工业控制系统信息安全防护能力评估方法

合集下载

工业控制系统信息安全负责人部署工业控制系统信息安全防护措施

工业控制系统信息安全负责人部署工业控制系统信息安全防护措施

工业控制系统信息安全负责人部署工业控制系统信息安全防护措施工业控制系统是现代工业生产的中枢,它们负责监控和控制各种工业过程和设备。

由于工业控制系统的关键性,信息安全问题成为了当今工业界亟待解决的难题。

作为工业控制系统信息安全负责人,我们需要部署一系列的信息安全防护措施,以确保工业控制系统的安全运行。

首先,我们应该建立一个完善的安全管理体系。

该体系包括安全策略、安全规范、安全管理制度等,以制定和规范信息安全方案和工作流程。

我们应该明确每个人员的安全责任,实施权限管理和人员背景调查,确保授权和身份验证的严密性。

其次,我们需要对工业控制系统的网络进行安全加固。

首先,应该实施网络隔离,将工业控制系统与公共网络隔离开来,减少被攻击的风险。

其次,应该采用网络防火墙和入侵检测系统,实时监测和阻断恶意入侵行为。

此外,还应该采用虚拟专用网(VPN)技术,加密数据传输,保障数据的安全性。

第三,我们需要加强对工业控制系统硬件设备的安全管理。

首先,应该对设备进行安全配置,关闭不必要的服务和端口,确保设备的安全性。

其次,应该定期对设备进行漏洞扫描和安全评估,及时修补和升级设备的安全补丁。

最后,应该加强对设备的物理保护,防止设备被盗或损坏。

第四,我们需要加强对工业控制系统软件的安全管理。

首先,应该对工控软件进行安全测试,确保软件的可靠性和安全性。

其次,应该加强对软件的权限控制,限制非授权用户的访问和操作。

最后,应该及时修补和升级软件的安全漏洞,保证软件的安全性。

第五,我们需要加强对工业控制系统运行日志的管理。

我们应该建立完善的运行日志记录和分析机制,及时发现和排查异常行为和安全事件。

同时,还应该建立灾难恢复和业务连续性计划,备份和恢复重要数据和系统配置信息,以应对突发安全事件。

最后,我们应该加强对工业控制系统人员的安全培训和教育。

我们应该加强对人员的安全意识培养,教育他们不轻易泄露账号密码和公司机密信息,不随意点击可疑链接和附件,不响应未经验证的请求。

工控系统信息安全防护能力评估评分操作方法表

工控系统信息安全防护能力评估评分操作方法表

工控系统信息安全防护能力评估检查表
严格安全测试
定变更计划并进行影响分
安全防护
(4项 6.5分)
应急响应预案,当遭受安全威胁导致工业控制系统出现异常或故障时,应立即采取紧急防护措施,防止事态扩大,并逐级报送直至属地省级工业和信息化主管部门,同时注意保护现场,以便进行调查取证
应急预案演练(7项 10分)
(9项 11分)
据进行保护,根据风险评估结果对数据信息进行分级分类管理
(3项 9分)制、成立信息安全协调小组等方式,明确工控安全管理责任人,落实工控安全责任制,部署工控安全防护措施
检查人:经办人:
部门领导:。

工业控制系统的安全评估与风险防护指南及实践案例

工业控制系统的安全评估与风险防护指南及实践案例

工业控制系统的安全评估与风险防护指南及实践案例随着工业控制系统的广泛应用和互联互通趋势的增强,工业控制系统的安全问题日益凸显。

为了保证工业控制系统的正常运行、确保工业生产的可靠性和行业信息的安全性,对工业控制系统进行安全评估并采取相应的风险防护措施变得尤为重要。

本文将为您介绍工业控制系统的安全评估与风险防护指南,并提供一些实践案例供参考。

一、工业控制系统的安全评估1.评估目标确定在进行工业控制系统的安全评估时,首先需要明确评估的目标。

评估可以是全面的,包括硬件设备、软件程序和网络架构等方面的安全性。

也可以是针对特定的系统、部分系统或特定的组件进行的局部评估。

2.风险分析与评估通过对工业控制系统的风险进行分析与评估,可以识别潜在的威胁和漏洞,并评估其对系统安全性的影响程度。

风险分析与评估主要包括:威胁分析、脆弱性分析、风险度量、风险评估和风险通信等过程。

3.安全策略制定根据风险评估的结果,制定相应的安全策略和安全控制措施。

安全策略应综合考虑技术、管理和法规等方面的要求,以确保工业控制系统的安全性。

安全控制措施包括逻辑访问控制、身份认证与授权、数据加密、网络隔离等。

4.安全评估报告撰写综合以上步骤的分析结果和控制措施,撰写工业控制系统的安全评估报告。

报告应包括系统概述、安全评估目标与方法、风险分析与评估结果、安全策略与控制措施等内容,并提出改进建议和风险防范措施。

二、工业控制系统的风险防护指南1.物理安全防护确保工业控制系统的物理安全是保障系统稳定运行的基本前提。

包括建立适当的访问控制措施、视频监控系统、入侵报警系统和物理隔离措施等,以防止未经授权的人员进入控制区域,避免非法接触和破坏控制设备。

2.网络安全防护工业控制系统的网络安全是防止恶意攻击和未授权访问的重要环节。

需要建立网络防火墙、入侵检测系统、流量监控和分析系统等,对网络通信进行监控和审计,及时发现并阻止潜在的网络攻击。

3.安全意识与培训提高工作人员的安全意识和相关知识能力,可以有效减少内部安全漏洞的风险。

工控系统等保测评必读

工控系统等保测评必读

工控系统等保测评必读(对于即将出台的等保标准,听听主笔人怎么说系列之九)2017-07-17e安在线e安在线与其相忘于江湖,不如点击“蓝字”关注——《网络安全等级保护测评要求第5部分:工业控制系统安全扩展要求》解读《中华人民共和国网络安全法》第三十一条规定“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施,在网络安全等级保护制度的基础上,实行重点保护。

”工业控制系统作为国家关键信息基础设施是等级保护工作的核心保护对象。

为了适应国家法律、政策的最新要求,工业控制系统等级保护相关标准需要扩展和完善,其中如何评价系统的安全状况将是开展后续工作的基础,下面请标准编制组为大家详细介绍工控系统测评要求的主要内容。

