左晶荣

（河北新武安钢铁集团烘熔钢铁有限公司信息自动化部）

内容提要：随着两化融合和工业智能化时代的深入发展和《中国制造2025》行动纲领的深入推进，钢铁行业作为国家关键基础设施的重要组成部分，正加速向智能化、数字化方向转型。这一转型在提升生产效率的同时，也显著扩大了网络攻击面，使钢铁企业面临着前所未有的信息安全挑战。智能工厂的建设、工业互联网的应用以及生产系统的互联互通，逐渐打破了传统钢铁企业相对封闭的网络环境，将工业生产系统直接暴露于更为复杂的网络威胁之中。

关键词：工业控制；信息安全；风险研究

1  引言

在国民经济支柱型产业中，钢铁行业的信息安全是务必取得胜利的关键战场。随着两化融合不断深入，钢铁行业信息化水平不断发展，生产网中应用了大量信息化和自动化相结合的工控系统，随之而来的是大量工控系统漏洞和网络攻击给钢铁行业安全生产带来的威胁。面对日益严峻的工控安全形势，为提高企业生产工作效率，加强企业工控安全防护能力，必须结合我国钢铁行业工业控制系统安全现状和相关政策法规，深入分析安全风险问题，提出有针对性的防护策略。

2024年，工业和信息化部印发的《工业领域数据安全能力提升实施方案（2024-2026年）》明确提出，到2026年底，工业领域数据**安全保障体系**基本建立，这对钢铁企业工控安全建设提出了更高要求。本文将系统探讨钢铁企业如何构建全面、有效的工控安全防护体系，确保生产系统长期安全稳定运行。　

2  等保2.0框架下的钢铁企业安全要求

2.1  等保2.0核心要求解读

网络安全等级保护2.0是国家在网络安全领域推出的基础性制度文件，其全称为《信息安全技术-网络安全等级保护基本要求》。与原有标准相比，等保2.0扩展了保护对象的范围，突出了技术防护和管理措施并重的原则，强调从被动防御转向主动防御，从静态防护转向动态防护，从单点防护转向整体防控的安全理念。该标准将网络安全等级保护划分为五个级别，钢铁企业通常需达到第二级或第三级防护要求，关键生产系统和企业管理系统的防护级别可能更高。等保2.0标准的核心要求主要体现在安全通用要求和云计算、移动互联、物联网、工业控制系统等扩展安全要求两个方面。对于钢铁企业而言，工业控制系统的安全防护成为重点关注领域。等保2.0强调"一个中心，三重防护" 的设计理念，即建设安全管理中心，落实安全计算环境、安全区域边界和安全通信网络三重防护措施，构建纵深防御机制。

2.2  钢铁行业的特殊要求

钢铁行业作为国家关键基础设施，其网络安全防护具有特殊性和复杂性。2024年正式实施的团体标准《T/CCSA 526-2024钢铁行业应用工业互联网的工业企业网络安全分级防护要求》进一步细化了钢铁行业在工业互联网环境下的网络安全要求。该标准针对钢铁行业应用工业互联网的特点，规定了企业在工业互联网相关业务应用过程中应遵循的不同级别的安全管理及技术防护要求。

钢铁企业在等保2.0框架下面临的独特挑战包括：长生产周期带来的系统更新困难，老旧设备难以兼容现代安全措施，工业协议本身的安全漏洞，以及IT与OT融合导致的安全边界的模糊。因此，钢铁行业网络安全防护体系建设必须在满足等保2.0通用要求的基础上，结合行业特点实施定制化的防护策略，特别是在实时性、可靠性和可用性方面满足工业生产环境的特殊需求。

3  钢铁企业信息安全防护体系框架设计

3.1  整体框架设计

基于等保2.0标准要求，钢铁企业网络安全防护体系应采用纵深防御理念，构建多层次、立体化的防护架构。该架构应覆盖从物理安全到应用安全，从技术防护到管理运维的全方位保障。广东昆仑信息科技有限公司的实践表明，适合新形势下的钢铁企业网络安全防护体系应当实现对企业网络的全方位守护。

