DB32T 2765-2015 工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范

省地DB32江蘇省質(zhì)量技術(shù)監(jiān)督局發(fā)布 2 2 2 2 2 3 3 4 5 6 7 7 7 7 7 A.1監(jiān)督檢查表 本規(guī)范起草人：黃申、吳蘭、張騰標(biāo)、李國(guó)琴、程愷、王坤、趙川工業(yè)控制系統(tǒng)廣泛應(yīng)用于工業(yè)生產(chǎn)、電力設(shè)施、水利油氣、交通運(yùn)輸和市政等領(lǐng)以控制生產(chǎn)設(shè)備的運(yùn)行。隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，特別是我國(guó)信息化與工業(yè)化深度融合工作的不斷推進(jìn)，以及物聯(lián)網(wǎng)等新一代信息技術(shù)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來(lái)越多地采用通用協(xié)議、通用硬件和通用軟件，以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接，病毒、木馬等威脅正在向工業(yè)控制系統(tǒng)擴(kuò)散，工業(yè)控制系統(tǒng)信息安全問(wèn)題隨之日益突出，如何保障工業(yè)工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查是幫助各重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)運(yùn)營(yíng)、管和使用等部門充分認(rèn)識(shí)工業(yè)控制系統(tǒng)信息安全重要性和緊迫性的重要手段，是切實(shí)加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理保障工作的基礎(chǔ)和重要1工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范GB/T26333工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)DB32/T2289重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)信息安全保護(hù)基本要求控制等技術(shù)監(jiān)測(cè)和控制生產(chǎn)設(shè)備運(yùn)行的控制系統(tǒng)，包括監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器2SCADA監(jiān)控和數(shù)據(jù)采集（SupervisoryControlDCS分布式控制系統(tǒng)（DistributedControlSystPLC可編程邏輯控制器（ProgrammableLogicControlIT信息技術(shù)（InformationTechnoloSNMP簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SimpleNetworkManagemenVPN虛擬專用網(wǎng)（VirtualPrivateNetwork）工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查的目的通常包括以制系統(tǒng)信息安全管理的重要性和緊迫性，增強(qiáng)風(fēng)險(xiǎn)意識(shí)和責(zé)任——通過(guò)監(jiān)督檢查工作的實(shí)施，著力培養(yǎng)專業(yè)的工業(yè)控制系統(tǒng)安全隊(duì)伍和專業(yè)人才。各重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)主管單位依據(jù)工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范方落實(shí)安全整改和加固措施，切實(shí)加強(qiáng)和保障工業(yè)控制系統(tǒng)的信息安全管統(tǒng)信息安全管理基本措施落實(shí)情況，工業(yè)控制系統(tǒng)關(guān)鍵領(lǐng)域或關(guān)鍵點(diǎn)是否存在重大安全隱3監(jiān)督檢查方法是監(jiān)督檢查人員在工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作過(guò)程中以獲取檢查證據(jù)或檢查結(jié)果所使用的方法，主要包括人員訪談、人工查驗(yàn)和技術(shù)測(cè)試等方人員訪談是監(jiān)督檢查人員通過(guò)引導(dǎo)工業(yè)控制