Standards Settingthe StandardforAutomationm Certification ISA Education & Training Publishing Conferences &Exhibits 美国国家标准 ANSI/ISA-62443-3-2-2020 工业自动化和安全 控制系统,第 3-2 部分:安全风险 系统设计评估 2020年8月11日批准 版权声明 这是受版权保护的文档 的副本仅供ISA提供过 限制。 不得以印刷版、电子版或任何其他形式向任何其他人提供。 侵犯ISA版权的行为将受到法律的最大程度的起诉,并可能导致 严重的民事和刑事处罚。 AlTranslatedbyLanGPT3-1 ANSI/ISA-62443-3-2-2020 工业自动化和控制系统的安全， 第3-2部分：系统设计的安全风险评估 国际标准书号：978-1-64331-116-6 版权所有③2020国际自动化协会(ISA)。版权所有。不得转售。美国印刷。未经出版商事先书面许可，不得以任何形式或通过任何方式（电子、机 械、复印、录音或其他方式)复制、存储在检索系统中或传播本出版物的任何部分 ISA 67TW亚历山大大道 邮政信箱12277 三角研究园，NC27709美国 AlTranslatedbyLan_GPT3-1 -3- ANSI/ISA-62443-3-2-2020 前言 本前言以及所有脚注和附件仅供参考，不属于ANSI/ISA-62443-3-2-2020的一部分。 本文件是国际自动化协会ISA服务的一部分，旨在实现仪器仪表领域的统一目标。为了具有真正的价值,本文件不应是静态的，而应定期审查。为此，协会 欢迎所有意见和批评，并要求将其提交给标准与实践委员会秘书；ISA；67TW亚历山大大道;邮政信箱12277;三角研究园，北卡罗来纳州27709;电 话(919)549-8411;传真(919)549-8288;电子邮件：[email protected]。 ISA标准和实践部门意识到,在制定仪器标准时,越来越需要关注公制单位，特别是国际单位制(SI)。美国商务部进一步意识到ISA标准的美国用户在与 其他国家的业务和专业往来中纳入适当的SI（和公制系统)参考所带来的好处。为此,该部门将尽力在所有新的和修订的标准、推荐做法和技术报告中引 入S可接受的公制单位。国际单位制(SI)使用标准:现代公制,由美国测试与材料学会出版，名称为IEEE/ASTMSI10-97,以及未来的修订版,将成为定 义、符号、缩写和换算系数。 ISA的政策是鼓励和欢迎所有相关个人和利益相关者参与ISA标准、推荐实践和技术报告的制定。 个人参与ISA标准制定过程绝不构成该个人的雇主对该个人、ISA或ISA制定的任何标准、建议实践和技术报告的认可。 注意－ISA遵守美国国家标准协会有关专利的政策。如果ISA获悉使用该标准所需的现有专利，它将要求专利所有者授予符合该标准的用户使用该专利 的免版税许可，或者以合理条款授予许可以及不受不公平歧视的条件。 即使ISA不知道涵盖本标准的任何专利，用户也应注意，该标准的实施可能需要使用专利权涵盖的技术、流程或材料。ISA对于实施该标准可能涉及的 任何专利权的存在或有效性不采取任何立场。ISA不负责识别在实施标准之前可能需要许可的所有专利，也不负责调查引起其注意的任何专利的有效 性或范围。用户在将标准用于其预期应用之前,应仔细调查相关专利。 然而，ISA要求审查该标准的任何人如果知道任何可能影响该标准实施的专利，请将该专利及其所有者通知ISA标准和实践部门。 此外,本标准的使用可能涉及危险材料、操作或设备。该标准无法预见所有可能的应用或解决与危险条件下使用相关的所有可能的安全问题。本标准的使 用者必须对其在特定情况下的使用和适用性做出合理的专业判断。在实施本标准之前，用户还必须考虑任何政府监管限制以及既定的安全和健康实践的 适用性。 