T-JSREA 15-2023 電力企業(yè)工業(yè)信息安全培訓(xùn)規(guī)范

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載ICS

35.030學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載CCS

P60JSREA江蘇省可再生能源行業(yè)協(xié)會(huì)團(tuán)體標(biāo)準(zhǔn)T/JSREA

—2023電力企業(yè)工業(yè)信息安全培訓(xùn)規(guī)范Training

of

industrial

powerenterprises

發(fā)布 2024

–

實(shí)施江蘇省可再生能源行業(yè)協(xié)會(huì)發(fā)

布學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載 前言

.................................................................................

II1

...............................................................................

12 規(guī)范性引用文件

.....................................................................

13 術(shù)語(yǔ)和定義

.........................................................................

14 ........................................................................

1 ............................................................................

2 ............................................................................

5附錄

A（資料性） 相關(guān)案例、類型索引...................................................

7附錄

B（資料性） 考試?yán)}

............................................................

8學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載 本文件按照GB/T

1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則 第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。本文件由江蘇省可再生能源行業(yè)協(xié)會(huì)提出并歸口。生能源行業(yè)協(xié)會(huì)、南京工業(yè)職業(yè)技術(shù)大學(xué)。漢齋，邵夕吾，施新春，楊玉鵬，鄧云鳳，羅喬，劉一君，于海泉，宋健京，張文波。II學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載1 范圍2規(guī)范性引用文件文件。GB/T

1359 信息安全技術(shù)

信息資產(chǎn)安全管理產(chǎn)品安全技術(shù)要求GB

17859 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB/T

19000 質(zhì)量管理體系

基礎(chǔ)和術(shù)語(yǔ)GB/T

19001 質(zhì)量管理體系

GB/T

20269 信息安全技術(shù)

信息系統(tǒng)安全管理要求GB/T

20270 信息安全技術(shù)

網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求GB/T

20271 信息安全技術(shù)

信息系統(tǒng)通用安全技術(shù)要求GB/T

20275 信息安全技術(shù)

入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試評(píng)價(jià)方法GB/T

20281 信息安全技術(shù)

防火墻技術(shù)要求與測(cè)試評(píng)價(jià)方法GB/T

20984 信息安全技術(shù)

信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T

22240 信息安全技術(shù)

信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南GB/T

25069 信息安全技術(shù)

GB/T

32351 電力信息安全水平評(píng)價(jià)指標(biāo)GB/T

39204 信息安全技術(shù)

關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求GB/T

40599 繼電保護(hù)及安全自動(dòng)裝置在線監(jiān)視與分析技術(shù)規(guī)范DB14/T

2536 電力企業(yè)安全風(fēng)險(xiǎn)分級(jí)管控和隱患排查治理雙重預(yù)防體系規(guī)范ISO/IEC

17000 合格評(píng)定：詞匯和通用原則ISO/IEC

27001

techniques-information

securitymanagement

systems–RequirementsIEC

61850 SER

standard

LVDC

communication

networks

and

systems

for

power

automation3 術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。工業(yè)控制系統(tǒng)

control

system；ICS設(shè)施中。4PLC Programmable

可編程邏輯控制器DCS Distributed

Control

System 分布式控制系統(tǒng)DMZ Demilitarized

Zone 非軍事區(qū)學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

OPC Object

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

OPC Object

for

Process

Control 用于過(guò)程控制的對(duì)象鏈接與MAC Media

Access

Control 介質(zhì)訪問(wèn)控制NAT Network

Address

Translation 網(wǎng)絡(luò)地址轉(zhuǎn)換嵌入SCADA Supervisory

Control

Data

System 監(jiān)控和數(shù)據(jù)采集系統(tǒng)VPN Virtual

Private

Network 虛擬專用網(wǎng)絡(luò)TCP/IPTransmission

Control

Protocol傳輸控制協(xié)議 總則本標(biāo)準(zhǔn)所規(guī)定的電力企業(yè)工業(yè)信息安全培訓(xùn)大綱和考核要求為電力企業(yè)工業(yè)信息安全相關(guān)人員應(yīng)塊。電力企業(yè)工業(yè)信息安全知識(shí) 內(nèi)容如下：a)

泄密等安全事件的發(fā)生，確保電力生產(chǎn)和供應(yīng)的安全、穩(wěn)定和可持續(xù)性；b)

工業(yè)信息安全特征：復(fù)雜性、高度可靠性要求、實(shí)時(shí)性、保密性要求高、長(zhǎng)周期性；c)

產(chǎn)品的發(fā)展、人才培養(yǎng)和安全意識(shí)提升；d)

國(guó)內(nèi)外工控網(wǎng)絡(luò)安全事件一覽基本內(nèi)容參考附錄

。 共和國(guó)數(shù)據(jù)安全法》、《網(wǎng)絡(luò)安全審查辦法》法律法規(guī)課程內(nèi)容。 培訓(xùn)內(nèi)容包括GB/T