系統(tǒng)相關(guān)人員進(jìn)行有目的和有針對(duì)性的交作方法，對(duì)工業(yè)控制系統(tǒng)進(jìn)行掃描、測(cè)試以驗(yàn)證其安全狀況的督檢查工作進(jìn)行監(jiān)管，以確保整個(gè)監(jiān)督檢查工作監(jiān)督檢查的實(shí)施應(yīng)具有相應(yīng)的過(guò)程控制規(guī)程和質(zhì)量保證要求，確保過(guò)程可4前期準(zhǔn)備前期準(zhǔn)備現(xiàn)場(chǎng)檢查存在共性問(wèn)題的，監(jiān)對(duì)存在重大安全隱患的重點(diǎn)領(lǐng)域工業(yè)控制結(jié)束是安全整改報(bào)告編制否6.1.1確定目標(biāo)6.1.2確定范圍工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查范圍可以是組織全部的信息及與信息處理相關(guān)的6.1.3組建團(tuán)隊(duì)5責(zé)人參加的監(jiān)督檢查領(lǐng)導(dǎo)小組，或聘請(qǐng)相關(guān)觀察、了解并收集系統(tǒng)在物理、環(huán)境和操作等方面的相關(guān)據(jù)和方法，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。監(jiān)督檢查依據(jù)包括（但不僅督檢查實(shí)施小組開展后續(xù)的檢查工作。監(jiān)督檢查方案的內(nèi)容一般包括員在監(jiān)督檢查實(shí)施過(guò)程中的任務(wù)和責(zé)任，并就監(jiān)督檢查的相關(guān)內(nèi)容開展培訓(xùn)和保密6監(jiān)督檢查實(shí)施小組成員應(yīng)嚴(yán)格按照監(jiān)督檢查方案和實(shí)施計(jì)劃開展現(xiàn)場(chǎng)檢查工作。必要7——報(bào)告編制人；——報(bào)告審核人；——報(bào)告批準(zhǔn)人；——檢查實(shí)施機(jī)構(gòu)的公章。全整改工作，并及時(shí)向所在地信息化主管部門及行業(yè)主管部門報(bào)告整改步考慮是否引入新的安全問(wèn)題并進(jìn)行檢查和分析，督促其改進(jìn)和完善信息安全管理技術(shù)措安全整改后確認(rèn)被檢查方工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)在可控范圍內(nèi)的，結(jié)束監(jiān)8安全管理崗位，各個(gè)信息安全管理崗位的職g）應(yīng)詢問(wèn)和檢查信息安全管理部門和信息安全管理人員及負(fù)責(zé)人是否具有執(zhí)行日常a）應(yīng)建立包括人員錄用流程、標(biāo)準(zhǔn)、要求、方式和保密b）應(yīng)建立包括人員離崗剩余信息保護(hù)、資產(chǎn)歸還、保密承諾等在否及時(shí)取回各種身份證件、鑰匙等物件，以及機(jī)構(gòu)提供的軟硬件設(shè)備9含安全知識(shí)、安全技能等；查看考核記錄日期與考核周期是否方式）、進(jìn)入時(shí)間、離開時(shí)間、訪問(wèn)區(qū)域、訪問(wèn)及操作內(nèi)容、陪同程度、資產(chǎn)編號(hào)、采購(gòu)日期、型號(hào)版本等方面應(yīng)急支撐隊(duì)伍、應(yīng)急資源保障、事后總結(jié)教a）應(yīng)訪談業(yè)務(wù)主管或系統(tǒng)負(fù)責(zé)人，詢問(wèn)是否制定工業(yè)控制系統(tǒng)信息安全事件應(yīng)急預(yù)c）應(yīng)訪談業(yè)務(wù)主管或系統(tǒng)負(fù)責(zé)人，詢問(wèn)是否對(duì)工業(yè)控制系統(tǒng)的關(guān)鍵設(shè)備保有備機(jī)備e）應(yīng)檢查是否具有應(yīng)急預(yù)案培訓(xùn)記錄、應(yīng)c）工業(yè)控制系統(tǒng)與公共網(wǎng)絡(luò)、辦公網(wǎng)絡(luò)之a(chǎn)）應(yīng)檢查工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D，查驗(yàn)是否與網(wǎng)絡(luò)拓?fù)涞膶?shí)際部署情況一做過(guò)哪些安全測(cè)評(píng)，測(cè)評(píng)周期為多長(zhǎng)，是否完成安全整a）應(yīng)建立工業(yè)控制系統(tǒng)移動(dòng)存儲(chǔ)介質(zhì)管理制度，對(duì)可接入移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行登記管移動(dòng)存儲(chǔ)介質(zhì)無(wú)法在工業(yè)控制系統(tǒng