一、工业控制系统等级保护标准的编制意义随着信息化和工业化的发展,工业控制系统在能源、交通、水利、公共服务等重要行业和领域广泛应用,现代工业生产、输送、供应等自动控制环节均依赖于工业控制系统。

2010年“震网”病毒事件发生后,工业控制系统安全越来越引起各国政府与民众的高度关注,美国等发达国家陆续发布了针对工业控制系统保护的系列标准和框架等。

2013年,“棱镜门”事件表明,某些西方大国为维持其全球霸权,一直在利用其技术的原发优势,不断加强对其他国家网络空间的渗透、控制和破坏,对这些国家的社会秩序和国家安全构成了严重威胁。

2015年,乌克兰电网公司遭受恶意代码攻击,导致7个110KV变电站和23个35KV变电站故障,造成8000个用户断电。

乌克兰电网公司受网络攻击事件被认为是有史以上规模最大的电力系统攻击事件,其警示作用犹如棒喝,深刻揭示了工业控制系统安全防护形式之严峻和黑客攻击实力之强悍。

而对于我国来说,自改革开放以来,我国逐步从农业大国向工业国家发展,两化融合改变了现代工业生产方式,解放了社会生产力,但随之带来的安全现状不容忽视,由于核心技术落后于人,在较长一段时间内,关键设备大多从国外进口,国产水平较低,网络安全基础薄弱,维护网络空间安全,实现工业控制系统的“可控、能控、在控”的任务非常艰巨。

工业控制系统信息安全防护能力评估方法

工业控制系统信息安全防护能力评估方法

附件:工业控制系统信息安全防护能力评估方法1.适用范围1.1本方法提出了工业控制系统信息安全防护能力评估的基本概念、实施流程和工作形式。

1.2本方法适用于规范对企业按照《工业控制系统信息安全防护指南》建立的工控安全防护能力开展的综合评价活动。

1.3本方法适用于评估工业控制系统的应用企业。

2.规范性文件2.1法律法规、指导性文件《中华人民共和国网络安全法》《国家网络空间安全战略》《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号)《国务院关于印发〈中国制造2025〉的通知》(国发〔2015〕28号)《国务院关于积极推进“互联网+”行动的指导意见》(国发〔2015〕40号)《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》(国发〔2012〕23号)《工业控制系统信息安全防护指南》(工信部信软〔2016〕338号)《关于加强工业控制系统信息安全管理的通知》(工信部协〔2011〕451号)2.2标准和技术规范GB/T32919-2016《信息安全技术工业控制系统安全控制应用指南》GB/T20984-2007《信息安全技术信息安全风险评估规范》3.术语与定义下列术语和定义适用于本方法。

3.1工业控制系统工业生产控制各业务环节涉及的有关人员、软硬件系统和平台的集合。

包括但不限于:可编程逻辑控制器(PLC)、分布式控制系统(DCS)、数据采集与监控系统(SCADA)等工业生产控制系统;紧急停车系统(ESD)、安全仪表系统(SIS)等工业控制过程安全保护系统;制造执行系统(MES)、企业资源计划系统(ERP)等工业生产调度与管理信息系统;工业云平台、工业大数据平台等工业服务应用系统。

3.2工业控制系统信息安全防护通过实施管理和技术措施,避免工业控制系统遭到非授权或意外的访问、篡改、破坏及损失。

3.3工业控制系统信息安全防护能力评估从综合评价的角度,运用科学的方法和手段,系统地分析和诊断工业控制系统所面临的威胁及其存在的脆弱性,评估企业工业控制系统安全防护水平,提出有针对性的抵御威胁的防护对策和整改措施,为最大限度地保障信息安全提供科学依据。

解读工业控制系统信息安全防护的指南

解读工业控制系统信息安全防护的指南

《工业控制系统信息安全防护指南》解读发布时间:2016-11-08 来源:信息化和软件服务业司工业控制系统信息安全(以下简称“工控安全”)是国家网络和信息安全的重要组成部分,是推动中国制造2025、制造业与互联网融合发展的基础保障。

2016年10月,工业和信息化部印发《工业控制系统信息安全防护指南》(以下简称《指南》),指导工业企业开展工控安全防护工作。

一、背景情况工控安全事关经济发展、社会稳定和国家安全。

近年来,随着信息化和工业化融合的不断深入,工业控制系统从单机走向互联,从封闭走向开放,从自动化走向智能化。

在生产力显著提高的同时,工业控制系统面临着日益严峻的信息安全威胁。

为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号)文件精神,应对新时期工控安全形势,提升工业企业工控安全防护水平,编制本《指南》。

二、总体考虑《指南》坚持“安全是发展的前提,发展是安全的保障”,以当前我国工业控制系统面临的安全问题为出发点,注重防护要求的可执行性,从管理、技术两方面明确工业企业工控安全防护要求。

编制思路如下:(一)落实《国家网络安全法》要求《指南》所列11项要求充分体现了《国家网络安全法》中网络安全支持与促进、网络运行安全、网络信息安全、监测预警与应急处置等法规在工控安全领域的要求,是《国家网络安全法》在工业领域的具体应用。

(二)突出工业企业主体责任《指南》根据我国工控安全管理工作实践经验,面向工业企业提出工控安全防护要求,确立企业作为工控安全责任主体,要求企业明确工控安全管理责任人,落实工控安全责任制。

(三)考虑我国工控安全现状《指南》编制以近五年我部工控安全检查工作掌握的有关情况为基础,充分考虑当前工控安全防护意识不到位、管理责任不明晰、访问控制策略不完善等问题,明确了《指南》的各项要求。

(四)借鉴发达国家工控安全防护经验《指南》参考了美国、欧盟、日本等发达国家工控安全相关政策、标准和最佳实践做法,对安全软件选择与管理、配置与补丁管理、边界安全防护等措施进行了论证,提高了《指南》的科学性、合理性和可操作性。

中国信息安全测评中心等4家机构成为国家首批工控安全防护能力评估机构

中国信息安全测评中心等4家机构成为国家首批工控安全防护能力评估机构

108/ 2018.06能信安推出移动应用安全解决方案5月24日,能信安科技2018网络安全合作伙伴峰会在北京市中关村软件园国际会议中心成功举行。

峰会旨在进一步推动移动应用安全技术、产品与服务在各行业领域的落地,加强能信安科技与广大客户、渠道的交流与合作。

会上,能信安科技推出全新移动应用安全产品和解决方案,从应用层面解决移动互联网的诸多安全问题。

会上还发布了新一代智能动态WEB应用防火墙(NI-WAF),可为WEB应用系统在复杂安全环境下提供高强度安全保障,有效保护核心资产安全。

科达将国密技术引入视频会议领域5月10日,科达公司正式发布国密视频会议产品。

据悉,该产品采用国密算法,用S M1、S M2、SM3、SM4替换RSA、AES,对视频通信内容进行端到端加密,摆脱了加密算法受制于人的局面,可有效应对网络监听。

