RG5.71导则在国内核设施网络安全领域的应用探讨

钱单

摘 要 RG 5.71 《Cyber Security Programs for Nuclear Facilities》是美国核管会根据联邦法规（the Code of Federal Regulation）中对于计算机、通信系统和网络的保护需求，针对核设施而制定的计算机安保方面的导则。RG5.71主要从组织机构、技术、运行和管理等方面描述了针对信息网络的威胁、漏洞和攻击需采用的对策和防护技术。导则不仅提出了针对核设施信息网络安全的监管要求，同时也提供了一个切实可行的核设施信息网络安全的解决方案。本文将对RG5.71导则的内容进行简介，并重点探讨该导则在国内核设施信息网络安全方面的应用。

关键词 RG5.71；核设施；信息网络安全

中图分类号 TP3 文献标识码 A 文章编号 1674-6708（2018）206-0129-02

随着国家以及电力行业一系列信息网络安全文件、导则的发布，同时由于“工业化”“信息化”两化融合对传统工业控制系统带来的技术革新，核电领域的信息网络安全工作日益受到关注，相关监管要求日益严格，核设施如何有效地进行信息网络安全方面的防护工作成为一个重要课题。

目前，国内针对核设施信息网络安全方面的导则、规范仍相对匮乏，而欧美国家在信息网络安全领域起步较早，许多国家已经建立了针对核设施信息网络安全方面的导则、文件。例如RG？5.71？《Cyber？ Security？Programs？for？Nuclear？Facilities》是美国核管会根据联邦法规（the？Code？of？Federal？ Regulation）中对于计算机、通信系统和网络的保护需求，针对核设施而制定的计算机安保方面的导则。该导则主要从组织机构、技术、运行和管理等方面描述了针对信息网络的威胁、漏洞和攻击应采用的对策和防护措施。

1 RG5.71内容简介

1.1 通用要求

RG5.71要求核设施建立相应的网络安全计划以描述如何执行信息网络安全相关法律、法规的要求，使核设施关键数字计算机、通信系统和网络受到充分保护，避免这些系统、设备受到网络攻击。网络安全计划应包含：关键数字资产的识别、网络安全计划实施维护、网络安全的设计、深度防御策略（保护、检测、响应和恢复）、文档化的管理制度、安全意识培训、网络安全风险评估和管理、配置管理和文档管理等要素。

1.2 组织机构

RG5.71描述了应建立一个网络安全团队（CST），确定其角色、职责、授权和职能关系。主要包括：

1）网络安全程序主管人员，应为厂址高级管理层成员，并被赋予对网络安全程序全面责任和问责权，并能为网络安全程序的制定、执行和维护提供必要的资源。

2）网络安全程序负责人，主要负责以下方面。

（1）监督网络安全操作；

（2）归口联络网络安全所有事项；

（3）对网络安全相关事项进行监督和指导；

（4）需要时启动和协调网络安全事件响应小组职能；

（5）在网络安全事件和事故发生前后，负责与相关部门联络工作；

（6）批准和监督网络安全计划及有关程序制定、执行和维护；

（7）组织和实施网络安全意识教育、培训活动。

3）网络安全专家。

（1）保护关键数字资产（CDA）免受网络威胁；

（2）配置、操作和维护网络安全设备；

（3）掌握核设施网络操作系统总体架构、软硬件平台、操作系统等网络特性；

（4）开展数字系统的网络安全评估，对关键数字资产（CDA）进行网络安全审计、脆弱性測评、网络扫描和渗透测试等；

（5）在关键数字资产（CDA）损坏后进行事故调查；

（6）维持和提高网络安全领域的专业技能和知识水平；

（7）作为应急响应机构的主要指导者和领导者。

除上述人员外，应成立相应的网络安全事件响应机构（CSIRT），包括：安保、操作、工程、应急准备和其他支持部门的相关人员。

1.3 技术控制

RG5.71描述了应在识别关键数字资产（CDA）的基础上，采取纵深防御保护策略，建立网络安全分区，控制数据流向，并在边界上采用防御措施等技术措施。同时，导则提出了一系列包括：访问控制、审计和问责、通信保护、识别和认证、系统加固、操作控制等综合防护的控制措施。

