近年来，，，国度烟草专卖局凭据行业信息安全建设现实情况和必要，，，一方面通过颁布信息安全有关行业尺度规范为行业单元信息安全建设提供领导和统一要求，，，另一方面通过每年度一次全面信息安全查抄和专项信息安全查抄，，，面向全行业“以查促建、、以查促管、、以查促改、、以查促防” 推动行业整体信息安全建设水平的提高。。。
在“两化”融合的行业发展需要下，，，现代工业节制系统的技术进取重要表此刻两风雅面：信息化与工业化的深度融合，，，为了提高烟草行业出产高效运行、、出产治理效能，，，行业大力推动信息系统的集成化，，，集中化治理，，，工控网络与办公网、、互联网的互联互通成为重要前提。。。
近几年行业总局凭据行业特点陆续制订颁布了《烟草行业等级�；じ蟆�、、《烟草行业移动利用安全规范》、、《烟草行业网络安全基线治理技术规范》、、《烟草行业网络与信息安全查抄自查指南》、、《烟草工业企业出产网与治理网网络互联安全规范》和《烟草行业工业节制系统网络安全基线技术规范》，，，为行业的信息安全规划、、建设提供了凭据与尺度。。。
行业需要
安全配置核查需要
烟草行业通过对安全事务的分析，，，发现安全事务重要由3个方面引起，，，安全缝隙方面、、安全配置方面，，，以及异常事务等方面。。。安全配置通常都是由于报答的忽略造成，，，重要蕴含了账号、、口令、、授权、、日志、、IP通讯等方面内容，，，反映了系统自身的安全脆弱性。。。由安全配置的不及可能带来极度多的安全隐患，，，因而对安全配置进行有效的查抄和加固成为整体安整个系建设中的重要一环。。。
同时凭据国度烟草局制订的《烟草行业信息安全基线治理技术规范》作为烟草行业各单元信息安全保险系统建设和治理工作的基线要求。。。
工业节制系统安全需要
烟草行业工业节制系统由于持久不足安全需要的推动，，，现有的工业自动化节制系统在设计、、研发、、部署、、运维中没有充分思考安全问题，，，一旦被无意或恶意利用就会造成各类信息安全事务。。。整体工业节制系统安全趋向不容乐观，，，行业工控安全建设火烧眉毛。。。
烟草行业工业节制系统安全需要：
1、、 车间内安全域划分及安全域接见节制需要；
2、、 车间内未知资产、、未知IP发现需要；
3、、 上位机安全防护需要；
4、、 工控设备、、工控和谈安全缝隙发现需要；
5、、 无线通讯安全防护需要；
6、、 统一监控治理需要；
7、、 安全配置查抄需要；
8、、 第三方运维安全审计需要；
行业解决规划及优势
烟草行业“三全”查抄评估系统解决规划
系统概述
烟草行业“三全”查抄评估系统是依照烟草行业信息安全基线治理技术规范的要求，，，实现拥有烟草行业特点的三全业务梳理、、诊断等职能，，，具备安全运维、、巡检、、查抄的自动化实现。。。
系统在钻研烟草行业的基线安全需要后，，，制订了针对行业信息系统中的网络设备、、操作系统和数据库的安全配置核查和职能测试规范，，，蕴含各品牌路由器、、通用操作系统、、AIX主机系统、、Windows主机系统，，，通用数据库、、Oracle数据库等设备、、系统的安全配置规范和安全职能测试规范。。。
系统战术库的钻研内容重要蕴含账号、、口令、、授权、、日志、、IP地址以及其它方面的内容。。。这些内容涉及可能会影响设备或系统安全性的方面，，，好比口令的复杂性，，，生计期、、汗青口令、、口令批改、、口令存放等方面的内容。。。规范中的配置核查部门明确了设备的根基配置安全要求，，，为在设备入网测试、、工程验收和设备运行守护环节明确有关安全要求提供指南。。。
职能介绍
三全工作可视化：依照行业总局三全要求对业务系统进行核查，，，并天生报表。。。如下图所示，，，从系统必要达标率以嘉拷寮达标率进行数据统计。。。并且依照“三全”要求显示出安全技术、、安全治理的具体指标统计。。。
自界说填报： 依照自身业务系统的特点进行自界说的填报年、、月报表。。。
三全工作自动查抄：可实现三全工作的定期执行
KPI查核：高低级单元的级联，，，可实现上级单元对下级单元的达标率的查看、、分析以及查核。。。
部署模式
系统常见的部署方式凭据客户的组织架构的分歧重要有单级部署和级联部署两种方式。。。而单级部署的结构上又可凭据客户的网络的散布情况重要分为单点部署和散布式部署两种方式。。。以下就别离对单级部署和级联部署别离介绍。。。
单级部署：单级部署系统的组网模式比力单一，，，能够将其旁路部署在既有网络中。。。治理员通过WEB页面登录系统下达核查工作，，，查抄工作既能够远程执行也能够本地执行。。。
