根据美国NIST《提升关键基础设施的网络安全》开发的自愿性《网络安全框架》，提供了主次鲜明、基于性能的灵活方法，用以管理关键基础设施服务交付中直接涉及的流程、信息和系统的网络安全风险。NIST《网络安全框架制造篇》与制造业的目标和行业最佳实践保持一致，为制造商管理网络安全风险提供了思路，用于管理与制造系统相关的网络安全活动及网络风险。本框架是政府和私有部门的合作成果，采用通用语言阐述了如何基于业务需求，高效应对并管理网络安全风险。值得注意的是，框架并未提出合规要求。
适用范围
许多中小型制造商表示，实施基于标准的网络安全计划颇具挑战性。本文档提供了概念验证（PoC）方案示例，展示在流程型制造环境中如何按照《网络安全框架制造篇》中的低影响性要求来部署使用开源产品和商用现成品（COTS）。
PoC方案示例分别针对流程型制造环境（第2卷）和离散型制造环境（第3卷），描述了实施方案对网络、设备和业务性能的影响。各制造商应自行确定实施哪些方案内容。实施时应虑及的重要因素包括：公司规模、网络安全专业能力、风险承受能力及威胁态势。
读者对象
本文档涉及制造系统相关细节信息。读者应熟知运营技术、计算机安全方面的一般概念以及通信协议（如网络中使用的协议）。目标受众包括如下各类人员：
- 设计或实施安全制造系统的控制工程师、集成人员和架构师；
- 管理、修复或保护制造系统的系统管理员、工程师等专业信息技术（IT）人员；
- 负责管理制造系统的人员；
- 高级管理人员，这部分人群为证明有必要实施制造系统网络安全计划以减轻对业务运行的影响而须了解前因后果；
- 欲了解制造系统独特安全需求的研究人员、学术机构和分析师。
文章信息
指南原文获取地址为：
https://doi.org/10.6028/NIST.IR.8183A-2
其余两卷为：
NISTIR 8183A，网络安全框架制造篇低影响性示例实施指南：第1卷—总体指导
https://doi.org/10.6028/NIST.IR.8183A-1
NISTIR 8183A，网络安全框架制造篇低影响性示例实施指南：第3卷—离散型制造系统用例
https://doi.org/10.6028/NIST.IR.8183A-3
第2卷主要包括如下内容：
- 第2章概述了流程型制造系统用例。
- 第3章详述了适用于流程型制造系统用例的政策和程序文件。
- 第4章详述了适用于流程型制造系统用例的技术能力实现和相关性能测量方法。
本期连载将概述流程型制造系统用例。
用例背景
韦斯特曼工业公司（Westman Industries，简称“韦斯特曼”）是一家虚构的商用化工产品制造商，其产品用于运输、建筑施工等行业，韦斯特曼的使命是为工业应用提供优质化工产品。公司总部位于韦斯特兰（Westland），一座人口约10万的城市。
除定期维护停机（每年约2周时间，通常在12月底）外，韦斯特曼的生产设施每天24小时、每周7天连续运营。
为提高工业竞争力，韦斯特曼引进了过程自动化设备，以提高生产效率，降低生产成本。厂房里部署了工业自动化设备，如可编程逻辑控制器（PLC）、人机界面（HMI）和历史数据库（Data Historian）监控生产作业。
厂区情况
韦斯特曼厂区是一座约5000平方米的单体建筑，拥有约3500平方米的生产空间，包括生产区、配送区和化学品地上储罐区。厂区的其余部分为行政管理和工程办公区。
厂区有围墙，围墙大门在上班时间打开，下班后上锁。主楼有两个入口，一个用于员工出入，部署了工卡访问系统，员工必须刷卡才能进入大楼。另一个入口位于前厅，在正常上班时间有专人在岗，接待访客。访客在进入大楼或厂房前须登记并领取相应身份证明。韦斯特曼厂区的大门或入口没有安排外包保安值守。
员工
韦斯特曼有200名正式员工，大部分在制造车间工作。由全职制造/控制工程师组成的小组采用制造、控制和自动化设备控制生产过程，确保生产系统安全高效运行。
韦斯特曼高管的头衔和职责如下：
| 韦斯特曼管理层 | 主要职责 |
| 首席执行官（CEO） | 管理整个公司。 |
| 运营总监 | 监管生产运营，管理生产人员和控制工程师，向CEO汇报。 |
| 产品开发总监 | 监管产品开发，管理现场化学专业人员，向CEO汇报。 |
| 市场总监 | 监管市场与销售业务，向CEO汇报。 |
| 财务总监 | 管理财务人员，向CEO汇报。 |
| 法务总监 | 处理所有的法律事宜，向CEO汇报。 |
| IT经理 | 管理IT人员，向CEO汇报。 |
| HR经理 | 管理HR人员，向CEO汇报。 |
韦斯特曼还拥有一支小型IT队伍，专门负责企业IT系统
配套服务
韦斯特曼需要的配套服务包括电力、天然气、水和互联网。宽带互联网连接由一家大型全国网络服务商根据商业级服务水平协议提供。
法律法规要求
作为一家化工产品制造商，韦斯特曼及其员工必须遵守联邦和州对化学品和有害物质的所有法律法规要求。
关键基础设施
根据第21号总统政策令（PPD-21），化工行业属于关键基础设施。
生产过程
