近日，北京信安世紀科技股份有限公司（以下簡稱“信安世紀”）貴州省水庫工業控制系統密碼應用案例憑借行業典型性和方案先進性，成功入選 “工業互聯網安全”方向“2022安全樣板工程”。
2018年，國家發布關于金融和重要領域的密碼應用工作規劃相關政策文件，在文件中對水利行業密碼應用的建設提出了要求。水利部辦公廳發布的《2020年水利網信工作要點》文件中要求，落實、持續推進三峽水利樞紐、南水北調工程等重要水利基礎設施和國家水資源管理系統等重要信息系統的密碼應用。
貴州省水庫是貴州省重要的水利工程，也是國家級民生重點項目，作為水庫關鍵的業務系統，其工業控制系統的數據保護是重中之重。信安世紀通過深入分析該水庫業務系統信息安全的現狀，發現存在如下痛點：
用戶身份難鑒別：業務系統采用傳統賬號口令登錄方式，用戶口令易遭到惡意破解，用戶身份安全難以得到保障。
數據傳輸未加密：水庫應用系統與水投集團間數據傳輸未進行密碼保護，易造成數據的泄露和篡改。
數據存儲隱患高：數據庫及存儲中數據文件易被竊取、損壞或修改，存在數據泄露風險。
實施過程
根據國家相關法律、法規及技術標準，結合了水利行業信息化發展趨勢，兼顧了當前該水庫業務系統商用密碼應用需求，信安世紀為貴州水庫的業務系統建設了統一管理、配置合理、安全可控的商用密碼應用平臺，構建了從前端采集單元到水庫分支節點、分支節點到中心端的全流程數據安全防護密碼應用解決方案，保證了水庫業務系統身份安全、數據傳輸安全、數據存儲安全。
該方案綜合采用SSL加密、數字證書、簽名驗簽、動態密碼等成熟的密碼技術，實現了工業采集端數據的加密、水庫工業控制系統本地機房管理端與服務器端數據傳輸加密，采集端設備接入水庫中心機房、水庫管理公司接入水投集團、系統用戶登錄應用系統的身份鑒別，以及數據庫業務數據的安全存儲以及系統所有設備的統一運維管理。
圖 1 貴州省水庫密碼應用拓撲圖
實施效果
1. 身份安全性驗證
信安世紀通過動態密碼、動態令牌、數字證書技術等為整體業務流程構建了雙因素認證登錄方案，實現了針對用戶、運維人員以及采集端設備接入水庫中心機房、水庫管理公司接入水投集團、系統用戶登錄應用系統的身份鑒別，保證身份的真實性與唯一性。
2.工業數據采集端的數據加密保護
工業采集端通過加密模塊與后臺密鑰管理系統相結合，并通過數字信封技術及HMAC-SM3技術，實現工業采集重要數據在傳輸過程中的機密性及完整性。
3.水庫中心機房與水投集團之間數據傳輸加密
水庫工業控制系統本地機房管理端與服務器端通信采用信安世紀SSL客戶端與SSL應用網關完成通道的加密，保證通信雙方數據的機密性、完整性及身份的真實性，為水情、工情、墑情的數據傳輸提供了安全保障。
4.數據存儲安全
業務系統在對重要數據進行存儲時，通過對關鍵業務數據進行加密，將密文存儲至數據庫中，實現對各業務系統關鍵數據、用戶信息數據、審計數據、應用配置數據等的完整性及機密性保護。
5.工控系統統一運維管理
該水庫工業控制系統所有設備通過SSL VPN技術建立安全的信息傳輸通道，實現統一、集中的安全運維管理；當運維人員從外部訪問內部運維區域時，采用數字證書技術對運維人員進行身份鑒別，實現通信數據完整性、保密性。
隨著智慧水利建設的推進，水利領域的網絡安全建設也上升到新高度。作為信息安全專業企業，信安世紀將積極響應國家水利建設相關政策，深入研究行業信息化安全建設需求，運用信息安全技術手段，保障智慧水利的高質量發展，為國家水治理體系和治理能力的現代化提供強有力的安全支撐。
