1　范圍

GB30976.1-2014規定了工業(yè)控制系統（SCADA、DCS、PLC、PCS等）信息安全評估的目標、評估的內容、實(shí)施過(guò)程等。適用于系統設計方、設備生產(chǎn)商、系統集成商、工程公司、用戶(hù)、資產(chǎn)所有人以及評估認證機構等對工業(yè)控制系統的信息安全進(jìn)行評估時(shí)使用。

2　工業(yè)控制系統信息安全概述

工業(yè)控制系統的信息安全特性取決于其設計、管理、健壯性和環(huán)境條件等各種因素。系統信息安全的評估應包括在系統生命周期內的設計開(kāi)發(fā)、安裝、運行維護、退出使用等各階段與系統相關(guān)的所有活動(dòng)。危險引入點(diǎn)是工業(yè)控制系統與非安全設備、系統和網(wǎng)絡(luò )的接入點(diǎn)。危險源可能來(lái)自于工業(yè)控制系統系統外部，也可能來(lái)自于工業(yè)控制系統系統內部。安全威脅通過(guò)危險引入點(diǎn)并利用傳播途徑可能對受體造成傷害。危險后果的受體是指受到破壞時(shí)所侵害的客體,包括人員、環(huán)境和資產(chǎn)。

評估分為管理評估和系統能力（技術(shù)）評估。管理評估分為三個(gè)級別，分別為管理等級（management level）的ML1，ML2，ML3，由低到高分別對應低級、中級和高級。具體的評估內容見(jiàn)GB30976.1-2014第5章，和附錄A.1。系統能力（技術(shù)）評估分為四個(gè)級別，由小到大分別對應系統能力等級（capability level）的CL1，CL2，CL3和CL4，具體的評估內容見(jiàn)GB30976.1-2014第6章，和附錄B.1。綜合管理評估和系統能力評估的結果，得到工業(yè)控制系統的評估結果，亦即信息安全等級（SL1，SL2，SL3，SL4），見(jiàn)表1。

表1 工業(yè)控制系統的評估結果

3　組織機構管理評估

3.1　安全方針

目標：依據業(yè)務(wù)要求和相關(guān)法律法規提供管理指導并支持信息安全。

（1）信息安全方針文件

信息安全方針文件應由管理者批準、發(fā)布并傳達給所有員工和外部相關(guān)方。

（2）信息安全方針的評審

應按計劃的時(shí)間間隔或當重大變化發(fā)生時(shí)進(jìn)行信息安全方針評審，以確保持續的適宜性、充分性和有效性。

3.2　信息安全組織機構

3.2.1　內部組織機構

目標：管理組織機構范圍內信息安全。

（1）信息安全的管理承諾

管理者應通過(guò)清晰的說(shuō)明、可證實(shí)的承諾、明確的信息安全職責分配及確認，來(lái)積極支持組織機構內的安全。

（2）信息安全協(xié)調

信息安全活動(dòng)應由來(lái)自組織機構不同部門(mén)并具備相關(guān)角色和工作職責的代表進(jìn)行協(xié)調。

（3）信息安全職責的分配

所有的信息安全職責應予以清晰定義。

（4）信息處理設施的授權過(guò)程

應為新的信息處理設施定義和實(shí)施一個(gè)管理授權過(guò)程。

（5）保密性協(xié)議

應識別并定期評審反映組織機構信息保護需要的保密性或不泄露協(xié)議的要求。

（6）與政府部門(mén)的聯(lián)系

應保持與政府相關(guān)部門(mén)的適當聯(lián)系。

（7）信息安全的獨立評審

組織機構管理信息安全的方法及其實(shí)施（例如信息安全的控制目標、控制措施、策略、過(guò)程和規程）應按計劃的時(shí)間間隔進(jìn)行獨立評審，當安全實(shí)施發(fā)生重大變化時(shí)，也要進(jìn)行獨立評審。

3.2.2　外部方

目標：保持組織機構被外部方訪(fǎng)問(wèn)、處理、管理或與外部進(jìn)行通信的信息和信息處理設施的安全。

（1）與外部方相關(guān)風(fēng)險的識別

應識別涉及外部方業(yè)務(wù)過(guò)程中工業(yè)控制系統的信息和信息處理設施的風(fēng)險，并在允許訪(fǎng)問(wèn)前實(shí)施適當的控制措施。

（2）處理與顧客有關(guān)的安全問(wèn)題

應在允許顧客訪(fǎng)問(wèn)組織機構信息或資產(chǎn)之前處理所有確定的安全要求。

（3）處理第三方協(xié)議中的安全問(wèn)題

涉及訪(fǎng)問(wèn)、處理或管理組織機構的信息或信息處理設施以及與之通信的第三方協(xié)議，或在信息處理設施中增加產(chǎn)品或服務(wù)的第三方協(xié)議，應涵蓋所有相關(guān)的安全要求。

3.3　資產(chǎn)管理

3.3.1　對資產(chǎn)負責目標：實(shí)現和保持對組織機構資產(chǎn)的適當保護。

（1）資產(chǎn)清單

應清晰地識別所有資產(chǎn)，編制并維護所有重要資產(chǎn)的清單。

（2）資產(chǎn)責任人

與信息處理設施有關(guān)的所有信息和資產(chǎn)應由組織機構的指定部門(mén)或人員承擔責任。

（3）資產(chǎn)的可接受使用

與信息處理設施有關(guān)的信息和資產(chǎn)可接受使用規則應被確定、形成文件并加以實(shí)施。

3.3.2　信息分類(lèi)

