Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC 62645：核电厂计算机化系统信息安全程序要求
随着核电厂越来越多地采用数字化仪表与控制系统（I&C），网络安全的威胁态势急剧扩大。IEC 62645专门针对核设施中基于计算机和硬连线数字（CB&HPD）系统的信息安全程序制定了详细要求。该标准提供了一个结构化框架，将信息安全管理原则与核运行的独特安全需求相结合，确保数字系统能够抵御有意和无意的网络威胁。
💡 核心洞察： IEC 62645与ISO/IEC 27001和ISO/IEC 27002保持一致，但将这些通用IT安全框架进行了适应性调整，以应对核电厂I&C系统特有的安全关键要求。2015年发布的勘误表明确了与这些ISO标准的2009/2005版本的对应关系。
IEC 62645的范围与框架
IEC 62645适用于核电厂中执行安全相关、安全重要和安全相关功能的所有基于计算机和硬连线的数字系统。该标准建立了一个涵盖I&C系统全生命周期的综合信息安全程序，从设计和采购到运行、维护直至最终退役。
该框架采用分级方法，即安全措施的深度和严格程度与系统的安全重要性成正比。被分类为安全1级（最高安全重要性）的系统需要最严格的安全措施，而较低级别的系统则接受相应较轻的处理。
信息安全程序核心要素
标准定义了构成核I&C信息安全程序基础的几个基本组成部分：
- 安全策略：组织层面保护I&C系统免受网络威胁的承诺
- 风险评估：系统化识别和评估威胁、脆弱性和潜在后果
- 纵深防御：多层安全控制以防止单点失效
- 安全架构：网络分段、访问控制和通信安全
- 事件响应：检测、报告和缓解安全事件的程序
- 配置管理：对硬件、软件和网络配置的可控变更
| 信息安全程序要素 | 范围 | 关键要求 |
|---|---|---|
| 安全策略 | 全组织 | 管理层承诺、角色与职责 |
| 风险评估 | 所有CB&HPD系统 | 威胁分析、脆弱性评估、后果评估 |
| 纵深防御 | 架构层面 | 多重屏障、网络分区、访问分层 |
| 安全控制措施 | 技术措施 | 身份认证、加密、监控、日志记录 |
| 事件管理 | 运行阶段 | 检测、响应、恢复、经验反馈 |
| 配置管理 | 全生命周期 | 变更控制、基线管理、审计追踪 |
| 人员安全 | 人力资源 | 培训、意识、审查、访问权限 |
⚠️ 重要提示： IEC 62645要求安全措施不得损害核安全。在安全与安全要求发生冲突的情况下，安全要求优先。这一原则是标准方法的基础。
分级方法与风险评估
分级方法是IEC 62645中最重要的概念之一。标准不要求对所有系统采用统一的安全措施，而是要求安全工作的力度与安全破坏的潜在后果成正比。这种方法确保资源得到有效分配，同时为最关键的系统维持充分的保护。
IEC 62645下的风险评估遵循结构化方法论，考虑以下三个关键维度：
- 威胁评估：识别潜在对手及其能力、动机和攻击途径
- 脆弱性分析：检查可能被威胁利用的系统弱点
- 后果评估：评估对核安全、电厂运行和公众健康的潜在影响
I&C系统安全分级
IEC 62645定义了与I&C系统安全分级相对应的信息安全分级级别：
| 分级级别 | 安全重要性 | 安全要求 |
|---|---|---|
| 安全1级 | 最高——直接影响反应堆安全 | 最严格；全面实施程序 |
| 安全2级 | 重要——支持安全功能 | 显著措施；部分实施程序 |
| 安全3级 | 间接安全贡献 | 基本安全措施 |
| 非安全级 | 无直接安全影响 | 通用IT安全实践 |
✅ 最佳实践： 实施IEC 62645时，首先对所有数字化I&C系统进行全面的资产清单编制和安全分级。这为有效应用分级方法奠定了基础，并确保不遗漏任何关键系统。
纵深防御安全架构
纵深防御是IEC 62645的基石原则，借鉴了核安全理念并针对网络安全进行了调整。这种方法创建了多个独立的安全控制层，使得如果某一层被攻破，后续层仍能继续提供保护。该概念与核电厂设计中使用的物理纵深防御如出一辙。
关键架构要求包括：
- 网络分区：将I&C网络划分为具有受控接口的安全区域
- 边界保护：在区域边界部署防火墙、数据二极管和单向网关
- 访问控制：对关键系统实施基于角色的访问控制及多因素认证
- 监控与检测：对网络流量和系统行为进行持续监视
- 物理安全：防止对I&C硬件进行未经授权的物理访问
🚨 关键警告： 在IEC 62645中，单纯的物理隔离（Air-Gap）不视为足够的安全措施。标准认识到，即使是隔离系统也可能通过可移动介质、维护笔记本电脑、供应链攻击和内部威胁而受到破坏。全面的安全措施必须针对所有潜在攻击途径。
工程设计见解
有效实施IEC 62645需要与现有的核I&C设计实践谨慎集成。工程师应考虑以下实用建议：
- 在I&C系统设计阶段早期集成安全要求，而非事后补救
- 采用安全设计原则以最小化数字系统的攻击面
- 在安全与安保功能之间建立清晰的接口，防止意外交互
- 实施考虑核运行约束的稳健补丁管理程序
- 在运行限制范围内定期进行安全评估和渗透测试
- 将详细的安全文档作为电厂质量保证计划的一部分加以维护
常见问题
Q1：IEC 62645与ISO 27001等通用IT安全标准有何不同？
虽然IEC 62645与ISO/IEC 27001和27002协调一致，但它增加了核安全特定的要求，包括基于安全分级的分级方法、安全优先于安全的原则、针对核架构调整的纵深防御，以及对核设施独特运行约束（如长系统寿命和监管监督）的具体规定。
Q2：IEC 62645与IEC 61513（核I&C安全）之间的关系是什么？
IEC 62645和IEC 61513是互补标准。IEC 61513解决核I&C系统的安全要求，而IEC 62645解决网络安全要求。两个标准必须同时应用，以确保核I&C系统既安全又安防。信息安全程序不得损害安全功能。
Q3：核I&C信息安全程序应多久审查一次？
IEC 62645要求定期审查信息安全程序，审查频率由分级方法决定。安全1级系统通常需要更频繁的审查。此外，重大事件（如安全事件、重大系统变更或新威胁情报的出现）应触发审查。
Q4：IEC 62645能否应用于现有核电厂？
可以。IEC 62645设计为适用于新建和现有核电厂。对于现有电厂，标准建议采用分阶段实施方法，首先进行风险评估以识别最关键的系统，然后根据分级方法优先实施安全控制措施。
