标准规范
2020年是工业控制系统（ICS，industrial control system）网络安全建设的重要一年，未来几年在石化行业有大范围推广的趋势，自控猫从即日起新增ICS网络安全系列文章，从一些基本概念开始，试图逐步学习控制网络安全的知识点。
网络安全的法律法规出现的较早，国内在90年代就有相关的文件，在14年也颁布了网络安全法的法律文件。涉及到网络安全的主管部门是公安部，这和我们做安全评估的应急管理厅及做设计的住建部是不一样的。网络安全从民用逐步向工业转变，民用中包括银行、电信、政府部门等信息系统，工业中先行的是电力、核电、水利、燃气等涉及到大范围民生的行业，未来几年石化也会是重点区域，这次疫情让大家明白，石化依旧是支柱产业，发生紧急情况后缺乏石化体系的支撑是不行的。
ISO里很早就有关于网路安全的标准，如ISO/IEC 27001《信息安全管理要求》、ISO/IEC27002《信息安全控制实施规程》等，但这些是面向所有行业的通用要求，石化的网络安全监管有其自有的特点，还需结合行业实际情况去做网络安全相关工作。
IEC62443《工业控制系统的信息安全标准》是我们做ICS网络安全工作的基础性标准文件，这一点类似于IEC61511对石化系统做SIS的意义。目前国内对其第一章节做了翻译工作，即GB/T33007-2016，如下图所示。
IEC文件有个普遍的特点，其写作思维模式是西方模式，大部分IEC文件读起来都不是很好理解，尤其国内翻译时采用直译的方式，译文通常也很难理解。IEC62443分为四个部分，第一章节主要是一些术语概念、全生命周期管理等（这个也类似于IEC61508.1）；第二章节适用于业主，包括网络安全管理体系的要求、实施指南、补丁管理、安装和维护；第三章节适用于系统集成商，包括安全技术要求、系统安全要求等；第四章节适用于零件供应商，是产品开发的要求。
因为网络安全在民用行业也普遍存在，故国内对这方面的研究也非常的多，这一点是不同于IEC61508的SIS方面的，所以在标准规范上面，可以多关注关注国内的要求。
国内最出名的莫过于“等保2.0”了，即GB∕T 22239-2019 《信息安全技术网络安全等级保护基本要求》，这是在14年版本的规范上面刚升版的规范（14年的称为等保1.0），里面有对网络安全等级进行划分，并针对于不同的工业控制系统提出了不同等级下的防护要求。
那么一个项目中的网络等级评估是如何得出来的呢？
这个可以看一下《工业自动化和控制系统网络安全 集散控制系统(DCS) 》（GBT 33009-2016），这个规范里面分为4个部分，里面有网络等级评估的方法。这个规范相对来说容易读的多，比较契合实际情况，虽然我没有读过IEC62443，但我想GB33009里面有参考IEC62443的内容，因为里面同样存在一些非汉语逻辑的句子（这些表达方式常见于IEC规范的直译）。
网络安全是从前期的等保评估、设计实施、安全测评、日常维护的一整套流程，这个是SIS的全生命周期是类似的，遵循咨询 设计 实施 验收 维护 再改进的程序。在这一系列程序中，自然要涉及到资质、流程（包括备案等）事情，这些要看公安部的文件，主要如下：
关于开展全国重要信息系统安全等级保护定级工作的通知(公信安[2007]861号)
信息安全等级保护备案实施细则公信安[2007]1360号
关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知 公信安303
公通字[2007]43号
公信安[2014]2866号
GA_T1389-2017信息安全技术网络安全等级保护定级指南
当然还有其他的标准规范，大家可以对着看一看，如：
GB_T30976.1-2014工业控制系统信息安全第1部分：评估规范
GB_T30976.2-2014工业控制系统信息安全第2部分：验收规范
GB-T28449-2018
包括ISA的规范：ISATR84.00.09-2017
工业控制网络安全的书籍也有几本，这个大家感兴趣的可以看一看，本文没有用列表的方式去列举规范，着重去看等保2.0的规范，如果对前期评估感兴趣的可以看一下GB33009。
总体而言，网络安全在民用领域应用多年，但民用的和工业的关注点不一样，石化也有其特有的关注点，尤其是近年来中石化发布了关于加强网络安全的文件（如中国石化生 2019 318号文），在未来几年网络安全会和各位自控行业从事人员息息相关。
