工业控制系统信息安全标准

中华人民共和国工业和信息化部Ministry of Industry and Information Technoogy of the Peopled Republk of 6ia工业控制系统信息安全标准中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1主要内容工控安全标准化组织, 工控安全国夕卜标准V我国工控安全标准体系) 我国工控安全标准中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1国际工控安全标准化组织:1.际电工委员会中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine1(IEC z Internatio nal Electro Tech nical Commissi on )2.国际自动化协会(ISA z the Inter national Society of Automati on )3.美国国家标准技术硏究院(NIST z Nati onal In stitute of Sta ndards a nd Tech no logy )4.德国标准化学会(DIN , Deutsches Institut fur Normung )国际工控安全标准化组织:1.际电工委员会(IEC , International Electro Technical Commission )IEC是国际电工委员会(International ElectrotechnicalCommission ) 的简称，成立于1906年，它是世界上成立最早的国际性电工标准化机构,负 责有关电气工程和电子工程领域中的国际标准化工作。总部设在瑞士日内瓦 。IEC的宗旨是，促进电气 电子工程领域中标准化及有关问题的国际合作 ,增进国际间的相互了解。中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine国际工控安全标准化组织:2.国际自动化协会(ISA , the International Society of Automation )其前身是美国仪器、系统和自动化协会,是一个非盈利技术协会,服务于 从事、研究、学习工业自动化及其相关领域(如现场仪表等)的工程师、技 术员等人士，是世界上最重要的自动化标准订制与工业自动化人才培养专业 组织之一。目前，ISA的主要任务是制定和完善标准、职业资格认证、提供 教育和培训、出版书籍和论文、并且主办自动化专业领域最大型的会议和展 览。ISA为它的成员提供各种渠道来获取技术信息、专业发展资源和与其他 自动化专家交流的机会。除了这些之夕卜，ISA会员还能有更多机会得到自动 化领域内众多专家的认可。国际工控安全标准化组织:3.美国国家标准技术硏究院中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine（NIST , Nati onal In stitute of Sta ndards a nd Tech no logy ）2002年,美国NIST是一个非监管性质的测量技术和标准国家级硏究机构,其中信息技术实验室的计算机安全硏究室是信息安全标准的主要制定者。政府在联邦信息安全管理法案（FISMA）以及电子政府法案中再次 重申了NIST的职责是开发信息安全标准（联邦信息处理标准,即FIPS系列）国际工控安全标准化组织:4.德国标准化学会(DIN , Deutsches Institut fur Normung )德国最大的具有广泛代表性的公益性标准化民间机构。成立于1917年。总部设在首都柏林。通过有关方面的共同协作,为了公众的利益,制定和发 布德国标准及其他标准化工作成果并促进其应用,以有助于经济、技木科 学、管理和公共事务方面的合理化、质量保证、安全和相互理解。中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine国内工控安全标准化组织:1.全国信息安全标准化技术委员会（TC260 ）中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine信息安全技术工业控制系统安全控制应用指南中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine2.电力系统管理及其信息交换数据和通信安全3.全国电力监管标准化技术委员会（TC296 ）全国电力系统管理及其信息交换标准化技术委员会（TC 82 ）中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine电力二次系统安全防护标准（强制）电力信息系统安全检查规范（强制）电力行业信息安全水平评价指标（推荐）4.全国工业过程测量和控制标准化技术委员会（TC124 ）中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine2016年8月12日z关于加强国家网络安 全标准化工作的若干意见（中网办发文公室 .厶 一 ft v *i20165号）发布，其中明确全国信息安全标准化技术委员会在国家标准委的领导下，对网络安全国家标准进行统一技术归口。国家标准化管理委员会中网办发文2016） 5号关加强国家网络安全标准化匸作的若干意见各省自治区、直辖市、新輕生产建设兵团党委网终安全知 信息化领导小组中央和国家机关各部委：网络安全标准化是网络安全保肆怎系吳设仗車妾怒应部分在构建安全的网络空闾、推动网给治理体系变革方面 发挥*基础性.規范性引领性作用。