信息安全技術

國家標準《信息安全技術工業(yè)控制系統(tǒng)

安全控制應用指南》（征求意見稿）編制說明一、 工作簡況1.1任務來源《信息安全技術工業(yè)控制系統(tǒng)安全控制應用指南》是國家標準化管理委員會2010年下達的信息安全國家標準制定項目，國標計劃號為:20100384-T—469,原名稱為“工控SCADA系統(tǒng)安全控制指南”，由國家信息技術安全研究中心承擔，參與單位包括國家信息技術安全研究中心、國家能源局（原電監(jiān)會）信息中心、中國電力科學研究院、無錫市同威科技有限公司等單位。2013年8月標準草案專家評審會議上專家建議將標準修改為“工業(yè)控制系統(tǒng)安全控制應用指南”1.2主要工作過程1、 2010年2月，聯(lián)系各個參與單位，進行任務分工和任務組織；研究現(xiàn)有國內外工控安全相關標準，分析各自特點，學習借鑒，包括IEC62443、NISTSP800—82、NISTSP800-53ISO/IEC27019等標準。2、 2010年2-6月，項目組先后到北京地區(qū)擁有SCADA系統(tǒng)的七個行業(yè)進行了實地調研并與各行業(yè)從事SCADA系統(tǒng)管理和維護的人員進行了座談；并形成各工業(yè)控制系統(tǒng)的調研報告。3、 2010年6月，項目組組織召開了行業(yè)專家討論會，聽取了來自石油、電力、供水、燃氣、鐵路、城市軌道交通等行業(yè)專家對標準草案的意見。4、 2010年7月，根據(jù)任務書的要求，規(guī)范編制小組開展考察調研和資料搜集工作，按照需求分析整理出安全漏洞分類規(guī)范的框架結構。5、 2010年7月8日，召集了信息安全標準專家征求意見會，會上許多專家從標準中術語的定義、標準的內容格式上提出了許多寶貴意見。會后，項目組對專家意見進行了認真分析和研究，在此基礎上形成了標準草案。6、 2010年12月初，召集第二次行業(yè)專家征求意見會，進一步對標準制定內容進行討論，為制標做準備。7、 2011年7月，討論確定編制思路和標準框架，按照分工開始各部分編制工作，重點是控制措施部分.8、 2011年11月，項目組人員參加工控SCADA系統(tǒng)信息安全研討會，聽取與會專家關于工控SCADA系統(tǒng)信息安全方面的意見和見解，豐富項目組人員工控SCADA系統(tǒng)安全視野。9、2011年7月—12月，項目組人員集中分析研究了國外工業(yè)控制系統(tǒng)相關標準的基礎上，結合領域專家意見和建議，形成了《工控SCADA系統(tǒng)安全控制指南》草稿。10、2012年7月,在安標委年度標準檢查會議上，向安標委專家介紹了《工控SCADA系統(tǒng)安全控制指南》標準成果,聽取了專家的意見和建議。11、2012年7月，邀請安標委專家王立福教授對標準編寫提供意見與建議，根據(jù)王教授的建議將標準調整為《工控SCADA系統(tǒng)安全控制應用指南》和《工控SCADA系統(tǒng)安全控制指南》。根據(jù)王教授意見課題組將確定將標準調整為《SCADA系統(tǒng)安全控制應用指南》，并進行標準內容調整.12、 2012年7月-9月，根據(jù)安標委專家的意見和建議，修改完善標準草案，并邀請了部分安標委專家給予項目組專門的指導，形成了《工控SCADA系統(tǒng)安全控制應用指南》草稿。13、 2012年9月，項目組參加了“工業(yè)控制系統(tǒng)標準研討會”，聽取了TC260、TC124等不同專家關于工控系統(tǒng)安全標準的觀點和意見，在汲取各位專家的意見和觀點的基礎上，進一步改進完善了《工控SCADA系統(tǒng)安全控制應用指南》草稿，并形成1。