(高清版)GB∕T 37980-2019 信息安全技術(shù) 工業(yè)控制系統(tǒng)安全檢查指南

ICS35.040GB/T37980—2019信息安全技術(shù)工業(yè)控制系統(tǒng)安全檢查指南國家市場監(jiān)督管理總局中國國家標(biāo)準(zhǔn)化管理委員會(huì)GB/T37980—2019 V 1 1 1 2 2 3 5 5附錄A(資料性附錄)風(fēng)險(xiǎn)分析方法 附錄B(資料性附錄)檢查內(nèi)容分類表 IⅢGB/T37980—2019本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC260)提出并歸口。股份有限公司。GB/T37980—2019監(jiān)控與數(shù)據(jù)采集系統(tǒng)(SCADA)、分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)系統(tǒng)等。近年來針對工業(yè)控制系統(tǒng)的攻擊事件導(dǎo)出不窮，工業(yè)控制系統(tǒng)的安全性將直接關(guān)系到國家重要基礎(chǔ)工業(yè)設(shè)施生產(chǎn)的正常運(yùn)行和廣大公眾的利益。本標(biāo)準(zhǔn)制定的目的是為了指導(dǎo)我國國家關(guān)鍵基礎(chǔ)設(shè)施中相關(guān)工業(yè)控制系統(tǒng)行業(yè)用戶開展工業(yè)控制現(xiàn)更安全的工業(yè)控制系統(tǒng)并在其內(nèi)部進(jìn)行有效的風(fēng)險(xiǎn)管理提供幫助。1GB/T37980—2019信息安全技術(shù)工業(yè)控制系統(tǒng)安全檢查指南團(tuán)(系統(tǒng))范圍內(nèi)開展相關(guān)系統(tǒng)的信息安全自檢查。2規(guī)范性引用文件下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文GB/T25069—2010信息安全技術(shù)術(shù)語GB/T32919—2016信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南GB/T25069—2010和GB/T32919—2016界定的以及下列術(shù)語和定義適用于本文件。3.1由各種自動(dòng)化控制組件以及對實(shí)時(shí)數(shù)據(jù)進(jìn)行采集、監(jiān)測的過程控制組件共同構(gòu)成的確保工業(yè)基礎(chǔ)3.2在工業(yè)生產(chǎn)控制過程中，對大規(guī)模遠(yuǎn)距離地理分布的資產(chǎn)和設(shè)備在廣域網(wǎng)環(huán)境下進(jìn)行集中式數(shù)據(jù)采集與監(jiān)控管理的控制系統(tǒng)。節(jié)、信息報(bào)警等。SCADA系統(tǒng)一般由設(shè)在控制中心的主終端單元(MTU)、通信線路和設(shè)備、遠(yuǎn)程終端單元3.33.4對工業(yè)生產(chǎn)過程及裝置進(jìn)行檢測與控制的設(shè)備。2GB/T37980—20193.53.63.7遠(yuǎn)程終端單元remoteterminalunit3.8直接發(fā)出操控命令的計(jì)算機(jī)。3.93.10下列縮略語適用于本文件。