目前,科达国密视频会议已通过国家密码管理局认证,可提供多款终端和平台产品,为涉及信息安全的政府机构和重点企事业用户提供自主可控的视频通信内容加密手段。

此外,科达量子加密视频会议还可提供更高等级的安全防范能力。

中国信息安全测评中心等4家机构成为国家首批工控安全防护能力评估机构5月9日,全国工控安全防护能力评估工作组组织专家对申报首批工业控制系统信息安全防护能力评估机构进行评审。

经专家组从机构背景、人员技术实力、技术工具、业绩项目、质量管理体系等方面进行审核评估,推荐中国信息安全测评中心、国家工业信息安全发展研究中心、工业和信息化部电子第五研究所、中国电子技术标准化研究院4家机构成为首批工业控制系统信息安全防护能力评估机构。

20余家单位签署“自主可控安全共测倡议书”5月21日,在中国电子信息产业发展研究院和永信至诚承办的“网络安全军民融合发展系列论坛——网络安全自主可控发展与推进研讨会”上,中国工程院倪光南院士宣读了《自主可控安全共测倡议书》,20余家自主可控厂商、技术企业和团队响应并共同签署了该倡议书。

工业和信息化部关于《工业控制系统网络安全防护指南》的解读

工业和信息化部关于《工业控制系统网络安全防护指南》的解读

工业和信息化部关于《工业控制系统网络安全防护指南》的解读文章属性•【公布机关】工业和信息化部,工业和信息化部,工业和信息化部•【公布日期】2024.01.30•【分类】法规、规章解读正文《工业控制系统网络安全防护指南》解读近日,工业和信息化部印发了《工业控制系统网络安全防护指南》(以下简称《防护指南》)。

现将有关内容解读如下:一、《防护指南》出台的背景和意义是什么?工业控制系统作为工业生产运行的基础核心,其网络安全事关企业运营和生产安全、事关产业链供应链安全稳定、事关经济社会运行和国家安全。

2016年,工业和信息化部出台《工业控制系统信息安全防护指南》,对有效指导工业企业开展工控安全防护工作发挥了积极作用。

2017年以来,我国相继颁布了《网络安全法》《数据安全法》《密码法》等法律法规及行业应用方面的部门规章,现有政策文件未能充分衔接相关法律法规要求。

与此同时,工业企业数字化转型步伐加快,工业控制系统开放互联趋势明显,工业企业面临的网络安全风险与日俱增,工业企业加强网络安全防护需求迫切。

为做好《防护指南》编制工作,工业和信息化部结合新形势新要求,系统全面调研,深入分析新时期工控安全风险和企业安全防护需求,广泛征集地方工信主管部门、行业协会、部属单位、工控厂商、工业企业、安全企业、专家学者等各方意见。

《防护指南》将有效满足当前和未来一个时期工控系统安全防护需求,指导工业企业切实提升工业控制系统网络安全基线防护水平,推动企业数字化转型发展。

二、《防护指南》适用对象有哪些?《防护指南》适用于使用、运营工业控制系统的企业。

防护对象包括工业控制系统以及被网络攻击后可直接或间接影响生产运行的其他设备和系统。

三、《防护指南》的定位和总体考虑是什么?《防护指南》定位于面向工业企业做好网络安全防护的指导性文件,坚持统筹发展和安全,围绕安全管理、技术防护、安全运营、责任落实四方面,提出三十三项指导性安全防护基线要求,推动解决走好新型工业化道路过程中工业控制系统网络安全面临的突出问题。

工业控制系统信息安全标准

工业控制系统信息安全标准

1 《信息安全技术 工业控制系统安全控制应用指南》 2 《信息安全技术 工业控制系统安全管理基本要求》 3 《信息安全技术 工业控制系统测控终端安全要求》 4 《信息安全技术 工业控制系统安全检查指南》 5 《信息安全技术 工业控制系统安全分级指南》 6 《信息系统安全等级保护基本要求 第5部分:工业控制系统》 7 《工业控制系统风险评估实施指南》 8 《信息安全技术 工业控制系统安全防护技术要求和测试评价方法》 9 《信息安全技术 工业控制系统网络审计产品安全技术要求》 10《工业控制系统专用防火墙技术要求》 11《信息安全技术 工业控制系统网络监测安全技术要求和测试评价方法》 12《信息安全技术 工业控制系统漏洞检测技术要求》 13《信息安全技术 工业控制网络安全隔离与信息交换系统安全技术要求》 14《工业控制系统产品信息安全评估准则 第1部分 简介和一般模型》 15《工业控制系统产品信息安全评估准则 第2部分 安全功能要求》 16《工业控制系统产品信息安全评估准则 第3部分 安全保障要求》
国际工控安全标准化组织:
3. 美国国家标准技术研究院 ( NIST , National Institute of Standards and Technology ) NIST是一个非监管性质的测量技术和标准国家级研究机构,其中信息技 术实验室的计算机安全研究室是信息安全标准的主要制定者。2002年,美国 政府在《联邦信息安全管理法案》(FISMA)以及《电子政府法案》中再次 重申了NIST的职责是开发信息安全标准(联邦信息处理标准,即FIPS系列) 。
国际工控安全标准化组织:
2. 国际自动化协会 (ISA,the International Society of Automation) 其前身是美国仪器、系统和自动化协会,是一个非盈利技术协会,服务于 从事、研究、学习工业自动化及其相关领域(如现场仪表等)的工程师、技 术员等人士,是世界上最重要的自动化标准订制与工业自动化人才培养专业 组织之一。目前,ISA的主要任务是制定和完善标准、职业资格认证、提供 教育和培训、出版书籍和论文、并且主办自动化专业领域最大型的会议和展 览。ISA为它的成员提供各种渠道来获取技术信息、专业发展资源和与其他 自动化专家交流的机会。除了这些之外,ISA会员还能有更多机会得到自动 化领域内众多专家的认可。

