干货 | 核电DCS网络安全标准研究

★ 北京广利核系统工程有限公司 刘春明

工业自动化产品是生产过程中不可或缺的技术手段，是现代化工业体系的重要组成部分。随着工业自动化产品网络化和信息化程度的提高，其面临的网络安全风险也日益增加。核电DCS是核电厂的中枢神经，控制着核电厂的安全运行，一旦受到网络攻击，将直接影响核电企业生产和经济利益，甚至威胁国家安全。因此，加强核电DCS网络安全技术的研究和开发，已经成为当今重要的研究领域和社会需求。

本文通过对国内网络安全法律、法规、标准的研究，对重点内容进行了摘取和分析，得到了一份标准清单，指导了核电DCS网络安全技术研究，提高了核电DCS的安全性和稳定性，降低了网络安全风险，推动了国内核电DCS网络安全技术发展，提升了我国核电DCS的竞争力，促进了相关领域的研究水平和应用技术水平，促进了学术交流和技术创新，为保障国家网络安全做出了贡献。

核电DCS设计、生产制造的所有过程均需满足我国核安全领域标准法律法规的要求。我国核安全领域标准法律法规层次分为五层：顶层为全国人大常委会批准，国家主席令颁布的法律；第二层为国务院批准，国务院令发布的行政法规；第三层为各部委批准和发布的管理条例细则、核安全规定、强制性标准；第四层为各部委批准和发布的核安全导则、推荐标准；第五层为各部委批准和发布的核安全法规技术文件。国内核电标准体系层次图如图1所示。

图1 核电标准体系层次图

网络安全标准体系可以参考核电标准体系，从法律、管理条例开始，进一步分析管理条例细则、标准、技术文件等，层层分解细化网络安全的要求。

2017年，《中华人民共和国网络安全法》正式实施，它属于网络安全领域的基本法，是从国家层面对网络安全等级保护工作的法律认可。网络安全法中明确提到信息安全的建设要遵照网络安全等级保护标准。

网络安全等级保护工作是国家网络安全的基础性工作，是《网络安全法》要求我们履行的一项安全责任。2019年陆续发布的一系列网络安全等级保护相关标准对工业控制系统提出了扩展要求，这些要求同样适用于核电DCS。

《网络安全法》的实施标志着网络安全等级保护2.0的正式启动。图2展示了等级保护2.0标准体系的主要标准。

图2 等级保护2.0标准体系

2020年，《密码法》正式实施，规范了密码应用和管理，促进了密码事业发展，保障了网络与信息安全，维护了国家安全和社会公共利益，保护了公民、法人和其他组织的合法权益。紧接着2021年，随着《数据安全法》的出台，我国在网络与信息安全领域的法律法规体系得到了进一步的完善。同年，国务院第745号令《关键信息基础设施安全保护条例》公布，并于9月1日起施行，明确了关键信息基础设施的定义和认定程序。国内网络安全相关法律、管理实施的实施，标志着我国网络安全领域进入新的篇章。

通过对工业自动化产品网络安全的理解以及对相关法律的调研，我们提炼总结出核电DCS网络安全需要研究的法规、条例和标准，并将它们总结成一份清单，如表1所示。

表1 标准研究清单

3.1.1　网络安全法

《中华人民共和国网络安全法》是我国第一部全面规范网络空间安全管理方面问题的基础性法律，是为保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展而制定。《网络安全法》明确了部门、企业、社会组织和个人的权利、义务和责任，规定了国家网络安全工作的基本原则、主要任务和重大指导思想、理念。将成熟的政策规定和措施上升为法律，为政府部门的工作提供了法律依据，体现了依法行政、依法治国要求。

《网络安全法》中明确规定国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

相比普通网络运营者，《网络安全法》对关键信息基础设施运营者在安全保障方面提出了特殊要求：在人的方面，《网络安全法》提出应设置专门的管理机构和负责人，对负责人和关键岗位人员进行安全背景审查，定期对从业人员进行教育培训和技能考核；在系统层面，应对重要系统和数据库进行容灾备份，制定应急预案并定期组织演练；在评估方面，每年至少进行一次安全性检测评估，并将相关评估报告报送相关主管部门；在供应链方面，采购可能影响国家安全的网络产品和服务应当通过国家安全审查，采购双方应签订安全保密协议；在数据留存传输方面，运营者需将运营中收集和产生的公民个人信息和重要业务数据存储在我国境内，如因业务需要，确需向境外提供的，应进行安全评估。核电DCS应遵循《网络安全法》中有关网络安全等级保护制度和保护关键信息基础设施的要求，并积极参与关键信息基础设施保护体系的建设。