ICS工業(yè)控制系統(tǒng)(IndustrialControlSystem)SCADA監(jiān)控和數(shù)據(jù)采集(SupervisoryControlAndDataAcquisition)DCS分布式控制系統(tǒng)(DistributedControlSystem)PLC可編程邏輯控制器(ProgrammableLogicController)MTU主終端控制單元(MasterTerminalUnit)RTU遠(yuǎn)程終端單元(RemoteTerminalUnit)5檢查方式監(jiān)督檢查是指上級管理部門組織的或國家有關(guān)職能部門依法開展的檢查。3GB/T37980—20196檢查工作流程檢查準(zhǔn)備是開展檢查工作的前提和基礎(chǔ)，是整個(gè)檢查過程有效性的保證。檢查準(zhǔn)備工作是否充分研被檢查單位和被檢查系統(tǒng)的情況，確定被檢查單位的聯(lián)系人和聯(lián)絡(luò)方式，確定檢查組成員和檢查工明確安全檢查工作的依據(jù)，包括國家信息安全規(guī)范性文件及標(biāo)準(zhǔn)、行業(yè)信息安全規(guī)范性文件及標(biāo)明確安全檢查工作的內(nèi)容。由兩部分內(nèi)容組成，一部分為基和企業(yè)的信息安全管理工作開展情況進(jìn)行擬定。b)了解被檢查單位的工業(yè)控制系統(tǒng)建設(shè)狀況；c)指出被檢查單位需提供的基本資料；d)向被檢查單位說明檢查工作自身的風(fēng)險(xiǎn)和規(guī)避方法；e)準(zhǔn)備被檢查系統(tǒng)基本情況調(diào)查表單；g)初步分析系統(tǒng)的安全情況；h)準(zhǔn)備檢查工具和文檔。被檢查單位職責(zé)：a)向檢查機(jī)構(gòu)介紹本單位的工業(yè)控制系統(tǒng)建設(shè)狀況與發(fā)展情況；b)準(zhǔn)備檢查機(jī)構(gòu)需要的資料；c)為檢查人員的信息收集提供支持和協(xié)調(diào)；4GB/T37980—2019檢查實(shí)施是檢查工作的核心，主要依據(jù)檢查方案的總體要求將本檢查規(guī)范的要求落實(shí)到實(shí)際檢查(如果有),對被檢查單位工業(yè)控制系統(tǒng)的安全保護(hù)現(xiàn)狀進(jìn)行取證，取得分析與總結(jié)活動(dòng)所需的、足夠的現(xiàn)場檢查采用的方法和可能的風(fēng)險(xiǎn)如下：a)現(xiàn)場檢查采用的方法主要包括：1)人員訪談檢查人員通過與工業(yè)控制系統(tǒng)有關(guān)人員(個(gè)人/群體)進(jìn)行交流、討論等活動(dòng)，獲取證據(jù)以證明信息系統(tǒng)安全保護(hù)措施是否有效的一種方法。2)文檔審查檢查人員通過對被檢查單位支撐工業(yè)控制系統(tǒng)安全建設(shè)與運(yùn)維的安全管理制度、記錄等文檔的核查，獲取證據(jù)以證明工業(yè)控制系統(tǒng)的安全保護(hù)要求是否全面，安全保護(hù)規(guī)定是否得到3)配置核查護(hù)措施是否有效的一種方法。4)安全測試檢查人員使用預(yù)定的方法/工具使被檢查系統(tǒng)產(chǎn)生特定的行為，通過查看、分析這些行為的結(jié)果，獲取證據(jù)以證明工業(yè)控制系統(tǒng)安全保護(hù)措施是否有效的一種方法。在檢查中也可不重新實(shí)施安全測試而利用已有的安全測試結(jié)果。b)該階段主要可能的風(fēng)險(xiǎn)包括：1)驗(yàn)證測試影響工業(yè)控制系統(tǒng)正常運(yùn)行。在現(xiàn)場檢查時(shí)，需要對設(shè)備和系統(tǒng)的安全策略配2)工具測試影響工業(yè)控制系統(tǒng)正常運(yùn)行。在現(xiàn)場檢查時(shí)，有時(shí)會(huì)使用一些技術(shù)測試工具進(jìn)行漏洞測試、性能測試甚至抗?jié)B透能力測試等。