工业控制系统信息安全关键标准

自愿
Байду номын сангаас
控制系统适度、有效的安全管理控制 提供参考。
形成结论 要求
依据现场报告和复评价报 告，形成结论 结论为“完全具备”、“基 本具备”、“部分具备”或 “不具备” 不定期上报主管部门
五、工控信息安全防护能力评价方法
制定评价工作计划
确定评 估范围 制定风 险控制 预案 确定评
制定评 价工作 计划
确定评 明确日 程安排 价工作 组长和 成员
运行
制定运行规划并控制其实 现，定期开展ICS安全风险 评估和处置工作
对当发生不符合时，组织 应及时作出反应，提出纠 正措施，并保留文档化证 据； 对组织的本安全管理基本 框架开展持续性的改进。
针对ICS安全绩效和安全 管理有效性，开展ICS监视、 策略和分析评价活动； 定期对安全管理框架的完 成情况进行内部审核； 最高管理层应定期评审 ICS的安全管理框架，确保 其具有持续的适宜性和有 效性。
领导
获得管理层承诺，确定方 针，明确角色和权责
持续改进
发生ICS安全异常等情况 下，开展纠正措施并持续改 进
绩效评价
对ICS开展监视、测量、分 析和评价，定期开展内部审 核和管理评审
运行
制定运行规划并控制其实 现，定期开展ICS安全风险 评估和处置工作
三、工业控制系统安全管理要求
工业控制系统信息安全管理流程框架
目 录
1. 标准体系介绍 2. 工业控制系统信息安全分级规范
3. 工业控制系统安全管理基本要求 4. 工业控制系统安全控制应用指南 5. 工业控制系统信息安全防护能力评价方法
五、工控信息安全防护能力评价方法
部级评价专项工作 受理评价申请 受理对象 地方评价工作委托 工业企业评价申请
标准内容
针对各行业工业控制系统安全防护工 作的特点，提出了工业控制系统安全 防护评价流程，从工作流程、评价队 伍组建、制定评价工作计划、安全防 护能力评价指标、现场报告形成、整 改复评、形成结论等方面对工业控制 系统安全防护评价工作提出了规范性 指导，以满足不同组织对其工业控制 系统的安全管理需求，为实现对工业
4 第二级 第二级 第二级 第三级 第三级 第二级 第二级 第三级 第三级 第三级 第二级 第三级 第三级 第三级 第四级 第三级 第三级 第三级 第四级 第四级 第三级 第三级 第四级 第四级 第四级
5 第三级 第三级 第三级 第三级 第四级 第三级 第三级 第三级 第三级 第四级 第三级 第三级 第三级 第四级 第四级 第三级 第三级 第四级 第四级 第四级 第四级 第四级 第四级 第四级 第四级
规划
确定规划总则，开展ICS安 全风险评估和处置，明确目 标和实现规划
组织应提供建立、实现、 维护和持续改进ICS安全所 需资源； 确保提供ICS安全培训， 使得相关人员具有能力和 意识； 明确本框架相关的内外部 的沟通需求。
支持
保障ICS安全所需的资源， 提供能力和意识培训，确定 沟通和文档化制度
目 录
1. 标准体系介绍 2. 工业控制系统信息安全分级规范 3. 工业控制系统安全管理基本要求
4. 工业控制系统安全控制应用指南 5. 工业控制系统信息安全防护能力评价方法
一、工业控制系统信息安全标准体系
工业控制系统信息安全标准体系
信息安全技术 工业控制系统信息安全分级规范 可编程逻辑控制器 (PLC) 安全检测规范 工业控制系统测控终 端安全检测规范 集散控制系统 (DCS) 安全评估指南 数据采集与监控 (SCADA) 系统安全测 评规范 工业互联网安全评估 实施指南 …… 信息安全技术 工业控 制系统信息安全防护 能力评价方法 信息安全技术 工业控 制系统安全检查指南 工业控制系统信息安 全 第 1部分 评估规范 工业控制系统信息安 全 第 2部分 验收规范 …… 产 品 安 全 D1 检 测 安 全 基本 信息安全技术 B1 管理 工业控制系统安 防 护 要求 全管理基本要求 B4 产 品 要 基本 信息安全技术 求 技术 工业控制系统安 B2 要求 全技术基本要求 工控 产品 基本 信息安全技术 B5安全 B3 性能 工控产品功能性 及性 能要 要求 能评价指标 求