近年来M网络信 息技术快速发屡应用网络安全形势日趋复杂严境对标准 化工作提出了更髙要求为落实网络程国战驾深化标准中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine主要内容: 一工控安全标准化组织i二】工控安全国外标准1三】我国工控安全标准体系I四】我国工控安全标准中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine国外工控安全标准:IEC/TC65cs评估全标准ICS程序安全标准lue6odAUJnoastC/TS624 心仆术语、概J述与模型PEISA-99.02.012007e建立ICS ； 安全程序.ISA-TR99.01.02术语与缩略语ISA-99.02.02运行ICS I l安全程序丿ISA-99.01.03系统安全一致性矩阵.ICS中的in l批管理ICS系统安全标准IUSSAS -eoElpal贬5R 624 433 一、ICS安全技ISA-TR99.03.01IEC 针对工业控制系统存在的脆弱性 分析面临的威胁 评估风险发生的可 能性以及风险发生可能造成的影响和危害,制定风险处置原则和处置计 划,将工业控制系统安全风险控制在可接受的水平。中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine附录A工业控制系统面临的安全风险中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine工业控制系纟 传统信息系统的性能需求 可用性需求 风险管理需求 安全焦点 物理交互 时间确定性响应 系统运行中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine工业控制系统面临的威胁内部攻击者虐尸网络的操控者 恶意软件的作者恐怖分子 工业间谍 犯罪组织拒绝服务的影响 加密传输密钥管理信息系统安全威胁与防护措施对工控系统的影响公网联接无线通信的影响中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine系统、 与服务、维护 介质 保护nrxf评估风险 评估访问控制程序与鉴另!/人员 k安全/系统与通信Sir与问责管理1II技术II运维I中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine本标准从管理、运维、技术三个维度提出了 18个族,186项安全控制措施,范 围涵盖访问控制、安全评估、系统与服务获取、风险评估、运维等。附录c工业控制系统安全控制基线表C. 1安全控制基线编号控制名.级别一级二级三级访问揑翎(AC)AC-1访问控材第賂和规程AC-1AC-1AC-1AC-2帙尸管理AC-2AC-2 a)b)c)d)AC-2 a)b)c)d)AC-3暹舸访问揑的AC-3AC-3 b)AC-3 b)AC-4信J6流强创访问轻啊一一AC-4AC-4AC-5职贡分离一一AC-5AO5AC-6最巾授权一一AC-6 a)b)c)e)f)AC-6 a)b)c)d)e)f)AC-7失败登录轻创AC-7AC-7AC-7AC-8系銃使用提示一一AC-8AC-8AC-9以前访问提示AC-9AC-10并发会话矩制一一AC-10AC-11会话锁定一一AC-11 a)AC-11 a)AC-12金话络止一一AC-12AC-12AC-13未标识鉴别的评可行为一一AC-13AC-13AC-14述程访何AC-14AC-14 a)b)c)d)AC-14 a)b)c)d)AC-15无线访问AC-15AC-15 a)AC-15 a) b)c)d)e)AC-16移动设各的访问揑匀AC-16AC-16d：ie)f)AC-16 a)b)c)d)e)f)g)ACJ7外部系銃的使用AC-17AC-17 a)b)AC仃 a)b)AC-18信J6共宇AC-18AC-18根据工M空制系统在国家安全、 经济建设、社会生活中的重要 程度，遭到破坏后对国家安全、 社会秩序、公共利益以及公民、 法人和其他组织的合法权益的 危害程度等,结合信息安全等 级保护标准划分及实施效果分 析，结合工业扌空制系统的基本 特征(参见附录A )，结合以 往诸多工业扌空制系统的安全实 践，将附录B中适用于工业控 制系统的安全扌空制分为三个级 别：一级、二级和三级，每个 级别对应安全扌空制如表C.1。 安全扌空制基线及其设计考虑， 以及基线的选择和裁剪指导见 本标准正文内容。工业控制系统风险评估流程中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine工业控制系统安全检查指南中华人民共和国工业和信息化部Ministry of Industfy and Information Technology of the Peoples Republic of Giine工业控制系统信息安全防护妾求与测评方法本标准针对基于现代数字技术、计算机技术、网络技术的工业控制系统信息安 全提出了防护技术要求及测试评价办法，适用于工业控制系统信息安全的重点领域 包括（核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢 纽、环境保护、民航、铁路、城市轨道交通、城市供水供气供热）以及其他与国计 民生紧密相关领域的工业控制系统信息安全工作。工控安全防护技术要求工控安全防护测评方法用户、设备鉴1测试评价流程分为四个基本测评活动：A远程通信保护准备活动A通彳言网络分隔与互联方案编制活动A访问控制实施活动A职责分割分析及报告编制活动A审计和问责A系统和信息完整性测评方法：A资源可用性基未方法物理和环境保护数据采集范围要求安伞监悴采集方式要求分析方式工业控制系统信息安全技术产品要求序号标准名称所处状态立项时间1信息安全技术工业控制系统网络审计产品安全技术要求征求意20142工业控制系统专用防火埴技术要求征求意见稿20143信息安全技术工业控制系统网络监测安全技术要求和测试评价 方法征求意20154信息安全技术工业控制系统漏洞检测技术要求征求意见稿20155信息安全技术工业控制网络安全隔离与信息交换系统安全技术 要求征求意20156工业控制系统产品信息安全评估准则第1部分简介和F模型草案20157工业控制系统产品信息安全评估准则第2部分安全功能要求草案20158工业控制系统产品信息安全评估准则第3部分安全保障要求草案2015