1版本。14、 2012年9月-2013年4月，根據(jù)專家的意見，對國內外的工業(yè)控制系統(tǒng)安全標準進行研究，尤其是研究美國工業(yè)控制安全標準，包括NISTSP800—82、SP800—53，美國天然氣工業(yè)協(xié)會（AGA）AGA12系列標準，ISA99系列標準，北美電力可控性公司（NERC）CIP系列標準。并多次召開內部討論會，對標準草案內容進行討論，形成了《工控SCADA系統(tǒng)安全控制應用指南》草案1。2版本。15、 2013年8月16日,全國信息安全標準化技術委員會WG5工作組在北京組織召開了國家標準《SCADA系統(tǒng)安全控制指南》（草案）專家評審會。專家聽取了編制組關于標準編制情況介紹和標準說明，審閱了相關文檔，經(jīng)質詢討論，形成以下意見:編制組在廣泛調研的基礎上，參考了國內外工業(yè)控制系統(tǒng)安全的有關標準，多次征求專家意見，廣泛吸取了相關行業(yè)、企業(yè)的建議，進行了反復修改、完善；該標準概述了工業(yè)控制系統(tǒng)一般性安全問題，存在的威脅和脆弱性，給出了工業(yè)控制系統(tǒng)安全控制應用指南，對工業(yè)控制系統(tǒng)安全建設具有指導意義；該標準整體架構清晰、合理，編寫格式基本符合GB/T1O1-2009要求；專家組建議該標準名稱改為《信息安全技術工業(yè)控制系統(tǒng)安全控制應用指南》。專家組同意通過評審。建議與相關標準編制單位進行協(xié)調，修改完善后，盡快形成征求意見稿。16、 2013年12月—2014年5月,標準編制小組在積極采納專家意見的基礎上,對規(guī)范內容進行修改（刪除、增加），調整了標準名稱為：《信息安全技術工業(yè)控制系統(tǒng)安全控制應用指南》。17、 2014年11月，信安標委WG5工作組組織成員單位對《信息安全技術工業(yè)控制系統(tǒng)安全控制應用指南》標準草案稿進行了投票表決，通過了本標準。投票表決中相關單位和專家提出了一些修改建議和意見，標準編制組對意見進行了逐條分析和理解,形成標準征求意見稿及相關文件。二、 編制原則和主要內容2。1編制原則本標準的研究與編制工作遵循以下原則：（1）通用性原則立足于當前信息化技術水平，對國內外知名安全漏洞庫的分類方法進行總結、歸納、簡化，同時參考吸納國外相關領域的先進成果并融入標準。（2） 可操作性和實用性原則標準規(guī)范是對實際工作成果的總結與提升，最終還需要用于實踐中,并經(jīng)得起實踐的檢驗，做到可操作、可用與實用.（3） 簡化原則根據(jù)規(guī)范化對象的結構、形式、規(guī)則等篩選提煉，經(jīng)過剔除、替換，保持整體結構合理且維持原意和功能不變.本標準的編制的內容制定遵循以下原則：（A） 唯一性原則:安全漏洞僅在某一類別中，其所屬類別不依賴人為因素。（B） 互斥性原則：類別沒有重疊，安全漏洞必屬于某一分類。（C） 擴展性原則:允許根據(jù)實際情況擴展安全漏洞的類別.2。2主要內容本標準的研究目標及內容是對工業(yè)控制系統(tǒng)安全控制應用的方法、步驟、范圍、監(jiān)控等進行研究，研究工業(yè)控制系統(tǒng)的技術架構特點、存在的安全漏洞和面臨的安全威脅，并給出解決這些安全問題的基本安全基線和安全控制措施，以指導組織中負責系統(tǒng)建設的組織者、負責信息安全工作的實施者和從事信息安全工作的相關人員實施工業(yè)控制系統(tǒng)安全控制應用到本組織的工業(yè)控制系統(tǒng)。