TCNEA-核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)(征求意見稿)編制說(shuō)明

1/6中國(guó)核能行業(yè)協(xié)會(huì)團(tuán)體標(biāo)準(zhǔn)T/CNEAXXXXX-XXXX《核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)》（征求意見稿）編制說(shuō)明標(biāo)準(zhǔn)編制組二零二一年十二月T/CNEAXXXXX-XXXX《核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)》編制說(shuō)明1工作簡(jiǎn)況1.1任務(wù)來(lái)源中國(guó)核能行業(yè)協(xié)會(huì)于2019年12月2日，正式下達(dá)了《關(guān)于2019年度中國(guó)核能行業(yè)協(xié)會(huì)首批團(tuán)體標(biāo)準(zhǔn)審批通過(guò)項(xiàng)目公示的通知》，國(guó)核自儀系統(tǒng)工程有限公司信息安全中心申請(qǐng)的《核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)》核電行業(yè)團(tuán)體標(biāo)準(zhǔn)已獲批通過(guò)。該標(biāo)準(zhǔn)由國(guó)核自儀系統(tǒng)工程有限公司主編，山東核電、上海核動(dòng)力研究設(shè)計(jì)院、國(guó)核示范參編。1.2主要工作過(guò)程標(biāo)準(zhǔn)編制任務(wù)下達(dá)后，承擔(dān)單位成立了標(biāo)準(zhǔn)編制組，制訂了編制計(jì)劃，確定了本標(biāo)準(zhǔn)的編制原則、標(biāo)準(zhǔn)結(jié)構(gòu)和編制內(nèi)容。編制組分工協(xié)作，按要求完成了各自分工的修改內(nèi)容，主編協(xié)調(diào)整理各部分的內(nèi)容，統(tǒng)一了標(biāo)準(zhǔn)的表述方式，并于完成了標(biāo)準(zhǔn)征求意見稿的編制。1.2.1前期工作前期主要任務(wù)是成立標(biāo)準(zhǔn)編制組，分解工作任務(wù)、明確標(biāo)準(zhǔn)編制的進(jìn)度控制，形成標(biāo)準(zhǔn)初稿。后期主要任務(wù)是在主編方發(fā)布的草稿基礎(chǔ)上，然后工作組以會(huì)議討論的形式對(duì)草稿進(jìn)行修訂，根據(jù)各自的項(xiàng)目和標(biāo)準(zhǔn)編制經(jīng)驗(yàn)提出反饋意見，最終確定初稿。1.2.2征求意見稿在標(biāo)準(zhǔn)初稿編寫完成后，將初稿向多名業(yè)內(nèi)專家征求意見。編制組根據(jù)專家意見，對(duì)標(biāo)準(zhǔn)初稿內(nèi)容進(jìn)行認(rèn)真討論，提出具體的修改意見和建議，并在此基礎(chǔ)上形成了征求意見稿。1.2.3送審稿將根據(jù)后續(xù)工作進(jìn)度和安排具體進(jìn)行補(bǔ)充。1.2.4報(bào)批稿將根據(jù)后續(xù)工作進(jìn)度和安排具體進(jìn)行補(bǔ)充。2標(biāo)準(zhǔn)編制原則本標(biāo)準(zhǔn)編制原則如下：1）貫徹執(zhí)行國(guó)家的有關(guān)法律法規(guī)和方針政策，并與現(xiàn)行的國(guó)家、行業(yè)相關(guān)標(biāo)準(zhǔn)相協(xié)調(diào)。2）總結(jié)國(guó)內(nèi)的實(shí)踐經(jīng)驗(yàn)和成果，結(jié)合國(guó)內(nèi)外核電設(shè)計(jì)的新進(jìn)展，力爭(zhēng)達(dá)到安全適用、確保質(zhì)量、經(jīng)濟(jì)合理，具有較強(qiáng)的可操作性和實(shí)用性。3）采用的評(píng)價(jià)方法、依據(jù)與國(guó)內(nèi)外核電技術(shù)的成果進(jìn)展保持一致。4）編制的《核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)》標(biāo)準(zhǔn)由正文、附錄兩部分組成，格式與內(nèi)容以及它們之間的相互關(guān)系遵守能源行業(yè)標(biāo)準(zhǔn)編寫規(guī)則。5）本標(biāo)準(zhǔn)主要適用于進(jìn)行核電廠系統(tǒng)網(wǎng)絡(luò)信息風(fēng)險(xiǎn)評(píng)估的技術(shù)人員以及其他相關(guān)人員。3標(biāo)準(zhǔn)的編制內(nèi)容說(shuō)明3.1標(biāo)準(zhǔn)結(jié)構(gòu)本標(biāo)準(zhǔn)分為以下章節(jié)：目錄前言引言范圍規(guī)范性引用文件術(shù)語(yǔ)和定義縮略語(yǔ)核電站工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估概述評(píng)估設(shè)計(jì)和規(guī)劃核電站工控系統(tǒng)評(píng)估項(xiàng)核電站工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估計(jì)算分析附錄A（資料性附錄）核電站工控系統(tǒng)網(wǎng)絡(luò)安全設(shè)防模型附錄B（資料性附錄）核電站工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估參考性樣例3.2標(biāo)準(zhǔn)內(nèi)容說(shuō)明范圍主要規(guī)定了核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估活動(dòng)的適用范圍。規(guī)范性引用文件規(guī)定了本標(biāo)準(zhǔn)引用的相關(guān)標(biāo)準(zhǔn)規(guī)范。