目標：確保信息受到適當級別的保護。

（1）分類(lèi)指南

信息應按照其對組織機構的價(jià)值、法律要求、敏感性和關(guān)鍵性予以分類(lèi)。

（2）信息的標記和處理

應按照組織機構所采納的分類(lèi)機制建立和實(shí)施一組合適的信息標記和處理規程。

3.4　人力資源安全

3.4.1　任用之前

目標：應確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降低設施被竊、欺詐和誤用的風(fēng)險。

（1）角色和職責

雇員、承包方人員和第三方人員的安全角色和職責應按組織機構的信息安全方針定義并形成文件。

（2）審查

關(guān)于所有任用的候選者、承包方人員和第三方人員的背景驗證核查應按照相關(guān)法律法規、道德規范和對應的業(yè)務(wù)要求、被訪(fǎng)問(wèn)信息的類(lèi)別和察覺(jué)的風(fēng)險來(lái)執行。

（3）任用條款和條件

作為他們合同義務(wù)的一部分，雇員、承包方人員和第三方人員應同意并簽署他們的任用合同的條款和條件，這些條款和條件聲明他們在組織機構中的信息安全職責。

3.4.2　任用中

確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關(guān)系、他們的職責和義務(wù)，并準備好在其正常工作過(guò)程中支持組織機構的安全方針，以減少人為出錯的風(fēng)險。

（1）管理職責

管理者應要求雇員、承包方人員和第三方人員按照組織機構已建立的方針策略和規程對安全盡心盡力。

（2）信息安全意識、教育和培訓

組織機構的所有雇員，適當時(shí)，包括承包方人員和第三方人員，應受到與其工作職能相關(guān)的適當的意識培訓和組織機構方針策略及規程的定期更新培訓。

（3）違規處理過(guò)程

對于安全違規的雇員，應有一個(gè)正式的紀律處理過(guò)程。

3.4.3　任用的終止或變更

目標：確保雇員、承包方人員和第三方人員以一個(gè)規范的方式退出一個(gè)組織機構或改變其任用關(guān)系。

（1）終止職責任用終止或任用變更的職責應清晰地定義和分配。

（2）資產(chǎn)的歸還

所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時(shí)應歸還他們使用的所有組織機構資產(chǎn)。

（3）撤銷(xiāo)訪(fǎng)問(wèn)權

所有雇員、承包方人員和第三方人員對信息和信息處理設施的訪(fǎng)問(wèn)權應在任用、合同或協(xié)議終止時(shí)刪除，或在變化時(shí)調整。

3.5　物理和環(huán)境安全

3.5.1　安全區域

目標：防止對組織機構場(chǎng)所和信息的未授權物理訪(fǎng)問(wèn)、損壞和干擾。

（1）物理安全周邊

應使用安全周邊的入口或有人管理的接待臺等屏障來(lái)保護包含工業(yè)控制系統設施的區域。

（2）物理入口控制

安全區域應由適合的人員控制所保護，以確保只有授權的人員才允許訪(fǎng)問(wèn)。

（3）辦公室、房間和設施的安全保護應為辦公室、房間和設施設計并采取物理安全措施。

（4）外部和環(huán)境威脅的安全防護

為防止火災、洪水、地震、爆炸、社會(huì )動(dòng)蕩和其他形式的自然或人為災難引起的破壞，應設計和采取物理保護措施。

（5）在安全區域工作應設計和應用用于安全區域工作的物理保護和指南。

（6）公共訪(fǎng)問(wèn)、交接區安全

訪(fǎng)問(wèn)點(diǎn)（例如交接區）和未授權人員可進(jìn)入辦公場(chǎng)所的其他點(diǎn)應加以控制，如果可能，應與信息處理設施隔離，以避免未授權訪(fǎng)問(wèn)。

 3.5.2　設備安全

目標：防止設備資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及相關(guān)組織機構活動(dòng)的中斷。

（1）設備安置和保護

應安置或保護設備，以減少由環(huán)境威脅和危險所造成的各種風(fēng)險以及未授權訪(fǎng)問(wèn)的機會(huì )。

（2）支持性設施應保護設備使其免于由支持性設施的失效而引起的電源故障和其他中斷。

（3）布纜安全

應保證傳輸數據或支持信息服務(wù)的電源布纜和通信布纜免受竊聽(tīng)或損壞。

（4）設備維護

設備應予以正確地維護，以確保其持續的可用性和完整性。

（5）組織機構場(chǎng)所外的設備安全

應對組織機構場(chǎng)所外的設備采取安全措施，要考慮工作在組織機構場(chǎng)所以外的不同風(fēng)險。

（6）設備的安全處置或再利用

包含儲存介質(zhì)的設備的所有項目應進(jìn)行核查，以確保在處置之前，任何敏感信息和注冊軟件已被刪除或安全地寫(xiě)覆蓋。

（7）資產(chǎn)的移動(dòng)

設備、信息或軟件在授權之前不應帶出組織機構場(chǎng)所。

3.6　通信和操作管理

3.6.1　操作規程和職責目標：確保對信息處理設施進(jìn)行正確、安全的操作。

（1）文件化操作規程

操作規程應形成文件，保持并對所有需要的用戶(hù)可用。

（2）變更管理對信息處理設施和系統的變更應加以控制。

（3）責任劃分

各類(lèi)責任及職責范圍應加以劃分，以降低未授權或無(wú)意識的修改或不當使用組織機構資產(chǎn)的機會(huì )。

（4）開(kāi)發(fā)、測試和運行設施分離

開(kāi)發(fā)、測試和運行設施應分離，以減少未授權訪(fǎng)問(wèn)或改變運行系統的風(fēng)險。

3.6.2　第三方服務(wù)交付管理

目標：實(shí)施和保持符合第三方服務(wù)交付協(xié)議的信息安全和服務(wù)交付的適當水準。

（1）服務(wù)交付

應確保第三方實(shí)施、運行和保持包含在第三方服務(wù)協(xié)議中的安全控制措施、服務(wù)定義和交付水準。

（2）第三方服務(wù)的監視和評審

應定期監視和評審由第三方提供的服務(wù)、報告和記錄，審核也應定期執行。

（3）第三方服務(wù)的變更管理應管理服務(wù)提供的變更，包括保持和改進(jìn)現有的信息安全策略、規程和控制措施，并考慮到業(yè)務(wù)系統和涉及過(guò)程的關(guān)鍵程度及風(fēng)險的再評估。

