《煙草工業(yè)企業(yè)生產(chǎn)區(qū)與管理區(qū)網(wǎng)絡互聯(lián)安全規(guī)范編制說明》

《煙草工業(yè)企業(yè)生產(chǎn)區(qū)與管理區(qū)網(wǎng)絡互聯(lián)安全規(guī)范》編制說明工作簡況任務來源《煙草工業(yè)企業(yè)生產(chǎn)區(qū)與管理區(qū)網(wǎng)絡互聯(lián)安全規(guī)范》是由浙江中煙工業(yè)有限責任公司（以下簡稱“浙江中煙”）提出申請，國家煙草專賣局科技司批準，列入國家煙草專賣局2011年度標準制修訂計劃（國煙科[2011]165號文)，合同號為：2011B041。由全國煙草標準化技術委員會信息分技術委員會（SAC/TC144/SC7）歸口管理。項目承擔單位、協(xié)作單位及主要分工本任務的牽頭承擔單位為浙江中煙，主要負責項目的整體研究進度控制、協(xié)調以及技術內容的研究與把關；協(xié)作單位為國家煙草專賣局煙草經(jīng)濟信息中心、北京工業(yè)大學、北京啟明星辰信息安全技術有限公司和上海金電網(wǎng)安科技有限公司，主要參與項目的調研分析和技術內容的研究。主要工作過程2011年5月，在和國家煙草專賣局簽訂標準專項合同后，浙江中煙立即會同各協(xié)作單位成立了標準編寫項目組，首先對國內外工業(yè)控制系統(tǒng)的安全現(xiàn)狀和防護體系進行了研究，然后對行業(yè)內多家企業(yè)進行了深入調研，通過調研和查閱資料發(fā)現(xiàn)：煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡已基本采用以IP協(xié)議和通用操作系統(tǒng)為主的標準化IT技術，這些趨于標準化的技術手段仍存在較多能夠被攻擊者利用的安全漏洞。如果簡單將生產(chǎn)區(qū)網(wǎng)絡和管理區(qū)網(wǎng)絡進行互聯(lián)，1）可能使來自管理區(qū)網(wǎng)絡或互聯(lián)網(wǎng)的威脅滲透至生產(chǎn)區(qū)網(wǎng)絡，從而影響煙草工業(yè)企業(yè)的生產(chǎn)安全；2）可能使來自生產(chǎn)區(qū)網(wǎng)絡的威脅擴散到管理區(qū)網(wǎng)絡，從而影響煙草工業(yè)企業(yè)的經(jīng)營安全。但是煙草工業(yè)企業(yè)在生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡安全互聯(lián)方面所采取措施多樣，效果不一。而且在方面，暫時沒有相關的國家標準、行業(yè)標準、地方標準；另外，國內很多一流企業(yè)已經(jīng)開始著手研究和應用安全互聯(lián)接口，他們通過安全互聯(lián)接口的應用使存在于管理區(qū)網(wǎng)絡與生產(chǎn)區(qū)網(wǎng)絡互聯(lián)時存在的安全隱患得到了較大改善；截止到目前，標準編寫項目組主要開展了以下工作：第一，明確職責。浙江中煙同協(xié)作單位共同成立接口規(guī)范編寫項目組，負責本接口規(guī)范的資料收集與整理、起草、討論、意見征集、評審、報批和推廣宣傳工作。第二，需求研討。浙江中煙同協(xié)作單位共同探討研究該接口規(guī)范的需求范圍和編制要求。第三，項目調研及資料收集。為了解行業(yè)內安全互連接口的應用情況及相關經(jīng)驗，標準編寫項目組分別對杭州卷煙廠、寧波卷煙廠、蘭州卷煙廠等行業(yè)內企業(yè)進行了調研。第四，會議研討。浙江中煙同協(xié)作單位組織了多次會議，邀請了來自國內相關領域著名的專家、學者開展交流與研討。項目組結合煙草工業(yè)企業(yè)的工業(yè)信息化及信息安全管理的特點，在煙草工業(yè)企業(yè)信息系統(tǒng)特點的基礎上形成了《煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)安全規(guī)范》（初稿）。標準主要起草人及其所做的工作本標準的主要起草人為：張雪峰、李健俊、王海清、姜學峰、汪歡文等。其中，張雪峰、李健俊、王海清負責本標準的總體架構和技術合理性的分析研究以及調研工作的部署，姜學峰、汪歡文等分工負責本標準的調研分析、標準內容的編寫。相關領域的國、內外標準研究和制修訂情況在國內外，沒有與本任務研究內容相類似的標準規(guī)范。標準編制原則及主要內容確定的依據(jù)標準適用范圍本規(guī)范依據(jù)國家和煙草行業(yè)的相關標準及要求編寫，明確煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)的安全要求。本規(guī)范適用于煙草工業(yè)企業(yè)實施生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡的安全互聯(lián)工程，可作為生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)安全性檢查的技術依據(jù)。標準編制原則本標準的編制原則如下：1）科學性與實用性相結合的原則科學性是標準化的最基本原則，規(guī)范的科學性直接關系到該體系能否對煙草工業(yè)企業(yè)管理區(qū)與生產(chǎn)區(qū)安全互聯(lián)起到積極、穩(wěn)定和長久的正面作用。