)中直接插拔或讀d）應(yīng)查驗(yàn)未登記移動(dòng)存儲(chǔ)介質(zhì)是否在工業(yè)控制系統(tǒng)中無(wú)法直接插拔f）應(yīng)登錄工業(yè)控制系統(tǒng)的主要設(shè)備，查驗(yàn)是否已設(shè)置禁止移動(dòng)存儲(chǔ)介質(zhì)自動(dòng)播放策略；查閱病毒木馬查殺記錄等文檔，抽查部分a）工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D應(yīng)與實(shí)際情況一致；工業(yè)控制系統(tǒng)中不存在遠(yuǎn)程通c）遠(yuǎn)程通信應(yīng)采取一定的安全防護(hù)措施（如認(rèn)證、VPN、冗余線路、數(shù)據(jù)加密等涉及重要敏感數(shù)據(jù)的工業(yè)控制系統(tǒng)，其遠(yuǎn)程通信應(yīng)具有足夠安全的防護(hù)措理、安全可控；涉及遠(yuǎn)程通信的主管方、運(yùn)維方分別包括哪些，是工業(yè)控制系統(tǒng)，對(duì)其遠(yuǎn)程通信安全防護(hù)措施進(jìn)行驗(yàn)證控性，安全措施有哪些，必要時(shí)對(duì)措施有效性進(jìn)行b）應(yīng)對(duì)工業(yè)控制系統(tǒng)服務(wù)器、關(guān)鍵PLC控制器、交換機(jī)、路由器、防火墻等關(guān)鍵資產(chǎn)a）應(yīng)合理設(shè)置工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應(yīng)用程序等關(guān)鍵資產(chǎn)的a）應(yīng)訪談系統(tǒng)管理員，詢問(wèn)工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應(yīng)用程序b）應(yīng)訪談系統(tǒng)管理員，詢問(wèn)如何配置角色/用戶權(quán)限，管理員、操作員的權(quán)責(zé)分配情a）工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應(yīng)用程序等帳號(hào)、協(xié)議鑒別等口令應(yīng)至少由8位數(shù)字、大小寫字母、特殊字符組成，并定期更換。嚴(yán)禁弱口a）應(yīng)訪談系統(tǒng)管理員、業(yè)務(wù)操作員，詢問(wèn)是否對(duì)工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器組成和長(zhǎng)度具有相應(yīng)的要求或規(guī)定，是否有禁止使用弱口令、默觀察操作員站等重要辦公場(chǎng)地，檢查是否存在張貼系統(tǒng)口令字條等安全責(zé)任與義務(wù)，是否具有工業(yè)控制系統(tǒng)信息安全保在線服務(wù)的，應(yīng)具備強(qiáng)認(rèn)證、強(qiáng)加密等工作方式（如動(dòng)態(tài)口令、VPN、數(shù)據(jù)加密等），確保工業(yè)控制系統(tǒng)使用單位對(duì)遠(yuǎn)程在線服務(wù)行為的自主安c)應(yīng)訪談系統(tǒng)管理員、信息安全員，詢問(wèn)是否具有升級(jí)/變更管理規(guī)范等文檔，并查機(jī)、防火墻等網(wǎng)絡(luò)與安全設(shè)備設(shè)置安全基線（統(tǒng)一安全），重要敏感程度應(yīng)進(jìn)行識(shí)別和分類管理,如何進(jìn)行識(shí)別和分類管理；是否存在b）應(yīng)查閱其相關(guān)管理制度等文檔，查驗(yàn)采取的管理措施及其實(shí)施情況。份數(shù)據(jù)并確保備份數(shù)據(jù)的可用性，備份過(guò)程中應(yīng)采取加密、訪問(wèn)限制等安全保護(hù)措施，安全保護(hù)措施有哪些，如何滿足數(shù)據(jù)b）應(yīng)查驗(yàn)和評(píng)估以上安全措施的有效性；檢查備份可用性的測(cè)試記錄。與審計(jì)的內(nèi)容包括哪些，是否定期進(jìn)行審計(jì)a）工業(yè)控制系統(tǒng)應(yīng)至少配有兩路供電，提供可靠的工業(yè)控制系統(tǒng)環(huán)境電力b）應(yīng)在工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備供電線路中串接不間），），c）應(yīng)檢查機(jī)房，查看工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備供電線路中的不間斷電源（UPS）設(shè)備是否正常運(yùn)行，查看不間斷電源（UPS）設(shè)備說(shuō)明，確認(rèn)其續(xù)航時(shí)