3.6.3　系統規劃和驗收

目標：將系統失效的風(fēng)險降至最小。

（1）容量管理

資源的使用應加以監視、調整，并作出對于未來(lái)容量要求的預測，以確保擁有所需的系統性能。

（2）系統驗收

應建立對新信息系統、升級及新版本的驗收準則，并且在開(kāi)發(fā)中和驗收前對系統進(jìn)行適當的測試。

3.6.4　防范惡意和移動(dòng)代碼

目標：保護軟件和信息的完整性。

（1）控制惡意代碼

應實(shí)施惡意代碼的檢測、預防和恢復的控制措施，以及適當地提高用戶(hù)安全意識的規程。

（2）控制移動(dòng)代碼

當授權使用移動(dòng)代碼時(shí)，其配置應確保授權的移動(dòng)代碼按照清晰定義的安全策略運行，阻止執行未授權的移動(dòng)代碼。

3.6.5　備份目標：保持信息和信息處理設施的完整性及可用性。

（1）信息備份應按照已設的備份策略，定期備份和測試信息和軟件。

3.6.6　網(wǎng)絡(luò )安全管理

目標：確保網(wǎng)絡(luò )中信息的安全性并保護支持性的基礎設施。

（1）網(wǎng)絡(luò )控制

應充分管理和控制網(wǎng)絡(luò )，以防止威脅的發(fā)生，維護使用網(wǎng)絡(luò )的系統和應用程序的安全，包括傳輸中的信息。

（2）網(wǎng)絡(luò )服務(wù)安全

安全特性、服務(wù)級別以及所有網(wǎng)絡(luò )服務(wù)的管理要求應予以確定并包括在所有網(wǎng)絡(luò )服務(wù)協(xié)議中。無(wú)論這些服務(wù)是由內部提供的還是外包的。

3.6.7　介質(zhì)處置

目標：防止資產(chǎn)遭受未授權泄露、修改、移動(dòng)、或銷(xiāo)毀以及業(yè)務(wù)活動(dòng)的中斷。

（1）可移動(dòng)介質(zhì)的管理

應有適當的可移動(dòng)介質(zhì)的管理規程。

（2）介質(zhì)的處置

不再需要的介質(zhì)，應使用正式的規程可靠并安全地處置。

（3）信息處理規程

應建立信息的處理及存儲規程，以防止信息的未授權的泄漏或不當使用。

（4）系統文件安全

應保護系統文件以防止未授權的訪(fǎng)問(wèn)。

3.6.8　信息的交換

目標：保持組織機構內以及與組織機構外信息和軟件交換的安全。

（1）信息交換策略和規程

應有正式的交換策略、規程和控制措施，以保護通過(guò)使用各種類(lèi)型通信設施的信息交換。

（2）交換協(xié)議應建立組織機構與外部方交換信息和軟件的協(xié)議。

（3）運輸中的物理介質(zhì)

包含信息的介質(zhì)在組織機構的物理邊界以外運送時(shí)，應防止未授權的訪(fǎng)問(wèn)、不當使用或毀壞。
（4）電子消息發(fā)送包含在電子消息發(fā)送中的信息應給予適當的保護。

（5）業(yè)務(wù)信息系統

應建立并實(shí)施策略和規程，以保護與業(yè)務(wù)信息系統互聯(lián)相關(guān)的信息。

3.6.9　監視

目標：檢測未經(jīng)授權的信息處理活動(dòng)。

（1）審計記錄

應產(chǎn)生記錄用戶(hù)活動(dòng)、異常情況和信息安全事態(tài)的審計日志，并保持一個(gè)已設的周期以支持將來(lái)的調查和訪(fǎng)問(wèn)控制監視。

