从台积电事件看工控安全风险评估及安全体系建设 – 作者:北京天地和兴科技有限公司

前言：

       近期台积电生产线感染勒索病毒的事件在安全圈里刷了屏，天地和兴在第一时间跟进该安全事件，推荐了新一代主机安全防护系统作为防护技术手段，同时分享了高端制造业工控信息安全解决方案，了解详细方案，请点击底部往期内容回顾。随着台积电总裁复盘病毒入侵事件：勒索病毒传染，没内鬼也没黑客。最终定论落在了内部管理问题上。

如何提高内部管理？

“三分技术,七分管理”是网络安全领域的一句至理名言。一句“操作失误，人为疏忽”的背后，道出企业建立完善的信息安全管理体系是何等的重要！

如果工厂在此次网络安全事件发生前开展过风险评估工作，漏洞扫描便会检查到现场电脑存在微软MS17-010的SMB漏洞，便可识别出存在的安全风险。

如果工厂有配置管理和补丁管理制度，系统及时安装了补丁，或工厂制定了规范的网络接入制度并严格执行，或有准入控制技术手段，都可防止此类安全事件发生。

同时《工业控制系统信息安全防护指南》和《网络安全等级保护基本要求》对安全管理体系给出了指导意见和要求。

天地和兴建议相关工控企业遵循PDCA的方法，开展、加强企业内部体系化的安全能力建设。

具体可参考标准：GB/T22080-2016/ISO/IEC27001:2013

1、建立信息安全组织架构
   明确信息安全管理组织机构，人员职责。
2、完善规章制度
注重内部资产的管理：包括资产清单，资产基本情况，负责人等
重视安全事件的响应和应急预案，落实安全培训和应急演练。
建立风险评估和安全检查的机制，识别威胁和脆弱性。
3、完善技术架构
对威胁进行管控，配置管理，对脆弱进行加固。
4、完善信息安全文档体系
按照“安全方针（手册）-按条款要素的安全管理流程、办法（程序文件）-各项工作的操作说明、检查模板等（作业指导书）-各种报告、表单（记录文档）”四级结构规范管理。 

天地和兴作为国内一流的工控安全整体解决方案提供商，凭借多年来在电力、轨道交通、智能制造、石油石化等行业的风险评估工作中积累的大量成功经验，已形成了一整套规范且行之有效的信息安全风险评估服务体系。

在此分享信息安全风险评估工作的流程和内容：

风险评估技术工具

工控安全检查工具是结合天地和兴在工控行业多年的风险评估经验，在专业的、持续的工控漏洞挖掘的基础上，推出的一款专门服务于测评机构和行业用户完成工控安全检查评估。具备合规性评估、资产分析、流量分析、基线检查、漏洞扫描、代码检查等多项功能。

工控安全风险评估是工业控制系统信息安全保障的基础性工作和重要环节，贯穿于工业控制系统网络建设运行的全过程。通过对工业控制系统提供风险评估服务，可以全面、系统地分析工业控制系统网络所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全整改措施，及时有效地防范和消除信息安全风险。

结语

不管哪个行业在发展过程中都不会是一帆风顺，而我们的工业互联网发展拥有着世界上最复杂的网络环境、最先进的技术应用、最活跃的创新体系，所以我们的工业互联网，一开始就站在了整个世界的最高位置上，这也就为我们这些专业的工控安全厂商提供了世界级的平台基础，但是相对的也要求了我们的工业互联网在安全防护方面也要做到世界级的标准。

作为一家拥有自主研发基因的工控安全护航者，天地和兴可为工业企业提供全方位的工业控制系统信息安全防护、检测分析、安全评估与咨询服务。未来，天地和兴将充分发挥自身的优势，持续为工控安全工作贡献力量，为高端制造业信息安全保驾护航，助力网络强国战略。

来源：freebuf.com 2018-12-09 11:36:10 by: 北京天地和兴科技有限公司