钢铁企业网络安全防护体系的整体架构可以从安全管理中心和三重防护体系两个维度进行设计。安全管理中心作为体系的"大脑"，负责统一管理、集中监控和协同响应，具体包括系统管理、安全管理和审计管理三大功能。三重防护体系则包括：

安全计算环境：针对钢铁企业的办公环境、生产车间、控制平台等计算环境，从用户身份鉴别、访问控制、安全审计等方面进行防护，确保局部环境的安全可靠。

安全区域边界：根据钢铁企业网络特点，划分不同的安全区域，在各区域边界部署边界防护、访问控制和入侵防范措施，防止跨区域的安全威胁扩散。

安全通信网络：针对钢铁企业网络数据传输过程，采取通信传输、可信验证等保护措施，确保网络数据传输的完整性和保密性。

3.2  安全区域划分与边界防护

钢铁企业网络应按照业务功能、安全需求和数据分类进行科学合理的区域划分。根据等保2.0标准和钢铁行业特点，通常可将企业网络划分为管理信息区、生产监控区、过程控制区和设备区等多个安全区域，并在各区域之间部署单向隔离、访问控制等边界防护措施。

表1：烘熔钢铁网络安全区域划分

4  钢铁企业信息安全防护体系实施策略

钢铁企业工控安全防护体系建设应遵循以下核心原则：纵深防御原则，通过在网络不同层级部署安全措施，形成多道防护线；最小权限原则，严格控制用户和系统的访问权限，防止越权操作；业务连续性原则，安全措施不应影响正常生产业务，确保系统高可用性；动态防护原则，根据安全态势变化及时调整防护策略，实现主动防御。建设中，正是依据这些原则，从主机安全防护、边界安全管理、准入安全管控、网络入侵检测等方面开展工控网络安全建设，有效提升了企业的管控网络安全防护能力。

4.1 安全管理体系建设

健全的信息安全管理体系是钢铁企业网络安全防护的制度保障和组织基础。根据等保2.0标准要求，钢铁企业应建立自上而下的安全管理体系，包括制定网络安全策略、明确组织架构与职责分工、完善管理制度与操作规程、强化人员安全管理以及建立应急响应机制。

在安全策略制定方面，钢铁企业应依据分级防护原则，根据系统的重要程度和遭受攻击后的影响范围，确定不同系统的安全防护等级，并采取相应的防护措施。同时，企业需建立网络安全领导小组，由企业高层领导负责，明确各部门、各岗位的安全职责，形成协调一致的安全管理机制。

在制度建设中，钢铁企业应重点制定以下几类管理制度：

人员安全管理制度：包括安全意识教育、岗位安全考核、保密协议签订等；

系统建设管理制度：涵盖产品采购、软件开发、工程实施和测试验收等环节的安全要求；

系统运维管理制度：包括账户管理、安全审计、漏洞管理、备份恢复等；

应急响应预案：针对不同类型的网络安全事件，制定详细的应急处置流程和恢复措施。

值得注意的是，安全管理体系必须与钢铁企业的业务流程和生产特点紧密结合，特别是要考虑钢铁生产连续性和高可用性要求，避免安全措施影响正常生产秩序。

4.2 安全技术体系建设

安全技术体系是钢铁企业网络安全防护的核心手段和实施载体。根据等保2.0标准和钢铁行业特点，钢铁企业应构建覆盖物理环境、网络通信、设备系统、应用数据等多层面的技术防护体系。在物理与环境安全层面，钢铁企业应对关键生产控制系统和网络基础设施所在的物理环境进行严格管控，包括门禁系统、视频监控、防盗报警等，防止非授权人员物理接触关键设备。