2 第一级 第一级 第二级 第二级 第三级 第一级 第二级 第二级 第二级 第三级 第二级 第二级 第二级 第三级 第三级 第二级 第二级 第三级 第三级 第三级 第三级 第三级 第三级 第三级 第四级
信息安全威胁等级 3 第一级 第二级 第二级 第二级 第三级 第二级 第二级 第二级 第三级 第三级 第二级 第二级 第三级 第三级 第三级 第二级 第三级 第三级 第三级 第四级 第三级 第三级 第三级 第四级 第四级
目 录
1. 标准体系介绍 2. 工业控制系统信息安全分级规范
3. 工业控制系统安全管理基本要求 4. 工业控制系统安全控制应用指南 5. 工业控制系统信息安全防护能力评价方法
四、工业控制系统安全控制应用指南
概述
四、工业控制系统安全控制应用指南
安全控制应用流程
针对工业控制系统存在的脆弱性，分析面临的威胁，评估风险发生的 可能性以及风险发生可能造成的影响和危害，制定风险处置原则和处 置计划，将工业控制系统安全风险控制在可接受的水平。
对ICS的运行制定规划和 控制计划，并定期或在系 统发生重大变更时开展风 险评估； 开展风险处置工作，并保 留其结果的文件化信息。
三、工业控制系统安全管理要求
工业控制系统安全控制 安全 评估 系统 教育 与授权 与服务 培训 获取 风险 规划 评估 应急 程序 计划 管理 访问 控制 标识 维护 物理 与鉴别 审计 与环境 系统 与问责 人员 安全 与通信 安全 系统 保护
工业 互联 网安 全接 入基 本要 求
工业 互联 网数 据安 全防 护要 求
……
注 释
待制定标准 在研标准 发布/报批标准
工业信息安全管理，工业信息安全检查， 安全防护体系建据可参考。
目 录
1. 标准体系介绍 2. 工业控制系统信息安全分级规范 3. 工业控制系统安全管理基本要求
4. 工业控制系统安全控制应用指南 5. 工业控制系统信息安全防护能力评价方法
二、工业控制系统信息安全分级规范
分级方法
T
安全威胁等级
Ta NSL
安全风险 影响等级
重要性程度 特征值 1 1 1 1 1 2 2 2 2 2 3 3 3 3 3 4 4 4 4 4 5 5 5 5 5
影响程度特 征值 1 2 3 4 5 1 2 3 4 5 1 2 3 4 5 1 2 3 4 5 1 2 3 4 5
三、工业控制系统安全管理要求
安全控制结构
三、工业控制系统安全管理要求
安全控制基线 为便于对不同安全级别的工业控制系统进行适于其级别的安全管理，标准附录A 结合第6 章中的ICS安全管理基本控制措施，给出了各级ICS安全管理基本要求 对应表，具体分级依据参见ICS安全分级相关标准。针对ICS安全管理基本控制 措施的裁剪方式参见相关ICS控制应用指南。
定期整改和复评估 形成现场评价报告 内容 开展现场评价工作 对象 制定评价工作计划 内容 依据 组织评价工作队伍
工作任务量、地理位置等因 素，且原则上专职评估人员 不少于5名。
计划名称、编号与评估范围 评价任务与方案 评价工作组组长、成员 日程安排 风险控制预案 依据评价工作计划对被评价 工业企业现场实施工控安全 防护能力评价 评估工作组编写评价报告 评估机构审核人签字确认 报告需准确评价当前工业企 业的工控安全现状和防护能 力，并描述存在的安全问题 及整改意见。 工业企业开展防护整改 申请现场复评估
价任务 与方案
五、工控信息安全防护能力评价方法
现场评估项目
依据评价计划，针对如下指标，开展工业控制系统信息安全防护评价工作。共11个大项， 30个小项，128个安全问题。 安全软件选择与管 理 配置和补丁管理 身份 验证 主机安全 网络安全 应急 计划 演练 物理 环境 安全 数据安全 资产安全 工控网络边界防护 远程访问安全
目 录
1. 标准体系介绍 2. 工业控制系统信息安全分级规范 3. 工业控制系统安全管理基本要求
4. 工业控制系统安全控制应用指南 5. 工业控制系统信息安全防护能力评价方法
