犐犆犛犆犆犛犔中华人民共和国国家标准犌犅犜信息安全技术工业控制系统安全防护技术要求和测试评价方法犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔犛犲犮狌狉犻狋狔狆狉狅狋犲犮狋犻狅狀狋犲犮犺狀犻犮犪犾狉犲狇狌犻狉犲犿犲狀狋狊犪狀犱狋犲狊狋犻狀犵犲狏犪犾狌犪狋犻狅狀犿犲狋犺狅犱狊狅犳犻狀犱狌狊狋狉犻犪犾犮狅狀狋狉狅犾狊狔狊狋犲犿狊发布实施国家市场监督管理总局国家标准化管理委员会发布犌犅犜目次前言引言范围规范性引用文件术语和定义缩略语概述基本构成安全防护对象和目的安全防护措施的约束条件安全防护技术要求物理环境安全防护网络通信安全防护网络边界安全防护工业主机安全防护控制设备安全防护数据安全防护防护产品安全系统集中管控安全防护保障要求软件开发安全防护系统维护安全防护测试评价方法物理环境安全防护网络通信安全防护网络边界安全防护工业主机安全防护控制设备安全防护数据安全防护防护产品安全系统集中管控软件开发安全防护系统维护安全防护附录资料性网络边界安全防护典型应用参考场景电力汽车制造犌犅犜石油开采轨道交通化工市政水务附录资料性数据安全保护对象附录资料性系统集中管控典型部署方式附录资料性安全防护测试评价流程参考文献图电力监控系统网络边界安全防护典型部署方式图汽车制造厂网络边界安全防护典型部署方式图采油厂网络边界安全防护典型部署方式图轨道交通网络安全防护典型部署方式图化工厂网络边界安全防护典型部署方式图市政燃气网络边界安全防护典型部署方式图自来水厂网络边界安全防护典型部署方式图数据安全保护对象示意图图系统集中管控典型部署方式图安全防护测试评价流程图犌犅犜前言本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定起草请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任本文件由全国信息安全标准化技术委员会提出并归口本文件起草单位上海三零卫士信息安全有限公司中国信息安全测评中心中国电子技术标准化研究院中国网络安全审查技术与认证中心公安部第三研究所中国石化上海高桥石油化工有限公司上海工业自动化仪表研究院有限公司中移杭州信息技术有限公司国家信息技术安全研究中心上海核工程研究设计院有限公司北京天融信网络安全技术有限公司北京和利时系统工程有限公司上海市信息安全测评认证中心北京圣博润高新技术股份有限公司陕西省网络与信息安全测评中心北京威努特技术有限公司中国电子科技网络信息安全有限公司中国电子科技集团公司第十五研究所西南交通大学国家工业信息安全发展研究中心国家应用软件产品质量监督检验中心中国航空油料集团有限公司中国电子科技集团公司电子科学研究院成都卫士通信息产业股份有限公司北京奇虎科技有限公司奇安信科技集团股份有限公司中国电力科学研究院有限公司江苏敏捷科技股份有限公司卡斯柯信号有限公司上海申通地铁集团有限公司青岛地铁集团有限公司上海电气泰雷兹交通自动化系统有限公司北京交通大学智巡密码上海检测技术有限公司北京市地铁运营有限公司通信信号分公司全球能源互联网研究院有限公司吉林省电子信息产品检验研究院深信服科技股份有限公司中国矿业大学北京国网新疆电力有限公司电力科学研究院中国华电集团有限公司中国平安保险集团股份有限公司中科信息安全共性技术国家工程研究中心有限公司上海工业控制安全创新科技有限公司华东师范大学北京和仲宁信息技术有限公司中国华能集团有限公司柳州市东科智慧城市投资开发有限公司中国石油天然气股份有限公司西北销售分公司中国石油天然气股份有限