1 范圍

      本文件規(guī)定了工業(yè)控制系統(tǒng)安全防護技術(shù)要求、保障要求和測試評價方法。

      本文件適用于工業(yè)控制系統(tǒng)建設、運營、維護等。

2 規(guī)范性引用文件

      下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 7353-1999 工業(yè)自動化儀表盤、柜、臺、箱

      GB/T 22239-2019 信息安全技術(shù) 網(wǎng)絡安全等級保護基本要求

      GB/T 25069-2010 信息安全技術(shù) 術(shù)語

      GB/T 36324-2018 信息安全技術(shù) 工業(yè)控制系統(tǒng)信息安全分級規(guī)范

      GB/T 37933-2019 信息安全技術(shù) 工業(yè)控制系統(tǒng)專用防火墻技術(shù)要求

3 術(shù)語和定義

      GB/T 22239-2019、GB/T 25069-2010、GB/T 36324-2018和GB/T 37933-2019界定的以及下列術(shù)語和定義適用于本文件。

3.1

      工業(yè)控制資產(chǎn) industrial control asset

      工業(yè)生產(chǎn)控制過程中具有價值的軟硬件資源和數(shù)據(jù)。

      注：包括控制設備、工業(yè)主機、網(wǎng)絡設備、應用程序、工業(yè)數(shù)據(jù)等。

3.2

      中心控制室 central control room

      位于組織內(nèi)，具有生產(chǎn)操作、過程控制、安全保護、儀器儀表維護和生產(chǎn)管理等功能的綜合性場所。

3.3

      現(xiàn)場控制室 field control room

      位于組織內(nèi)生產(chǎn)現(xiàn)場，具有生產(chǎn)操作、過程控制和安全保護等功能的場所。

3.4

      現(xiàn)場機柜室 field auxiliary room

      位于組織內(nèi)生產(chǎn)現(xiàn)場，用于安裝工業(yè)控制系統(tǒng)機柜及其他設備的場所。

3.5

      控制設備 control equipment

      工業(yè)生產(chǎn)過程中用于控制執(zhí)行器以及采集傳感器數(shù)據(jù)的裝置。

      注：包括DCS現(xiàn)場控制單元、PLC以及RTU等進行生產(chǎn)過程控制的單元設備。

3.6

      工業(yè)主機 industrial host

      工業(yè)生產(chǎn)控制各業(yè)務環(huán)節(jié)涉及組態(tài)、工作流程和工藝管理、狀態(tài)監(jiān)控、運行數(shù)據(jù)采集以及重要信息存儲等工作的設備。

      注：包括工程師站、操作員站、服務器等。

3.7

      雙機熱備 dual-machine hot standby

      通過網(wǎng)絡連接主機和從機，正常情況下主機處于工作狀態(tài)，從機處于監(jiān)視狀態(tài)，一旦主機異常，從機自動代替主機。

4 縮略語

      下列縮略語適用于本文件。

      APT：高級持續(xù)性威脅（Advanced Persistent Threat）

      CPE：客戶前置設備（Customer Premise Equipment）

      DCS：分布式控制系統(tǒng)（Distributed Control System）

      DNP：分布式網(wǎng)絡協(xié)議（Distributed Network Protocol）

      FTP：文本傳輸協(xié)議（File Transfer Protocol）

      HMI：人機界面（Human Machine Interface）

      HTTPS：以安全為目標的超文本傳輸協(xié)議通道（Hyper Text Transfer Protocol over Secure Socket Layer)