在网络与通信安全层面，应采取以下关键技术措施：

网络架构安全：优化网络结构，实现不同区域之间的有效隔离，避免单一故障点；

访问控制：在网络边界部署防火墙、路由器等设备，实现基于源/目的地址、端口和协议的精细访问控制；

入侵防范：部署入侵检测系统（IDS）和入侵防御系统（IPS），及时发现和阻断恶意攻击；

安全审计：部署网络安全审计系统，记录并分析网络流量和用户行为，检测异常活动。

在设备与计算环境安全层面，钢铁企业面临的最大挑战是工业控制系统的安全防护。由于工业控制系统通常采用专用协议和商业现货软件，且往往因生产连续性要求无法及时安装补丁，因此需要采取特殊防护措施：

主机防护：在工程师站、操作员站等工业主机上部署白名单软件，防止恶意代码执行；

外设管理：严格管控USB接口、光驱等外部接口的使用，防止通过移动存储设备引入恶意代码；

漏洞管理：建立工业控制系统专属的漏洞管理流程，在保证系统稳定性的前提下及时修复高危漏洞；

安全配置：对网络设备、服务器和安全设备进行最小服务配置，关闭不必要的端口和服务。

在应用与数据安全层面，钢铁企业应重点关注工业互联网平台、生产管理系统（如MES、ERP）和工业移动应用的安全防护：

身份认证：建立统一身份管理系统，对关键系统应用实施多因素认证；

应用安全：在应用系统开发过程中融入安全考虑，实施安全编码规范；

数据安全：对重要业务数据和生产数据进行分类分级，采取加密、脱敏、备份等措施；

安全监测：建立工业互联网安全监测平台，实时监测应用系统的安全状态。

表2安全技术防护体系建设重点

4.3 工业互联网环境下的特殊防护

随着工业互联网在钢铁行业的广泛应用，新的安全挑战也随之出《T/CCSA 526-2024》标准专门针对钢铁行业应用工业互联网的场景提出了分级防护要求。在工业互联网环境下，钢铁企业除了常规防护外，还需重点关注以下方面：

云平台安全：采用工业互联网平台后，部分生产数据和应用将部署在云端，需要加强云平台的基础设施安全、接口安全和管理安全；

数据安全：工业互联网环境下数据采集、传输和共享更为频繁，需要建立数据分类分级制度，对重要生产数据和工艺参数实施特别保护；

边缘计算安全：工业互联网的边缘节点通常位于工厂车间，物理安全和计算环境安全面临挑战，需要强化边缘设备的安全防护；

供应链安全：工业互联网平台涉及多个供应商，需要建立供应链安全管理机制，对第三方组件、软件和服务进行安全评估。

上海宝信软件股份有限公司等单位的实践表明，钢铁企业在工业互联网环境中应当遵循"同步规划、同步建设、同步运行" 的原则，在工业互联网项目立项阶段就充分考虑安全需求，确保安全措施与工业互联网应用深度融合。

5  信息安全防护体系取得效果

长流程钢铁生产企业工艺复杂，涵盖了原料、炼铁、炼钢、轧钢、工辅等主要工艺环节，每个环节的控制系统和设备都面临着多样化的安全威胁。通过推动钢铁企业信息安全防护体系，消除技术层面和管理层面的威胁因素。

5.1 技术层面风险

①系统漏洞与后门：信息化系统和工控系统本身存在大量已知和未知漏洞，以态势感知收集信息为利，记录的第三季度攻击次数达6304次，漏洞总数5个，这些漏洞极易被利用进行网络攻击。同时，在系统集成过程中可能植入的硬件或软件后门，也为攻击者提供了长期潜伏的通道。

②违规联网与未授权访问：在生产与管理网络互联互通的需求下，违规联网设备数量惊人。行为管理设备识别出的违规联网设备达15台，这些设备成为外部攻击渗透到生产网络的内应。

③网络边界模糊：IT与OT网络的深度融合打破了传统安全边界，导致来自互联网的威胁可直接渗透至生产环境。据研究表明，近年来钢铁企业面临的跨网络攻击事件年均增长超过56%，严重威胁生产连续性。

④主机安全防护：对工程师站、操作员站、服务器等终端设备进行安全加固，部署杀毒软件并配置白名单，防止恶意代码执行。通过主机防护，将病毒攻击事件减少了85%以上。

⑤边界安全隔离：在企业网络与工控网络之间、工控网络不同区域之间部署边界防火墙设备，实现安全访问控制。特别是在管理网与生产网之间，必须建立单向隔离措施，确保数据单向流动。