工具測試可能會(huì)對系統(tǒng)的負(fù)載造成一定和檢查項(xiàng)需求對被檢查系統(tǒng)進(jìn)行核查操作。被檢查單位職責(zé)：5GB/T37980—2019c)協(xié)助檢查人員實(shí)施工具測試并提供有效建議，降低安e)相關(guān)人員對檢查結(jié)果進(jìn)行確認(rèn)。檢查結(jié)果分析是總結(jié)被檢查系統(tǒng)整體安全保護(hù)能力的綜合評價(jià)活動(dòng)，根據(jù)現(xiàn)場檢查結(jié)果和本標(biāo)準(zhǔn)檢查機(jī)構(gòu)職責(zé)：7檢查內(nèi)容的選擇方法選取檢查內(nèi)容的所有檢查項(xiàng)。未包含的檢查項(xiàng)作為新增檢查項(xiàng)。采用重點(diǎn)項(xiàng)抽取法和增項(xiàng)檢查法確定檢查內(nèi)容。8檢查內(nèi)容參考GB/T22239—2008、GB/T20269—2006和GB/T20984—2007,結(jié)合工業(yè)控制系統(tǒng)特性，將6GB/T37980—2019物理環(huán)境安全防護(hù)、運(yùn)行安全管理和應(yīng)急管理。檢查內(nèi)容分類表參見附錄B。本檢查項(xiàng)包括：檢查企業(yè)主要負(fù)責(zé)人是否是信息安全第一責(zé)任人。信息安全第一責(zé)任人。本檢查項(xiàng)包括：a)檢查是否設(shè)立工業(yè)控制系統(tǒng)信息安全管理工作的職能部門，是否設(shè)立安全主管、系統(tǒng)管理員、檢查組織的信息安全管理部門及崗位設(shè)置是否符合以下要求：a)企業(yè)集團(tuán)公司總部設(shè)置工業(yè)控制系統(tǒng)信息安全專職管理機(jī)構(gòu)。b)企業(yè)集團(tuán)公司二級單位設(shè)置工業(yè)控制系統(tǒng)信息安全管理和技術(shù)崗位。c)工業(yè)控制系統(tǒng)基層單位設(shè)置信息安全崗位。本檢查項(xiàng)包括：檢查企業(yè)是否配備一定數(shù)量的專職信息安全工作人員，本檢查項(xiàng)包括：7GB/T37980—2019檢查企業(yè)是否制定符合國家及行業(yè)政策要求的工業(yè)控制系統(tǒng)信息安全工作整體策略和總體方本檢查項(xiàng)包括：檢查企業(yè)是否針對工業(yè)控制系統(tǒng)的信息安全工作制定基本安全管理制度，并以此為基礎(chǔ)形成本檢查項(xiàng)包括：檢查企業(yè)是否對信息安全運(yùn)行維護(hù)人員執(zhí)行的日常操作制定運(yùn)維流程和操作規(guī)程。本檢查項(xiàng)包括：制度發(fā)布方式。本檢查項(xiàng)包括：8GB/T37980—2019本檢查項(xiàng)包括：人員安全培訓(xùn)及考核。本檢查項(xiàng)包括：設(shè)備及系統(tǒng)的開發(fā)單位和供應(yīng)商簽署保密協(xié)議。保密協(xié)議簽訂。檢查企業(yè)是否在信息安全崗位人員及其他敏感崗位人員離崗時(shí)執(zhí)行權(quán)限回收和離崗承諾書本檢查項(xiàng)包括：檢查企業(yè)與合約方簽訂的外包服務(wù)協(xié)議中是否具有信息安全管控和保密條款。外包服務(wù)協(xié)議。9GB/T37980—2019檢查企業(yè)是否對外部人員訪問機(jī)房等受控區(qū)域采取書面審批、人員陪同、進(jìn)出記錄等管控措施。受控區(qū)域訪問控制措施和記錄。本檢查項(xiàng)包括：遠(yuǎn)程服務(wù)管控措施和記錄。