a）應(yīng)在車間、機(jī)房等關(guān)鍵區(qū)域采用防靜電地板，關(guān)鍵設(shè)備、機(jī)柜安是否部署交流接地措施，或安裝電源防雷保安器和信號(hào)傳輸線b）車間、機(jī)房等關(guān)鍵區(qū)域的空氣含塵濃度，靜態(tài)條件下每升空氣中大于或等于0.5μm機(jī)：10~35℃;關(guān)機(jī)：10~40℃),相對(duì)濕度是否控制在40%~70%之間；f）應(yīng)檢查特殊環(huán)境下的車間、機(jī)房等關(guān)鍵區(qū)域是否采取有害氣體監(jiān)a）關(guān)鍵區(qū)域應(yīng)部署水敏感監(jiān)測(cè)儀監(jiān)測(cè)環(huán)境滲水情況，對(duì)水情進(jìn)行監(jiān)測(cè)預(yù)警b）應(yīng)查閱機(jī)房設(shè)計(jì)方案等文檔，并檢查關(guān)鍵區(qū)域的水敏感監(jiān)測(cè)儀是否正常運(yùn)行；對(duì)火情進(jìn)行監(jiān)測(cè)預(yù)警和控制，是否指定人員對(duì)其進(jìn)行定期檢查和a）工業(yè)控制系統(tǒng)通信線纜與供電線纜應(yīng)分離鋪設(shè)，避免強(qiáng)弱電之間的電磁b）應(yīng)對(duì)關(guān)鍵設(shè)備、磁介質(zhì)實(shí)施電磁屏蔽等措施，防止電磁泄漏和受到電磁攻擊。車間、野外等場(chǎng)所的關(guān)鍵設(shè)備的安全，具體包括d）應(yīng)檢查部署在機(jī)房、車間等場(chǎng)所的關(guān)鍵設(shè)備的存放和保管位置，A.1監(jiān)督檢查表1應(yīng)設(shè)立工業(yè)控制系統(tǒng)信息安全管理工作的職能部門，設(shè)置信息安全管理崗位，配備相應(yīng)的安全管理人員，并指定安全管理負(fù)責(zé)人，明確部門、崗位和2應(yīng)建立包括人員錄用流程、標(biāo)準(zhǔn)、要求、方式和保應(yīng)建立包括人員離崗剩余信息保護(hù)、資產(chǎn)歸還、保應(yīng)建立包括人員考核指標(biāo)、考核方式、考核對(duì)象、應(yīng)建立包括人員培訓(xùn)計(jì)劃、培訓(xùn)周期、培訓(xùn)對(duì)象、應(yīng)指定專職信息安全員，建立信息安全員的培訓(xùn)與應(yīng)建立包括外部人員訪問(wèn)條件、訪問(wèn)范圍、訪問(wèn)控3應(yīng)建立包括工業(yè)控制系統(tǒng)軟硬件、文檔、資料、工具等在內(nèi)的資產(chǎn)安全管理規(guī)定和資產(chǎn)清單，資產(chǎn)清單中應(yīng)包括資產(chǎn)責(zé)任部門、保管人員、所處位置、應(yīng)明確工業(yè)控制系統(tǒng)資產(chǎn)管理的責(zé)任部門，指定專人負(fù)責(zé)工業(yè)控制系統(tǒng)資產(chǎn)管理，詳實(shí)記錄資產(chǎn)管理4應(yīng)制定工業(yè)控制系統(tǒng)信息安全事件應(yīng)急預(yù)案，明確應(yīng)急組織領(lǐng)導(dǎo)、應(yīng)急處置流程、應(yīng)急支撐隊(duì)伍、應(yīng)應(yīng)進(jìn)行應(yīng)急預(yù)案培訓(xùn)，定期開展應(yīng)急演練，對(duì)應(yīng)急5與應(yīng)詳細(xì)登記工業(yè)控制系統(tǒng)與公共網(wǎng)絡(luò)a、辦公網(wǎng)絡(luò)b之制系統(tǒng)網(wǎng)絡(luò)邊界隔離設(shè)備的安全控制策略應(yīng)符合實(shí)工業(yè)控制系統(tǒng)與電子信息系統(tǒng)之間應(yīng)不存在無(wú)必要電子信息系統(tǒng)應(yīng)由明確的工業(yè)控制系統(tǒng)安全管理部電子信息系統(tǒng)與工業(yè)控制系統(tǒng)之間應(yīng)有嚴(yán)格的互相6工業(yè)控制系統(tǒng)的主要設(shè)備應(yīng)設(shè)置禁止移動(dòng)存儲(chǔ)介質(zhì)78管理工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D應(yīng)與實(shí)際情況一致；工業(yè)控制系統(tǒng)中不存在遠(yuǎn)程通信，或所有遠(yuǎn)程通信遠(yuǎn)程通信中網(wǎng)絡(luò)架設(shè)、運(yùn)維使用模式科學(xué)合理、安全可控；涉及遠(yuǎn)程通信的主管方、運(yùn)維方安全、可靠），9管理工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D應(yīng)與實(shí)際情況一致；工業(yè)控制系統(tǒng)不存在無(wú)線組網(wǎng)，或所有無(wú)線組網(wǎng)具有必要性；涉及重要敏感數(shù)據(jù)信息或帶有關(guān)鍵控制必要的無(wú)線組網(wǎng)應(yīng)采取一定的安全防護(hù)措施（如認(rèn)證、準(zhǔn)入、數(shù)據(jù)加密等）確?？