基于网络安全等级保护2.0要求的生产过程质量追溯体系建设分析

基于网络安全等级保护2.0要求的生产过程质量追溯体系建设分析

作者：刘磊 徐鑫 张承 刘喜松

来源：《数字技术与应用》2019年第07期

摘要：本文通过比较网络安全等级保护2.0与1.0版本的变化，总结分析最新等保要求中的工控网络的安全需求，以此为参考设计企业新建生产过程质量追溯体系中的安全防护策略。 关键词：等级保护2.0;生产质量追溯;工控网络安全

中图分类号：TP309 文献标识码：A 文章编号：1007-9416（2019）07-0189-02 1 项目背景

本项目所描述的系统用于乙肝疫苗车间，是国药集团建立生产信息化追溯系统的试点化建设项目。旨在通过系统的实施，建立以电子批记录为基础，为疫苗生产和流通提供全程信息化追溯。项目以乙肝疫苗车间生产线为基础，实施MES和SCADA系统，从上游的发酵培养，纯化，灭活配制，半成品，到下游的分装和外包装。通过本项目的实施，实现电子化批记录，确保疫苗生产的可追溯性。 2 等级保护概念

网络安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护[1]。 2.1 等保2.0变化

随着5G时代的来临，越来越多的新技术、新科技运用到了社会的方方面面，网络安全等级保护的范围也紧跟着时代步伐，针对现在主流的云计算、平台大数据、万物互联、AI智造、工业4.0等领域进行全覆盖。所以等保2.0的主要变化是在安全要求上在满足通用要求的基础上还要针对云计算，万物互联、工业智能制造控制等新兴领域，满足有针对性的扩展安全要求。

2.2 等保2.0三级要求

龙源期刊网 http://www.qikan.com.cn

在等保2.0中有一项改变，很多人都会忽视，就是等保2.0强化了对公民、法人和其他组织合法权益的保护。等保1.0中，对“公民、法人和其他组织”权益遭到特别严重侵害时，确定的保护等级为二级。而在等保2.0中，等级确定为三级。 3 项目安全要求

本项目致在建立疫苗生产企业从投料生产到包装发货的全程生产质量信息追溯管理，由于疫苗产品的特殊属性，如若系统受到攻击或干扰造成信息丢失或篡改，都会使“公民、法人和其他组织”权益遭到特别严重侵害，因此本项目等保要求应定位于等保2.0三级项目。项目涉及大量生产制品中的工业控制，按照等保2.0中的安全要求规定，除应具备通用安全要求外，还应针对工业控制独有的特点，满足相关的工业控制安全扩展要求。 3.1 工控制系统安全通用要求

安全通用要求细分为技术要求和管理要求。两者合计10大类，如图1所示。

（1）技术要求。通用技术要求其主要思路是针对具有共性化保护需求的对象提出的，也是就说不论保护对象以何种表式出现，都因满足这些安全要求。（2）管理要求。管理要求主要是希望通过“机构”、“制度”和“人员”三要素的管理来保障技术要求的正常执行，同时还应考虑在系统建设、改造过程中的运维要求和设备管控要求。 3.2 工业控制系统安全扩展要求

工业控制系统其范围涵盖较广，可以说在工业制造上用到的所有智能系统都属于工业控系统。其中近年来最常见的几种综合性系统有数据采集与监视控制系统（SCADA）、生产制造管理系统（MES）等。这些综合系统大量运用大数据、云计算、AI、物联网等新兴技术，因此除了通用的安全要求外，还需要有针对性的扩展要求。 4 项目安全扩展要求策略方案

