| 标准编号 | GB/T 33007-2016 (GB/T33007-2016) | | 中文名称 | 工业通信网络 网络和系统安全 建立工业自动化和控制系统安全程序 | | 英文名称 | Industrial communication networks -- Network and system security -- Establishing an industrial automation and control system security program | | 行业 | 国家标准 (推荐) | | 中标分类 | N10 | | 国际标准分类 | 25.040.40 | | 字数估计 | 130,146 | | 发布日期 | 2016-10-13 | | 实施日期 | 2017-05-01 | | 标准依据 | 国家标准公告2016年第17号 | | 发布机构 | 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 | GB/T 33007-2016
Industrial communication networks--Network and system security--Establishing an industrial automation and control system security program
ICS 25.040.40
N10
中华人民共和国国家标准
工业通信网络 网络和系统安全
建立工业自动化和控制
系统安全程序
2016-10-13发布
2017-05-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目次
前言 Ⅴ
引言 Ⅵ
1 范围 1
2 规范性引用文件 1
3 术语和定义、缩略语和约定 1
3.1 术语和定义 1
3.2 缩略语和缩略词 5
3.3 约定 7
4 网络安全管理系统的元素 7
4.1 概述 7
4.2 类别:风险分析 9
4.3 类别:采用CSMS处理风险 10
4.4 类别:CSMS监视与改进 24
附录A(规范性附录) CSMS元素开发指导 27
A.1 概述 27
A.2 类别:风险分析 28
A.3 类别:用SCSMS解决风险 49
A.4 分类:监视和提高CSMS 100
附录B(资料性附录) 开发CSMS的过程 106
B.1 概述 106
B.2 过程的描述 106
B.3 活动:初始化CSMS项目 107
B.4 活动:高级风险评估 107
B.5 过程的描述 108
B.6 活动:建立安全策略,组织和意识 109
B.7 活动:措施选择和实施 111
B.8 活动:维护CSMS 111
附录C(资料性附录) 与ISO/IEC 27001要求的映射 113
C.1 概述 113
C.2 本标准同ISO/IEC 27001:2005的映射 113
C.3 ISO/IEC 27001:2005同本标准的映射 117
参考文献 121
图1 网络安全管理系统元素的图形化视图 8
图2 风险分析类别的图形化视图 9
图3 元素组:安全、策略、组织的图形化视图 11
图4 元素组:选择的安全措施的图形化视图 15
图5 元素组实现的图形表示 20
图6 图形视图类:监视与改进CSMS 24
图A.1 网络安全管理系统的元素的图形视图 28
图A.2 类别:风险分析的图形视图 28
图A.3 1998年至2004年计算机系统遭受攻击的数量报导(来源:CERT) 31
图A.4 IACS数据采集样品的逻辑单 41
图A.5 形象的逻辑网络控制图的例子 44
图A.6 元素组的图形视图:安全政策、组织和意识 49
图A.7 元素组的图形视图:选定的安全措施 61
图A.8 一个分段结构的参考结构例图 67
图A.9 SCADA参考架构与分割结构示例 69
图A.10 访问控制:账户管理 71
图A.11 访问控制:认证 74
图A.12 访问控制:授权 78
图A.13 实施方案图表 80
图A.14 安全等级生命周期模型:评估阶段 82
图A.15 企业安全区域模板结构 84
图A.16 IACS安全区域 85
图A.17 安全等级生命周期模式:开发与实现阶段 87