煽匦?，并定期檢查與應(yīng)建立配置管理規(guī)范，對(duì)關(guān)鍵設(shè)備的配置變更進(jìn)行日志記錄，定期對(duì)關(guān)鍵設(shè)備配置信息進(jìn)行核查和審計(jì)路由器、防火墻等關(guān)鍵資產(chǎn)的運(yùn)行、啟動(dòng)文件和程序文件等進(jìn)行定期備份，在發(fā)生配置變更時(shí)及時(shí)進(jìn)應(yīng)合理設(shè)置工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器口令小寫字母、特殊字符組成，并定期更換。嚴(yán)禁弱口禁止多人共享同一口令、公開張貼系統(tǒng)口令字條等應(yīng)關(guān)閉工業(yè)控制系統(tǒng)主要設(shè)備的無(wú)關(guān)端口、服務(wù)、應(yīng)禁止在主要設(shè)備上安裝即時(shí)通訊、視頻播放、游與集成商所承擔(dān)的信息安全責(zé)任與義務(wù)，具有工業(yè)控一般情況下應(yīng)禁止工業(yè)控制系統(tǒng)的遠(yuǎn)程在線服務(wù)；工業(yè)控制系統(tǒng)在特殊情況下需要遠(yuǎn)程在線服務(wù)的，應(yīng)具備強(qiáng)認(rèn)證、強(qiáng)加密等工作方式（如動(dòng)態(tài)口令、VPN、數(shù)據(jù)加密等確保工業(yè)控制系統(tǒng)使用單位對(duì)應(yīng)主動(dòng)跟蹤工業(yè)控制系統(tǒng)主要軟硬件設(shè)備的安全漏對(duì)工業(yè)控制系統(tǒng)關(guān)鍵軟硬件設(shè)備進(jìn)行升級(jí)、變更、補(bǔ)丁安裝時(shí)，應(yīng)事先進(jìn)行安全評(píng)估與驗(yàn)證，分析安應(yīng)對(duì)工業(yè)控制系統(tǒng)涉及的筆記本、臺(tái)式電腦、打印機(jī)等終端設(shè)備以及服務(wù)器、交換機(jī)、防火墻等網(wǎng)絡(luò)應(yīng)根據(jù)安全基線，定期檢查終端設(shè)備、服務(wù)器、網(wǎng)絡(luò)與安全設(shè)備是否滿足安全基線要求，包括終端計(jì)對(duì)工業(yè)控制系統(tǒng)采集、傳輸、處理數(shù)據(jù)的重要敏感程度應(yīng)進(jìn)行識(shí)別和分類管理；對(duì)涉及地理、礦產(chǎn)、原材料等國(guó)家基礎(chǔ)數(shù)據(jù)以及其他重要敏感數(shù)據(jù)的工業(yè)控制系統(tǒng)，應(yīng)建立專門制度確保其數(shù)據(jù)安全，并涉及采集重要數(shù)據(jù)的工業(yè)控制系統(tǒng)，其采集方式應(yīng)符合安全、保密、可控等要求，具有相應(yīng)的安全防護(hù)技術(shù)（如數(shù)據(jù)單向采集、加密、身份鑒別等）和與涉及存儲(chǔ)和備份重要數(shù)據(jù)的工業(yè)控制系統(tǒng)，應(yīng)滿足數(shù)據(jù)的保密性、可用性要求。定期備份數(shù)據(jù)并確保備份數(shù)據(jù)的可用性，備份過(guò)程中應(yīng)采取加密、訪問(wèn)應(yīng)對(duì)重要數(shù)據(jù)進(jìn)行審計(jì)，對(duì)數(shù)據(jù)庫(kù)、數(shù)據(jù)文檔的修工業(yè)控制系統(tǒng)應(yīng)至少配有兩路市電供電，提供可靠環(huán)境應(yīng)在工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備供電線路中串接不間斷求應(yīng)在供電線路中部署穩(wěn)壓器與過(guò)電壓防護(hù)設(shè)備，以應(yīng)在車間、機(jī)房等關(guān)鍵區(qū)域采用防靜電地板，關(guān)鍵在車間、機(jī)房等關(guān)鍵區(qū)域?qū)嵤┻\(yùn)維操作時(shí)應(yīng)使用防與應(yīng)對(duì)關(guān)鍵區(qū)域采取接地與防雷措施，采取交流接地措施,或安裝電源防雷保安器和信號(hào)傳輸線防雷保與車間、機(jī)房等關(guān)鍵區(qū)域應(yīng)至少滿足計(jì)算機(jī)工作環(huán)境車間、機(jī)房等關(guān)鍵區(qū)域的空氣含塵濃度，靜態(tài)條件下每升空氣中大于或等于0.5μm的塵粒數(shù)，應(yīng)小于