術(shù)語(yǔ)和定義給出本標(biāo)準(zhǔn)中所用到的重要術(shù)語(yǔ)和定義。縮略語(yǔ)給出本標(biāo)準(zhǔn)中所用到縮略語(yǔ)定義。核電站工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估概述對(duì)核電站工控系統(tǒng)網(wǎng)絡(luò)安全評(píng)估活動(dòng)基本情況進(jìn)行概述說(shuō)明，包括評(píng)估范圍、目的、對(duì)象、原則等，同時(shí)說(shuō)明了評(píng)估的主要形式。評(píng)估設(shè)計(jì)和規(guī)劃闡述了五個(gè)基本階段中風(fēng)險(xiǎn)評(píng)估活動(dòng)的重點(diǎn)工作要求和評(píng)估設(shè)計(jì)規(guī)劃；說(shuō)明了核電站工控系統(tǒng)網(wǎng)絡(luò)安全要素的識(shí)別和分析。核電站工控系統(tǒng)評(píng)估項(xiàng)提出核電站工控系統(tǒng)網(wǎng)絡(luò)安全評(píng)估必須滿足的原則性評(píng)估內(nèi)容，并詳細(xì)闡述評(píng)估工作估項(xiàng)。核電站工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估計(jì)算分析闡述了在完成資產(chǎn)評(píng)估、威脅評(píng)估、脆弱性評(píng)估，保障能力評(píng)估后，采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性分析過(guò)程。附錄A（資料性附錄）核電站工控系統(tǒng)網(wǎng)絡(luò)安全設(shè)防模型給出“核電站工控系統(tǒng)網(wǎng)絡(luò)安全設(shè)防模型”用以指導(dǎo)風(fēng)險(xiǎn)評(píng)估活動(dòng)。附錄B（資料性附錄）核電站工控系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估參考性樣例給出風(fēng)險(xiǎn)評(píng)估用到的方法和工具，并給出樣例。4標(biāo)準(zhǔn)水平分析本標(biāo)準(zhǔn)的制定為國(guó)內(nèi)核電站工控系統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估提供了標(biāo)準(zhǔn)依據(jù)，同時(shí)也為實(shí)施核電廠系統(tǒng)網(wǎng)絡(luò)信息風(fēng)險(xiǎn)評(píng)估的技術(shù)人員以及其他相關(guān)人員提供了統(tǒng)一的參考依據(jù)。5與現(xiàn)行法規(guī)、標(biāo)準(zhǔn)的關(guān)系國(guó)內(nèi)針對(duì)電力行業(yè)網(wǎng)絡(luò)信息風(fēng)險(xiǎn)評(píng)估制定了相關(guān)技術(shù)法規(guī)標(biāo)準(zhǔn)，而針對(duì)核電站的網(wǎng)絡(luò)信息風(fēng)險(xiǎn)評(píng)估的技術(shù)法規(guī)標(biāo)準(zhǔn)尚不完善，根據(jù)國(guó)內(nèi)核電廠的設(shè)計(jì)和運(yùn)行現(xiàn)狀，建立完整的標(biāo)準(zhǔn)體系，標(biāo)準(zhǔn)所規(guī)定的評(píng)估方法和指標(biāo)符合法律法規(guī)規(guī)定的安全原則，用于指導(dǎo)核電廠系統(tǒng)網(wǎng)絡(luò)信息風(fēng)險(xiǎn)評(píng)估技術(shù)人員及其他相關(guān)人員風(fēng)險(xiǎn)評(píng)估的實(shí)施。6參考資料清單GB/T31509-2015信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估實(shí)施指南GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T26333-2010信息安全技術(shù)工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T36466-2018信息安全技術(shù)工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)評(píng)估實(shí)施指南GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T18336-2001信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則GB/T21052-2016信息安全技術(shù)信息系統(tǒng)物理安全技術(shù)要求GB/T20271-2016信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T18272.7-2006工業(yè)過(guò)程測(cè)量和控制系統(tǒng)評(píng)估中系統(tǒng)特性的評(píng)定GB/T37934-2019信息安全技術(shù)工業(yè)控制網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)安全技術(shù)要求GA/T1390.5-2017信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求第5部分:工業(yè)控制系統(tǒng)安全擴(kuò)展要求。發(fā)改委14號(hào)令電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定國(guó)能安全[2015]36號(hào)國(guó)家能源局關(guān)于印發(fā)電力監(jiān)控系統(tǒng)安全防護(hù)總體方案及安全防護(hù)方案和評(píng)估規(guī)范的通知RG5.71,2010，Cyber