（2）監視系統的使用

應建立信息處理設施的監視使用規程，并經(jīng)常評審監視活動(dòng)的結果。

（3）日志信息的保護

記錄日志的設施和日志信息應加以保護，以防止篡改和未授權的訪(fǎng)問(wèn)。

（4）管理員和操作員日志系統管理員和系統操作員的活動(dòng)應記入日志。

（5）故障日志故障應被記錄、分析，并采取適當的措施。

（6）時(shí)鐘同步

一個(gè)組織機構或安全域內的所有相關(guān)信息處理設施的時(shí)鐘應使用已設的精確時(shí)間源進(jìn)行同步。

3.7　訪(fǎng)問(wèn)控制

3.7.1　訪(fǎng)問(wèn)控制的業(yè)務(wù)要求

目標：控制對信息的訪(fǎng)問(wèn)。

（1）訪(fǎng)問(wèn)控制策略

訪(fǎng)問(wèn)控制策略應建立、形成文件，并基于業(yè)務(wù)和訪(fǎng)問(wèn)的安全要求進(jìn)行評審。

3.7.2　用戶(hù)訪(fǎng)問(wèn)管理

目標：確保授權用戶(hù)訪(fǎng)問(wèn)信息系統，并防止未授權的訪(fǎng)問(wèn)。

（1）用戶(hù)注冊

應有正式的用戶(hù)注冊及注銷(xiāo)規程，來(lái)授權和撤銷(xiāo)對所有信息系統及服務(wù)的訪(fǎng)問(wèn)。

（2）特殊權限管理

應限制和控制特殊權限的分配及使用。

（3）用戶(hù)口令管理

應通過(guò)正式的管理過(guò)程控制口令的分配。

（4）用戶(hù)訪(fǎng)問(wèn)權的復查

管理者應定期使用正式過(guò)程對用戶(hù)的訪(fǎng)問(wèn)權進(jìn)行復查。

3.7.3　用戶(hù)職責

目標：防止未授權用戶(hù)對信息和信息處理設施的訪(fǎng)問(wèn)、損害或竊取。

（1）口令使用

應要求用戶(hù)在選擇及使用口令時(shí)，遵循良好的安全習慣。

（2）無(wú)人值守的用戶(hù)設備用戶(hù)應確保無(wú)人值守的用戶(hù)設備有適當的保護。

（3）清空桌面和屏幕策略

應采取清空桌面上文件、可移動(dòng)存儲介質(zhì)的策略和清空信息處理設施屏幕的策略。

3.7.4　網(wǎng)絡(luò )訪(fǎng)問(wèn)控制

目標：防止對網(wǎng)絡(luò )服務(wù)的未授權訪(fǎng)問(wèn)。

（1）網(wǎng)絡(luò )服務(wù)的策略用戶(hù)應僅能訪(fǎng)問(wèn)已獲專(zhuān)門(mén)授權使用的服務(wù)。

（2）外部連接的用戶(hù)鑒別應使用適當的鑒別方法以控制遠程用戶(hù)的訪(fǎng)問(wèn)。

（3）網(wǎng)絡(luò )上的設備標識

應考慮自動(dòng)設備標識，將其作為鑒別特定位置和設備連接的方法。

（4）遠程診斷和配置端口的保護對于診斷和配置端口的物理和邏輯訪(fǎng)問(wèn)應加以控制。

（5）網(wǎng)絡(luò )隔離應在網(wǎng)絡(luò )中隔離信息服務(wù)、用戶(hù)及信息系統。

（6）網(wǎng)絡(luò )連接控制對于共享的網(wǎng)絡(luò )，特別是越過(guò)組織機構邊界的網(wǎng)絡(luò )，用戶(hù)的聯(lián)網(wǎng)能力應按照訪(fǎng)問(wèn)控制策略和業(yè)務(wù)應用要求加以限制。

（7）網(wǎng)絡(luò )路由控制

應在網(wǎng)絡(luò )中實(shí)施路由控制，以確保計算機連接和信息流不違反業(yè)務(wù)應用的訪(fǎng)問(wèn)控制策略。

3.7.5　操作系統訪(fǎng)問(wèn)控制

目標：防止對操作系統的未授權訪(fǎng)問(wèn)。

（1）安全登錄規程訪(fǎng)問(wèn)操作系統應通過(guò)安全登錄規程加以控制。

（2）用戶(hù)標識和鑒別

所有用戶(hù)應有唯一的，專(zhuān)供其個(gè)人使用的標識符（用戶(hù)ID），選擇一種適當的鑒別技術(shù)證實(shí)用戶(hù)所宣稱(chēng)的身份。

（3）口令管理系統口令管理系統宜是交互式的，并應確保優(yōu)質(zhì)的口令。

（4）系統實(shí)用工具的使用

對于可能超越系統和應用程序控制措施的實(shí)用工具的使用應加以限制并嚴格控制。

（5）會(huì )話(huà)超時(shí)不活動(dòng)會(huì )話(huà)應在一個(gè)設定的休止期后關(guān)閉。

（6）聯(lián)機時(shí)間的限定

應使用聯(lián)機時(shí)間的限制，為高風(fēng)險應用程序提供額外的安全。

3.7.6　應用和信息訪(fǎng)問(wèn)控制目標：防止對應用系統中信息的未授權訪(fǎng)問(wèn)。

（1）信息訪(fǎng)問(wèn)限制

用戶(hù)和支持人員對信息和應用系統功能的訪(fǎng)問(wèn)應依照已確定的訪(fǎng)問(wèn)控制策略加以限制。

（2）敏感系統隔離敏感系統應有專(zhuān)用的（隔離的）運算環(huán)境。

3.7.7　移動(dòng)計算和遠程工作

目標：確保使用移動(dòng)計算和遠程工作設施時(shí)的信息安全。

（1）移動(dòng)計算和通信

應有正式策略并且采用適當的安全措施，以防范使用移動(dòng)計算和通信設施時(shí)所造成的風(fēng)險。
（2）遠程工作

應為遠程工作活動(dòng)開(kāi)發(fā)和實(shí)施策略、操作計劃和規程。

3.8　信息系統獲取、開(kāi)發(fā)和維護

3.8.1　信息系統的安全要求目標：確保安全是信息系統的一個(gè)有機組成部分。

（1）安全要求分析和說(shuō)明

在新的信息系統或增強已有信息系統的業(yè)務(wù)要求陳述中，應規定對安全控制措施的要求。

3.8.2　應用中的正確處理

目標：防止應用系統中的信息的差錯、遺失、未授權的修改或誤用。

（1）輸入數據確認

應對輸入應用系統的數據加以確認，以確保數據是正確且恰當的。

（2）內部處理的控制

確認核查應整合到應用中，以檢驗由于處理的差錯或故意的行為造成的信息的任何訛誤。

（3）消息完整性

應用中確保真實(shí)性和保護消息完整性的要求應得到識別，適當的控制措施也應得到識別并實(shí)施。

（4）輸出數據確認

從應用系統輸出的數據應加以確認，以確保對所存儲信息的處理是正確的且適于環(huán)境的。

3.8.3　密碼控制

目標：通過(guò)密碼方法保護信息的保密性、真實(shí)性或完整性。

（1）使用密碼控制的策略應開(kāi)發(fā)和實(shí)施使用密碼控制措施來(lái)保護信息的策略。

（2）密鑰管理應有密鑰管理以支持組織機構使用密碼技術(shù)。

3.8.4　系統文件的安全

目標：確保系統文件的安全。

（1）運行軟件的控制

應有規程來(lái)控制在運行系統上安裝軟件。

（2）系統測試數據的保護測試數據應認真地加以選擇、保護和控制。

（3）對程序源代碼的訪(fǎng)問(wèn)控制

應限制訪(fǎng)問(wèn)程序源代碼。

3.8.5　開(kāi)發(fā)和支持過(guò)程中的安全

目標：維護應用軟件和信息的安全。

（1）變更控制規程應使用正式的變更控制規程來(lái)控制變更的實(shí)施。

（2）操作系統變更后應用的技術(shù)評審

當操作系統發(fā)生變更時(shí)，應對業(yè)務(wù)的關(guān)鍵應用進(jìn)行評審和測試，以確保對組織機構的運行和安全沒(méi)有負面影響。

