經(jīng)濟(jì)觀察網(wǎng) 記者 高歌 美國(guó)燃油管道公司遭受網(wǎng)絡(luò)攻擊一事再度觸發(fā)有關(guān)油氣管網(wǎng)安全性問(wèn)題的討論。
5月7日，美國(guó)燃油管道公司Colonial Pipeline管網(wǎng)遭受攻擊，攻擊者竊取這家公司重要的數(shù)據(jù)文件，燃油管道運(yùn)輸管理系統(tǒng)也遭遇“劫持”，一度致使美國(guó)東部沿海各州的關(guān)鍵供油管道被迫關(guān)閉。隨后在5月10日，Colonial Pipeline宣布在當(dāng)周周末之前大部分服務(wù)能夠恢復(fù)正常。
盡管系統(tǒng)在3-5天內(nèi)重新投入使用，對(duì)油價(jià)影響有限，但這起美國(guó)燃油管道遭遇的意外網(wǎng)絡(luò)攻擊仍被部分海外機(jī)構(gòu)描述為“史無(wú)前例”：一旦管網(wǎng)長(zhǎng)期關(guān)閉，則汽油斷供進(jìn)而導(dǎo)致庫(kù)存驟降，會(huì)加劇供應(yīng)趨緊的風(fēng)險(xiǎn)，將繼續(xù)推動(dòng)汽油及原油價(jià)格上漲。
5月19日，一位油氣行業(yè)從業(yè)人士對(duì)經(jīng)濟(jì)觀察網(wǎng)表示，油氣管道系統(tǒng)一旦受到“系統(tǒng)性”破壞，或?qū)⒂|發(fā)嚴(yán)重危害，油氣管網(wǎng)安全性問(wèn)題應(yīng)被予以更多的重視。
廣義的管道安全涉及兩大類：一類是生產(chǎn)安全，一類是安全防范。中國(guó)油氣管網(wǎng)超過(guò)13萬(wàn)公里，比全國(guó)的鐵路線還長(zhǎng)，承擔(dān)了90%以上的油氣運(yùn)輸任務(wù)。“生產(chǎn)安全事故造成全國(guó)性油氣管網(wǎng)癱瘓的可能性較小，而安全防范方面出現(xiàn)嚴(yán)重問(wèn)題就極有可能引起全國(guó)性管網(wǎng)癱瘓。”
目前涉及此類問(wèn)題的標(biāo)準(zhǔn)主要有以下幾項(xiàng)：《GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》、《GB/T28448信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》均為2019年5月修訂，要求2019年12月實(shí)施。《GB/T22240信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》2020年4月修訂，要求2020年11月實(shí)施。以上三標(biāo)準(zhǔn)修訂重要變化是增加“工業(yè)控制系統(tǒng)安全擴(kuò)展要求”。
公安部組織起草的《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例仍在征求意見(jiàn)中，其中明確要求“重點(diǎn)保護(hù)涉及國(guó)家安全、國(guó)計(jì)民生、社會(huì)公共利益的網(wǎng)絡(luò)的基礎(chǔ)設(shè)施安全、運(yùn)行安全和數(shù)據(jù)安全”并明確要求“主動(dòng)防御”。
企業(yè)層面，據(jù)經(jīng)濟(jì)觀察網(wǎng)記者了解，國(guó)家石油天然氣管網(wǎng)集團(tuán)有限公司目前在集團(tuán)層面尚未形成有關(guān)網(wǎng)絡(luò)安全等保的企業(yè)標(biāo)準(zhǔn)，其下屬處級(jí)單位中有兩家在今年分別制定出了《油氣管道SCADA系統(tǒng)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》的待審閱版以及《工控系統(tǒng)網(wǎng)絡(luò)安全設(shè)備測(cè)試方案》，但距離最終的出臺(tái)與執(zhí)行仍需不少時(shí)間。國(guó)家標(biāo)準(zhǔn)以及相關(guān)部委出臺(tái)標(biāo)準(zhǔn)需要在企業(yè)層面逐級(jí)宣貫、執(zhí)行、完善。在企業(yè)層面也需要形成自上而下的統(tǒng)一的標(biāo)準(zhǔn)，但目前狀態(tài)是“上下對(duì)不上”。
經(jīng)濟(jì)觀察此前采訪時(shí)了解到，管網(wǎng)資產(chǎn)整合、統(tǒng)一調(diào)控后的安全問(wèn)題最為重要，其中以“管網(wǎng)自動(dòng)化控制系統(tǒng)”的網(wǎng)絡(luò)安全最為棘手。
一位管道安全專家此前接受經(jīng)濟(jì)觀察網(wǎng)采訪時(shí)介紹道，在生產(chǎn)安全技術(shù)方面，管道安全主要涉及管道完整性技術(shù)、搶維修技術(shù)、油氣儲(chǔ)運(yùn)系統(tǒng)消防技術(shù)、無(wú)人巡線技術(shù)等，以及很多和石油天然氣工業(yè)其它領(lǐng)域通用的安全技術(shù)。安全防范技術(shù)又可以分為兩大類，一類是與治安風(fēng)險(xiǎn)相關(guān)的安全防護(hù)，一類是與工控系統(tǒng)相關(guān)的安全等級(jí)保護(hù)。與治安風(fēng)險(xiǎn)相關(guān)的安全防護(hù)包括，人防、物防、技防，三方面，技防方面有：Ｘ射線檢測(cè)、入侵報(bào)警，以及指靜脈識(shí)別、瞳孔識(shí)別、人臉識(shí)別等生物識(shí)別技術(shù)。與工控系統(tǒng)相關(guān)的安全等級(jí)保護(hù)技術(shù)包括：防火墻技術(shù)、服務(wù)器終端偵測(cè)技術(shù)、加密通信技術(shù)，以及與普通安防通用的防護(hù)設(shè)備和管理體系。