本檢查項(xiàng)包括：檢查企業(yè)是否采取技術(shù)措施實(shí)現(xiàn)開發(fā)測試環(huán)境與實(shí)際生產(chǎn)運(yùn)行環(huán)境物理分離，并對開發(fā)人員的活動(dòng)范圍和行為實(shí)施管控?，F(xiàn)場開發(fā)的管控措施和記錄。a)人員訪談，詢問是否將開發(fā)測試環(huán)境與實(shí)際生產(chǎn)環(huán)境物理分離。本檢查項(xiàng)包括：檢查企業(yè)是否識別所有與工業(yè)控制系統(tǒng)相關(guān)的資產(chǎn)并編制了準(zhǔn)確的資產(chǎn)清單，是否對每項(xiàng)資產(chǎn)明確管理責(zé)任人及其職責(zé)。資產(chǎn)清單。理責(zé)任人及其職責(zé)。GB/T37980—2019本檢查項(xiàng)包括：有效保護(hù)措施。檢查方法：本檢查項(xiàng)包括：檢查企業(yè)工業(yè)控制系統(tǒng)在上線前是否通過信息安全測評。本檢查項(xiàng)包括：檢查企業(yè)安全產(chǎn)品和密碼產(chǎn)品的采購及使用是否符合國家有關(guān)規(guī)定。安全產(chǎn)品和密碼產(chǎn)品。c)配置核查，核查已被通報(bào)存在隱患的在線運(yùn)行的系統(tǒng)和設(shè)備是否已經(jīng)整改及相關(guān)運(yùn)行管理和安全防護(hù)措施。本檢查項(xiàng)包括：是否通過了安全性測試。安全性測試報(bào)告。備等的安全性測試報(bào)告。本檢查項(xiàng)包括：GB/T37980—2019檢查企業(yè)是否根據(jù)業(yè)務(wù)特點(diǎn)對網(wǎng)絡(luò)進(jìn)行了分區(qū)分域管控，并對不同域之間采取了邊界防護(hù)措施。本檢查項(xiàng)包括：檢查企業(yè)是否設(shè)置控制網(wǎng)邊界防護(hù)的技術(shù)措a)控制網(wǎng)邊界防護(hù)技術(shù)措施。b)網(wǎng)絡(luò)邊界連接情況。c)網(wǎng)絡(luò)邊界安全設(shè)備部署情況。是否能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行有效阻斷。本檢查項(xiàng)包括：a)檢查企業(yè)是否建立控制服務(wù)器等工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備安全配置和審計(jì)制度。b)檢查企業(yè)是否設(shè)置網(wǎng)絡(luò)安全審計(jì)的技術(shù)措施和審計(jì)記錄保護(hù)措施。a)網(wǎng)絡(luò)安全審計(jì)記錄。b)網(wǎng)絡(luò)安全審計(jì)記錄保護(hù)措施。進(jìn)行日志記錄。本檢查項(xiàng)包括：檢查企業(yè)是否設(shè)置網(wǎng)絡(luò)冗余和容差策略。網(wǎng)絡(luò)冗余和容差策略。GB/T37980—2019本檢查項(xiàng)包括：檢查企業(yè)是否按照遠(yuǎn)程訪問方式的使用限制和操作指南進(jìn)行遠(yuǎn)程訪問，是否設(shè)置遠(yuǎn)程訪問監(jiān)使用限制和操作指南。移動(dòng)終端安全管控措施和記錄。本檢查項(xiàng)包括：檢查企業(yè)是否按照補(bǔ)丁管理制度要求進(jìn)行可更新補(bǔ)丁的更新。c)安全測試，在確保應(yīng)用系統(tǒng)的安全前提下，通過漏洞掃描工具驗(yàn)證主機(jī)操作系統(tǒng)和網(wǎng)絡(luò)設(shè)備的補(bǔ)丁更新情況。