工业控制系统信息安全防护措施

工业控制系统信息安全防护措施

工业控制系统信息安全防护措施1. 引言1.1 工业控制系统信息安全概述工业控制系统信息安全是指确保工业控制系统中的数据、设备和网络不受未经授权的访问、修改或破坏,从而保障工业生产系统的正常运行和信息安全。

随着工业互联网的快速发展和工业控制系统的智能化,信息安全问题也越来越受到关注。

工业控制系统信息安全面临着来自外部黑客、内部员工、供应商等多方面的威胁和攻击,如网络钓鱼、勒索病毒、拒绝服务攻击等。

工业控制系统信息安全的重要性不言而喻,一旦受到攻击,可能导致严重的生产事故、数据泄漏等后果,影响企业的生产和经济损失。

加强工业控制系统信息安全防护成为当务之急。

只有通过综合的信息安全管理策略,包括技术措施、管理措施和人员培训等方面的综合防护,才能有效应对潜在的安全威胁,提升工业控制系统的整体安全性和可靠性。

2. 正文2.1 工业控制系统信息安全威胁分析工业控制系统信息安全威胁分析是保障工业生产安全的重要环节。

当前,工业控制系统面临着来自内部和外部的多种信息安全威胁。

内部威胁是工业控制系统安全的要害之一。

员工的疏忽造成的人为错误、内部员工的恶意操作,甚至内部人员受到黑客攻击等行为都可能导致系统安全问题。

系统设备的老化、未及时更新维护、存在漏洞,也可能为内部威胁提供可乘之机。

外部威胁也是工业控制系统信息安全的主要挑战之一。

网络攻击、病毒、木马等恶意软件的入侵,黑客对系统进行渗透性攻击、勒索软件的威胁等都可能导致系统的瘫痪或数据泄露,给企业带来严重损失。

随着物联网技术的发展,工业控制系统信息安全面临新的挑战。

设备之间的互联、信息之间的共享使得系统容易受到攻击,而且攻击手段的多样化也增加了系统的安全隐患。

针对以上威胁,必须采取相应的防护措施,包括加强系统的安全防护意识培训、建立健全的安全管理制度、加强设备的更新维护和漏洞修补,以及建立完善的网络安全体系等措施来确保工业控制系统的信息安全。

2.2 工业控制系统信息安全风险评估工业控制系统信息安全风险评估是确保系统安全性的重要步骤。

工控安全防护pa体系分

工控安全防护pa体系分

工控安全防护pa体系分
工控安全防护PA体系分为五个等级,具体如下:
基础建设级:此级别主要是基于工业控制系统信息安全防护的技术基础和条件开展基本保护工作。

安全防护能力建设主要基于特定业务场景,尚未形成规范化、流程化的工作方式,相关工作多依赖信息安全人员主观经验,建设过程未要求以文档形式记录,无法形成可复制的工作模式。

例如,此级别可以初步建立工业控制系统信息安全管理制度,但主要是基于组织的特定业务场景和知识经验水平。

规范防护级:此级别的安全要求数量为167项,它涵盖了更多的规范化和流程化的安全防护措施。

集成管控级:此级别的安全要求数量为259项,主要强调对工控系统的集成和集中管控能力。

综合协同级:此级别的安全要求数量为320项,强调各部门和系统之间的综合协同能力。

智能优化级:此级别的安全要求数量为365项,主要关注于利用智能化手段对工控安全防护进行持续优化。

总的来说,这五个等级代表了工控安全防护能力从基础到高级的逐步演进过程,每个级别都有其特定的安全要求和关注点。

工业控制系统信息安全防护能力评估方法

工业控制系统信息安全防护能力评估方法

附件:工业控制系统信息安全防护能力评估方法1.适用范围1.1本方法提出了工业控制系统信息安全防护能力评估的基本概念、实施流程和工作形式。

1.2本方法适用于规范对企业按照《工业控制系统信息安全防护指南》建立的工控安全防护能力开展的综合评价活动。

1.3本方法适用于评估工业控制系统的应用企业。

2.规范性文件2.1法律法规、指导性文件《中华人民共和国网络安全法》《国家网络空间安全战略》《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号)《国务院关于印发〈中国制造2025〉的通知》(国发〔2015〕28号)《国务院关于积极推进“互联网+”行动的指导意见》(国发〔2015〕40号)《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》(国发〔2012〕23号)《工业控制系统信息安全防护指南》(工信部信软〔2016〕338号)《关于加强工业控制系统信息安全管理的通知》(工信部协〔2011〕451号)2.2标准和技术规范GB/T32919-2016《信息安全技术工业控制系统安全控制应用指南》GB/T20984-2007《信息安全技术信息安全风险评估规范》3.术语与定义下列术语和定义适用于本方法。

3.1工业控制系统工业生产控制各业务环节涉及的有关人员、软硬件系统和平台的集合。

包括但不限于:可编程逻辑控制器(PLC)、分布式控制系统(DCS)、数据采集与监控系统(SCADA)等工业生产控制系统;紧急停车系统(ESD)、安全仪表系统(SIS)等工业控制过程安全保护系统;制造执行系统(MES)、企业资源计划系统(ERP)等工业生产调度与管理信息系统;工业云平台、工业大数据平台等工业服务应用系统。

3.2工业控制系统信息安全防护通过实施管理和技术措施,避免工业控制系统遭到非授权或意外的访问、篡改、破坏及损失。

3.3工业控制系统信息安全防护能力评估从综合评价的角度,运用科学的方法和手段,系统地分析和诊断工业控制系统所面临的威胁及其存在的脆弱性,评估企业工业控制系统安全防护水平,提出有针对性的抵御威胁的防护对策和整改措施,为最大限度地保障信息安全提供科学依据。