（3）軟件包變更的限制應對軟件包的修改進(jìn)行勸阻，只限于必要的變更，且對所有的變更加以嚴格控制。

（4）信息泄露

應防止信息泄露的可能性。

（5）外包軟件開(kāi)發(fā)

組織機構應管理和監視外包軟件的開(kāi)發(fā)。

3.8.6　技術(shù)脆弱性管理目標：降低利用公布的技術(shù)脆弱性導致的風(fēng)險。

（1）技術(shù)脆弱性的控制

應及時(shí)得到現用信息系統技術(shù)脆弱性的信息，評價(jià)組織機構對這些脆弱性的暴露程度，并采取適當的措施來(lái)處理相關(guān)的風(fēng)險。

3.9　信息安全事件管理

3.9.1　報告信息安全事態(tài)和弱點(diǎn)

目標：確保與信息系統有關(guān)的信息安全事態(tài)和弱點(diǎn)能夠以某種方式傳達，以便及時(shí)采取糾正措施。

（1）報告信息安全事態(tài)

信息安全事態(tài)應盡可能快地通過(guò)適當的管理渠道進(jìn)行報告。

（2）報告安全弱點(diǎn)

應要求信息系統和服務(wù)的所有雇員、承包方人員和第三方人員記錄并報告他們觀(guān)察到的或懷疑的任何系統或服務(wù)的安全弱點(diǎn)。

3.9.2　信息安全事件和改進(jìn)的管理

目標：確保采用一致和有效的方法對信息安全事件進(jìn)行管理。

（1）職責和規程

應建立管理職責和規程，以確?？焖?、有效和有序地響應信息安全事件。

（2）對信息安全事件的總結

應有一套機制量化和監視信息安全事件的類(lèi)型、數量和代價(jià)。

（3）證據的收集

當一個(gè)信息安全事件涉及訴訟（民事的或刑事的），需要進(jìn)一步對個(gè)人或組織機構進(jìn)行起訴時(shí)，應收集、保留和呈遞證據，以使其符合相關(guān)管轄區域對證據的要求。

3.10　業(yè)務(wù)連續性管理

3.10.1　業(yè)務(wù)連續性管理的信息安全方面

目標：防止業(yè)務(wù)活動(dòng)中斷，保護關(guān)鍵業(yè)務(wù)過(guò)程免受信息系統重大失誤或災難的影響，并確保他們的及時(shí)恢復。

（1）在業(yè)務(wù)連續性管理過(guò)程中包含信息安全應為貫穿于組織機構的業(yè)務(wù)連續性開(kāi)發(fā)和保持一個(gè)管理過(guò)程，以解決組織機構的業(yè)務(wù)連續性所需的信息安全要求。

（2）業(yè)務(wù)連續性和風(fēng)險評估

應識別能引起業(yè)務(wù)過(guò)程中斷的事態(tài)，連同這種中斷發(fā)生的概率和影響，以及他們對信息安全所造成的后果。

（3）制定和實(shí)施包含信息安全的連續性計劃

應制定和實(shí)施計劃來(lái)保持或恢復運行，以在關(guān)鍵業(yè)務(wù)過(guò)程中斷或失敗后能夠在要求的水平和時(shí)間內確保信息的可用性。

（4）業(yè)務(wù)連續性計劃框架

應保持一個(gè)唯一的業(yè)務(wù)連續性計劃框架，以確保所有計劃是一致的，能夠協(xié)調地解決信息安全要求，并為測試和維護確定優(yōu)先級。

（5）測試、維護和再評估業(yè)務(wù)連續性計劃

業(yè)務(wù)連續性計劃應定期測試和更新，以確保其及時(shí)性和有效性。

3.11　符合性

3.11.1　符合法律要求

目標：避免違反任何法律、法令、法規或合同義務(wù)以及任何安全要求。

（1）可用法律的識別

對每一個(gè)信息系統和組織機構而言，所有相關(guān)的法令、法規和合同要求，以及為滿(mǎn)足這些要求組織機構所采用的方法，應加以明確地定義、形成文件并保持更新。

（2）知識產(chǎn)權（IPR）

應實(shí)施適當的規程，以確保在使用具有知識產(chǎn)權的材料和具有所有權的軟件產(chǎn)品時(shí)，符合法律、法規和合同的要求。

（3）保護組織機構的記錄

應防止重要的記錄的遺失、毀壞和偽造，以滿(mǎn)足法令、法規、合同和業(yè)務(wù)的要求。

（4）數據保護和個(gè)人信息的隱私

應依照相關(guān)的法律、法規和合同條款的要求，確保數據保護和隱私。

（5）防止濫用信息處理設施應禁止用戶(hù)使用信息處理設施用于未授權的目的。

（6）密碼控制措施的規則使用密碼控制措施應遵從相關(guān)的協(xié)議、法律和法規。

3.11.2　符合安全策略和標準以及技術(shù)符合性目標：確保系統符合組織機構的安全策略及標準

（1）符合安全策略和標準管理人員應確保在其職責范圍內的所有安全規程被正確地執行，以確保符合安全策略及標準。

（2）技術(shù)符合性核查信息系統應被定期核查是否符合安全實(shí)施標準。

3.11.3　信息系統審計考慮

目標：將信息系統審計過(guò)程中的有效性最大化，干擾最小化。

（1）信息系統審計控制措施

涉及對運行系統核查的審計要求活動(dòng)，應謹慎地加以規劃并取得批準，以便最小化造成業(yè)務(wù)過(guò)程中斷的風(fēng)險。

（2）信息系統審計工具的保護

對于信息系統審計工具的訪(fǎng)問(wèn)應加以保護，以防止任何可能的濫用或損害。

4　系統能力（技術(shù)）評估

4.1　計劃的時(shí)間間隔進(jìn)行獨立評審，當安全實(shí)施發(fā)生重大變化時(shí)，也要進(jìn)行獨立評審

（1）基本要求（FR）和系統要求（SR）的說(shuō)明

系統能力的評估基于基本要求FR（Foundational requirement），每一項基本要求又分為若干個(gè)系統要求SR（System requirement），其中有些系統要求還包含了增強要求RE（Requirement enhancement）。其與能力等級CL（Capabilitylevel）的映射見(jiàn)標準的附錄B。