本標準主要內容目錄如下:前言 錯誤!未定義書簽引言 錯誤!未定義書簽1范圍 錯誤!未定義書簽2規(guī)范性引用文件 錯誤!未定義書簽3術語和定義 錯誤!未定義書簽4縮略語 錯誤!未定義書簽5安全控制的應用 錯誤!未定義書簽5.1安全控制的應用前提 錯誤!未定義書簽5。2安全控制的選擇與規(guī)約 錯誤!未定義書簽5.2.1安全控制基線選擇 錯誤!未定義書簽5.2.2安全控制基線裁剪 錯誤!未定義書簽5.2。3安全控制基線補充 錯誤!未定義書簽5.3安全控制的應用步驟 錯誤!未定義書簽5.4安全控制的應用范圍 錯誤!未定義書簽5.5安全控制的監(jiān)控 錯誤!未定義書簽附錄 A（資料性附錄）工業(yè)控制系統(tǒng)面臨的安全風險 錯誤!未定義書簽Ao1工業(yè)控制系統(tǒng)面臨的威脅 錯誤!未定義書簽。A。2ICS系統(tǒng)主要脆弱性分析 錯誤!未定義書簽。2°l策略和規(guī)程脆弱性 錯誤!未定義書簽。Ao2o2網(wǎng)絡脆弱性 錯誤!未定義書簽Ao2.3平臺脆弱性 錯誤!未定義書簽。A.3傳統(tǒng)信息系統(tǒng)信息安全威脅與防護措施對ICS系統(tǒng)的影響 錯誤!未定義書簽。附錄B（規(guī)范性附錄）ICS系統(tǒng)安全控制措施 錯誤!未定義書簽。Bo1物理安全（PE） 錯誤!未定義書簽。l°l物理安全策略和規(guī)程（PE—1） 錯誤!未定義書簽。B.1.2物理訪問授權（PE-2） 錯誤!未定義書簽。Bo1.3物理訪問控制（PE—3） 錯誤!未定義書簽。B.1o4移動介質的訪問控制（PE—4） 錯誤!未定義書簽。B.1o5輸出設備的訪問控制（PE—5） 錯誤!未定義書簽。B.1.6物理訪問監(jiān)控（PE-6） 錯誤!未定義書簽。Bo1.7訪客管理（PE—7） 錯誤!未定義書簽。B.1.8訪問日志（PE-8） 錯誤!未定義書簽。B.1o9電力設備與電纜（PE-9） 錯誤!未定義書簽。B.l°10緊急停機（PE—10） 錯誤!未定義書簽。Bo1o11應急電源（PE—11） 錯誤!未定義書簽。B.1o12應急照明（PE-12） 錯誤!未定義書簽。Bo1.13防火（PE—13） 錯誤!未定義書簽。Bo1o14溫度和濕度控制（PE—14） 錯誤!未定義書簽。B。1。15防水(PE—15) 錯誤!未定義書簽。B°l°16組件安裝和移除(PE—16) 錯誤!未定義書簽。B.1.17防雷(PE-17) 錯誤!未定義書簽。Bo1.18電磁防護(PE-18) 錯誤!未定義書簽。B.1O19信息泄露(PE-19) 錯誤!未定義書簽。Bo1o20人員和設備追蹤(PE—20) 錯誤!未定義書簽。Bo2網(wǎng)絡安全(NS) 錯誤!未定義書簽。B.2.1網(wǎng)絡安全保護策略與規(guī)程(NS—1) 錯誤!未定義書簽。B.2o2網(wǎng)絡分離(NS-2) 錯誤!未定義書簽。Bo2o3企業(yè)網(wǎng)絡訪問(NS—3) 錯誤!未定義書簽。B.2.4內部邊界防護(NS-4) 錯誤!未定義書簽。B.2.5廣域通信鏈路防護(NS—5) 錯誤!未定義書簽。Bo2.6限制無線訪問(NS-6) 錯誤!未定義書簽。Bo2.7入侵防范(NS-7) 錯誤!未定義書簽。Bo2o8網(wǎng)絡冗余配置(NS—8) 錯誤!未定義書簽。B.2.9拒絕服務保護(NS-9) 錯誤!未定義書簽。Bo2o10資源優(yōu)先級(NS—10) 錯誤!未定義書簽。Bo2.11最小功能(NS-11) 錯誤!未定義書簽。B.2.12傳輸完整性(NS—12) 錯誤!