公司长庆石化分公司北京中油瑞飞信息技术有限责任公司本文件主要起草人张毅干露李绪国饶志宏李斌李嵩顾健高洋李琳申永波陆臻邹春明徐国忠王英陆炜郭旭袁专毛磊安高峰刘盈徐佟海赵宇杨帆杨向东冯全宝唐林兰昆董晶晶王丹琛陈雪鸿王坤赵振学司瑞彬李瑞张屹王李凌倪海燕崔科李建全王大庆左旭涛高翔唐涛郭筝郭一力梁潇华颜涛叶润国谭波李峰舒斐李辉于惊涛孟源胡建勋蒲戈光刘虹陈铭松纪璐杨硕石永杰于慧超王飞张兴王小宏赵朋犌犅犜引言本文件结合国家已发布的法律法规政策性文件和标准并重点根据信息安全技术网络安全等级保护基本要求增加和细化安全防护技术指标控制点和控制项为相关方开展工业控制系统安全等级保护和日常安全防护工作提供更具操作性的依据与本文件相关的标准化文件包括信息安全技术网络安全等级保护基本要求信息安全技术网络安全等级保护测评要求信息安全技术工业控制系统安全管理基本要求信息安全技术工业控制系统信息安全分级规范信息安全技术工业控制系统信息安全检查指南犌犅犜信息安全技术工业控制系统安全防护技术要求和测试评价方法范围本文件规定了工业控制系统安全防护技术要求保障要求和测试评价方法本文件适用于工业控制系统建设运营维护等规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于本文件工业自动化仪表盘柜台箱信息安全技术网络安全等级保护基本要求信息安全技术术语信息安全技术工业控制系统信息安全分级规范信息安全技术工业控制系统专用防火墙技术要求术语和定义和界定的以及下列术语和定义适用于本文件工业控制资产犻狀犱狌狊狋狉犻犪犾犮狅狀狋狉狅犾犪狊狊犲狋工业生产控制过程中具有价值的软硬件资源和数据注包括控制设备工业主机网络设备应用程序工业数据等中心控制室犮犲狀狋狉犪犾犮狅狀狋狉狅犾狉狅狅犿位于组织内具有生产操作过程控制安全保护仪器仪表维护和生产管理等功能的综合性场所现场控制室犳犻犲犾犱犮狅狀狋狉狅犾狉狅狅犿位于组织内生产现场具有生产操作过程控制和安全保护等功能的场所现场机柜室犳犻犲犾犱犪狌狓犻犾犻犪狉狔狉狅狅犿位于组织内生产现场用于安装工业控制系统机柜及其他设备的场所控制设备犮狅狀狋狉狅犾犲狇狌犻狆犿犲狀狋工业生产过程中用于控制执行器以及采集传感器数据的装置注包括现场控制单元以及等进行生产过程控制的单元设备犌犅犜工业主机犻狀犱狌狊狋狉犻犪犾犺狅狊狋工业生产控制各业务环节涉及组态工作流程和工艺管理状态监控运行数据采集以及重要信息存储等工作的设备注包括工程师站操作员站服务器等双机热备犱狌犪犾犿犪犮犺犻狀犲犺狅狋狊狋犪狀犱犫狔通过网络连接主机和从机正常情况下主机处于工作状态从机处于监视状态一旦主机异常从机自动代替主机缩略语下列缩略语适用于本文件高级持续性威胁客户前置设备分布式控制系统分布式网络协议文本传输协议人机界面以安全为目标的超文本传输协议通道工业控制系统国际电工委员会互联网协议互联网安全协议媒体存取控制对象连接与嵌入用于过程控制的可编程逻辑控制器恢复点目标恢复时间目标远程终端单元监视控制与数据采集简单网络管理协议安全外壳安全套接层传输控制协议虚拟专用网络网络应用防火墙犌犅犜概述犐犆犛基本构成按中包括但不限于以下部分核心组件包括等控制系统和控制设备以及各组件通信的接口单元控制过程由控制回路工业主机远程诊断与维护工具三部分完成控制回路用以控制逻辑运算工业主机执行信息交换远程诊断与维护工具用于出现异常操作时进行诊断和恢复结构层次参考中附录及相关联系统从上到下共分为企业资源层生产管理层过程监控层现场控制层和现场设备层等五层在实际工业生产环境中可出现相邻两层的功能由一个系统设备来实现即在物理上