FR1：標識和認證。是所有用戶(hù)（人、軟件進(jìn)程和設備）在被允許訪(fǎng)問(wèn)控制系統之前，對他們進(jìn)行標識和認證。

FR2：使用控制，是指為已認證用戶(hù)（人、軟件進(jìn)程或設備）分配特權以執行所請求的操作，并對這些特權的使用進(jìn)行監視。

FR3：系統完整性，是指確保工業(yè)控制系統完整性，以防止未經(jīng)授權的操縱。

FR4：數據保密性，是指確保通信信道和數據倉庫的信息的保密性，防止未授權泄露。

FR5：限制的數據流，是指利用區域和管道對控制系統分區，來(lái)限制不必要的數據流。

FR6：對事件的及時(shí)響應，是指當事故發(fā)生時(shí)，通過(guò)以下方式對安全違背進(jìn)行響應：通知適當的權威、報告所需證據、采取及時(shí)的糾正行動(dòng)。

FR7：資源可用性，是指確?？刂葡到y的可用性，防止拒絕基本服務(wù)。

（2）系統能力等級（CL）的說(shuō)明

·能力等級CL1 ：提供機制保護控制系統防范偶然的、輕度的攻擊。

·能力等級CL2 ：提供機制保護控制系統防范有意的、利用較少資源和一般技術(shù)的簡(jiǎn)單手段可能達到較小破壞后果的攻擊。

·能力等級CL3 ：提供機制保護控制系統防范惡意的、利用中等資源、ICS特殊技術(shù)的復雜手段的可能達到較大破壞后果的攻擊。

·能力等級CL4：提供機制保護控制系統防范惡意的、使用擴展資源、ICS特殊技術(shù)的復雜手段與工具可能達到重大破壞后果的攻擊。

4.2　FR 1：標識和認證控制

4.2.1　SR 1.1 用戶(hù)（人）的標識和認證提供標識和認證所有用戶(hù)（人）的能力。還包括：

（1）SR 1.1 RE（1）：唯一標識和認證；

（2）SR 1.1 RE（2）：非可信網(wǎng)絡(luò )的多因子認證；

（3）SR 1.1 RE（3）：對所有網(wǎng)絡(luò )的多因子認證。

4.2.2　SR 1.2 軟件進(jìn)程和設備的標識和認證

提供標識和認證所有用戶(hù)（軟件進(jìn)程和設備）的能力。還包括：

（1）SR 1.2 RE（1）：唯一標識和認證。

4.2.3　SR 1.3：賬號管理

提供對所有賬號的管理，包括創(chuàng )建、激活、修改、禁用和移除賬號的能力。還包括：

（1）SR 1.3 RE（1）：統一的賬號管理。

4.2.4　SR 1.4：標識符管理

提供按照用戶(hù)、組、角色和/或控制系統接口管理標識符（例如用戶(hù)ID）的能力。

4.2.5　SR 1.5：認證碼管理

提供：定義初始的認證碼內容；控制系統安裝后改變默認認證碼等能力。還包括：

（1）SR 1.5 RE（1）：軟件進(jìn)程標識憑證的硬件安全。

4.2.6　SR 1.6：無(wú)線(xiàn)訪(fǎng)問(wèn)管理

對參與無(wú)線(xiàn)通信的所有的用戶(hù)（人、軟件進(jìn)程或設備），控制系統應提供標識和認證的能力。還包括：

（1）SR 1.6 RE（1）：唯一標識和認證。

4.2.7　SR 1.7：口令認證的加強

對于使用口令認證的控制系統，控制系統應提供能力，實(shí)施可配置的基于最小長(cháng)度和不同字符類(lèi)型的口令強度。還包括：

（1）SR 1.7 RE（1）：對用戶(hù)（人）的口令生成和口令有效期的限制；

（2）SR 1.7 RE（2）：對所有用戶(hù)的口令有效期的限制。

4.2.8　SR 1.8：公鑰基礎設施證書(shū)

當使用公鑰基礎設施PKI時(shí)，控制系統應提供能力按照普遍接受的最佳實(shí)踐運行PKI或從現有PKI中獲取公鑰證書(shū)。

4.2.9　SR 1.9：公鑰認證的加強

對于使用公鑰認證的控制系統，控制系統應提供：通過(guò)檢查給定證書(shū)的簽名的有效性來(lái)證實(shí)證書(shū)；通過(guò)建立證書(shū)路徑到可接受的證書(shū)認證機構（CA）證實(shí)證書(shū)等能力。還包括：

（1）SR 1.9 RE（1）：公鑰認證的硬件安全。

4.2.10　SR 1.10：認證反饋

在認證過(guò)程中，控制系統應提供將認證信息的反饋模糊化的能力。

4.2.11　SR 1.11：失敗的登錄嘗試

提供能力，對任何用戶(hù)（人、軟件進(jìn)程和設備）在可配置的時(shí)間周期內連續無(wú)效訪(fǎng)問(wèn)嘗試的次數限制為一個(gè)可配置的數目。