图A.18 安全等级生命周期:维护阶段 90
图A.19 分类的图示:计算机安全管理系统的监控与改进 100
图B.1 建立一个CSMS的顶级活动 106
图B.2 活动和活动的依赖关系:初始化CSMS项目 107
图B.3 活动及活动的从属:高等级风险评估 108
图B.4 活动和活动相关性:详细风险评估 109
图B.5 活动和活动相关性:建立安全策略,组织和意识 109
图B.6 培训和组织职责分配 110
图B.7 活动和活动相关性:措施选择和实施 111
图B.8 活动和活动相关性:CSMS维护 112
表1 商业理念:需求 9
表2 风险识别、分类和评估:需求 10
表3 CSMS范围:需求 12
表4 安全的组织:需求 12
表5 员工培训和安全意识:需求 13
表6 业务连续性计划:需求 13
表7 安全策略和规程:需求 14
表8 人员安全:需求 16
表9 物理和环境安全:需求 17
表10 网络划分需求 17
表11 访问控制-账户管理:需求 18
表12 访问控制-认证:需求 19
表13 访问控制-授权:需求 20
表14 风险管理与实现的需求 21
表15 系统开发与维护的需求 21
表16 信息和文件管理的需求 22
表17 事件规划与响应的需求 23
表18 一致性:需求 25
表19 审查、改进和维护的CSMS的需求 25
表A.1 典型的可能性集 38
表A.2 典型的后果集 39
表A.3 典型的风险级别矩阵 39
表A.4 基于IACS风险等级的应对防护措施示例 81
表A.5 IACS资产评价结果实例 83
表A.6 IACS资产评价结果和风险等级实例 83
表A.7 IACS的目标安全等级 85
表C.1 本标准的要求到ISO/IEC 27001:2005的参考映射 113
表C.2 ISO/IEC 27001要求与本标准的映射 117
前言
本标准按照GB/T 1.1-2009《标准化工作导则 第1部分:标准的结构和编写》和GB/T 20000.2-
2009《标准化工作指南 第2部分:采用国际标准》给出的规则起草。
本标准使用翻译法等同采用IEC 62443-2-1:2010《工业通信网络 网络和系统安全 第2-1部分:
建立工业自动化和控制系统安全程序》(英文版)。其技术内容、文本结构以及表达形式与
IEC 62443-2-1:2010完全等同。
为了方便使用,本标准作了下列编辑性修改:
---删除了原文中的前言;
---将介绍部分的内容作为本标准的引言;
---如果不做说明,文中的“安全”都是指“网络安全”。
本标准由中国机械工业联合会提出。
本标准由全国工业过程测量控制和自动化标准化技术委员会(SAC/TC124)和全国信息安全标准
化技术委员会(SAC/TC260)归口。
本标准起草单位:机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究院、中国电力
科学研究院、中国核电工程有限公司、上海自动化仪表股份有限公司、北京交通大学、东土科技股份有限
公司、清华大学、西门子(中国)有限公司、浙江大学、西南大学、重庆邮电大学、施耐德电气(中国)有限公
司、北京钢铁设计研究总院、华中科技大学、北京奥斯汀科技有限公司、罗克韦尔自动化(中国)有限公
司、中国仪器仪表学会、北京和利时系统工程有限公司、工业和信息化部电子第五研究所、中国科学院沈
阳自动化研究所、北京海泰方圆科技有限公司、青岛多芬诺信息安全技术有限公司、北京国电智深控制
技术有限公司、北京力控华康科技有限公司、广东航宇卫星科技有限公司、华北电力设计院工程有限公
司、华为技术有限公司、启明星辰、中国电子科技集团公司第三十研究所、深圳万讯自控股份有限公司、
中标软件有限公司、横河电机(中国)有限公司北京研发中心。
本标准主要起草人:王玉敏、范科峰、梁潇、冯冬芹、王亦君、华镕、陈小淙、张建军、薛百华、许斌、
高昆仑、王雪、刘枫、王浩、夏德海、周纯杰、张莉、王弢、刘杰、孙昕、徐皑冬、朱毅明、孙静、胡伯良、梅恪、
刘安正、田雨聪、方亮、马欣欣、王勇、杜佳琳、陈日罡、李锐、刘利民、孔勇、刘文龙、李琳、黄敏、朱镜灵、
张智、何佳、张建勋、孟雅辉、兰昆、成继勋、丁露、陈小枫、杨应良、杨磊。
引 言
0.1 概述
