1 范圍

      本文件規(guī)定了工業(yè)控制系統(tǒng)安全防護技術要求、保障要求和測試評價方法。

      本文件適用于工業(yè)控制系統(tǒng)建設、運營、維護等。

2 規(guī)范性引用文件

      下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 7353-1999 工業(yè)自動化儀表盤、柜、臺、箱

      GB/T 22239-2019 信息安全技術 網絡安全等級保護基本要求

      GB/T 25069-2010 信息安全技術 術語

      GB/T 36324-2018 信息安全技術 工業(yè)控制系統(tǒng)信息安全分級規(guī)范

      GB/T 37933-2019 信息安全技術 工業(yè)控制系統(tǒng)專用防火墻技術要求

3 術語和定義

      GB/T 22239-2019、GB/T 25069-2010、GB/T 36324-2018和GB/T 37933-2019界定的以及下列術語和定義適用于本文件。

3.1

      工業(yè)控制資產 industrial control asset

      工業(yè)生產控制過程中具有價值的軟硬件資源和數(shù)據。

      注：包括控制設備、工業(yè)主機、網絡設備、應用程序、工業(yè)數(shù)據等。

3.2

      中心控制室 central control room

      位于組織內，具有生產操作、過程控制、安全保護、儀器儀表維護和生產管理等功能的綜合性場所。

3.3

      現(xiàn)場控制室 field control room

      位于組織內生產現(xiàn)場，具有生產操作、過程控制和安全保護等功能的場所。

3.4

      現(xiàn)場機柜室 field auxiliary room

      位于組織內生產現(xiàn)場，用于安裝工業(yè)控制系統(tǒng)機柜及其他設備的場所。

3.5

      控制設備 control equipment

      工業(yè)生產過程中用于控制執(zhí)行器以及采集傳感器數(shù)據的裝置。

      注：包括DCS現(xiàn)場控制單元、PLC以及RTU等進行生產過程控制的單元設備。

3.6

      工業(yè)主機 industrial host

      工業(yè)生產控制各業(yè)務環(huán)節(jié)涉及組態(tài)、工作流程和工藝管理、狀態(tài)監(jiān)控、運行數(shù)據采集以及重要信息存儲等工作的設備。

      注：包括工程師站、操作員站、服務器等。

3.7

      雙機熱備 dual-machine hot standby

      通過網絡連接主機和從機，正常情況下主機處于工作狀態(tài)，從機處于監(jiān)視狀態(tài)，一旦主機異常，從機自動代替主機。

4 縮略語

      下列縮略語適用于本文件。

      APT：高級持續(xù)性威脅（Advanced Persistent Threat）

      CPE：客戶前置設備（Customer Premise Equipment）

      DCS：分布式控制系統(tǒng)（Distributed Control System）

      DNP：分布式網絡協(xié)議（Distributed Network Protocol）

      FTP：文本傳輸協(xié)議（File Transfer Protocol）

      HMI：人機界面（Human Machine Interface）

      HTTPS：以安全為目標的超文本傳輸協(xié)議通道（Hyper Text Transfer Protocol over Secure Socket Layer)

