主机安全防护需求。工控系统应用软件没有身份鉴别、密级标识和访问控制机制，工控软件难以自行改造，存在安全隐患。
3.6工业控制系统自身安全漏洞
国外工业控制设备和工业控制系统通常存在安全漏洞，如果被攻击利用会造成信息安全事故，甚至会造成财产损失及人身安全。随着两化融合和物联网的发展，TCP/IP协议和OPC协议广泛地应用于船舶工业控制网络，工业控制系统的安全性和可靠性迎来新的挑战。
3.7两化融合带来的边界风险
随着“两化融合”的推进，船舶行业生产网和管理网互联互通,管理网和互联网的安全风险很容易渗透到工控网络。如果工业网络边界和安全设备未能进行有效隔离防护，一旦工业控制网络遭受病毒感染和恶意攻击，将会造成严重后果。
四、船舶行业工业控制系统信息安全防护建议
4.1行业信息安全建设参考国家标准
按照GB/T 22239-2019相应等级的安全要求，进行安全建设、管理和运维。贯彻工信部《工业控制系统信息安全防护指南》要求，制定工控安全防护实施方案，进行工业控制系统信息安全建设。
4.2建立行业信息安全责任管理体系
船舶行业应当建立信息安全管理体系，完善考核机制，确认信息安全责任，定期对信息安全工作进行考核，全面提升信息安全工作效率。
4.3信息资产分类、分级、责任化管理
船舶行业可以通过资产清单梳理，全面识别信息资产并进行分级分类管理。结合资产类型、影响、威胁、弱点等要素，对资产进行风险评估，建立资产清单，明确管理责任人。
4.4管理人员登录可信任、访问合标准
安全运营管理应遵循权限分离原则，确保每个登录用户可信任、可管理、可追溯，避免未经授权登录或不当使用行为。严格账号管理，根据业务访问需要分级分类设置账户权限，定期清理用户和管理员账户，关闭无关端口和服务。
4.5工业控制系统安全软件的选择与管理
工业系统安全软件上线前应在离线环境中对安全软件测试验证，确定无风险后部署在工业主机。严格管理临时接入设备（笔记本、U盘、光盘等移动存储介质），防止遭受病毒和恶意软件攻击。
4.6工业控制系统安全漏洞管理和安全监测
工业控制系统暴露出来的安全漏洞越来越多。企业可以通过安全设备（如工业漏扫、入侵检测系统）对工业控制系统进行漏洞管理与策略防护。
(1)工业控制系统漏洞扫描系统
部署漏洞扫描系统对船舶行业工业控制系统中的SCADA、DCS系统、PLC控制设备、应用或系统进行扫描，为工业控制系统提供全方位漏洞分析检测。
(2)工业控制安全入侵检测系统
部署工业控制安全入侵检测系统，进行网络梳理和工控异常监测。系统可检测利用工控设备漏洞的攻击行为，检测工控协议自身缺陷并深度解析，总结业务白名单，实现工控系统网络安全的有效检测及异常报警。
4.7生产网和互联网网络边界防护策略
船舶行业可以通过安全设备，将生产网、互联网以及开发/测试网进行边界隔离，防止工业控制网络遭受越权访问和恶意攻击。
(1)工业防火墙
工业防火墙适用于SCADA、DCS、PCS、PLC等工业控制系统，设备可部署在工业网络每层边界，对数据采集进行安全过滤和逻辑隔离。设备也可以部署到关键位置对工程师站或者PLC进行逻辑隔离防护。工控防火墙系统能够支持50多种工控防护模型和OPC、Modbus及Profinet协议的深入规则解析，能够支持10种以上工控入侵行为的防御功能。
(2)工业网闸
工业网闸利用网络隔离与访问控制技术，对重点数据安全隔离保护。工业网闸能对OPC、Modbus、IEC等工业协议进行深度解析、合规性检查、指令过滤等操作，配置防护策略，保障生产控制网和生产管理网的通讯安全。
总结与展望
综上所述，船舶制造业是我国国民经济的重要支柱产业，做好船舶行业信息安全工作意义重大，它不仅能提升行业整体工业信息安全意识，进一步提升大型自动化设备本质安全水平，还能保障国家军民融合领域船舶重大工程工业控制系统信息安全，提升整个行业工业信息安全防护水平。
参考文献
[1]信息安全技术关键信息基础设施安全控制措施（征求意见稿）2018.
[2]GB/T25070-2019信息安全技术网络安全等级保护安全设计技术要求.
[3]《工业控制系统信息安全防护指南》.
[4]王应站.船舶信息传输网络用户访间安全性研究[J].舰船科学技术,280.(05).16-168.
[5]张纯朋.风险管理在船舶安全管理信息系统中的应用[J].中国设备工程,2016,(07).21-21.