本檢查項(xiàng)包括：檢查企業(yè)是否按照惡意代碼管理制度要求進(jìn)行惡意代碼檢測和可更新惡意代碼庫的更新。GB/T37980—2019本檢查項(xiàng)包括：題是否完成安全整改加固。本檢查項(xiàng)包括：檢查企業(yè)是否設(shè)置限制和管理移動(dòng)存儲(chǔ)介質(zhì)使用的管理和技術(shù)措施，是否對移動(dòng)存儲(chǔ)介質(zhì)的移動(dòng)存儲(chǔ)介質(zhì)管理措施。本檢查項(xiàng)包括：檢查生產(chǎn)控制網(wǎng)上位機(jī)終端是否實(shí)施了安全管控(安全管理、接入管理等)并統(tǒng)一安裝防病毒本檢查項(xiàng)包括：檢查上位機(jī)主機(jī)和設(shè)備中口令設(shè)置是否符合口令管理制度要求。符合口令管理制度要求的主機(jī)和設(shè)備。GB/T37980—2019本檢查項(xiàng)包括：檢查企業(yè)生產(chǎn)控制網(wǎng)機(jī)房是否按照等級保護(hù)要求落實(shí)物理安全防護(hù)。按照等級保護(hù)要求落實(shí)物理安全防護(hù)的機(jī)房清單。本檢查項(xiàng)包括：盡記錄。本檢查項(xiàng)包括：本檢查項(xiàng)包括：檢查企業(yè)是否按照補(bǔ)丁管理制度制定補(bǔ)丁升級策略，是否針對關(guān)鍵業(yè)務(wù)系統(tǒng)建立補(bǔ)丁升級測試環(huán)境或建立了獲取已測試補(bǔ)丁的有效渠道。b)配置核查，檢查是否對關(guān)鍵業(yè)務(wù)系統(tǒng)建立補(bǔ)丁升級測試環(huán)境或建立了獲取已測試補(bǔ)丁的有效GB/T37980—2019本檢查項(xiàng)包括：本檢查項(xiàng)包括：檢查企業(yè)是否建立網(wǎng)絡(luò)與信息安全信息通報(bào)機(jī)制，按要求向監(jiān)管機(jī)構(gòu)通報(bào)網(wǎng)絡(luò)和信息系統(tǒng)安全狀況。本檢查項(xiàng)包括：網(wǎng)絡(luò)與信息安全應(yīng)急預(yù)案。應(yīng)急演練制度和記錄。GB/T37980—2019本檢查項(xiàng)包括：GB/T37980—2019(資料性附錄)風(fēng)險(xiǎn)分析方法A.1定性分析判斷工業(yè)控制系統(tǒng)安全問題發(fā)生的可能性是工業(yè)控制系統(tǒng)定性分析方法的第一步，其取值范圍為表A.1工業(yè)控制系統(tǒng)安全問題發(fā)生的可能性取值表標(biāo)識定義高安全問題出現(xiàn)的頻率較高(大于或等于1次/月);或在大多數(shù)情況下很有可能會(huì)發(fā)生；或可以證實(shí)多次發(fā)生過；或其實(shí)現(xiàn)條件較容易被攻擊者獲得中安全問題出現(xiàn)的頻率中等(大于1次/半年);或在某種情況下可能會(huì)發(fā)生；或被證實(shí)曾經(jīng)發(fā)生過；或其實(shí)現(xiàn)條件難以被攻擊者獲得低安全問題出現(xiàn)的頻率較??