多级部署：总部（如省级单元）部署一套系统，，，凭据各个地市的现实情况同样也部署一套系统。。。实现对地市、、省级单元的二级级联。。。而各下属各分支机构为了实现对各自负息系统的安全配置治理、、“三全”工作统计，，，别离部署了各自的安全配置核查系统。。。总部与分支机构的安全治理平台进行通讯，，，实现总部对分支机构系统的查看和治理，，，如年度“三全”实现指标情况，，，横向地市与地市之间的“三全”指标实现度的对比情况。。。
规划优势
- 提高安全掌控
- 提高工作效能
- 降低治理成本
烟草行业工业节制系统安全解决规划
本规划的整体思路重要凭据行业网络安全“分级分域、、整体�；�、、积极预防、、动态治理”的总体战术。。。首先对整个工控系统进行全面风险评估把握目前工控系统风险近况；通过治理网和出产网隔离确保出产网不会引入来自治理网风险，，，保障出产网天堑安全；在各车间内部工控系统进行肯定伎俩的监测、、防护，，，保障车间内部安全；最后对整个工控系统进行统一安全出现，，，将各个防护点组成一个全面的防护系统，，，保险其整个工业节制系统安全不变运行。。。
工业节制系统安全防护模型
全面风险评估
所有工控安全建设都应该是基于对自身工控安全近况的精确把握，，，本规划首先选取工业无损查抄评估的方式对整个工控系统进行全面风险评估。。。重要内容蕴含：工控设备安全性评估、、工控软件安全性评估、、各类操作站安全性评估以及工控网络安全性评估。。。
工业节制系统不间断运行，，，任何不测�；收铣鞘性斐芍卮笏鹗�。。。工控系统风险评估首先强调风险节制，，，从项目治理和技术执行的层面，，，必须做到零风险。。。
工业无损查抄评估
治理网和出产网隔离
治理网和出产网互联互通存在安全风险，，，凭据国际国内的各类工控安全有关尺度以及行业内部于2014年下发的《烟草工业企业出产网与治理网网络互联安全规范》中，，，都对治理网和出产网互联安全问题进行了着重关注。。。
治理网和出产网互联接口安全模型
针对这一问题，，，本解决规划在各车间工业节制系统出产网和治理网天堑都应该部署工业防火墙进行治理网和出产网的逻辑隔离，，，对两网间数据互换进行安全防护，，，确保出产网不会引入治理网所面对的风险。。。
各车间内监测与防护
在治理网和出产网隔离中已经对出产执行层和各个车间出产网络进行了逻辑隔离，，，确保治理网风险不会引入各车间出产网。。。在各车间内部针对行业工业节制系统各方面风险采取对应的防护伎俩如下：
在操作员站、、工程师站、、HMI等各类操作站部署操作站安整系统对主机的过程、、软件、、流量、、U盘的使用等进行监控，，，防备主机犯法接见网络其它节点；
部署工业异常监测系统，，，监测工控网络的有关业务异�：腿肭中形�，，，通过工控网络中的流量关系图形化展示梳理发现网络中的故障，，，出现异常实时报警；
部署工业缝隙扫描系统，，，发现各类操作系统、、组态软件、、以及工业互换机、、PLC等存在的缝隙，，，为车间内各类设备、、软件提供美满的缝隙分析检测。。。
在PLC前端部署工业防火墙，，，对PLC进行防护。。。
在车间现场通过部署Wifi入侵检测设备，，，对烟草工业节制系统中的AGV小车等其他无线网络进行安全防护。。。
部署现场运维审计与治理系统防备现场运维带来的风险。。。
工业异常监测
统一安全出现
对于治理人员，，，面对整个企业各个车间内繁多的各类工控网络设备、、服务器、、操作站以及安全设备，，，若何高效治理，，，把握各个点的风险近况，，，对整个工控系统安全近况可能统一把握，，，实时处置各类设备故障与威胁同样是工控安全建设至关重要的一环。。。
针对这一情况，，，通过在出产执行层部署工业节制信息安全治理系统，，，对烟草出产中各车间工控系统进行可用性、、机能和服务水平的统一监控治理。。。蕴含各类主机、、服务器、、现场节制设备、、以及各类网络设备、、安全设备的配置及事务分析、、审计、、预警与响应，，，风险及态势的怀抱与评估，，，对整个系统面向业务进行自动化、、智能化安全治理，，，保险烟草工业节制系统整体持续安全运营。。。
部署规划
安全措施部署图
烟草行业工业节制系统安全防护优势
- 在烟草行业卷烟厂进行全面工控安全建设的工控安全厂商，，，实现了烟草行业工控安全的破冰行动。。。
- 提供了烟草行业工控安全尺度调研、、编制支持。。。
- 工控产品进行了烟草行业出产线环境测试。。。
- 在烟草行业工控安全风险评估、、征询、、解决规划、、项目经验等方面具备当先优势 。。。
京公网安备11010802024551号