1359、GB

17859、GB/T

19000、GB/T

19001、GB/T

20269、GB/T

20270、GB/T20271、GB/T

20275、GB/T

20281、GB/T

20984、

22240、GB/T

25069、

32351、GB/T

39204、GB/T

40599、DB14/T

2536、ISO/IEC

17000、

27001、

61850中涉及的信息安全等級(jí)保護(hù)工作的內(nèi)涵及流程，掌握開(kāi)展網(wǎng)絡(luò)安全工作的基本方法，構(gòu)建信息安全管理體系和技術(shù)體系。 a)

漏洞專業(yè)庫(kù)和國(guó)家工業(yè)信息安全漏洞庫(kù)(簡(jiǎn)稱

管理及漏洞提交流程；b)

參考相關(guān)國(guó)際標(biāo)準(zhǔn)為工控系統(tǒng)漏洞進(jìn)行分類描述。 a)

威脅情報(bào)收集和分析，了解當(dāng)前的安全威脅和攻擊趨勢(shì)；b)

網(wǎng)絡(luò)監(jiān)測(cè)和防御，包括入侵檢測(cè)、防火墻、反病毒等；c)

安全事件響應(yīng)計(jì)劃，包括事件發(fā)現(xiàn)、分類、響應(yīng)和恢復(fù)等環(huán)節(jié)；d)

員工安全教育和意識(shí)提升，提高員工安全防范意識(shí)和行為規(guī)范；學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載e)

安全風(fēng)險(xiǎn)評(píng)估和演練，加強(qiáng)安全防御和應(yīng)對(duì)能力。 培訓(xùn)內(nèi)容包括

、GB/T

22239、《電力企業(yè)信息安全管理辦法》等標(biāo)準(zhǔn)，內(nèi)容大綱如下：a)

全管理機(jī)制，加強(qiáng)安全管理和監(jiān)督，確保安全管理工作的有效開(kāi)展；b)

安全編碼、安全測(cè)試等技術(shù)手段等；c)

傳和教育，提高員工的安全責(zé)任意識(shí)和安全意識(shí)；d)

測(cè)和分析，及時(shí)發(fā)出安全預(yù)警和處理建議。電力企業(yè)工業(yè)信息技術(shù)知識(shí) 電力企業(yè)工業(yè)控制系統(tǒng)培訓(xùn)應(yīng)包含以下內(nèi)容：a)

設(shè)備的工作原理和應(yīng)用場(chǎng)景等；b)

應(yīng)用安全等方面的知識(shí)，以及工業(yè)控制系統(tǒng)安全漏洞的發(fā)現(xiàn)和修復(fù)方法等；c)

管理和備份恢復(fù)等；d)

工業(yè)控制系統(tǒng)的規(guī)劃、設(shè)計(jì)和實(shí)施等；e)

工業(yè)控制系統(tǒng)標(biāo)準(zhǔn)和法規(guī)：包括工業(yè)控制系統(tǒng)的相關(guān)標(biāo)準(zhǔn)和法規(guī)，例如

GB/T

22239、《電力企業(yè)信息安全管理辦法》等；f)

措施，提高學(xué)員的安全意識(shí)和應(yīng)對(duì)能力。 監(jiān)測(cè)預(yù)警數(shù)據(jù)分析、上報(bào)、處置等相關(guān)規(guī)范及要求。培訓(xùn)內(nèi)容包括評(píng)估工業(yè)控制系統(tǒng)遭受各種外界威脅或者資源缺失因而帶來(lái)的損失總量，評(píng)估整個(gè)方位的掃描，得出關(guān)鍵性的主機(jī)漏洞，如緩沖區(qū)溢出、可寫(xiě)共享目錄、弱口令用戶等漏洞。 學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載培訓(xùn)內(nèi)容包括工業(yè)控制系統(tǒng)訪問(wèn)控制和用戶身份認(rèn)證，在此基礎(chǔ)上利用安全采集探針、信道加密、 典型風(fēng)險(xiǎn)安全防范案例分析培訓(xùn)內(nèi)容包括國(guó)內(nèi)外典型工業(yè)安全事件的背景、損失評(píng)估、攻擊過(guò)程、核心問(wèn)題、對(duì)策與措施等。具體內(nèi)容參考附錄。電力企業(yè)工業(yè)信息上機(jī)操作實(shí)踐 節(jié)應(yīng)具備如下能力：a) 維護(hù)、備份與恢復(fù)、監(jiān)控與日志管理、安全漏洞排查等方面的能力；b)關(guān)、交換機(jī)等設(shè)備的選購(gòu)、安裝、調(diào)試和維護(hù)等方面的能力；c)軟件系統(tǒng)的安裝和配置能力：考核人員需要具備軟件系統(tǒng)的安裝和配置能力，包括操作系統(tǒng)、數(shù)據(jù)庫(kù)、工控軟件等的安裝、配置、更新和維護(hù)等方面的能力；d)設(shè)計(jì)、防火墻的配置、網(wǎng)絡(luò)拓?fù)涞膬?yōu)化與維護(hù)等方面的能力；e) 安全漏洞的排查與修復(fù)能力：考核人員需要具備安全漏洞的排查與修復(fù)能力，包括漏洞掃描、安全審計(jì)、應(yīng)急響應(yīng)等方面的能力。 a)