4.2.12　SR 1.12：系統使用通知

有能力在認證之前，顯示可配置的系統使用通知消息。

4.2.13　SR 1.13：經(jīng)由非可信網(wǎng)絡(luò )的訪(fǎng)問(wèn)

還包括：

（1）SR 1.13 RE（1）明確的對訪(fǎng)問(wèn)請求的批準。

4.3　FR 2：使用控制

4.3.1　SR 2.1：授權的執行

在所有接口上，控制系統應提供能力執行分配給所有用戶(hù)（人）的授權，按照職責分離和最小特權來(lái)控制對控制系統的使用。

4.3.2　SR 2.2：無(wú)線(xiàn)使用控制

提供能力，對控制系統的無(wú)線(xiàn)連接應依據普遍接受的安全工業(yè)實(shí)踐進(jìn)行授權、監視和限制使用。還包括：

（1）SR 2.2 RE（1）：對未授權的無(wú)線(xiàn)設備進(jìn)行識別和報告。

4.3.3　SR 2.3：對便攜和移動(dòng)設備的使用控制

對于便攜和移動(dòng)設備，提供自動(dòng)實(shí)施可配置的使用限制的能力。還包括：

（1）SR 2.3 RE（1）：便攜和移動(dòng)設備的安全狀態(tài)的實(shí)施。

4.3.4　SR 2.4：移動(dòng)代碼

提供移動(dòng)代碼技術(shù)的使用進(jìn)行限制包括對移動(dòng)代碼的使用進(jìn)行監視。還包括：

（1）SR 2.4 RE（1）：移動(dòng)代碼的完整性檢查。

4.3.5　SR 2.5：會(huì )話(huà)鎖

啟用會(huì )話(huà)鎖防止其進(jìn)一步的訪(fǎng)問(wèn)，會(huì )話(huà)鎖應保持有效直到用戶(hù)（人）或被授權的主管人員使用適當的標識和認證規程重新建立訪(fǎng)問(wèn)。

4.3.6　SR 2.6：遠程會(huì )話(huà)終止

提供在可配置的不活躍時(shí)間周期后自動(dòng)終止遠程會(huì )話(huà)或由發(fā)起會(huì )話(huà)的用戶(hù)手動(dòng)終止遠程會(huì )話(huà)的能力。

4.3.7　SR 2.7：并發(fā)會(huì )話(huà)控制

對任意給定用戶(hù)（人、軟件進(jìn)程或設備），控制系統應提供將每個(gè)接口的并發(fā)會(huì )話(huà)的數目限制為一個(gè)可配置的數目的能力。

4.3.8　SR 2.8：可審計的事件

提供訪(fǎng)問(wèn)控制、請求錯誤、系統事件、備份和存儲事件等能力。還包括：

（1）SR 2.8 RE（1） ：中央管理的、系統范圍的審計跟蹤。

4.3.9　SR 2.9：審計存儲容量

根據日志管理和系統配置普遍認可的推薦值來(lái)分配足夠的審計記錄存儲容量。還包括：

（1）SR 2.9 RE（1）：達到審計記錄存儲容量上限時(shí)發(fā)出警告。

4.3.10　SR 2.10：對審計流程失敗時(shí)的響應驗證控制系統能對審計流程失敗提供適當的響應。

4.3.11　SR 2.11：時(shí)間戳

提供時(shí)間戳用于生成審計記錄。還包括：

（1）SR 2.11 RE（1）：內部時(shí)間同步；

（2）SR 2.11 RE（2）：時(shí)間源的完整性的保護。

4.3.12　SR 2.12：不可否認性

提供對給定用戶(hù)（人）是否實(shí)施了某個(gè)特定行為進(jìn)行判定的能力。還包括：

（1）SR 2.12 RE（1）：所有用戶(hù)的不可否認性。

4.4　FR 3：系統完整性

4.4.1　SR 3.1：通信完整性

保護傳輸的信息的完整性。還包括：

（1）SR 3.1 RE（1）：基于密碼技術(shù)的完整性保護。

4.4.2　SR 3.2：惡意代碼的防護

應提供能力，采用防護機制來(lái)防止、檢測、報告和消減惡意代碼或非授權軟件的影響。還包括：

（1）SR 3.2 RE（1）：在入口和出口點(diǎn)防護惡意代碼；

（2）SR 3.2 RE（2）： 惡意代碼防護的中央管理和報告。

4.4.3　SR 3.3：安全功能驗證

應提供能力，驗證安全功能的預期操作，并在工廠(chǎng)驗收測試FAT、現場(chǎng)驗收測試SAT和預定維護中發(fā)現異常時(shí)進(jìn)行報告。還包括：

（1）SR 3.3 RE（1）：安全功能驗證的自動(dòng)化機制；

（2）SR 3.3 RE（2）：正常運行中的安全功能驗證。

4.4.4　SR 3.4：軟件和信息完整性

應提供能力檢測、記錄和保護軟件和信息不受未經(jīng)授權的變更。還包括：

（1）SR 3.4 RE（1）：對破壞完整性進(jìn)行自動(dòng)通知。

4.4.5　SR 3.5：輸入驗證

應驗證任何輸入的語(yǔ)法和內容，這些輸入是作為工業(yè)過(guò)程控制輸入或直接影響控制系統行為的輸入。

4.4.6　SR 3.6：確定性的輸出

提供能力，在遭受攻擊無(wú)法保持正常運行時(shí)能夠將輸出設為預先定義的狀態(tài)。

4.4.7　SR 3.7：錯誤處理

識別和處理錯誤條件的方式應能夠實(shí)施有效的補救，這一方式不能提供可能被敵人利用來(lái)攻擊工業(yè)控制系統ICS的信息，除非泄露這一信息對于及時(shí)發(fā)現并修理問(wèn)題是必須的。