⑥网络入侵检测：在工控网络关键节点部署入侵检测系统（IDS），基于工控协议深度解析技术，实时监测网络流量，发现异常行为及时告警。部署监测平台后，累计识别违规联网设备67台，发出服务异常运行告警151次。

5.2 管理层面风险

①安全策略缺失：许多钢铁企业仍遵循"重生产、轻安全"的传统思维，缺乏系统化的安全管理制度和防护策略，导致工控安全建设滞后。在安全投入方面，超过60%的钢铁企业工控安全预算不足信息化总投入的15%。

②防护体系不完善：传统安全防护手段往往侧重于单点防护，缺乏整体协同防护能力。在主机安全防护、边界安全管理、准入安全管控、网络入侵检测等方面存在明显短板，无法形成有效的纵深防御体系。

③应急响应机制不足：多数企业缺乏专业的工控安全应急响应团队和处置流程，在安全事件发生时无法快速有效应对。特别是在炼钢集控中心等关键生产环节，应急演练不足导致实际操作人员在真实攻击面前准备不够。

6  未来挑战与发展趋势

随着智能制造和工业互联网的快速发展，钢铁企业信息安全面临诸多新挑战和新趋势。一方面，高级持续性威胁（APT） 针对工业系统的攻击日益增多，攻击手段更加隐蔽和复杂；另一方面，云计算、大数据、物联网等新技术在钢铁行业的应用，不断扩展着网络安全边界，增加了防护难度。

未来钢铁企业网络安全防护体系发展将呈现以下趋势：

主动防御：基于人工智能和行为分析的技术将帮助企业实现从被动防护到主动检测、预警和响应的转变；

零信任架构："从不信任，始终验证"的零信任理念将逐步应用于钢铁企业网络，特别是工业互联网环境；

安全一体化：IT安全与OT安全将进一步融合，形成统一管理、协同联动的防护体系；

安全服务化：专业安全厂商将提供更多面向钢铁行业的定制化安全服务，降低企业自身安全运维压力；

合规常态化：随着国家对关键基础设施安全监管的加强，网络安全合规将成为钢铁企业的常态化工作。

值得注意的是，2024年8月正式实施的《T/CCSA 526-2024》标准已经为钢铁行业应用工业互联网的网络安全防护提供了明确指引。钢铁企业应当密切关注新技术发展和技术标准更新，持续优化自身网络安全防护体系，才能在数字化转型浪潮中确保安全与发展并重。

7  结语

钢铁企业信息安全防护体系的构建是一项系统性工程，需要技术、管理和法规三方面的有机结合。等保2.0标准为钢铁企业提供了网络安全建设的基本框架和合规要求，而《T/CCSA 526-2024》团体标准则进一步细化了工业互联网环境下钢铁行业的具体防护要求。钢铁企业应当在等保2.0框架指导下，结合行业特点和企业实际，构建持续改进、动态适应的网络安全防护体系。在建设过程中，钢铁企业需要重点把握以下几个关键成功因素：高层重视与充足投入是前提，管理与技术并重是原则，与业务融合是基础，专业团队建设是保障，持续运营改进是关键。只有将网络安全融入企业数字化转型战略和日常生产经营的各个环节，才能构建起有效抵御网络安全威胁的坚固防线。随着钢铁行业智能制造的深入推进，网络安全防护体系也将不断演进和发展。钢铁企业应当树立动态、综合的防护理念，在满足等保2.0要求的基础上，积极吸纳新技术、新方法，持续提升网络安全防护能力，为企业的数字化转型和高质量发展提供坚实的安全保障。

参考文献

[1]  中国智造2025[EB/OL].

[2]  T/CCSA 526-2024钢铁行业应用工业互联网的工业企业网络安全分级防护要求

[3]  工业领域数据安全能力提升实施方案（2024-2026年）