GB/T 26333-2010工業(yè)控制網(wǎng)絡安全風險評估規(guī)范

犐犆犛２５．０４０

犖１０

中華人民共和國國家標準

犌犅／犜２６３３３—２０１０

工業(yè)控制網(wǎng)絡安全風險評估規(guī)范

犈狏犪犾狌犪狋犻狅狀狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉狊犲犮狌狉犻狋狔犻狀犻狀犱狌狊狋狉犻犪犾犮狅狀狋狉狅犾狀犲狋狑狅狉犽

２０１１０１１４發(fā)布２０１１０６０１實施

中華人民共和國國家質量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標準化管理委員會

書

犌犅／犜２６３３３—２０１０

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４符號和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５風險評估要點!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６特性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

７確定評估目的!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

８評估設計和規(guī)劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

９制定評估計劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１０評定技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１１評估的實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

１２編寫評估報告!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

附錄Ａ（規(guī)范性附錄）工業(yè)控制網(wǎng)絡安全網(wǎng)關的安全風險評估!!!!!!!!!!!!!!!１３

附錄Ｂ（規(guī)范性附錄）工業(yè)控制網(wǎng)絡現(xiàn)場設備層安全風險評估!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犜２６３３３—２０１０

前言

本標準按照ＧＢ／Ｔ１．１—２００９給出的規(guī)則起草。

本標準中的一些內容可能涉及某些專利，本標準對任何這樣的專利權均不負有鑒別責任。

本標準由中國機械工業(yè)聯(lián)合會提出。

本標準由全國工業(yè)過程測量和控制標準化技術委員會歸口。

本標準起草單位：重慶郵電大學、浙江大學、浙江中控技術股份有限公司、機械工業(yè)儀器儀表綜合技

術經(jīng)濟研究所、中國科學院沈陽自動化研究所、大連理工大學、上海工業(yè)自動化儀表研究所、上海自動化

儀表股份有限公司、中國四聯(lián)儀器儀表集團有限公司、西南大學、天津天儀集團儀表有限公司、北京華控

技術有限公司。

本標準起草人：王浩、王平、金建祥、馮冬芹、歐陽勁松、梅恪、徐皚冬、仲崇權、繆學勤、包偉華、劉進、

張慶軍、秘明睿、劉杰、劉楓、楊彬、周勇。

Ⅲ

犌犅／犜２６３３３—２０１０

引言

隨著各種通信技術在工業(yè)控制網(wǎng)絡中的廣泛應用，在實現(xiàn)更多功能的同時，工業(yè)控制網(wǎng)絡的安全問

題日益凸顯。

本評估標準是一種針對工業(yè)控制網(wǎng)絡的安全風險評估方法。通過對工業(yè)控制網(wǎng)絡的安全風險評估

可以發(fā)現(xiàn)網(wǎng)絡的安全隱患，通過采用相應的安全措施彌補安全漏洞，從而增強工業(yè)控制網(wǎng)絡的安全。

本標準規(guī)定了工業(yè)控制網(wǎng)絡安全風險評估的一般方法和準則，描述了工業(yè)控制網(wǎng)絡安全風險評估

的一般步驟，側重于評估對象的分析和評估計劃的設計。

Ⅳ

犌犅／犜２６３３３—２０１０

工業(yè)控制網(wǎng)絡安全風險評估規(guī)范

１范圍

本標準規(guī)定了評估的步驟，對評估方法給出了建議。

本標準適用于工業(yè)控制網(wǎng)絡的安全風險評估，定義了評估的要點。

本標準討論工業(yè)控制網(wǎng)絡的通信安全，它主要取決于系統(tǒng)所采用的防護措施。

２規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文

件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

ＧＢ／Ｔ９３６１—１９８８計算機場地安全要求

ＧＢ／Ｔ９３８７．２—１９９５信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型第２部分：安全體系結構

ＧＢ１７８５９—１９９９計算機信息系統(tǒng)安全保護等級劃分準則

ＧＢ／Ｔ１７９０３．１—２００８信息技術安全技術抗抵賴第１部分：概述

ＧＢ／Ｔ１７９６５—２０００信息技術開放系統(tǒng)互連高層安全模型（ｉｄｔＩＳＯ／ＩＥＣ１０７４５：１９９５）

ＧＢ／Ｔ１８２７２．１—２０００工業(yè)過程測量和控制系統(tǒng)評估中系統(tǒng)特性的評定第１部分：總則和方

法學

ＧＢ／Ｔ１８２７２．２—２０００工業(yè)過程測量和控制系統(tǒng)評估中系統(tǒng)特性的評定第２部分：評估方

法學

ＧＢ／Ｔ１８２７２．３—２０００工業(yè)過程測量和控制系統(tǒng)評估中系統(tǒng)特性的評定第３部分：系統(tǒng)功能

性評估

ＧＢ／Ｔ１８２７２．７—２００６工業(yè)過程測量和控制系統(tǒng)評估中系統(tǒng)特性的評定第７部分：系統(tǒng)安全

性評估

ＧＢ／Ｔ１８３３６．１—２００８信息技術安全技術信息技術安全性評估準則第１部分：簡介和一般

模型（ＩＳＯ／ＩＥＣ１５４０８１