未定義書簽。Bo2o13傳輸機密性(NS—13) 錯誤!未定義書簽。B.2o14消息真實性(NS—14) 錯誤!未定義書簽。Bo2.15網(wǎng)絡設備防護(NS—15) 錯誤!未定義書簽。B.3身份認證(IA) 錯誤!未定義書簽。B.3.1身份鑒別的策略和規(guī)程(IA-1) 錯誤!未定義書簽。Bo3.2組織內用戶標識與鑒別(IA—2) 錯誤!未定義書簽。B.3.3設備標識與鑒別(IA—3) 錯誤!未定義書簽。Bo3.4標識符管理(IA—4) 錯誤!未定義書簽。Bo3.5鑒別符管理(IA-5) 錯誤!未定義書簽。B.3.6鑒別反饋(IA-6) 錯誤!未定義書簽。B.3.7密碼模塊鑒別(IA-7) 錯誤!未定義書簽。B.3o8組織外用戶標識與鑒別(IA-8) 錯誤!未定義書簽。B.3.9服務標識與鑒別(IA-9) 錯誤!未定義書簽。B.4訪問控制(AC) 錯誤!未定義書簽。Bo4o1訪問控制的策略和規(guī)程(AC-1) 錯誤!未定義書簽。Bo4o2賬戶管理(AC—2) 錯誤!未定義書簽。Bo4o3訪問控制增強(AC—3) 錯誤!未定義書簽。B.4o4信息流增強(AC—4) 錯誤!未定義書簽。Bo4.5職責分離(AC—5) 錯誤!未定義書簽。B.4o6最小權限(AC—6) 錯誤!未定義書簽。Bo4.7失敗登錄控制(AC—7) 錯誤!未定義書簽。Bo4.8系統(tǒng)使用提示(AC—8) 錯誤!未定義書簽。Bo4o9以前訪問通知(AC-9) 錯誤!未定義書簽。B.4o10當前會話控制(AC—10) 錯誤!未定義書簽。B.4.11會話鎖(AC—11) 錯誤!未定義書簽。B.4.12會話終止（AC—12） 錯誤!未定義書簽。B.4.13敏感標記（AC—15、16） 錯誤!未定義書簽。B.4O14遠程訪問（AC-17） 錯誤!未定義書簽。B.5審計和問責（AU） 錯誤!未定義書簽。B.5o1安全審計的策略和規(guī)程（AU—1） 錯誤!未定義書簽。Bo5.2審計事件（AU—2） 錯誤!未定義書簽。Bo5.3審計記錄的內容（AU-3） 錯誤!未定義書簽。B.5o4審計存儲能力（AU-4、11） 錯誤!未定義書簽。Bo5.5審計失敗的響應（AU—5） 錯誤!未定義書簽。B.5.6審計信息的評審、分析和報告（AU-6） 錯誤!未定義書簽。B.5o7審計簡化和報告生成（AU—7） 錯誤!未定義書簽。Bo5o8時間戳（AU—8） 錯誤!未定義書簽。B.5.9審計信息保護（AU-9） 錯誤!未定義書簽。B.5.10抗抵賴（AU-10） 錯誤!未定義書簽。Bo6系統(tǒng)與信息完整性（SI） 錯誤!未定義書簽。Bo6.1系統(tǒng)與信息完整性的策略和規(guī)程（SI—1） 錯誤!未定義書簽。B.6o2缺陷修復（SI—2） 錯誤!未定義書簽。Bo6o3入侵防范（SI-3） 錯誤!未定義書簽。Bo6o4惡意代碼防護（SI-4） 錯誤!未定義書簽。Bo6o5軟件和信息完整性（SI-5） 錯誤!未定義書簽。B.6.6剩余信息保護（SI-6） 錯誤!未定義書簽。B.6o7資源控制（SI—7） 錯誤!未定義書簽。B.6o8軟件容錯（SI—8） 錯誤!未定義書簽B.6o9數(shù)據(jù)交換（SI—9） 錯誤!未定義書簽。Bo7應急計劃（CP） 錯誤!未定義書簽。Bo7o1應急計劃的策略和規(guī)程（CP—1） 錯誤!未定義書簽。B.7.2應急計劃（CP—2） 錯誤!未定義書簽。B.7o3應急計劃培訓（CP-3） 錯誤!未定義書簽。Bo7.4應急計劃測試（CP-4） 錯誤!未定義書簽。B.7o5應急計劃調整（CP—5） 錯誤!未定義書簽。