工业安全系统网络安全指南

在操作中使用的信息系统(包括工业控制系统)经常受到与信息完整性和性能相关的非常严格的要求。诸如此类的功能需求可以导致在诸如网络安全等领域识别次要需求和约束。

与确保工业控制和相关系统有关的挑战在过去几年里又成为大量讨论、辩论和分析的主题。ISA99委员会和IEC技术委员会65工作组10制定了62443系列标准，为该主题的所有方面提供了要求和指导。这些信息被有意地用宽泛的术语表达，允许它应用于广泛的行业和情况。

与网络安全相关的标准和实践的内容可能相当技术性——甚至晦涩难懂——在有效应用之前，需要在特定的环境中进行进一步的解释。在相关学科的上下文中解释“安全用语”对于理解安全需求的全部含义是至关重要的。在有自己既定术语和概念的专业领域尤其如此。

其中一个相关的学科是过程安全系统的开发、运行和支持。越来越多的人认识到功能安全与信息技术是相互关联的。对于两个功能领域来说，理解差异和重叠以及It专业人员如何看待他们的需求和过程控制工程师如何看待他们的需求的典型差异是很重要的。

在过程工业中，安全仪表系统(SIS)是可用于降低风险的一层保护。其他层可能包括执行报警、联锁、许可功能或使用基本过程控制系统(BPCS)内的设备进行控制的仪表系统，以及非仪表系统，如溢流装置、止回阀等。

传统的过程危害分析(PHA)在过去通常排除了网络相关攻击导致过程安全事件的可能性。鉴于针对工业自动化和控制系统(包括执行安全控制、报警和联锁(SCAI)的系统)的有针对性的攻击已经发生，而且这些系统越来越多地连接到其他业务系统，网络漏洞代表了共同模式故障的重大潜在风险。因此，在当今世界，有必要将网络风险纳入到总体PHA中。

ISA84委员会为此制定了一份技术报告(ISA-TR84.00.09)。它描述了功能安全和网络安全应该如何集成，从初始范围阶段的一个新的工艺工厂开始，并继续贯穿生命周期的所有阶段。该报告定义了防范安全仪表系统内部和外部安全威胁的性能标准，并包括关于如何在不损害控制系统内安全控制、报警和联锁性能的情况下实施、操作和维护系统安全的具体指导。

该报告的第二版最近得到了委员会的批准，并将很快在过程安全领域使用。在报告的整个发展过程中，ISA84和ISA99委员会之间一直保持着联络关系，以确保报告中所载的指导方针与62443系列的一般概念和要求一致。

鼓励过程安全工程师和其他相关人员使用本报告作为有价值的参考，帮助他们将网络安全应用到他们的安全系统中。

>>Eric Cosman是联席主席台面网络安全工作小组。他在运营和工程的IT解决方案管理方面提供咨询和咨询服务，并为多个标准委员会、行业焦点小组和咨询小组作出贡献。他是ISA标准和实践的前任副总裁，ISA执行委员会成员和工业控制系统安全ISA99委员会的联合主席。