工业控制系统信息安全管理

工业控制系统信息安全管理
满足法律法规要求:各国政府对工业控制系统信息安全都有明确的法律法规要求,建立完善的信息安全管 理体系可以确保企业符合相关法律法规要求,避免法律风险。
促进企业可持续发展:工业控制系统信息安全不仅关系到企业的当前利益,还关系到企业的未来发展。建 立完善的信息安全管理体系可以为企业提供长期、稳定的信息安全保障,促进企业的可持续发展。
添加标题
添加标题
添加标题
添加标题
病毒传播:病毒通过感染工业控制 系统中的设备或软件,导致系统崩 溃或数据泄露
人为误操作:操作人员因疏忽或错 误操作导致工业控制系统中的数据 泄露或系统故障
工业控制系统信息安全问题原因
工业控制系统自身脆弱性:工业控制系统设计时未充分考虑安全问题,存在漏洞和缺陷,容易被攻击者利用。
访问控制:通过身份验证、权限管理等手段,确保只有授权人员能够访问工业控制系统。 物理隔离:将工业控制系统与外部网络进行物理隔离,以防止未经授权的访问和攻击。
监控和报警:通过安装监控设备和传感器,实时监测工业控制系统的运行状态,及时发现异常情况并报警。 冗余设计:采用冗余设计技术,确保工业控制系统的关键设备能够互为备份,提高系统的可靠性和稳定性。
工业控制系统信息安全管理体系的构成
添加标题
组织架构:明确各部 门职责,建立专门的 信息安全管理部门
添加标题
制度体系:制定信息 安全管理制度、操作 规程等,确保各项工 作的规范化
添加标题
人员管理:对工作人 员进行信息安全培训, 提高安全意识,加强 人员管理
添加标题
物理环境:确保工业 控制系统的物理环境 安全,如机房、设备 等的安全
添加标题
网络安全与工业安 全深度融合:未来, 网络安全与工业安 全将深度融合,形 成更加紧密的合作 关系,共同应对工 业控制系统信息安

工业控制系统信息安全防护指南

工业控制系统信息安全防护指南

工业控制系统信息安全防护指南工业和信息化部关于印发《工业控制系统信息安全防护指南》的通知为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号),保障工业企业工业控制系统信息安全,制定《工业控制系统信息安全防护指南》,现印发你们。

工业和信息化部指导和管理全国工业企业工控安全防护和保障工作,并根据实际情况对指南进行修订。

地方工业和信息化主管部门根据工业和信息化部统筹安排,指导本行政区域内的工业企业制定工控安全防护实施方案,推动企业分期分批达到本指南相关要求。

工业和信息化部2016年10月17日工业控制系统信息安全防护指南工业控制系统信息安全事关经济发展、社会稳定和国家安全。

为提升工业企业工业控制系统信息安全(以下简称工控安全)防护水平,保障工业控制系统安全,制定本指南。

工业控制系统应用企业以及从事工业控制系统规划、设计、建设、运维、评估的企事业单位适用本指南。

工业控制系统应用企业应从以下十一个方面做好工控安全防护工作。

一、安全软件选择与管理(一)在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件,只允许经过工业企业自身授权和安全评估的软件运行。

(二)建立防病毒和恶意软件入侵管理机制,对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。

二、配置和补丁管理(一)做好工业控制网络、工业主机和工业控制设备的安全配置,建立工业控制系统配置清单,定期进行配置审计。

(二)对重大配置变更制定变更计划并进行影响分析,配置变更实施前进行严格安全测试。

(三)密切关注重大工控安全漏洞及其补丁发布,及时采取补丁升级措施。

在补丁安装前,需对补丁进行严格的安全评估和测试验证。

三、边界安全防护(一)分离工业控制系统的开发、测试和生产环境。

(二)通过工业控制网络边界防护设备对工业控制网络与企业网或互联网之间的边界进行安全防护,禁止没有防护的工业控制网络与互联网连接。

(三)通过工业防火墙、网闸等防护设备对工业控制网络安全区域之间进行逻辑隔离安全防护。

工业控制系统信息安全防护措施

工业控制系统信息安全防护措施

工业控制系统信息安全防护措施【摘要】工业控制系统信息安全防护是当前重要的课题,本文介绍了针对工业控制系统信息安全的有效防护措施。

网络隔离和安全防火墙的部署是保障系统安全的基础。

访问控制和身份验证的实施可以有效限制非法访问。

安全漏洞扫描和修复是及时消除系统漏洞的有效手段。

数据加密和数据备份有助于保护重要数据的安全性。

安全培训和意识提升可以提高员工对信息安全的重视程度。

工业控制系统信息安全防护措施的重要性不言而喻,持续改进和监控同样不可或缺。

通过采取这些措施,可以有效防范各种安全威胁,确保工业控制系统的稳定运行和信息安全。

【关键词】工业控制系统、信息安全、防护措施、网络隔离、安全防火墙、访问控制、身份验证、安全漏洞扫描、数据加密、数据备份、安全培训、意识提升、必要性、持续改进、监控。

1. 引言1.1 工业控制系统信息安全防护措施的重要性工业控制系统信息安全防护措施的重要性在当今数字化和网络化的时代变得愈发重要。

随着工业控制系统的智能化和互联化程度不断提升,其面临的安全挑战也日益严峻。

工业控制系统作为关乎生产运营的重要系统,一旦遭受到安全威胁或攻击,可能会导致生产中断、信息泄露、设备损坏甚至人员伤亡等严重后果,给企业和社会带来不可估量的损失。

加强工业控制系统信息安全防护措施显得尤为重要。

通过建立健全的安全防护体系,可以有效防范各类安全威胁,保障工业控制系统的正常运行和生产安全。

信息安全防护措施的完善还能提升企业的竞争力和可持续发展能力,确保企业在激烈的市场竞争中始终处于领先地位。

工业控制系统信息安全防护措施的重要性不言而喻,只有高度重视并持续加强安全防护措施,才能有效应对各种安全挑战,确保工业控制系统的安全稳定运行。

这也正是企业和组织在信息化转型过程中亟需重视和加强的重要工作之一。

1.2 工业控制系统存在的安全威胁工业控制系统存在着各种安全威胁,这些威胁可能会导致严重的后果,包括生产中断、设备损坏甚至人员伤亡。

解读工业控制系统信息安全防护指南

解读工业控制系统信息安全防护指南

《工业控制系统信息安全防护指南》解读发布时间:2016-11-08 来源:信息化和软件服务业司工业控制系统信息安全(以下简称“工控安全”)是国家网络和信息安全的重要组成部分,是推动中国制造2025、制造业与互联网融合发展的基础保障。

2016年10月,工业和信息化部印发《工业控制系统信息安全防护指南》(以下简称《指南》),指导工业企业开展工控安全防护工作。

一、背景情况工控安全事关经济发展、社会稳定和国家安全。

近年来,随着信息化和工业化融合的不断深入,工业控制系统从单机走向互联,从封闭走向开放,从自动化走向智能化。

在生产力显著提高的同时,工业控制系统面临着日益严峻的信息安全威胁。

为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号)文件精神,应对新时期工控安全形势,提升工业企业工控安全防护水平,编制本《指南》。