B.7.6備用存儲設備（CP—6） 錯誤!未定義書簽。B.7o7備用處理設備（CP—7） 錯誤!未定義書簽。Bo7.8通信服務（CP—8） 錯誤!未定義書簽。B.7.9系統(tǒng)備份（CP-9） 錯誤!未定義書簽。B.7.10系統(tǒng)恢復與重建（CP—10） 錯誤!未定義書簽。Bo8系統(tǒng)和通訊保護（SC） 錯誤!未定義書簽。B.8.1系統(tǒng)和通訊保護策略與規(guī)程（SC—1） 錯誤!未定義書簽。Bo&2應用劃分（SC-2） 錯誤!未定義書簽。B.8.3安全功能隔離（SC-3） 錯誤!未定義書簽。Bo8o4共享資源中的信息（SC—4） 錯誤!未定義書簽。Bo&5服務拒絕防護（SC—5） 錯誤!未定義書簽。Bo8o6資源優(yōu)先級（SC-6） 錯誤!未定義書簽。B.8.7邊界保護（SC—7） 錯誤!未定義書簽。B.8o8傳輸完整性（SC—8） 錯誤!未定義書簽。B.8.9傳輸保密性（SC-9） 錯誤!未定義書簽。Bo&10網(wǎng)絡中斷（SC—10） 錯誤!未定義書簽。B.8.11可信路徑（SC-11） 錯誤!未定義書簽。Bo8o12密鑰建立與管理（SC—12） 錯誤!未定義書簽。Bo&13密碼技術的使用（SC-13） 錯誤!未定義書簽。Bo&14公共訪問保護（SC-14） 錯誤!未定義書簽。Bo8o15安全屬性的傳輸（SC-15） 錯誤!未定義書簽。Bo&16證書管理（SC—16） 錯誤!未定義書簽。Bo&17移動編碼（SC-17） 錯誤!未定義書簽。Bo8o18移動代碼（SC-18） 錯誤!未定義書簽。Bo8o19已知狀態(tài)中的失效（SC-19） 錯誤!未定義書簽。B.8.20剩余信息保護（SC—20） 錯誤!未定義書簽。Bo8o21虛擬技術（SC-21） 錯誤!未定義書簽。B.8o22系統(tǒng)劃分（SC-22） 錯誤!未定義書簽。Bo9人員安全（PS） 錯誤!未定義書簽。B.9.1人員安全策略與規(guī)程（PS—1） 錯誤!未定義書簽。Bo9.2崗位分類（PS-2） 錯誤!未定義書簽。B.9o3人員篩選（PS-3） 錯誤!未定義書簽。B.9o4人員解雇（PS-4） 錯誤!未定義書簽。Bo9.5人員調離（PS-5） 錯誤!未定義書簽。Bo9.6訪問協(xié)議（PS-6） 錯誤!未定義書簽。Bo9.7第三方人員安全（PS-7） 錯誤!未定義書簽。B.9o8人員處罰（PS—8） 錯誤!未定義書簽。Bo10配置管理（CM） 錯誤!未定義書簽。B.10o1配置管理策略與規(guī)程（CM—1） 錯誤!未定義書簽。B.10.2基線配置（CM-2） 錯誤!未定義書簽。Bo10.3配置變更控制（CM—3） 錯誤!未定義書簽。Bo10o4安全影響分析（CM—4） 錯誤!未定義書簽。B.10o5變更的評估限制（CM-5） 錯誤!未定義書簽。B.10.6配置設置（CM-6） 錯誤!未定義書簽。Bo10o7最小功能（CM-7） 錯誤!未定義書簽。Bo10o8系統(tǒng)部件清單（CM—8） 錯誤!未定義書簽。B.10o9配置管理計劃（CM-9） 錯誤!未定義書簽。B.11維護（MA） 錯誤!未定義書簽。B.11o1維護策略與規(guī)程（MA—1） 錯誤!未定義書簽。B.11o2受控維護（MA—2） 錯誤!未定義書簽。B.11.3維護工具（MA-3） 錯誤!未定義書簽。Bo11.4非本地維護（MA—4） 錯誤!未定義書簽。Bo11.5維護人員（MA-5） 錯誤!未定義書簽。Bo11.6及時維護（MA—6） 錯誤!未定義書簽。Bo12教育培訓（AT） 錯誤!未定義書簽。B.12o1教育培訓的策略與規(guī)程（AT-1） 錯誤!