      ICS：工業(yè)控制系統(tǒng)（Industrial Control System）

      IEC：國際電工委員會（International Electrotechnical Commission）

      IP：互聯(lián)網(wǎng)協(xié)議（Internet Protocol）

      IPSec：互聯(lián)網(wǎng)安全協(xié)議（Internet Protocol Security）

      MAC：媒體存取控制（Media Access Control）

      OLE：對象連接與嵌入（Object Linking and Embedding）

      OPC：用于過程控制的 OLE（OLE for Process Control）

      PLC：可編程邏輯控制器（Programmable Logic Controller）

      RPO：恢復點目標（Recovery Point Objective）

      RTO：恢復時間目標（Recovery Time Objective）

      RTU：遠程終端單元（Remote Terminal Unit）

      SCADA：監(jiān)視控制與數(shù)據(jù)采集（Supervisory Control and Data Acquisition）

      SNMP：簡單網(wǎng)絡管理協(xié)議（Simple Network Management Protocol）

      SSH：安全外殼（Secure Shell）

      SSL：安全套接層（Secure Socket Layer）

      TCP：傳輸控制協(xié)議（Transmission Control Protocol）

      VPN：虛擬專用網(wǎng)絡（Virtual Private Network）

      WAF：網(wǎng)絡應用防火墻（Web Application Firewall）

5 概述

5.1 ICS基本構(gòu)成

      按GB/T 36324-2018中4.1，ICS包括但不限于以下部分。

      a）核心組件：包括SCADA、DCS、PLC等控制系統(tǒng)和控制設備，以及各組件通信的接口單元。

      b）控制過程：由控制回路、工業(yè)主機、遠程診斷與維護工具三部分完成，控制回路用以控制邏輯運算，工業(yè)主機執(zhí)行信息交換，遠程診斷與維護工具用于出現(xiàn)異常操作時進行診斷和恢復。

      c) 結(jié)構(gòu)層次：參考GB/T22239-2019中附錄G，ICS及相關(guān)聯(lián)系統(tǒng)從上到下共分為企業(yè)資源層、生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設備層等五層。在實際工業(yè)生產(chǎn)環(huán)境中，可出現(xiàn)相鄰兩層的功能由一個系統(tǒng)、設備來實現(xiàn)，即在物理上并未分開。

5.2 安全防護對象和目的

      本文件中ICS安全防護對象包括：現(xiàn)場設備層、現(xiàn)場控制層和過程監(jiān)控層工業(yè)控制資產(chǎn)。

      本文件給出了物理環(huán)境安全防護等八項技術(shù)要求指標和軟件開發(fā)安全防護等兩項保障要求指標，安全防護目的包括如下內(nèi)容。

      a） 安全防護技術(shù)要求：

      1) 物理環(huán)境安全防護的目的是防止人員未經(jīng)授權(quán)訪問、損壞和干擾ICS資產(chǎn)，避免受到外部物理環(huán)境因素影響，保護ICS的外部運行環(huán)境；

      2) 網(wǎng)絡通信安全防護的目的是保護ICS中傳輸?shù)臄?shù)據(jù)的完整性和保密性，維護ICS內(nèi)部以及與外部網(wǎng)絡之間信息的安全傳輸；

      3) 網(wǎng)絡邊界安全防護的目的是安全訪問ICS，避免非授權(quán)訪問，及時發(fā)現(xiàn)并有效保護ICS免受惡意入侵和攻擊，部分行業(yè)的應用場景見附錄A；

      4) 工業(yè)主機安全防護的目的是有效控制工業(yè)主機訪問行為，避免非授權(quán)訪問，防止工業(yè)主機受到非法入侵或造成工業(yè)數(shù)據(jù)泄漏；

      5) 控制設備安全防護的目的是安全訪問控制設備，阻止非授權(quán)訪問，避免控制設備受到惡意入侵、攻擊或非法控制；

      6) 數(shù)據(jù)安全防護的目的是保護數(shù)據(jù)全生存周期的完整性和保密性，防止未經(jīng)授權(quán)使用和處理數(shù)據(jù)、惡意篡改和竊取數(shù)據(jù)等現(xiàn)象發(fā)生，數(shù)據(jù)安全防護對象見附錄B；

      7) 防護產(chǎn)品安全的目的是產(chǎn)品功能安全可靠、管控策略有效，避免因產(chǎn)品自身功能缺陷給ICS的正常運行帶來安全隱患；

      8) 系統(tǒng)集中管控的目的是集中維護和管控ICS，統(tǒng)一制定與部署安全策略，集中響應安全事件，典型部署方式見附錄C。

      b) 安全防護保障要求：

      1）軟件開發(fā)安全防護的目的是控制ICS軟件的安全開發(fā)，避免軟件自身存在安全隱患；

      2) 系統(tǒng)維護安全防護的目的是有效控制系統(tǒng)維護過程，避免系統(tǒng)在維護過程中受到干擾、惡意入侵，或發(fā)生數(shù)據(jù)泄露、被破壞或篡改等現(xiàn)象。

      本文件提出的安全防護技術(shù)要求和保障要求分為四個等級，與GB/T 22239-2019、GB/T 36324-2018提出的相應安全保護等級要求保持一致，并按梯次推進的方式給出了不同安全保護等級ICS所對應的技術(shù)要求和保障要求。

      測試評價方法是針對ICS運營單位執(zhí)行本文件安全防護技術(shù)要求和保障要求的情況進行測試評價的一般方法，也可根據(jù)自身關(guān)注點自行調(diào)整測試評價指標。測試評價流程見附錄D。

以上為標準部分內(nèi)容，如需看標準全文，請到相關(guān)授權(quán)網(wǎng)站購買標準正版。