從應(yīng)用情況看，上述專家曾表示，治安風(fēng)險(xiǎn)防控技術(shù)已經(jīng)成熟，但在管道領(lǐng)域的應(yīng)用還存在不少問(wèn)題，如在管道的“油氣調(diào)控中心”安全防范，國(guó)內(nèi)現(xiàn)有的大大小小十幾個(gè)調(diào)控中心，半數(shù)安全防范達(dá)不到公安部《GA1166-2014石油天然氣管道系統(tǒng)風(fēng)險(xiǎn)等級(jí)和安全防范要求》的標(biāo)準(zhǔn)，甚至部分“國(guó)家級(jí)油氣調(diào)控中心”都不達(dá)標(biāo)。之前三大石油公司也沒(méi)有動(dòng)力在“管網(wǎng)”這一非主營(yíng)業(yè)務(wù)上大力度整改。整合前也沒(méi)有真正全國(guó)成網(wǎng)，“油氣調(diào)控中心”的重要性也今非昔比。
與工控系統(tǒng)相關(guān)的安全等級(jí)保護(hù)技術(shù)方面就更不樂(lè)觀。上述人士指出，大部分管道工控系統(tǒng)達(dá)不到國(guó)標(biāo)《GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》。部分工控系統(tǒng)等級(jí)保護(hù)建設(shè)甚至出現(xiàn)空白。在管道領(lǐng)域等保測(cè)評(píng)服務(wù)力量方面較弱。
據(jù)了解全國(guó)有三百多家等級(jí)保護(hù)評(píng)測(cè)機(jī)構(gòu)，國(guó)家電網(wǎng)集團(tuán)公司內(nèi)部有三家，而三大石油集團(tuán)公司內(nèi)部連一家都沒(méi)有。由于外部評(píng)測(cè)機(jī)構(gòu)對(duì)管道工控系統(tǒng)不了解，很多系統(tǒng)被漏評(píng)、錯(cuò)評(píng)。
國(guó)家電網(wǎng)公司管理全國(guó)70%上的電網(wǎng)，有數(shù)萬(wàn)個(gè)換流站、變電站、開(kāi)閉所，其總部調(diào)度控制中心直接調(diào)控其中的幾十個(gè)站場(chǎng)，工控系統(tǒng)是５萬(wàn)Ｉ／Ｏ點(diǎn)級(jí)別，屬“一旦受到破壞會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重危害，或者對(duì)國(guó)家安全造成嚴(yán)重危害的特別重要網(wǎng)絡(luò)”。國(guó)電總調(diào)中心因此等保評(píng)級(jí)為四級(jí)（次高級(jí)），但要求按照五級(jí)（最高級(jí)）建設(shè)，實(shí)時(shí)數(shù)據(jù)庫(kù)進(jìn)行了三層防火墻分區(qū)隔離。管網(wǎng)整合前一個(gè)國(guó)家級(jí)油氣調(diào)控中心就可直接控制全國(guó)半數(shù)左右的管道，直接遠(yuǎn)程控制的壓氣站、泵站、加熱站、閥室成百上千，其工控系統(tǒng)是２０萬(wàn)Ｉ／Ｏ點(diǎn)級(jí)別。據(jù)了解，國(guó)內(nèi)各油氣調(diào)控中心已參與等保評(píng)測(cè)的系統(tǒng)目前最高僅被評(píng)定為三級(jí)，這直接導(dǎo)致等保建設(shè)力度不夠，技術(shù)研發(fā)和應(yīng)用都不到位。
基于前述狀況，上述人士提出的建議是：安防和等保一體化，即安防和等保設(shè)施設(shè)備整體規(guī)劃、同步建設(shè)、同步使用。對(duì)比公安部《GA1166-2014石油天然氣管道系統(tǒng)風(fēng)險(xiǎn)等級(jí)和安全防范要求》和《GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》這兩個(gè)標(biāo)準(zhǔn)，可以發(fā)現(xiàn)有重疊、有互補(bǔ)，需要統(tǒng)籌。在管道工控系統(tǒng)領(lǐng)域，因涉及大量上位機(jī)、下位機(jī)、執(zhí)行機(jī)構(gòu)和通訊設(shè)施，系統(tǒng)的實(shí)體已不局限于機(jī)房，而這些信息設(shè)備大多隨機(jī)、泵、爐等設(shè)備部署在野外站場(chǎng)，這就對(duì)站場(chǎng)安防和信息系統(tǒng)等保的同步性、兼容性提出了新的要求；“軟”“硬”兼施，即采取“防滲透設(shè)備”加“防滲透人員”的復(fù)合模式，將安防中的“人防”進(jìn)行拓展，結(jié)合《GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》“6. 1.6 安全管理機(jī)構(gòu)”和“6.1.7 安全管理人員”相關(guān)要求，在硬件防護(hù)基礎(chǔ)上，持續(xù)進(jìn)行“人力防護(hù)”。國(guó)際上稱之為“攻擊響應(yīng)分析師”的常態(tài)部署，這也符合國(guó)家提出的“主動(dòng)防御”的要求。