實用性表明標準體系是否與實際情況相符合，是標準化研究中最重要的基本原則?？茖W性與實用性相結合就是理論與實踐相結合在標準體系研究中的具體體現(xiàn)。2）先進性與開放性相結合的原則在執(zhí)行煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)安全規(guī)范研制項目時，要積極引入先進的管理理念和前沿技術，充分考慮到煙草行業(yè)未來發(fā)展的方向和特點。但同時也要考慮到目前的需求和技術水平，使規(guī)范能夠根據(jù)科學技術以及需求的變化而不斷進行擴充和完善。3）安全性和可用性相結合的原則本規(guī)范用來明確煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)的安全要求，是安全范疇的規(guī)范。但是規(guī)范在起草過程中不能一味地追求絕對安全，而應根據(jù)煙草工業(yè)企業(yè)業(yè)務系統(tǒng)的實際情況，構建保證業(yè)務系統(tǒng)可用性基礎上的適度安全體系。標準主要內容《煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)安全規(guī)范》旨在規(guī)范煙草工業(yè)企業(yè)生產(chǎn)區(qū)與管理區(qū)安全互聯(lián)工程，是在分析研究國內外工業(yè)控制系統(tǒng)安全防護體系基礎上，結合煙草工業(yè)企業(yè)網(wǎng)絡架構及安全現(xiàn)狀起草的。規(guī)范首先引用國煙辦綜〔2011〕212號：《國家煙草專賣局辦公室關于卷煙工業(yè)企業(yè)信息化建設的指導意見》，給出了生產(chǎn)區(qū)網(wǎng)絡和管理區(qū)網(wǎng)絡的準確定義；然后再此基礎上，給出了煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡連接架構，用來指導和規(guī)范工業(yè)企業(yè)的網(wǎng)絡建設；接著規(guī)范給出了煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡互聯(lián)接口安全模型、安全功能、性能要求，用來指導和規(guī)范互聯(lián)接口安全建設。標準預期產(chǎn)生的社會、經(jīng)濟效益通過本項目的研究與應用，最終實現(xiàn)安全互聯(lián)接口規(guī)范化、標準化。將提升煙草工業(yè)企業(yè)信息系統(tǒng)的整體安全防護能力，提高安全管理和運維部門的工作效率，規(guī)范和完善安全管理工作流程，為煙草工業(yè)企業(yè)業(yè)務一體化管控提供安全技術支撐，提升企業(yè)軟實力和核心競爭力。顯著提升經(jīng)濟效益，主要體現(xiàn)在以下方面：1）節(jié)約成本、減少損失減少企業(yè)在日常運維、監(jiān)控和安全保障的人力物力投入，降低網(wǎng)絡及安全設備采購成本，提升安全防護能力后減少安全事件帶來的工時損失。預計將行業(yè)企業(yè)信息系統(tǒng)和網(wǎng)絡故障率由現(xiàn)有的0.5％下降到0.2％以下，減少因安全事件導致的信息系統(tǒng)和網(wǎng)絡故障引起的銷售損失約在數(shù)千萬元以上；2）管理提升、效率提高信息系統(tǒng)部署、應用、維護效率應得到顯著提高，管理區(qū)網(wǎng)絡與生產(chǎn)區(qū)網(wǎng)絡互聯(lián)數(shù)據(jù)將受到統(tǒng)一直觀的安全管理。3）促進公司效益增長信息化應用水平的提高，網(wǎng)絡及安全保障能力的提升，將直接或間接促進企業(yè)生產(chǎn)經(jīng)營管理水平和效率的提高，保障企業(yè)經(jīng)濟效益的持續(xù)健康增長。此外，隨著本規(guī)范的大范圍應用，將影響國內工業(yè)企業(yè)在兩化融合中的安全建設，為兩化融合在“十二五”期間的落實與推廣，提供有力安全保障和技術支撐。采用國際標準和國外先進標準的情況本標準為自主制定，沒有采用國際標準和國外先進標準。與有關的現(xiàn)行法律、法規(guī)和強制性標準的關系沒有與有關的現(xiàn)行法律、法規(guī)和強制性標準發(fā)生相互聯(lián)系，與有關的現(xiàn)行法律、法規(guī)和強制性標準是協(xié)調一致的。重大分歧意見的處理經(jīng)過和依據(jù)本任務是在進行調研和全行業(yè)范圍內廣泛征求意見的基礎上制定的，反映了絕大部分利益相關方的意見，沒有遇到重大分歧意見。作為強制性標準或推薦性標準的建議及主要依據(jù)本標準不涉及應強制執(zhí)行的內容，但是本標準的發(fā)布對于規(guī)范煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡安全互聯(lián)，提升煙草工業(yè)企業(yè)生產(chǎn)區(qū)網(wǎng)絡與管理區(qū)網(wǎng)絡安全互聯(lián)的建設水平，更好地保障生產(chǎn)任務具有重要意義。因此建議作為推薦性標準進行發(fā)布。標準宣貫的要求和措施建議建議在本標準正式發(fā)布后，在煙草行業(yè)內進行宣貫和培訓，如下：1）組織會議集中宣貫：組織行業(yè)內相關單位信息中心負責人進