三、工业控制系统安全管理要求
标准概述
三、工业控制系统安全管理要求
工业控制系统信息安全管理流程
最高管理层应： 制定ICS安全策略目标， 整合其到组织过程，提供 顶层资源承诺； 建立ICS信安方针，明确 相关要求承诺； 确保相关角色的权责得到 分配。 明确管理活动预期成果、 需求和期望，确定风险和 机会，规划应对措施； 制定ICS安全风险评估和 处置过程，识别、分析、 评价和处置安全风险； 明确相关职能和层级上的 信息安全目标。
A
安全等级 安 全 测 D 评 安 B 全 要 求
工控信息安全 标准体系
工业 控制 系统 漏洞 检测 技术 要求
工控系 统网络 监测安 全技术 要求和 测试评 价方法
工业控 制系统 隔离与 信息交 换系统 安全技 术要求
工业控 制系统 网络审 计产品 安全技 术要求
工业控 制系统 专用防 火墙技 术要求
……
系 统 安 D2 全 评 估
安全实施
C
信息安全技术 工业控制系统安全控制应用指南 信息安全技术 工业控制系统风险评估实施指南 ……
信息安 全技术 工业控 制系统 测控终 端安全 要求
集散 控制 系统 (DCS) 安全 要求
可编程 逻辑控 制器产 品(PLC) 安全技 术要求
数据采 集与监 控系统 (SCADA) 安全防 护规范
工控安全 防护能力指标
供应链 安全
五、工控信息安全防护能力评价方法
形成现场评价报告、定期整改、完成最终评价报告
规划
确定规划总则，开展ICS安 全风险评估和处置，明确目 标和实现规划
领导
获得管理层承诺，确定方 针，明确角色和权责
支持
保障ICS安全所需的资源， 提供能力和意识培训，确定 沟通和文档化制度
持续改进
发生ICS安全异常等情况 下，开展纠正措施并持续改 进
绩效评价
对ICS开展监视、测量、分 析和评价，定期开展内部审 核和管理评审
减少
导致 增加 威胁 到
风险
威胁主体
发起
资产
希望滥用或被破坏
安全控制是应用于组织工业控制系统中管理、运行和技术上的保护措施和对策， 以保护工业控制系统及其信息的保密性、完整性和可用性等。应用这些控制的目 的是，减少脆弱性或影响，抵御工业控制系统所面临的安全威胁，从而缓解工业 控制系统的安全风险，以满足利益相关者的安全需要。
工业控制系统信息安全关键标准
科学、公正、诚信、服务
工业和信息化部电子工业标准化研究院 全国信息安全标准化技术委员会秘书处 2017年9月11日
目 录
1. 标准体系介绍 2. 工业控制系统信息安全分级规范 3. 工业控制系统安全管理基本要求
4. 工业控制系统安全控制应用指南 5. 工业控制系统信息安全防护能力评价方法
0 Ia
Sa
重要性程度
S
I
受侵害潜在影响程度
第四级 第三级 第二级 第一级
Sa=1 Ia=1 Ta=1 Sa=2 Ia=2 Ta=2 Sa=3 Ia=3 Ta=3 Sa=4 Ia=4 Ta=4 Sa=5 Ia=5 Ta=5N
SL
1.732
3.464
5.196
6.928
8.66
1 第一级 第一级 第一级 第二级 第三级 第一级 第一级 第二级 第二级 第三级 第一级 第二级 第二级 第二级 第三级 第二级 第二级 第二级 第三级 第三级 第三级 第三级 第三级 第三级 第四级
与信息 完整性
管理 技术 运维
配置 管理 事件 响应 介质 保护
本标准从管理、运行、技术三个维度提出了18个族，186 项安全控制措施，范 围涵盖访问控制、安全评估、系统与服务获取、风险评估、运维等。
三、工业控制系统安全管理要求
安全控制
价值 利益相关方 希望最小化
利用
安全控制 可被减少 可控制 脆弱性 利用
二、工业控制系统信息安全分级规范
标准概述
二、工业控制系统信息安全分级规范
分级思路
工业控制系统重要性(Sa)
T
安全威胁等级
Ta NSL
工业控制系统受侵害后的 潜在影响(Ia)
0
安全风险 影响等级
Sa
工业控制系统需抵御 的信息安全威胁(Ta)
Ia
重要性程度
S
I
受侵害潜在影响程度
2 2 2 NSL = （Sa） + （I a） + （Ta）