二、总体考虑《指南》坚持“安全是发展的前提,发展是安全的保障”,以当前我国工业控制系统面临的安全问题为出发点,注重防护要求的可执行性,从管理、技术两方面明确工业企业工控安全防护要求。

编制思路如下:(一)落实《国家网络安全法》要求《指南》所列11项要求充分体现了《国家网络安全法》中网络安全支持与促进、网络运行安全、网络信息安全、监测预警与应急处置等法规在工控安全领域的要求,是《国家网络安全法》在工业领域的具体应用。

(二)突出工业企业主体责任《指南》根据我国工控安全管理工作实践经验,面向工业企业提出工控安全防护要求,确立企业作为工控安全责任主体,要求企业明确工控安全管理责任人,落实工控安全责任制。

(三)考虑我国工控安全现状《指南》编制以近五年我部工控安全检查工作掌握的有关情况为基础,充分考虑当前工控安全防护意识不到位、管理责任不明晰、访问控制策略不完善等问题,明确了《指南》的各项要求。

(四)借鉴发达国家工控安全防护经验《指南》参考了美国、欧盟、日本等发达国家工控安全相关政策、标准和最佳实践做法,对安全软件选择与管理、配置与补丁管理、边界安全防护等措施进行了论证,提高了《指南》的科学性、合理性和可操作性。

工业控制系统信息安全防护能力评估工作管理办法

工业控制系统信息安全防护能力评估工作管理办法

工业控制系统信息安全防护能力评估工作管理办法第一章总则第一条为规范工业控制系统信息安全(以下简称工控安全)防护能力评估工作,切实提升工控安全防护水平,根据《中华人民共和国网络安全法》《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号),制定本办法。

第二条本办法适用于规范针对工业企业开展的工控安全防护能力评估活动。

本办法所指的防护能力评估,是对工业企业工业控制系统规划、设计、建设、运行、维护等全生命周期各阶段开展安全防护能力综合评价。

第三条工业和信息化部负责指导和监督全国工业企业工控安全防护能力评估工作.第二章评估管理组织第四条设立全国工控安全防护能力评估专家委员会(以下简称评估专家委员会),负责定期抽查与复核工控安全防护能力评估报告,并对评估工作提供建议和咨询。

第五条设立全国工控安全防护能力评估工作组(以下简称评估工作组),负责具体管理工控安全防护能力评估相关工作,制订完善评估工作流程和方法,管理评估机构及评估人员,并审核评估过程中生成的文件和记录.评估工作组下设秘书处,秘书处设在国家工业信息安全发展研究中心。

第三章评估机构和人员要求第六条评估工作组委托符合条件的第三方评估机构从事工控安全防护能力评估工作。

第七条评估机构应具备的基本条件:(一)具有独立的事业单位法人资格.(二)具有不少于25名工控安全防护能力评估专职人员。

(三)具有工控安全防护能力评估所需的工具和设备.第八条评估机构应建立并有效运行评估工作体系,完善评估监督和责任机制,以确保所从事的工控安全评估活动符合本办法的规定。

评估机构应对其出具的评估报告负责。

第九条对于违反本办法、相关法律法规及不遵守评估工作组管理要求的评估机构,评估工作组有权暂停或撤销其从事工控安全评估活动的委托.被撤销委托的机构,5年内不得重新申请.第十条评估人员须遵守相关的法律、法规和规章,按照所在评估机构确定的工作程序和作业指导从事评估活动,对评估报告的真实性承担相应责任,并应对评估活动中接触到的信息履行保密义务。

信息安全技术工业控制系统安全防护技术要求和测试评价方法

信息安全技术工业控制系统安全防护技术要求和测试评价方法

信息安全技术工业控制系统安全防护技术要求和测
试评价方法
信息安全技术工业控制系统安全防护技术要求和测试
评价方法主要涉及以下几个方面:
一、防护技术要求:
1.物理安全防护:确保工业控制系统的物理环境安全,包括设备、网络和系统的物理访问控制,防止未经授权的物理访问。