；或一般不太可能發(fā)生；或沒有被證實(shí)發(fā)生過；或其實(shí)現(xiàn)條件很難被攻擊者獲得A.1.2判斷對工業(yè)控制系統(tǒng)造成的影響程度表A.2對工業(yè)控制系統(tǒng)安全造成的影響程度取值表標(biāo)識定義高如果安全問題出現(xiàn)，將對工業(yè)控制系統(tǒng)造成重大損害中如果安全問題出現(xiàn)，將對工業(yè)控制系統(tǒng)造成一般損害低如果安全問題出現(xiàn)，將對工業(yè)控制系統(tǒng)造成較小或輕微損害綜合A.1.1和A.1.2的結(jié)果，對工業(yè)控制系統(tǒng)表A.3工業(yè)控制系統(tǒng)面臨的安全風(fēng)險(xiǎn)取值表標(biāo)識描述高一旦發(fā)生將產(chǎn)生較為嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害中一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大低一旦發(fā)生造成的影響程度較低甚至幾乎不存在，一般僅限于組織內(nèi)部，通過較為簡單的手段很快能解決GB/T37980—2019A.2定量分析根據(jù)工業(yè)控制系統(tǒng)生產(chǎn)企業(yè)信息安全工作實(shí)際情況是否符合檢查項(xiàng)描述，為檢查項(xiàng)賦予權(quán)重值(V;;),根據(jù)檢查結(jié)果判定賦予量化判定值(P;),安全檢查結(jié)果量化由式(A.1)計(jì)算求得：式中：n——檢查項(xiàng)個(gè)數(shù)；…………m——第i檢查項(xiàng)中檢查條款的個(gè)數(shù)。工業(yè)控制系統(tǒng)安全各檢查項(xiàng)的權(quán)重值和量化判定值詳見表A.4。表A.4工業(yè)控制系統(tǒng)安全定量分析賦值表檢查類檢查項(xiàng)權(quán)重值V;量化判定值P;組織體系第一責(zé)任人確立1符合：P;=1部分符合：Pi;=0.5不符合：P;=0信息安全責(zé)任落實(shí)2符合：P;=1部分符合：P;;=0.5不符合：P;=0專職機(jī)構(gòu)及崗位設(shè)置2符合：P;;=1部分符合：P;=0.5不符合：P;=0安全人員配置2P,=比值的小數(shù)點(diǎn)后兩位規(guī)章制度整體策略及總體方案制定2符合：Pi;=1部分符合：P;=0.5不符合：P;=0制度制定及體系完整性2形成體系：0.5<P≤1制定基本制度：0<P;≤0.5無制度：P;=0操作規(guī)程制定2符合：P;=1部分符合：P;;=0.5不符合：P;=0制度發(fā)布1符合：P;=1部分符合：Pi;=0.5不符合：P;;=0資金保障經(jīng)費(fèi)預(yù)算1符合：P,=1部分符合：P;=0.5不符合：P;=0GB/T37980—2019檢查類檢查項(xiàng)權(quán)重值V;量化判定值P;人員安全管理安全培訓(xùn)與考核1P;=比值的小數(shù)點(diǎn)后兩位保密協(xié)議簽訂1P;=比值的小數(shù)點(diǎn)后兩位人員審查1符合：P;=1部分符合：P;,=0.5不符合：P,=0崗位調(diào)整管控1符合：P;=1部分符合：P;=0.5不符合：P,=0服務(wù)外包管控外包服務(wù)協(xié)議1符合：P;=1部分符合：Pi=0.5不符合：P;=0外部人員訪問管理1符合：P;=1部分符合：P;=0.5不符合：P;=0遠(yuǎn)程服務(wù)管控2符合：P,=1部分符合：P;;=0.5不符合：P;=0現(xiàn)場開發(fā)管控1符合：P;=1部分符合：P;=0.5不符合：P,=0關(guān)鍵信息資產(chǎn)管控資產(chǎn)管理1符合：P,=1部分符合：Pi=0.5不符合：P;=0資產(chǎn)維修報(bào)廢管理1符合：P;=1部分符合：P;=0.5不符合：P;=0工業(yè)控制系統(tǒng)建設(shè)安全管理上線安全測評1P;=比值的小數(shù)點(diǎn)后兩位產(chǎn)品采購和使用1符合：P;=1部分符合：P;=0.5不符合：P;;=0核心產(chǎn)品采