4.4.8　SR 3.8：會(huì )話(huà)完整性提供保護通信會(huì )話(huà)完整性的機制。還包括：

（1）SR 3.8 RE（1）：會(huì )話(huà)終止后會(huì )話(huà)ID的失效；

（2）SR 3.8 RE（2）：唯一會(huì )話(huà)ID的產(chǎn)生和承認；

（3）SR 3.8 RE（3）：會(huì )話(huà)ID的隨機性。

4.4.9　SR 3.9：審計信息的保護

保護審計信息和審計工具不被未授權的訪(fǎng)問(wèn)、修改和刪除。還包括：

（1）SR 3.9 RE（1）：一次性寫(xiě)入介質(zhì)上的審計記錄。

4.5　FR 4：數據保密性

4.5.1　SR 4.1：信息保密性

提供能力，對有讀授權的信息在靜態(tài)和傳輸中進(jìn)行保密性保護。還包括：

（1）SR 4.1 RE（1）：靜態(tài)和經(jīng)由不可信網(wǎng)絡(luò )傳輸的數據的保密性保護；

（2）SR 4.1 RE（2）：區域邊界的機密性保護。

4.5.2　SR 4.2：信息存留

提供退役能力，清除被在用服務(wù)所釋放的元器件中所有與安全相關(guān)的資料。還包括：

（1）SR 4.2 RE (1)：共享內存資源的清除

4.5.3　SR 4.3：密碼的使用

如果需要密碼，控制系統應根據普遍接受的工業(yè)實(shí)踐和推薦來(lái)使用密碼算法、密鑰長(cháng)度以及密鑰創(chuàng )建和管理機制。

4.6　FR 5：限制的數據流

4.6.1　SR 5.1：網(wǎng)絡(luò )分區

提供能力將控制系統網(wǎng)絡(luò )與非控制系統網(wǎng)絡(luò )進(jìn)行邏輯分區。還包括：

（1）SR 5.1 RE（1）：物理網(wǎng)絡(luò )分區；

（2）SR 5.1 RE（2）：與非控制系統網(wǎng)絡(luò )的獨立性；

（3）SR 5.1 RE（3）：關(guān)鍵網(wǎng)絡(luò )的邏輯和物理隔離。

4.6.2　SR 5.2：區域邊界防護提供監視和控制區域邊界通信的能力。還包括：

（1）SR 5.2 RE（1）：默認拒絕，例外允許；

（2）SR 5.2 RE（2）：孤島模型；

（3）SR 5.2 RE（3）：故障關(guān)閉。

4.6.3　SR 5.3：一般目的的個(gè)人間通信的限制

提供能力防止一般目的的個(gè)人間通信消息被控制系統外部的用戶(hù)或系統接收到。還包括：

（1）SR 5.3 RE（1）：禁止一般目的的個(gè)人間通信。

4.6.4　SR 5.4：應用分離

基于實(shí)現分區模型的關(guān)鍵程度提供對數據、應用和服務(wù)進(jìn)行分離的能力。

4.7　FR 6：對事件的及時(shí)響應

4.7.1　SR 6.1：審計日志的可訪(fǎng)問(wèn)性

為已授權的人和/或工具提供訪(fǎng)問(wèn)審計日志的能力。還包括：

（1）SR 6.1 RE（1）：對審計日志的編程式訪(fǎng)問(wèn)。

4.7.2　SR 6.2：持續監視

使用普遍接受的安全工業(yè)實(shí)踐和推薦來(lái)提供持續監視所有安全機制的性能的能力。

4.8　FR 7：資源可用性

4.8.1　SR 7.1：拒絕服務(wù)的防護

在拒絕服務(wù)攻擊事件發(fā)生期間，控制系統應提供以降級模式運行的能力。還包括：

（1）SR 7.1 RE（1）：管理通信負荷；

（2）SR 7.1 RE（2）： 限制拒絕服務(wù)攻擊對其他系統和網(wǎng)絡(luò )的影響。

4.8.2　SR 7.2：資源管理提供能力安全功能對資源的使用，防止資源耗盡。

4.8.3　SR 7.3：控制系統備份在不影響正常工廠(chǎng)運行情況下，支持識別和定位關(guān)鍵文件，并有能力執行用戶(hù)級和系統級備份（包含系統狀態(tài)信息）。還包括：

（1）SR 7.3 RE（1）：備份驗證；

（2）SR 7.3 RE（2）：備份自動(dòng)化。

4.8.4　SR 7.4：控制系統恢復和重構

當中斷或故障后，控制系統應提供恢復和重構到已知的安全狀態(tài)的能力。

4.8.5　SR 7.5：緊急電源

在不影響現有安全狀態(tài)條件下提供與緊急電源之間進(jìn)行切換的能力。

4.8.6　SR 7.6：網(wǎng)絡(luò )和安全配置設置

按照控制系統提供商規定的指南中描述的推薦網(wǎng)絡(luò )和安全配置進(jìn)行配置?？刂葡到y應提供與現有部署網(wǎng)絡(luò )和安全配置設置之間的一個(gè)接口。還包括：

（1）SR 7.6 RE（1）：對當前安全設置的機器可讀的報告。

4.8.7　SR 7.7：最小功能化

提供必要的能力，明確禁止和/或限制對非必要的功能、端口、協(xié)議和/或服務(wù)的使用。

4.8.8　SR 7.8：控制系統元器件清單

提供報告當前已安裝的元器件及其關(guān)聯(lián)屬性的列表的能力。

5　評估程序和評估報告

評估工作過(guò)程包括確定評估目標、制定評估計劃、評估的實(shí)施以及編寫(xiě)評估報告等內容。

評估的方法主要包括：（1）基于場(chǎng)景和基于資產(chǎn)的風(fēng)險評估；（2）高層次風(fēng)險評估；（3）詳細風(fēng)險評估；（4）定性和定量風(fēng)險評估等。

工業(yè)控制系統生命周期包括了：規劃階段、設計階段、實(shí)施階段、運行維護階段和廢棄階段等。

評估報告至少應包含負責評估或評定的機構和/或人員的資質(zhì)；如果是為了系統的特定應用而進(jìn)行評估，則過(guò)程的類(lèi)型，輸入輸出的類(lèi)型和數量要求的掃描速率，系統的使命任務(wù)和功能等應用特征都應包括在內等。

更詳細內容見(jiàn)GB/T30976.1-2014。

作者簡(jiǎn)介

王玉敏（1971-），女，河北人，教授級高工，碩士研究生，現就職于機械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟研究所，主要研究方向是工業(yè)控制系統信息安全。

摘自《工業(yè)控制系統信息安全專(zhuān)刊（第二輯）》