并未分开安全防护对象和目的本文件中安全防护对象包括现场设备层现场控制层和过程监控层工业控制资产本文件给出了物理环境安全防护等八项技术要求指标和软件开发安全防护等两项保障要求指标安全防护目的包括如下内容安全防护技术要求物理环境安全防护的目的是防止人员未经授权访问损坏和干扰资产避免受到外部物理环境因素影响保护的外部运行环境网络通信安全防护的目的是保护中传输的数据的完整性和保密性维护内部以及与外部网络之间信息的安全传输网络边界安全防护的目的是安全访问避免非授权访问及时发现并有效保护免受恶意入侵和攻击部分行业的应用场景见附录工业主机安全防护的目的是有效控制工业主机访问行为避免非授权访问防止工业主机受到非法入侵或造成工业数据泄漏控制设备安全防护的目的是安全访问控制设备阻止非授权访问避免控制设备受到恶意入侵攻击或非法控制数据安全防护的目的是保护数据全生存周期的完整性和保密性防止未经授权使用和处理数据恶意篡改和窃取数据等现象发生数据安全防护对象见附录防护产品安全的目的是产品功能安全可靠管控策略有效避免因产品自身功能缺陷给的正常运行带来安全隐患系统集中管控的目的是集中维护和管控统一制定与部署安全策略集中响应安全事件典型部署方式见附录安全防护保障要求软件开发安全防护的目的是控制软件的安全开发避免软件自身存在安全隐患系统维护安全防护的目的是有效控制系统维护过程避免系统在维护过程中受到干扰恶意入侵或发生数据泄露被破坏或篡改等现象本文件提出的安全防护技术要求和保障要求分为四个等级与提出的相应安全保护等级要求保持一致并按梯次推进的方式给出了不同安全保护等级所对应的技术要求和保障要求测试评价方法是针对运营单位执行本文件安全防护技术要求和保障要求的情况进行测试评价的一般方法也可根据自身关注点自行调整测试评价指标测试评价流程见附录犌犅犜安全防护措施的约束条件安全防护措施的约束条件包括采用的网络边界隔离等技术防护手段应符合国家和所在行业规定要求并采用经具备资格的第三方机构检测合格的安全产品数据传输和存储过程中所采用的密码技术应经过国家密码主管部门核准与涉密信息系统之间连接应符合国家保密规定和相关标准要求任何情况下都不应因采用安全防护技术措施而影响的正常运行或对系统的安全功能产生不利影响例如不应锁定用于基本功能的账户不应因部署安全措施而显著增加延迟并影响系统的响应时间不应因安全措施失效导致系统的基本功能中断等在符合本文件提出的技术要求时如经评估对可用性有较大影响而无法实施可调整要求并研究制定相应的补偿防护措施但采取补偿防护措施后不应降低原有要求的整体安全防护强度安全防护技术要求物理环境安全防护位置选择第一级机房中心控制室现场控制室应位于具有防震能力的建筑物内并应具有所在建筑物符合当地抗震设防标准的证明第二级本项要求包括应符合机房中心控制室现场控制室应避免设在建筑物的高层或地下室以及用水设备的下层或隔壁如不可避免应采取有效的防水防潮措施第三级第四级本项要求包括应符合机房中心控制室现场控制室应避开发生火灾危险程度高的区域机房中心控制室现场控制室应避开产生粉尘油烟有害气体源以及存放腐蚀易燃易爆物品的地方机房中心控制室现场控制室应避开低洼潮湿落雷重盐害区域和地震频繁的地方机房中心控制室现场控制室应避开强振动源和强噪声源机房中心控制室现场控制室应避开强电磁干扰源如以上无法避免应采取相应措施访问控制第一级第二级本项要求包括犌犅犜来访人员进入机房中心控制室现场控制室前应提出申请并通过审批应记录其随身携带的设备进出时间和工作内容应有专人陪同并限制和监控其活动范围机房中心控制室出入口应安排专人值守或配置电子门禁系统控制识别