購測試1符合：P,=1部分符合：P;=0.5不符合：P;=0GB/T37980—2019表A.4(續(xù))檢查類檢查項(xiàng)權(quán)重值V;量化判定值P;網(wǎng)絡(luò)安全防護(hù)網(wǎng)絡(luò)架構(gòu)安全2符合：P;=1部分符合：P;=0.5不符合：P;=0控制網(wǎng)邊界防護(hù)2符合：P=1部分符合：P;=0.5不符合：P;=0網(wǎng)絡(luò)安全審計(jì)1符合：P;=1部分符合：P;,=0.5不符合：P;=0網(wǎng)絡(luò)冗余和容差策略2符合：P;=1部分符合：P;=0.5不符合：P,=0遠(yuǎn)程訪問1符合：P;=1部分符合：Pi=0.5不符合：P;=0移動(dòng)終端安全接入1符合：P;=1部分符合：P;=0.5不符合：P;=0上位機(jī)主機(jī)和設(shè)備安全防護(hù)補(bǔ)丁更新1符合：P;=1部分符合：P;=0.5不符合：P;=0惡意代碼防護(hù)2符合：P;=1部分符合：P,=0.5不符合：P;=0系統(tǒng)安全整改加固2P;=比值的小數(shù)點(diǎn)后兩位移動(dòng)存儲(chǔ)介質(zhì)管理1符合：P;=1部分符合：P;=0.5不符合：P;=0上位機(jī)終端管控2P;=比值的小數(shù)點(diǎn)后兩位主機(jī)和設(shè)備賬號口令管理2P;=比值的小數(shù)點(diǎn)后兩位物理環(huán)境安全防護(hù)機(jī)房安全建設(shè)2P;=比值的小數(shù)點(diǎn)后兩位GB/T37980—2019檢查類檢查項(xiàng)權(quán)重值V;量化判定值P;運(yùn)行安全管理日常維護(hù)2符合：P;=1部分符合：P;=0.5不符合：P;=0安全審計(jì)1未開啟日志審計(jì)功能，P,=0僅開啟日志審計(jì)功能，P,=0.3開啟日志審計(jì)功能并定期分析，0.3<P≤0.7實(shí)施日志集中審計(jì)和分析預(yù)警，0.7<P;<1補(bǔ)丁管理2符合：P;=1部分符合：P;=0.5不符合：P;=0安全監(jiān)測2符合：P;=1部分符合：P;=0.5不符合：P=0應(yīng)急管理信息通報(bào)1符合：P;=1部分符合：P;;=0.5不符合：P;=0應(yīng)急預(yù)案制定1符合：P;=1部分符合：P;;=0.5不符合：P;=0應(yīng)急演練1符合：P;=1部分符合：P;=0.5不符合：P;=0應(yīng)急資源配備1符合：P;=1部分符合：P;=0.5不符合：P;=0事故調(diào)查1符合：P=1部分符合：P;=0.5不符合：P;;=0注：權(quán)重值及量化判定值是根據(jù)實(shí)際項(xiàng)目實(shí)施經(jīng)驗(yàn)總結(jié)進(jìn)行設(shè)置的，標(biāo)準(zhǔn)使用者可根據(jù)實(shí)際情況進(jìn)行調(diào)整和優(yōu)化。GB/T37980—2019(資料性附錄)檢查內(nèi)容分類表工業(yè)控制系統(tǒng)安全檢查內(nèi)容分類按表B.1。表B.1工業(yè)控制系統(tǒng)安全檢查內(nèi)容分類表序號檢查類檢查項(xiàng)1組織體系第一責(zé)任人確立信息安全責(zé)任落實(shí)專職機(jī)構(gòu)及崗位設(shè)置安全人員配置2規(guī)章制度整體策略及總體方案制定制度制定及體系完整性操作規(guī)程制定制度發(fā)布3資金保障經(jīng)費(fèi)預(yù)算4人員安全管理安全培訓(xùn)與考核保密協(xié)議簽訂人員審查崗位調(diào)整管控5服務(wù)外包管控