3.1.2　密码法 

《密码法》是为了规范密码应用和管理，促进密码事业发展，保障网络与信息安全，维护国家安全和社会公共利益，保护公民、法人和其他组织的合法权益而制定的法律。《密码法》中所称密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务。国家对密码实行分类管理，密码分为核心密码、普通密码和商用密码，其中核心密码、普通密码用于保护国家秘密信息，核心密码保护信息的最高密级为绝密级，普通密码保护信息的最高密级为机密级。核心密码、普通密码属于国家秘密。密码管理部门依照本法和有关法律、行政法规、国家有关规定对核心密码、普通密码实行严格统一管理。商用密码用于保护不属于国家秘密的信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。

《密码法》明确规定国家鼓励商用密码技术的研究开发、学术交流、成果转化和推广应用，健全统一、开放、竞争、有序的商用密码市场体系，鼓励和促进商用密码产业发展。商用密码技术合作的前提是基于自愿原则和商业规则，行政机关不得要求强制转让商用密码技术。涉及国家安全、国计民生、社会公共利益的商用密码产品，应当依法列入网络关键设备和网络安全专用产品目录，由具备资格的机构检测认证合格后，方可销售或者提供。对于大众消费类产品所采用的商用密码不实行进口许可和出口管制制度，也就是说社会公众通过常规零售渠道购买的，只供个人使用的，对国家安全、社会公共利益带来的风险较小且可控的，不在管理范围之内。商用密码产品检测认证适用《中华人民共和国网络安全法》的有关规定，避免重复检测认证。商用密码服务使用网络关键设备和网络安全专用产品的，应当经商用密码认证机构对该商用密码服务认证合格。商用密码应用安全性评估应当与关键信息基础设施安全检测评估、网络安全等级测评制度相衔接，避免重复评估、测评。关键信息基础设施的运营者采购涉及商用密码的网络产品和服务，可能影响国家安全的，应当按照《中华人民共和国网络安全法》的规定，通过国家网信部门会同国家密码管理部门等有关部门组织的国家安全审查。

核电DCS作为关键信息基础设施，应依法使用商用密码，并提供满足商用密码应用安全性评估、关键信息基础设施安全检测评估和网络安全等级测评的产品。

3.1.3　数据安全法

《中华人民共和国数据安全法》规范了数据安全主管机构的监管职责，建立了健全数据安全协同治理体系，提高了数据安全保障能力，促进了数据出境安全和自由流动，促进了数据开发利用，保护了个人、组织的合法权益，维护了国家主权、安全和发展利益，让数据安全有法可依、有章可循，为数字化经济的安全健康发展提供了有力支撑。

《数据安全法》明确了国家推进数据开发利用技术和数据安全标准体系建设。国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。国家机关为履行法定职责需要收集、使用数据，应当在其履行法定职责的范围内依照法律、行政法规规定的条件和程序进行；对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供。

《数据安全法》对行业组织提出了制定安全行为规范、加强行业自律、指导会员加强数据安全保护的要求。这项法规有效地消灭了灰色地带，对各行业都形成了法律约束，杜绝了数据的随意共享和流转。

3.1.4　关键信息基础设施安全保护条例

关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。关键信息基础设施安全保护坚持综合协调、分工负责、依法保护，强化和落实关键信息基础设施运营者主体责任，充分发挥政府及社会各方面的作用，共同保护关键信息基础设施安全。

从《关键信息基础设施安全保护条例》的内容分析可以得出能源电力信息安全是国家的关键信息基础设施，核电站是电力行业信息的重中之重，一旦核电站发生信息安全事件后会对国家安全、国计民生和公共利益造成严重危害。

3.2.1　信息安全技术 网络安全等级保护基本要求

为了配合《中华人民共和国网络安全法》的实施，同时适应云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作的开展，国家标准GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》于2019年正式实施。其代替了GB/T 22239-2008，针对网络安全共性安全保护需求提出了安全通用要求，并对云计算、移动互联、物联网、工业控制和大数据等新技术、新应用领域的个性安全保护需求提出了安全拓展要求，形成了新的网络安全等级保护基本要求标准。

3.2.2　信息技术安全 网络安全等级保护安全设计技术要求

GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》规定了第一级到第四级等级保护对象的安全设计技术要求，每个级别的安全设计技术要求均由安全通用设计技术要求和安全扩展设计技术要求构成，安全扩展设计技术要求包括了云计算、移动互联、物联网、工业控制系统等方面。第一级到第三级的安全设计技术要求均包含安全计算环境、安全区域边界、安全通信网络、安全管理中心等四个方面。在第四级的安全设计技术要求增加了系统安全保护环境结构化设计技术要求方面。