      ICS：工業(yè)控制系統(tǒng)（Industrial Control System）

      IEC：國際電工委員會（International Electrotechnical Commission）

      IP：互聯(lián)網協(xié)議（Internet Protocol）

      IPSec：互聯(lián)網安全協(xié)議（Internet Protocol Security）

      MAC：媒體存取控制（Media Access Control）

      OLE：對象連接與嵌入（Object Linking and Embedding）

      OPC：用于過程控制的 OLE（OLE for Process Control）

      PLC：可編程邏輯控制器（Programmable Logic Controller）

      RPO：恢復點目標（Recovery Point Objective）

      RTO：恢復時間目標（Recovery Time Objective）

      RTU：遠程終端單元（Remote Terminal Unit）

      SCADA：監(jiān)視控制與數(shù)據采集（Supervisory Control and Data Acquisition）

      SNMP：簡單網絡管理協(xié)議（Simple Network Management Protocol）

      SSH：安全外殼（Secure Shell）

      SSL：安全套接層（Secure Socket Layer）

      TCP：傳輸控制協(xié)議（Transmission Control Protocol）

      VPN：虛擬專用網絡（Virtual Private Network）

      WAF：網絡應用防火墻（Web Application Firewall）

5 概述

5.1 ICS基本構成

      按GB/T 36324-2018中4.1，ICS包括但不限于以下部分。

      a）核心組件：包括SCADA、DCS、PLC等控制系統(tǒng)和控制設備，以及各組件通信的接口單元。

      b）控制過程：由控制回路、工業(yè)主機、遠程診斷與維護工具三部分完成，控制回路用以控制邏輯運算，工業(yè)主機執(zhí)行信息交換，遠程診斷與維護工具用于出現(xiàn)異常操作時進行診斷和恢復。

      c) 結構層次：參考GB/T22239-2019中附錄G，ICS及相關聯(lián)系統(tǒng)從上到下共分為企業(yè)資源層、生產管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設備層等五層。在實際工業(yè)生產環(huán)境中，可出現(xiàn)相鄰兩層的功能由一個系統(tǒng)、設備來實現(xiàn)，即在物理上并未分開。

5.2 安全防護對象和目的

      本文件中ICS安全防護對象包括：現(xiàn)場設備層、現(xiàn)場控制層和過程監(jiān)控層工業(yè)控制資產。

      本文件給出了物理環(huán)境安全防護等八項技術要求指標和軟件開發(fā)安全防護等兩項保障要求指標，安全防護目的包括如下內容。

      a） 安全防護技術要求：

      1) 物理環(huán)境安全防護的目的是防止人員未經授權訪問、損壞和干擾ICS資產，避免受到外部物理環(huán)境因素影響，保護ICS的外部運行環(huán)境；

      2) 網絡通信安全防護的目的是保護ICS中傳輸?shù)臄?shù)據的完整性和保密性，維護ICS內部以及與外部網絡之間信息的安全傳輸；

      3) 網絡邊界安全防護的目的是安全訪問ICS，避免非授權訪問，及時發(fā)現(xiàn)并有效保護ICS免受惡意入侵和攻擊，部分行業(yè)的應用場景見附錄A；

      4) 工業(yè)主機安全防護的目的是有效控制工業(yè)主機訪問行為，避免非授權訪問，防止工業(yè)主機受到非法入侵或造成工業(yè)數(shù)據泄漏；

      5) 控制設備安全防護的目的是安全訪問控制設備，阻止非授權訪問，避免控制設備受到惡意入侵、攻擊或非法控制；

      6) 數(shù)據安全防護的目的是保護數(shù)據全生存周期的完整性和保密性，防止未經授權使用和處理數(shù)據、惡意篡改和竊取數(shù)據等現(xiàn)象發(fā)生，數(shù)據安全防護對象見附錄B；

      7) 防護產品安全的目的是產品功能安全可靠、管控策略有效，避免因產品自身功能缺陷給ICS的正常運行帶來安全隱患；

      8) 系統(tǒng)集中管控的目的是集中維護和管控ICS，統(tǒng)一制定與部署安全策略，集中響應安全事件，典型部署方式見附錄C。

      b) 安全防護保障要求：

      1）軟件開發(fā)安全防護的目的是控制ICS軟件的安全開發(fā)，避免軟件自身存在安全隱患；

      2) 系統(tǒng)維護安全防護的目的是有效控制系統(tǒng)維護過程，避免系統(tǒng)在維護過程中受到干擾、惡意入侵，或發(fā)生數(shù)據泄露、被破壞或篡改等現(xiàn)象。

      本文件提出的安全防護技術要求和保障要求分為四個等級，與GB/T 22239-2019、GB/T 36324-2018提出的相應安全保護等級要求保持一致，并按梯次推進的方式給出了不同安全保護等級ICS所對應的技術要求和保障要求。

      測試評價方法是針對ICS運營單位執(zhí)行本文件安全防護技術要求和保障要求的情況進行測試評價的一般方法，也可根據自身關注點自行調整測試評價指標。測試評價流程見附錄D。

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。