Nessus、OpenVAS等，能夠?qū)I(yè)控制系統(tǒng)進(jìn)行漏洞掃描和識(shí)別，并能夠分析掃描結(jié)果。b)

Metasploit

c)

d)

e)

或Unix-likeTCP/IP標(biāo)準(zhǔn)化技術(shù)甚至是OPC開(kāi)放協(xié)議標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全脆弱性和威脅識(shí)別。 培訓(xùn)內(nèi)容包括滲透測(cè)試全工作過(guò)程、內(nèi)容和流程，掌握一至兩種滲透測(cè)試的工具和應(yīng)用技巧。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載制環(huán)境中程序體靜態(tài)安全分析和動(dòng)態(tài)安全分析的分析方法，利用自動(dòng)化手段對(duì)工業(yè)設(shè)備面臨的脆弱性組織，并根據(jù)時(shí)序?qū)羰录M(jìn)行追蹤溯源，對(duì)防護(hù)裝置的有效性進(jìn)行綜合性評(píng)估。 控制系統(tǒng)安全知識(shí)和技能，才能夠設(shè)計(jì)和實(shí)施有效的安全措施，確保工業(yè)控制系統(tǒng)的安全性和穩(wěn)定性。參與培訓(xùn)人員在實(shí)操環(huán)節(jié)應(yīng)具備如下能力：a)

擬專用網(wǎng)絡(luò)、

等，能夠設(shè)計(jì)和實(shí)施有效的網(wǎng)絡(luò)安全措施，確保工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全；b)

等，能夠設(shè)計(jì)和實(shí)施有效的應(yīng)用安全措施，確保工業(yè)控制系統(tǒng)的應(yīng)用安全；c)

加密傳輸?shù)?，能夠設(shè)計(jì)和實(shí)施有效的數(shù)據(jù)安全措施，確保工業(yè)控制系統(tǒng)的數(shù)據(jù)安全；d)

護(hù)系統(tǒng)等，能夠設(shè)計(jì)和實(shí)施有效的物理安全措施，確保工業(yè)控制系統(tǒng)的物理安全；e)

快速響應(yīng)，并采取有效的措施進(jìn)行處置，以減少安全事件對(duì)工業(yè)控制系統(tǒng)的影響；f)

計(jì)等，能夠制定和實(shí)施有效的安全管理措施，確保工業(yè)控制系統(tǒng)的安全管理。 理論知識(shí)應(yīng)滿足以下考核要求：a) 能夠清晰描述電力企業(yè)工業(yè)信息安全的相關(guān)概念和知識(shí)點(diǎn)；b) 能夠解釋電力企業(yè)工業(yè)信息安全風(fēng)險(xiǎn)評(píng)估與管理的方法和流程；c) 能夠說(shuō)明電力企業(yè)工業(yè)信息安全技術(shù)措施的實(shí)現(xiàn)方法和應(yīng)用場(chǎng)景；d) 熟悉電力企業(yè)工業(yè)信息安全法律法規(guī)和標(biāo)準(zhǔn)。技能環(huán)節(jié)應(yīng)滿足以下考核要求：a) 能夠獨(dú)立完成電力企業(yè)工業(yè)信息安全風(fēng)險(xiǎn)評(píng)估和管理的任務(wù)；b)能夠獨(dú)立設(shè)計(jì)和實(shí)施電力企業(yè)工業(yè)信息安全技術(shù)保障方案；c) 能夠獨(dú)立進(jìn)行電力企業(yè)工業(yè)信息安全事件響應(yīng)和處置；d) 能夠獨(dú)立組織和實(shí)施電力企業(yè)工業(yè)信息安全管理評(píng)估和改進(jìn)。 實(shí)踐環(huán)節(jié)應(yīng)滿足以下考核要求：a)能夠根據(jù)實(shí)際情況設(shè)計(jì)和實(shí)施電力企業(yè)工業(yè)信息安全方案；b)能夠根據(jù)實(shí)際情況進(jìn)行電力企業(yè)工業(yè)信息安全風(fēng)險(xiǎn)評(píng)估和管理；c) 能夠根據(jù)實(shí)際情況實(shí)施電力企業(yè)工業(yè)信息安全事件響應(yīng)和處置；d)能夠根據(jù)實(shí)際情況組織和實(shí)施電力企業(yè)工業(yè)信息安全管理評(píng)估和改進(jìn)；e)能夠根據(jù)實(shí)際情況制定電力企業(yè)工業(yè)信息安全應(yīng)急預(yù)案，組織演練并進(jìn)行事件處置。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載考核方式電力企業(yè)開(kāi)展工業(yè)信息安全培訓(xùn)考核方式主要采用筆試+B60學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