3.2.3　信息安全技术 网络安全等级保护测评要求

GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》规定了不同级别的等级保护对象的安全测评通用要求和安全测评扩展要求，适用于安全测评服务机构、等级保护对象的运营使用单位及主管部门对等级保护对象的安全状况进行安全测评并提供指南，也适用于网络安全职能部门进行网络安全等级保护监督检查时参考使用。相比于GB/T 28448-2012，GB/T 28448-2019细化了单项测评的规定，增加了等级测评的拓展要求，并对测评力度进行了更严格的规定。

3.2.4　信息安全技术 信息系统密码应用基本要求

GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》是贯彻落实《中华人民共和国密码法》、指导我国商用密码应用与安全性评估工作开展的纲领性、框架性标准。该标准分五个级别，从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面提出了密码应用技术要求，保障了信息系统的实体身份真实性、重要数据的机密性和完整性、操作行为的不可否认性，并从信息系统的管理制度、人员管理、建设运行和应急处置四个方面提出了密码应用管理要求，为信息系统提供了管理方面的密码应用安全保障。

3.2.5　信息系统安全等级保护定级指南研究

GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》主要是对信息系统的定级指引，包含内容有：等级保护对象介绍、定级要素与安全保护等级的关系、定级流程、不同保护对象的定级说明等。该标准替代GB/T 22240-2008，主要为信息系统运营使用单位开展网络安全等级保护工作提供指导，行业主管部门可以依据《定级指南》，结合行业特点和信息系统实际出台行业定级细则，保证行业内信息系统在不同地区等级的一致性，以指导本行业信息系统定级工作的开展。

3.2.6　信息安全技术 网络安全等级保护实施指南研究

GB/T 25058-2019《信息安全技术 网络安全等级保护实施指南》介绍和描述了实施网络安全等级保护过程中涉及的阶段、过程和需要完成的活动，通过对过程和活动的介绍，使大家了解对等级保护对象实施等级保护的流程方法，以及不同的角色在不同阶段的作用等。

3.3.1　核电厂仪表和控制系统计算机安全防范总体要求

NB/T 20428-2017《核电厂仪表和控制系统计算机安全防范总体要求》为防止、检测和应对采用数字化手段针对I&c系统的恶意行为（网络攻击）规定适当的计划措施，属于核电厂控制系统的安全防范总要求，涉及到安全防范的研制与应用的全生命周期过程和要求，包括内生网络安全的等级划分、区域划分、访问控制和数据安全等。

核电DCS系统/软件分为A类、B类、C类。根据NB_T 20428-2017核电厂仪表和控制系统计算机安全防范总体要求的规定，安全防范等级与核电安全的关系如表2所示。

表2 安全防范等级与核电安全的关系

3.3.2  核电厂仪表和控制系统网络安全防范管控

GB/T 43532-2023《核电厂仪表和控制系统网络安全防范管控》规范了核电厂新建仪控系统生命周期所有阶段（包括仪控平台开发、仪控系统工程建设、仪控系统运行和维护、退役等）安全管控措施选择和执行活动，包括访问控制、密码、通信等。该标准的网络安全相关技术要求归为网络安全和核安全的协调要求、区域划分、数据安全、可信验证、安全审计、访问控制，以及测试与验证技术要求。

《网络安全法》构筑了网络安全的基础，强调了网络安全的保护，为网络空间的整体安全和有序发展奠定了总基调，它与《关键信息基础设施安全保护条例》等配套规定共同构建了网络空间的合规框架。《数据安全法》则是搭建数据安全的基础，它强调数据安全的保护，尤其注重重要数据和国家核心数据的保护，规制对象“数据”的载体不仅限于网络数据。《密码法》要求作为提供关键信息基础设施的设备供应商，应依法使用商用密码，并提供满足商用密码应用安全性评估、关键信息基础设施安全检测评估和网络安全等级测评的产品。

核电DCS网络安全在满足国家强制要求法和条例基础上，要同时满足核电领域网络安全要求，参考通用网络安全要求，所有网络安全应用的前提是不能影响核电功能安全。

核电DCS网络安全标准是保障核电站安全稳定运行的重要基础。通过分析核电DCS网络安全标准的重要性、现状及其挑战，本文提出了相应的建议和对策。未来，我们应持续关注网络安全技术的发展和攻击手段的变化，不断完善和更新核电DCS网络安全标准，为核电行业的网络安全提供有力保障。

参考文献略。