工业控制系统安全扩展要求是针对现场控制层和现场设备层提出的特殊安全要求，它们与安全通用要求一起构成针对工业控制系统的完整安全要求。 4.1 系统功能架构

项目总体系统架构分为五个层次。（1）自动化及仪表层，该层为企业的生产系统、公用系统、实验室系统及仪器仪表等物理基础设施。（2）监控层，监控层主要提供数据采集及监控一体化平台，实现全厂生产设备及公用系统的数据采集及存储，并在此基础上实现全厂生产及系统运行监控。（3）制造管理层，制造管理层面向生产过程，建设的系统覆盖生产基地的生产运行与管理、设备管理、仓储管理、质量保证和质量控制、能源管理等方面的业务，实现

龙源期刊网 http://www.qikan.com.cn

生产制造的集成化管理，实现生产的智能化。（4）企业管理层，企业管理层面向公司的经营管理，覆盖公司的产供销以及供应链业务，实现经营管控一体化。（5）智能决策层，在自动化与信息化基础上，信息技术与制造管理技术深度融合，汇聚各个业务系统的数据，利用大数据分析技术实现分析决策的智能化。 4.2 网络总体物理架构

项目园区网络的物理架构如图2所示。

该组网结构按功能模块以星型分层拓扑划分，关键节点使用双网环型设计，确保主要网络的可靠性，保障采集传输数据的完整，同时此网络结构可以很清晰的区分各功能区域，有利于后期扩展和维护。各功能区之间设立网络防护设备，可以更好的对内部网络进行安全防护，并可通过堡垒机支持业务上的分支联调、公司内部远程接入以及外部受权用户访问、技術支持等需求。

4.3 通讯传输

项目计划采用工业通讯网关，支持多种厂家PLC（SIEMENS、艾默生DeltaV、Rockwell AB、Schneider、OMRON、三菱等）以及能够支持主流标准协议，如 Profinet，ModBus TCP/IP，OPC DA，OPC UA、BACnet、IEC103等，并支持以OPC、MODBUS TCP等方式发布数据，用于采集现场设备的数据信息，并在工业环网和底层设备间形成隔离，有效提高网络安全性。 4.4 访问控制

项目计划采用立思辰Opa1000-OAB31堡垒机，立思辰工控堡垒机系统是一款针对云主机、云数据库、网络设备等运维权限管理的工具。它能解决国家对医药企业系统的运维管控及安全审计要求，并可以对工控网内部环境状态信息进行监控收集，提供身份鉴别、用户权限分配、高危端口管理等功能，在安全管理的要求下满足了车间的外联需求。 4.5 无线控制

项目需在车间内部布置WIFI覆盖，同时考虑到无线网络将与工控网连接，也需要对无线网络进行安全管控。项目计划使用集中式无线管理，通过控制器（AC）对项目中的AP进行管理。涉及到的安全功能都是由AC和AP联合使用共同完成，AC完成安全策略，如移动管理、身份验证、VLAN划分、射频资源管理和数据包转发等。AP完成使用功能，如无线信号响应、数据加密解密、数据传输确认、空口数据优先级管理等。无线控制管理器和转换器之间通常使用CAPWAP隧道协议进行通讯。CAPWAP协议是基于UDP的应用层协议，协议传递

龙源期刊网 http://www.qikan.com.cn

的信息分为两类，即控制信息和数据信息[2]。CAPWAP信息在AP与AC间交互时可以使用DTLS加密机制，保证通信的安全性。 5 结语

随着国家对疫苗药物生产质量管控要求的进一步提升，及企业自身对降能增效提高企业核心竞争力的目标不断前行，安全可靠的智能生产管控系统将完全融入到工业控制管理的各个环节。但是由于行业的特殊性，疫苗制药企业的生产制造工控系统的信息安全关系着社会秩序、公共利益、国家安全和稳定。这就要求在每一个药企系统建设前都要根据现行的国家网络安全等保要求逐项核对制定安全策略，以保障系统的安全可靠。 参考文献

[1] 夏冰.网络安全法和网络安全等级保护2.0[M].电子工业出版社，2017. [2] 孙春雨.无线网络技术教程[M].机械工业出版社，2018.