网络安全是一个在现代组织中日益重要的话题。多年来,许多涉及信息技术和业务的组织一直在
关注网络安全,并且按照ISO 和IEC 标准已经建立了行之有效的网络安全管理系统(CSMS)(见
ISO/IEC 17799[23]1和ISO/IEC 27001[24]),这些管理系统为组织机构提供了一种行之有效的方法
来保护其资产免受网络攻击。
工业自动化控制系统(IACS)组织已经开始在日常流程中使用为业务系统开发的商用现成技术
(COTS),这使得IACS设备受到网络攻击的可能性随之增加。由于多方面的原因,在对抗网络攻击方
面这些系统通常不如专为IACS环境设计的系统那么健壮。这些弱点可能导致健康、安全和环境方面
(HSE)的后果。
在没有理解这些后果的情况下,组织可能会试图使用已有的信息技术和业务安全方案来解决
IACS的安全问题。尽管许多解决方案可以应用到IACS,但是需要采取正确的方式以消除不良后果。
0.2 IACS的网络安全管理系统
管理系统通常提供管理系统中应包括什么的指导,但不提供关于如何去开发管理体系的指导。本
标准为阐述IACS的CSMS包含的元素,同时也提供如何为IACS开发CSMS的指导。
面对一个具有挑战性的问题时,一个非常常见的工程方法是将问题分解成更小的子问题,按照分治
方式解决每个子问题。这是解决IACS网络安全风险的合理途径。然而,在解决网络安全方面常犯的
错误是,试图用一套系统一次解决所有的网络安全问题。网络安全是一个更大的挑战,需要考虑整个
IACS以及环绕和利用IACS的政策、规程、实践和人员。实施这样大范围的管理系统可能需要组织内
部的文化变革。
在整个组织范围的基础上解决网络安全是一项艰巨的任务。但是对于安全来说,没有现成的解决
方案。这很容易理解,因为没有适合所有情况的安全实践。理论上绝对的安全也许能实现,但是这很可
能是不可取的,因为要达到这样近乎完美的状态必然要损失实用性。安全实际上是一个风险和成本的
平衡。所有的情况有所不同。在某些情况下,风险可能与 HSE因素有关而不是单纯的经济影响。风
险可能带来不可恢复的后果而不是暂时性的财务挫折。因此一个强制性安全实践的解决方案集要么过
于严格,费用昂贵无法遵循,要么不足以应对风险。
0.3 本标准与ISO/IEC 17799和ISO/IEC 27001的关系
ISO/IEC 17799[23]和ISO/IEC 27001[24]是描述业务/信息技术系统的网络安全管理系统的优秀
标准。这些标准中的内容大部分也适用于IACS。该标准强调IACS网络安全实践的管理与业务/信息
技术系统网络安全的管理之间需保持一致。这些程序的一致性可以节约开销。该标准鼓励用户阅读
ISO/IEC 17799和ISO/IEC 27001获得额外的支持信息。本标准基于这些ISO/IEC 标准制定,强调
IACS和一般业务/信息技术系统的重要差异。本标准引入一个重要的概念,IACS的网络安全风险可
能带来HSE影响,应与其他现有风险管理实践结合来应对这些风险。
工业通信网络 网络和系统安全
建立工业自动化和控制
系统安全程序
1 范围
本标准规定了如何在工业自动化和控制系统(IACS)中建立网络安全管理系统,并且提供了如何开
发这些元素的指南。本标准与IEC 62443-1-1中描述的IACS相比,其定义和范围更广泛。
本标准中描述的CSMS中的元素主要是政策、过程、规程以及与人员相关的内容,描述了在组织范
围内最终的CSMS将要包括或应当包括哪些内容。
注1:IEC 62443系列标准和参考文献中的其他文档讨论了有关安全的更细致的具体的技术和方案。
怎样开发CSMS的指导是一个例子,它代表了作者的观点:一个组织可以去开发元素,但它未必能
在所有的情况下应用。为了给组织开发一套功能完整的CSMS,本标准的用户必须仔细地阅读需求和
适当地使用指导。本标准所讨论的策略和规程应该根据组织需要进行剪裁。
注2:可能有这种情况,如企业已经有自己的CSMS并增加了IACS,或完全没有正式建立CSMS。作者不能为
IACS建立CSMS的组织预测所有情况,因此本标准不试图为所有情况提供解决方案。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文......
|