2.网络防护:对工业控制系统的网络进行安全防护,包括防火墙、入侵检测系统等,以防止网络攻击和数据泄露。

3.应用安全防护:对工业控制系统中的应用程序进行安全防护,包括身份验证、访问控制、数据加密等,以防止应用程序漏洞被利用。

4.数据安全防护:对工业控制系统中的数据进行安全防护,包括数据加密、数据备份、数据恢复等,以防止数据泄露和损坏。

二、测试评价方法:
1.漏洞扫描:通过漏洞扫描工具对工业控制系统进行扫描,发现潜在的安全漏洞和弱点。

2.渗透测试:模拟攻击者对工业控制系统进行攻击,以测试系统的安全性和防御能力。

3.安全审计:对工业控制系统的安全策略、配置、日志等进行审计,以发现潜在的安全风险和问题。

4.应急响应测试:模拟安全事件发生时的应急响应过程,以测试工业控制系统的应急响应能力和恢复能力。

在测试评价过程中,需要综合考虑多个方面,包括系统的安全性、稳定性、可靠性等,以得出全面的评价结果。

同时,还需要根据实际情况制定相应的改进措施,以提高工业控制系统的安全防护能力。

工业控制系统信息安全防护能力评估

工业控制系统信息安全防护能力评估

工业控制系统信息安全防护能力评估嘿,朋友们,今天咱们聊聊一个挺有意思的话题,工业控制系统的信息安全防护能力评估。

听起来好像很高大上对吧?但咱们可以把它说得简单点,毕竟这事儿可关乎到我们每天的生活,比如你喝的水、用的电,甚至你吃的饭,都和这些系统有关。

想象一下,早上起来,你喝的水是从哪里来的?对,就是那些复杂的工业控制系统在背后默默操控。

可要是这玩意儿不安全,那就真得“提心吊胆”了。

咱们得知道,工业控制系统就像是一台精密的机器,所有的零件都得完美配合。

想象一下,你家里那台冰箱,里头的食材可是关乎生死的!要是冰箱的温控系统出问题,那可就得吃“变质食品”了。

这个道理放到工业控制系统上也是一样,像发电厂、水处理厂之类的地方,若是遭到攻击,那可是大事。

咱们都知道,信息安全就像是给机器穿上了一层盔甲,防止坏蛋从外面闯入,嘿,这可是“保护我们自己的保镖”呀。

好吧,那怎么评估这些系统的防护能力呢?这就得说到一些“高深莫测”的技术手段了。

评估过程就像打游戏,得先过一关再过一关,逐步摸索,找到系统的“软肋”。

咱们要看看这个系统的设计,像是架构、配置啥的。

设计得越好,安全性自然越高,反之就像是给敌人开了个门,简直是“自投罗网”。

接着得进行风险评估,听上去很复杂,但其实就是在问,哎,要是黑客来了,咱们的损失能有多大?这个得好好算算,不能光靠直觉。

然后,咱们就得进行渗透测试。

说白了,就是模拟黑客的行为,看看能不能轻易地“攻破城池”。

这个过程可得小心,不能让真实的系统受伤。

想象一下,咱们是在“做实验”,观察一下系统的反应。

真是“人算不如天算”,一些意想不到的漏洞就会在你面前暴露出来,真是让人哭笑不得。

就是定期审查。

这就像是给系统进行“体检”,确保没有潜在的风险。

俗话说,“防患未然”,可不能等到问题出现了才去解决。

对待工业控制系统的安全,绝不能掉以轻心,要时刻保持警惕。

毕竟,咱们都希望自己所依赖的这些系统能长长久久,不出差错。

  1. 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。

附件:工业控制系统信息安全防护能力评估方法1.适用范围1.1本方法提出了工业控制系统信息安全防护能力评估的基本概念、实施流程和工作形式。

1.2本方法适用于规范对企业按照《工业控制系统信息安全防护指南》建立的工控安全防护能力开展的综合评价活动。

1.3本方法适用于评估工业控制系统的应用企业。

2.规范性文件2.1法律法规、指导性文件《中华人民共和国网络安全法》《国家网络空间安全战略》《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔2016〕28号)《国务院关于印发〈中国制造2025〉的通知》(国发〔2015〕28号)《国务院关于积极推进“互联网+”行动的指导意见》(国发〔2015〕40号)《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》(国发〔2012〕23号)《工业控制系统信息安全防护指南》(工信部信软〔2016〕338号)《关于加强工业控制系统信息安全管理的通知》(工信部协〔2011〕451号)2.2标准和技术规范GB/T32919-2016《信息安全技术工业控制系统安全控制应用指南》GB/T20984-2007《信息安全技术信息安全风险评估规范》3.术语与定义下列术语和定义适用于本方法。

3.1工业控制系统工业生产控制各业务环节涉及的有关人员、软硬件系统和平台的集合。

包括但不限于:可编程逻辑控制器(PLC)、分布式控制系统(DCS)、数据采集与监控系统(SCADA)等工业生产控制系统;紧急停车系统(ESD)、安全仪表系统(SIS)等工业控制过程安全保护系统;制造执行系统(MES)、企业资源计划系统(ERP)等工业生产调度与管理信息系统;工业云平台、工业大数据平台等工业服务应用系统。

3.2工业控制系统信息安全防护通过实施管理和技术措施,避免工业控制系统遭到非授权或意外的访问、篡改、破坏及损失。

3.3工业控制系统信息安全防护能力评估从综合评价的角度,运用科学的方法和手段,系统地分析和诊断工业控制系统所面临的威胁及其存在的脆弱性,评估企业工业控制系统安全防护水平,提出有针对性的抵御威胁的防护对策和整改措施,为最大限度地保障信息安全提供科学依据。

3.4工业控制网络企业管理层之下的网络,包括现场设备层、生产控制层、制造执行层等所在的网络区域。

3.5工业主机工业生产控制各业务环节涉及组态、操作、监控、数据采集与存储等功能的主机设备载体,包括工程师站、操作员站、历史站等。

3.6工业控制设备工业生产过程中用于控制执行器以及采集传感器数据的装置,包括PLC、DCS、远程测控终端(RTU)等。

3.7资产工业生产过程中具有价值的信息或资源,是安全防护的对象。

3.8信息安全风险人为或自然的威胁利用工业控制系统及其管理体系中存在的脆弱性导致安全事件的发生及其对企业造成的影响。

3.9威胁可能导致对工业控制系统或企业危害的不希望事故潜在起因。

3.10脆弱性可能被威胁所利用的资产或若干资产的薄弱环节。

3.11工业控制系统配置清单包含工业控制系统正常运行所需配置的硬件、软件、文档、组件等信息的清单。

3.12安全配置工业控制系统为实现特定的安全防护功能而执行的配置策略。

3.13物理安全防护区域为保护工控系统不受人为或自然因素危害,需采取门禁、安防、人工值守等物理安全手段的特殊区域。

3.14评估报告评估机构根据评估方法的要求,在履行必要的评估程序后,对被评估对象出具的书面工作报告,是评估机构履行评估任务或评估委托的成果。

3.15评估结论评估机构在评估报告中作出的总体性判断意见。

判断意见分为优秀(90分以上)、良好(80~89.5)、一般(70~79.5)、基本合格(60~69.5)、不合格(60分以下)。

4.评估工作流程工业控制系统信息安全防护能力评估工作程序如图1所示。

主要包括受理评估申请、组建评估技术队伍、制定评估工作计划、开展现场评估工作、现场评估情况反馈、企业自行整改、开展复评估工作和形成评估结论八个部分。

图1工业控制系统信息安全防护能力评估工作程序图5.评估工作实施5.1受理评估申请评估工作组受理工业和信息化主管部门委托的专项评估工作,各评估机构可自行受理市场化的评估工作委托,并在评估工作组备案。

5.1.1主管部门工作委托工业和信息化主管部门,通过任务函等方式委托评估工作组开展工业控制系统信息安全防护能力评估专项工作。

评估专项工作任务指定的被评估企业,应按要求向评估工作组提供5.1.2中(2)-(5)所需的评估材料。

评估工作组根据工作任务量、地理位置等综合因素统筹确定评估机构,委托开展评估工作。

5.1.2企业评估申请受理企业可自行委托评估机构开展工业控制系统信息安全防护能力评估工作。

申请企业需向评估机构提交以下评估申请材料:(1)工业控制系统信息安全防护能力评估备案表;(2)申请企业加注统一社会信用代码的的营业执照;(3)申请企业简介、企业工业生产控制系统简介;(4)围绕《工业控制系统信息安全防护指南》已实施的安全防护措施介绍;(5)其它与评估工作有关的必要文件。