另外，导则还要求核设施应配置必要的评估工具，对现场系统进行漏洞扫描、渗透测试等薄弱性评估测试。

1.4 管理控制

RG5.71在管理控制方面针对系统服务和采购、持续监测和安全评估、策略和规程、变更控制、记录保留及处理等系统生命周期管理方面提出了相关的监管要求。

2 RG5.71导则的应用

RG5.71导则不仅提出了针对核设施信息网络安全的监管要求，同时也提供了一个切实可行的核设施信息网络安全的解决方案。通过建立网络安全计划，从组织机构、技术、管理等各方面描述如何建立核设施的信息网络安全策略，对于国内核设施信息网络安全工作的建设具有相当的借鉴意义。

结合我国针对电力行业信息网络安全的相关文件、导则，例如电力监控系统安全防护规定（国家发改委2014年第14号令）、电力监控系统安全防护总体方案（国能安全〔2015〕36号文）、电力行业网络与信息安全管理办法（国能安全〔2014〕317号文），国内核设施可编制基于自身的网络安全计划或实施方案，实施方案的内容可包括但不限于核设施面临的信息安全威胁和总体目标、各信息业务系统的描述、安全分区、网络架构、信息安全组织机构、管理措施、技术措施、综合安全防护措施、主要问题及整改计划等。该文件可以作为核设施安全防护工作的指导性文件。？

组织机构方面，RG5.71提出的人员架构同样适用于国内的核设施。核设施应建立以公司高层为领导的信息网络安全团队，配置并培养类似网络安全程序负责人、网络安全专家的专业队伍，负责核设施信息网络安全管理制度建设，并对核设施信息系统软硬件操作平台、安全策略的配置、安全防护设备管理、维护进行统一管理。

同时，应建立多个部门协同的信息安全应急响应机构，定期进行应急演练。目前，国内核设施在建立网络安全专家团队方面仍属于薄弱环节，特别是在工控领域方面，缺乏这方面的专业人才及队伍，需要进一步引起重视，并加强这方面人才队伍的培养。

技术措施上，结合国内电力行业信息安全提出的“安全分区、网络专用、横向隔离、纵向认证”之总体方针，核设施应对自身业务系统的重要性进行评估识别，按照业务系统的重要性及其对一次系统的影响程度，建立分层的信息安全保护结构，可将其划分为生产控制大区和管理信息大区，生产控制大区可进一步划分为控制区（安全区I）和非控制区（安全区II），管理信息大区则也可进一步被划分为（安全区III）和（安全区IV），将各信息业务系统和功能模块根据重要性划分至各个安全区域。

同时，在控制数据流向和边界防护措施上，在生产控制大区和管理控制大区间设置单向隔离网闸，只允许数据单向传输。在每个安全区的系统边界上设置专用的防火墙等安全防护设备，在纵向网络上设置纵向加密认证。在上述基础上，进一步做好在物理安全、访问控制、防病毒措施等方面的综合防护措施，并适时进行内部薄弱性测试评估。

管理制度上，可依据RG5.71导则及国内监管当局的要求，结合自身实际情况，编制包括信息系统生命周期管理、人员管理、权限管理、访问控制、介质管理、运维管理、审计管理、备份管理、应急响应、培训管理等一系列程序，从而形成完整的信息安全防护制度，并适时的进行评估修订以便更好满足监管要求以及具体执行。

3 结论

综上所述，在国内针对核设施信息网络安全方面的导则、规范仍相对匮乏的情况下，RG5.71提供了一个切实可行的核设施信息网络安全的解决方案，对于现阶段核电领域信息网络安全工作的开展具有相当重要的借鉴意义。国内核设施可依据该导则，结合国内信息网络安全方面的导则、文件，建立适合核电领域的信息安全防护策略，从而有效提升核设施的信息网络安全。

參考文献

[1]RG 5.71《Cyber Security Programs for Nuclear Facilities》.

[2]电力监控系统安全防护规定（国家发改委2014年第14号令）.

[3]电力监控系统安全防护总体方案（国能安全〔2015〕36号文）.

[4]电力行业网络与信息安全管理办法（国能安全〔2014〕317号文）.

[5]电力行业信息安全等级保护管理办法（国能安全〔2014〕318号文）.