工厂的制造系统主要包括五个化学处理部件：反应器、产品冷凝器、气液分离器、循环压缩机和分离最终产品的汽提塔。
制造系统有12个阀门，用于控制系统中的化学品流动，还有41个传感器进行测量，用于监控化学过程。所有阀门和传感器通过DeviceNet通信总线连接到自动化设备（PLC）。阀门配有手动超控装置，以便工人在紧急情况下超控自动化设备。
原料送入反应器后进行混合，发生反应，产生的物质流向下游的产品冷凝器和气液分离器。反应后仍是气态的物质在压缩机内循环，然后回送到主反应器中。组分在冷凝后连续流入产品汽提塔，汽提塔将其分离，形成最终产品。在此过程的各个阶段，采集质量保证样品，验证产品质量和流程效率。
系统
行政办公室的支持团队是IT小组，主要使用常规的企业IT应用程序（如电子邮件、Web应用程序和企业规划应用程序）。
IT人员维护一个中央文件存储系统，其中存储了源代码、化学式、图纸、工序和图表，并定期备份。产品开发人员和制造工程师有权访问该系统。
IT人员还在制造车间安装配置了历史数据库，记录生产过程数据。IT人员定期对历史数据库进行数据备份，制造工程师对该数据库进行配置和操作。
数据
通过公司网络传输、存储的数据包括：
- PLC程序代码
- 化学式及计算过程
- 工作流和操作手册及文档
- 电气图
- 网络图
- 质量保证程序
- 历史生产数据
注：上述所有数据均为私有、商业机密或敏感数据。
网络
行政办公室内的IT系统连接到由IT团队管理的公司网络。制造车间有独立的自动化设备网络，由制造工程师管理。制造网络包括典型的基于以太网的TCP/IP网络和其他工业协议如DeviceNet。
有些生产设备厂商要求韦斯特曼允许远程访问设备。厂商获取授权后，通过远程访问连接到制造设备提供维护和支持。
任务目标
保护人员安全：韦斯特曼以制造系统的安全运行为己任，始终将员工安全作为头等大事。所有的制造工艺、协议、自动化过程和设备、作业程序和指南在设计时都充分考虑了人员安全。
保护环境安全：韦斯特曼遵守有关环境安全的所有适用法规，确保其生产过程不影响环境，尽力减少环境足迹。每季度对生产造成的环境影响进行评审。
保证产品质量：韦斯特曼拥有世界领先的生产设备和工艺，采用最先进的自动化、设备和技术确保产品质量。公司建立了质量保证程序，使用自动化设备（包括高速控制网络中的PLC、历史数据库和高精度传感器）监控产品质量。
实现生产目标：韦斯特曼的一个重要目标是完成月度生产目标，这不仅可确保向客户及时供货，也有助于维护公司的财务稳定性。
韦斯特曼基于7×24生产模式规划生产运营，满足生产目标和客户需求。公司在自动化设备和熟练专业人员方面进行投资，确保完成月度生产目标。
保护商业机密：韦斯特曼倾力保护其商业机密，包括产品开发、制造工艺、产品质量和供应链管理。
信息安全政策
信息安全政策的目的是概括介绍构成韦斯特曼信息安全计划的政策、标准、程序和技术控制措施，由运营总监制定实施，旨在保护韦斯特曼的IT和运营技术（OT）资产。信息安全是治理活动的组成部分，涉及领导层、组织结构和流程，目的是保护韦斯特曼的信息、运营、市场地位和声誉。韦斯特曼的安全管理组织结构如下：
| 组织角色 | 安全责任 |
| 首席执行官（CEO） | 审批信息安全计划和配套政策，至少一年一次；指派运营总监制定政策和程序，规范组织对IT/OT资产的使用、实施、文件管理以及履行合规义务；作为事件升级的联系人（Point of Escalation）；负责协调数据泄露响应。 |
| 财务总监 | 向运营总监报告网络安全事件和问题。 |
| 控制工程师 | 向运营总监报告网络安全事件和问题；协助确定所在领域的网络安全要求；应总监要求，协助修复漏洞。 |
| 市场总监 | 向运营总监报告网络安全事件和问题。 |
| 产品开发总监 | 向运营总监报告网络安全事件和问题。 |
| 运营总监 | 负责所有IT/OT资产的总体网络安全；负责修复漏洞及/或缓解风险；制定、实施和维护网络安全计划和网络安全政策文件；作为操作人员、厂商和管理层之间的信息安全事宜联络人；向CEO汇报网络安全计划的现状以及网络安全相关风险或事件。 |
| IT经理和IT团队 | 按照运营总监的指示修复漏洞；向运营总监报告网络安全事件、运营问题和需要关注的其他问题；协助确定所在业务部门和专业领域的网络安全要求；将涉及敏感信息泄露的网络安全事件告知运营总监。 |
| 法务总监 | 处理网络安全事件相关的法律事宜；审查网络安全事件相关的外部通信；向运营总监报告网络安全事件和问题。 |
| HR经理 | 处理网络安全事件相关的人事和纪律问题；向运营总监报告网络安全事件和问题。 |
所有员工、承包商和厂商都要遵守公司的政策和程序，确保信息的安全性、机密性和完整性。
以上介绍了虚构的韦斯特曼工厂的网络和生产环境，下期连载将以此为例，详述适用于流程型制造系统的网络安全政策和程序文件设计。
译者声明：
小蜜蜂翻译组公益译文项目，旨在分享国外先进网络安全理念、规划、框架、技术标准与实践，将网络安全战略性文档翻译为中文，为网络安全从业人员提供参考，促进国内安全组织在相关方面的思考和交流。