各评估机构对申请企业提交的材料进行审理,并根据申请企业申请的评估范围、完成评估所需时间及其他影响评估活动的因素,综合确定是否受理评估申请。

如评估机构确定受理,需将材料(1)递交至评估工作组备案。

5.2组建评估技术队伍5.2.1评估协议签订评估机构应及时与被评估企业沟通,并签订书面的评估委托协议(或评估合同),以规范评估工作的顺利开展,保障企业的安全生产运行和数据安全。

5.2.2评估技术队伍组建评估机构应根据工业控制系统信息安全防护能力评估范围所覆盖的专业领域选择具备相关能力的评估人员和技术专家,组建评估项目组。

评估项目组原则上应具备不少于5名专职评估人员,其中包括1名评估项目组组长。

评估项目组组长由评估机构指定经验丰富的骨干评估人员担任,负责统筹安排评估工作分工,推进评估工作开展,组织完成评估结论、编写评估报告。

评估项目组成员由评估机构根据该项评估的工作量及涉及的工业行业特征、专业需求等综合因素,确定成员数量和成员搭配。

5.3制定评估工作计划评估项目组应与被评估企业的管理人员和技术人员应当充分沟通,明确被评估范围和评估对象,制定评估工作计划。

被评估企业和评估项目组共同确认上述工作计划后,再开展实施具体评估工作。

5.3.1建立评估项目文档在评估工作开展过程中,评估机构应对评估工作相关文件进行统一编号,并规范管理。

5.3.2梳理基本情况在被评估企业的配合下,评估项目组对企业工业控制系统及相关信息进行梳理,以便针对性地开展评估工作。

(1)梳理企业基本信息了解被评估企业的发展历程、主要业务范围、业务规模,分析企业对于国家、社会、人民生命财产的重要性。

(2)梳理企业生产资产基本信息了解企业被评估工业控制系统所涉及的资产类型、规模、位置、重要程度、产品、数量、厂商、投产时间、责任人、网络拓扑及其运营维护等情况。

(3)梳理企业工控安全防护基本情况了解被评估企业的工控安全管理机制建设情况,初步掌握企业已部署的工控安全防护措施。

5.3.3确定评估范围与被评估企业沟通,根据评估专项工作要求或企业自身需求确定评估范围。

评估范围可以是企业的一套或多套工业生产系统。

5.3.4确定评估方案评估机构在前期梳理工业控制系统基本情况、确定评估范围的基础上,结合评估工作实际,参照5.4相关内容,制定该企业评估方案。

评估方案涉及的评估方式至少包括:(1)人员访谈。

评估项目组对相关人员进行访谈,核实已落实防护措施情况。

(2)文档查阅。

评估项目组查阅已落实防护措施形成的相关文档等证明材料。

(3)人工核查。

评估项目组通过手动方式核查部分已落实防护措施情况。

(4)工具检测。

评估项目组通过专用工具检测防护措施实际落实情况及其有效性。

5.3.5确定评估工作日程安排评估项目组与被评估企业充分沟通,梳理评估工作重要时间节点,合理设置评估时间,确定评估工作日程安排。

5.3.6确定评估工具评估项目组根据评估工作实际需求,并与被评估企业沟通确认后,参照附录B,选择相对应的专项评估工具用于现场评估工作。

5.3.7确定应急预案评估项目组与被评估企业充分沟通,确定评估工作应急预案。

应急预案应至少包括确定恢复点目标与恢复措施、按照事件分类等级制定应急响应保障措施等方面。

5.3.8其它工作要求评估机构应当与被评估企业充分沟通评估工作计划,按照尽量不影响企业正常生产和工控系统正常运行的原则,科学有序地开展评估工作。

评估工作结束后,应及时清除评估过程中形成的测试数据。

5.4开展现场评估工作为确保工业控制系统信息安全防护能力评估工作规范全面开展,依据《工业控制系统信息安全防护指南》主要内容,应从如下方面开展评估工作。

5.4.1安全软件选择与管理防护评估(一)在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件,只允许经过企业自身授权和安全评估的软件运行。

1.安全要求a)企业应在工业主机上安装防病毒软件或应用程序白名单软件,确保有效防护病毒、木马等恶意软件及未授权应用程序和服务的运行;b)企业工业主机上安装防病毒软件或应用程序白名单软件,应在离线环境中充分测试验证,确保其不会对工业控制系统的正常运行造成影响。

2.评估内容及方法a)查阅工业主机上安装防病毒软件或应用程序白名单软件的证明材料(如采购合同、服务协议等),评估其来源是否安全正规;b)核查其工业主机防病毒软件或应用程序白名单软件是否已安装运行、病毒库或白名单规则是否及时升级(原则上3个月内)。

若未及时升级,查阅不适合升级病毒库的分析报告;c)查阅防病毒软件或应用程序白名单软件已在离线或测试环境中充分测试验证的技术报告,评估其是否影响工业控制系统正常运行。

(二)建立防病毒和恶意软件入侵管理机制,对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。

1.安全要求a)企业应建立工业控制系统防病毒和恶意软件入侵管理机制,确保该管理机制可有效规范防病毒和恶意软件入侵管理工作;b)企业应定期针对工业控制系统及临时接入的设备开展查杀,并做详细查杀记录。

2.评估内容及方法a)查阅企业已建立防病毒和恶意软件入侵管理机制的证明材料(如入侵管理章程等),评估其内容是否完备、合理;b)访谈企业相关人员对该入侵管理机制的知悉程度,或采用人工核查方式,评估入侵管理机制是否被严格贯彻执行;c)查阅企业临时接入工控系统的设备查杀登记记录文档,并通过现场核验等方式,核查企业工业主机防病毒软件查杀历史记录。

5.4.2配置和补丁管理防护评估(一)做好工业控制网络、工业主机和工业控制设备的安全配置,建立工业控制系统配置清单,定期进行配置审计。

1.安全要求a)企业应做好工业控制网络、工业主机和工业控制设备的安全策略配置,确保工业控制系统相关安全配置的有效性;b)企业应建立工业控制系统安全策略配置清单,确保该清单满足企业工业控制系统安全可靠运行的需要;c)企业应定期自行对工业控制系统安全配置进行核查审计,避免因调试或其它操作导致配置变更后,未及时更新配置清单。

相关文档
最新文档