未定義書簽。B.12.2安全意識培訓（AT-2） 錯誤!未定義書簽。Bo12.3基于角色的安全培訓（AT—3） 錯誤!未定義書簽。B。12.4安全培訓記錄（AT—4） 錯誤!未定義書簽。Bo13事件響應（IR） 錯誤!未定義書簽。Bo13.1事件響應策略與規(guī)程（IR—1） 錯誤!未定義書簽。B.13o2事件響應培訓（IR-2） 錯誤!未定義書簽。B.13.3事件響應測試與演練（IR-3） 錯誤!未定義書簽。Bo13.4事件處理（IR—4） 錯誤!未定義書簽。Bo13o5事件監(jiān)視（IR—5） 錯誤!未定義書簽。Bo13o6事件報告（IR-6） 錯誤!未定義書簽。Bo13o7事件響應支持（IR-7） 錯誤!未定義書簽。B.13o8事件響應計劃（IR-8） 錯誤!未定義書簽。B.14風險評估（RA） 錯誤!未定義書簽。B.14.1風險評估策略與規(guī)程（RA-1） 錯誤!未定義書簽。B.14o2安全分類（RA—2） 錯誤!未定義書簽。Bo14o3風險評估（RA-3） 錯誤!未定義書簽。B.14o4脆弱性掃描（RA—5） 錯誤!未定義書簽。B.15規(guī)劃（PL） 錯誤!未定義書簽。B.15.1規(guī)劃策略與規(guī)程（PL-1） 錯誤!未定義書簽。Bo15.2系統(tǒng)安全計劃（PL—2） 錯誤!未定義書簽。B.15o3行為規(guī)則（PL—4） 錯誤!未定義書簽。Bo15o4隱私影響評估（PL—5） 錯誤!未定義書簽。B.15o5安全活動規(guī)劃（PL-6） 錯誤!未定義書簽。Bo16系統(tǒng)和服務獲取（SA） 錯誤!未定義書簽。Bo16.1系統(tǒng)和服務獲取策略與規(guī)程（SA-1） 錯誤!未定義書簽。Bo16.2資源分配（SA—2） 錯誤!未定義書簽。Bo16o3生存周期支持（SA-3） 錯誤!未定義書簽。B.16o4獲?。⊿A-4） 錯誤!未定義書簽。Bo16.5系統(tǒng)文檔（SA—5） 錯誤!未定義書簽。Bo16.6軟件使用限制（SA-6） 錯誤!未定義書簽。B.16o7用戶安裝軟件（SA—7） 錯誤!未定義書簽。Bo16.8安全工程原則（SA-8） 錯誤!未定義書簽。B.16.9外部系統(tǒng)服務（SA—9） 錯誤!未定義書簽。B.16.10開發(fā)人員的配置管理（SA-10） 錯誤!未定義書簽。B.16.11開發(fā)人員的安全測試（SA-11） 錯誤!未定義書簽。B.16.12供應鏈保護（SA-12） 錯誤!未定義書簽。B.16o13可信賴性（SA-13） 錯誤!未定義書簽。B.16.14關鍵系統(tǒng)部件（SA—14） 錯誤!未定義書簽。Bo17安全評估與授權（CA） 錯誤!未定義書簽。B.17.1安全評估與授權策略與規(guī)程（CA-1） 錯誤!未定義書簽。B.17o2安全評估（CA—2） 錯誤!未定義書簽。B.17.3系統(tǒng)連接（CA—3） 錯誤!未定義書簽。Bo17o4動作和里程碑計劃（CA-5） 錯誤!未定義書簽。Bo17o5安全授權（CA—6） 錯誤!未定義書簽。B.17.6持續(xù)監(jiān)視（CA—7） 錯誤!未定義書簽。B.18介質保護（MP） 錯誤!未定義書簽。B.18.6介質銷毀（MP—6） 錯誤!未定義書簽。附錄C（規(guī)范性附錄）工業(yè)控制系統(tǒng)安全控制基線 錯誤!未定義書簽。三、 主要試驗（或驗證）的分析、綜述報告，技術經(jīng)濟論證，預期的經(jīng)濟效果隨著信息化技術的發(fā)展，以自動化技術為代表的自動控制系統(tǒng)在工