AlTranslatedbyLan_GPT3-1 - 4 - ANSI/ISA-62443-3-2-2020 以下人员担任1SA99工作组04、任务组03的积极成员，负责编写本文档： 姓名 公司 贡献者 审稿人 约翰·库西马诺，TG主席 AE解决方案 x Rahul Bhojani,前 TG 主席 血压 x 延斯·布拉班德 西门子 x 埃里克·拜尔斯 aDolus公司 x 马丁德·卡卢韦 陶氏化学公司 x 埃里克·科斯曼 OIT概念有限责任公司 x 威廉·J科特 3M公司 x 艾德·克劳福德 雪佛龙 x 保罗迪迪埃 x 鲍勃·埃文斯 个人 吉姆·吉尔辛 凯内克西斯 x 安德鲁·金特 托马斯·古德 杜邦公司 x 维克哈蒙德 阿贡国家实验室 x 让-皮埃尔·奥埃 KB情报 x 丹尼斯·霍尔斯坦 OPUS咨询集团 X 埃里克·霍普 罗克韦尔 x 西夫·希尔德·洪布 安全-NOKAS 戴夫·约翰逊 埃克西达 X 乔尔·兰吉尔 AECOM 约翰·莱利斯 个人 X 苏珊·莱特曼 X 肯·凯泽 安永 皮埃尔·科布斯 西门子 X 迈克尔·麦道夫 埃克西达 x 肯尼·梅斯科 雪佛龙 x 约翰·奈伊 ICS 大师有限责任公司 x 布莱恩·欧文 欧西软件公司 x 丹尼斯-帕克 雪佛龙 x 米哈尔·保尔斯基 埃森哲 X 杰夫·波特 独立顾问 X 朱迪思·罗塞博 ABB X 拉格纳·席尔霍尔茨 ABB x 奥马尔·谢林 Q-证书 x 凯文·斯塔格斯 霍尼韦尔 莱昂·C-斯坦诺彻 红石投资者 x 武部龙明 横河 x 哈尔托马斯 埃克西达 x 路德维希·温克尔 [ 西门子 x AlTranslatedbyLan_GPT3-1 - 5 - ANSI/ISA-62443-3-2-2020 该标准已由ISA标准与实践委员会批准出版 2020年8月3日。 姓名 联系 C.Monchinski副总统D.Bartusiak D.Brandl P. 自动控制概念公司 Brett E. Cosman D. 埃克森美孚研究与工程 Dunn J. BR&L咨询公司 Federlein 霍尼韦尔公司 B. Fitzpatrick JP OIT概念有限责任公司 Hauet D. Lee 瓦尔德马·S·尼尔森公司 G. Lehmann T. 费德莱因联合有限责任公司 McAvinew V. Mezzano 木材公司 G. Nasby M. 豪埃网 Nixon D. 艾默生自动化解决方案 Reed N. Sands H. AECOM Sasajima H. Storey 顾问 I. Verhappen D. 福陆公司 Visnich W. 圭尔夫市供水服务 Weidman J. 艾默生过程管理 Weiss M. 罗克韦尔自动化 Wilkins D. 杜邦公司 Zetterberg Fieldcomm GroupInc.亚太地区 赫尔曼斯托里咨询公司 工业自动化网络 伯恩斯和麦克唐纳 顾问 应用控制解决方案有限责任公司 横河英国有限公司 雪佛龙能源技术公司 AlTranslatedbyLan_GPT3-1 此页有意留为空白。 AlTranslatedbyLanGPT3-1 7 ANSI/ISA-62443-3-2-2020 内容 前言 介绍. 11 1范围. 13 2规范性引用文件 3术语、定义、缩写术语、首字母缩略词和约定 13 3.1术语和定义. 13 3.2缩略术语和首字母缩略词 163.3约 4区域、管道和风险评估要求 17 4.1 概述 4.2ZCR1:识别SUC 194.2.1ZCR1.1:识别SUC边界和接入 点 194.3ZCR2:初始网络安全风险评估 19 4.3.1ZCR2.1执行初始网络安全风险评估 194.4ZCR3:分区将SUC划分为区域和管 道 4.4.1概述 19 4.4.2ZCR3.1建立区域和管道 20 4.4.3ZCR3.2:独立的业务和IACS资产 204.4.4ZCR3.3:独立的安全相关资 204.4.5ZCR3.4分离临时连接的设备 214.4.6ZCR 3.5:单独的无线设备 214.4.7ZCR3.6通过外部网络连接的单独设备.. 214.5ZCR4:风险比较 .214.5.1概 述 21 4.5.2ZCR4.1:比较初始风险与可容忍风险 214.6ZCR5执行详细的网络安全风险评 估： 224.6.1概述 22 4.6.2ZCR5.1:识别威胁 234.6.3ZCR5.2:识别漏 洞 244.6.4ZCR5.3确定后果和影 响 244.6.5ZCR5.4:确定完全的可能 性. .254.6.6ZCR5.5:确定未缓解的网络安全风 险. 254.6.7ZCR5.6:确定SL 25 4.6.8ZCR5.7:比较未缓解的风险与可容忍的风险 264.6.9ZCR5.8:确定并评估现有对 策. ..264.6.10ZCR5.9:重新评估可能性和影响 26 4.6.11ZCR5.10确定残余风险 27 4.6.12ZCR5.11:比较残余风险与可容忍风险 274.6.13ZCR5.12:确定额外的网络安全对