附 錄A（資料性）相關(guān)案例、類型索引A.1 國(guó)內(nèi)外工控網(wǎng)絡(luò)安全事件一覽基本內(nèi)容國(guó)內(nèi)外工控網(wǎng)絡(luò)安全事件包括但不限于以下案例：a)

2014

年

12

達(dá)數(shù)周。攻擊者通過(guò)針對(duì)工控系統(tǒng)的遠(yuǎn)程代碼執(zhí)行攻擊，控制了生產(chǎn)線的運(yùn)行；b)

2015

年

12

月

日烏克蘭電網(wǎng)攻擊事件：黑客組織成功攻擊了烏克蘭電網(wǎng)，導(dǎo)致當(dāng)?shù)囟鄠€(gè)城市停電長(zhǎng)達(dá)

6

的運(yùn)行；c)

2017

年

11

d)

2021

年

5

月美國(guó)工控系統(tǒng)勒索軟件攻擊事件：美國(guó)一家石油管道公司遭受勒索軟件攻擊，導(dǎo)致石油供應(yīng)中斷。攻擊者使用了

DarkSide

勒索軟件，通過(guò)網(wǎng)絡(luò)攻擊入侵石油管道公司的工控系統(tǒng)，加密關(guān)鍵數(shù)據(jù)并勒索贖金；e)

2021

年

9

月中國(guó)電力系統(tǒng)勒索軟件攻擊事件：多家中國(guó)電力企業(yè)遭受勒索軟件攻擊，導(dǎo)致企業(yè)核心業(yè)務(wù)系統(tǒng)癱瘓。攻擊者使用了

Kwampirs

勒索軟件，通過(guò)網(wǎng)絡(luò)攻擊入侵電力企業(yè)的工控系統(tǒng)，加密關(guān)鍵數(shù)據(jù)并勒索贖金。A.2 網(wǎng)絡(luò)安全事件類型網(wǎng)絡(luò)安全事件包括但不限于以下類型： b)

勒索軟件攻擊；c)

內(nèi)部人員泄密；d)

網(wǎng)絡(luò)攻擊。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載

附 錄B（資料性）考試?yán)}題目1：震網(wǎng)病毒主要攻擊的是以下哪個(gè)廠商的系統(tǒng)？（ ）A．西門(mén)子B．施耐德C．霍尼韋爾D．和利時(shí)題目2：關(guān)于震網(wǎng)病毒，以下說(shuō)法不正確的是？（ ）A．是第一個(gè)引起重大破壞的工控病毒B．主要攻擊西門(mén)子公司的plcC．不會(huì)通過(guò)U盤(pán)傳播D．造成伊朗核工業(yè)設(shè)施嚴(yán)重破壞題目3：以下哪項(xiàng)是工控系統(tǒng)與傳統(tǒng)信息系統(tǒng)的區(qū)別？（ ）A．網(wǎng)絡(luò)架構(gòu)不同B．網(wǎng)絡(luò)協(xié)議不同C．系統(tǒng)升級(jí)難度不同D．以上都是題目4：以下哪項(xiàng)不是工控協(xié)議:（ ）A．DNP3B．

104C．DNSD．Modbus題目5：以下哪種設(shè)備是用來(lái)進(jìn)行網(wǎng)絡(luò)邊界隔離防護(hù)的？（ ）A．堡壘機(jī)B．殺毒軟件C．防火墻D．題目6：以下哪項(xiàng)不是國(guó)內(nèi)的標(biāo)準(zhǔn)規(guī)范？（ ）A．GB/T30976B．《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》C．IEC62443D．《工業(yè)控制系統(tǒng)安全防護(hù)指南》題目7：以下哪些是屬于工業(yè)控制系統(tǒng)的組成部分？（

）A．PLCB．HMIC．RTUD．以上都是題目8：《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》的發(fā)布日期是？（ ）A．2008年5月13日B．2019年5月13日C．2019年10月1日D．2019年12月1日題目9：《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》的實(shí)施日期是？（ ）A．2008年5月13日B．2019年5月13日C．2019年10月1日學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/JSREA

15—2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載D．2019年12月1日題目10：工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)？（ ）A．永遠(yuǎn)都互不