2019信息安全技術(shù) 工業(yè)控制系統(tǒng)安全檢查指南

提供pdf版信息安全技術(shù)工業(yè)控制系統(tǒng)安全檢查指南II目 次言.....................… 皿弓I言 N1規(guī)范性弓1術(shù)語和定義 12檢查方式 2檢查工作流程 3檢查內(nèi)容的選擇法 51722檢查內(nèi)1722A(資料性附錄）B資料性附錄）mmIVIV言引言計(jì)民生緊密相關(guān)的領(lǐng)域。工業(yè)控制系統(tǒng)指應(yīng)用于工業(yè)領(lǐng)域的數(shù)據(jù)采集、監(jiān)視與控制系統(tǒng)，是由計(jì)算機(jī)設(shè)備、工業(yè)過程控制組件和網(wǎng)絡(luò)組成的控制系統(tǒng)，是工業(yè)領(lǐng)域的神經(jīng)中樞。工業(yè)領(lǐng)域使用的控制系統(tǒng)包括監(jiān)控與數(shù)據(jù)采集系統(tǒng)(SCADA)、分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)系統(tǒng)等。近年來針信息安全技術(shù)工業(yè)控制系統(tǒng)安全檢查指南范圍本標(biāo)準(zhǔn)給出了工業(yè)控制系統(tǒng)信息安全檢查的范圍、方式、流程、方法和內(nèi)容。本標(biāo)準(zhǔn)適用千開展工業(yè)控制系統(tǒng)的信息安全監(jiān)督檢查、委托檢查工作，同時(shí)也適用千各企業(yè)在本集團(tuán)（系統(tǒng)）范圍內(nèi)開展相關(guān)系統(tǒng)的信息安全自檢查。注1本標(biāo)準(zhǔn)適用的檢查范圍是廣泛應(yīng)用于核設(shè)施、鋼鐵、有色、化工、石油石化、電力、天然氣、先進(jìn)制造、水利樞紐、環(huán)境保護(hù)、鋼鐵、城市軌道交通、民航、城市供水供氣供熱以及其他與國計(jì)民生緊密相關(guān)領(lǐng)域的工業(yè)控制系統(tǒng)．規(guī)范性引用文件下列文件對(duì)千本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用千本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用千本文件．GB/T25069—2010信息安全技術(shù)術(shù)語GB/T32919—2016信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南術(shù)語和定義GB/T25069一2010和GB/T32919—2016界定的以及下列術(shù)語和定義適用千本文件。3.1工業(yè)控制系統(tǒng) industrialcontrolsystem由各種自動(dòng)化控制組件以及對(duì)實(shí)時(shí)數(shù)據(jù)進(jìn)行采集、監(jiān)測(cè)的過程控制組件共同構(gòu)成的確保工業(yè)基礎(chǔ)設(shè)施自動(dòng)化運(yùn)行、過程控制與監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)。注：工業(yè)控制系統(tǒng)的核心組件包括監(jiān)控和數(shù)據(jù)采集系統(tǒng)、分布式控制系統(tǒng)、可編程邏輯控制器、主終端單元、遠(yuǎn)程終端單元、上位機(jī)，以及確保各組件通信的接口技術(shù)．3.2監(jiān)控和數(shù)據(jù)采集系統(tǒng) supervisorycontrolanddataacquisitionsystem在工業(yè)生產(chǎn)控制過程中，對(duì)大規(guī)模遠(yuǎn)距離地理分布的資產(chǎn)和設(shè)備在廣域網(wǎng)環(huán)境下進(jìn)行集中式數(shù)據(jù)采集與監(jiān)控管理的控制系統(tǒng)。注：SCADA系統(tǒng)以計(jì)算機(jī)為基礎(chǔ)，對(duì)遠(yuǎn)程分布運(yùn)行設(shè)備進(jìn)行監(jiān)控調(diào)度，其主要功能包括數(shù)據(jù)采集、參數(shù)測(cè)量和調(diào)節(jié)、信息報(bào)警等.SCADA系統(tǒng)一般由設(shè)在控制中心的主終端單元(MTU)、通信線路和設(shè)備、遠(yuǎn)程終端單元(RTU)等組成。3.3分布式控制系統(tǒng) distributedcontrolsystem以計(jì)算機(jī)為基礎(chǔ)，在系統(tǒng)內(nèi)部（單位內(nèi)部）對(duì)生產(chǎn)過程進(jìn)行分布控制、集中管理的系統(tǒng)．注：DCS一般包括現(xiàn)場(chǎng)控制級(jí)、控制管理級(jí)兩個(gè)層次，現(xiàn)場(chǎng)控制級(jí)主要是對(duì)單個(gè)過程進(jìn)行控制，控制管理級(jí)主要是對(duì)多個(gè)分散的子過程進(jìn)行數(shù)據(jù)采集、統(tǒng)一調(diào)度和管理．3.4工業(yè)控制設(shè)備 匹trialcontroldevice對(duì)工業(yè)生產(chǎn)過程及裝置進(jìn)行檢測(cè)與控制的設(shè)備。3.5可編程邏輯控制器 programmablelogiccontroller采用可編程存儲(chǔ)器，通過數(shù)字運(yùn)算操作對(duì)工業(yè)生產(chǎn)裝備進(jìn)行控制的電子設(shè)備．>：PLC主要執(zhí)行各類運(yùn)算、順序控制、定時(shí)執(zhí)行等指令，用于控制工業(yè)生產(chǎn)裝備的動(dòng)作，是工業(yè)控制系統(tǒng)的主要基礎(chǔ)單元．3.6主終端單元 masterterminalunitSCADA系統(tǒng)中的服務(wù)器，用千集中控制，同遠(yuǎn)程終端單元進(jìn)行通信。3.7遠(yuǎn)終端單元 remoteterminalunit對(duì)較長通信距離和惡劣工業(yè)現(xiàn)場(chǎng)環(huán)境而設(shè)計(jì)的具有模塊化結(jié)構(gòu)的、特殊的計(jì)算機(jī)測(cè)控單元。3.8上位機(jī)supervisorycomputer直接發(fā)出操控命令的計(jì)算機(jī)．3.9控刮網(wǎng) controlnetwork控制層網(wǎng)絡(luò)，主要部署工程師站、操作員站、工業(yè)控制設(shè)備，為高安全等級(jí)的信任區(qū)域。3.10安全檢查 securityinspection以查代促、以查促改、以查促管、以查促防，旨在推動(dòng)提高信息安全工作能力和防護(hù)水平。縮略語下列縮略語適用千本文件。ICS 工業(yè)控制系統(tǒng)(IndustrialControlSystem)SCADA監(jiān)控和數(shù)據(jù)采集(SupervisoryControlAndDataAcquisition)OCS 分布式控制系統(tǒng)(DistributedControlSystem)PLC 可編程邏輯控制器(ProgrammableLogicController)MTU 主終端控制單元(MasterTerminalUnit)RTU 遠(yuǎn)程終端單元(RemoteTerminalUnit)檢查方式監(jiān)督檢查是指上級(jí)管理部門組織的或國家有關(guān)職能部門依法開展的檢查。監(jiān)督檢查可依據(jù)本標(biāo)準(zhǔn)的要求，實(shí)施完整的信息安全檢查過程。監(jiān)督檢查也可在自檢查的基礎(chǔ)上，對(duì)關(guān)鍵環(huán)節(jié)或重點(diǎn)內(nèi)容實(shí)施檢查。自檢查自檢查是指信息系統(tǒng)所有者、運(yùn)營或使用單位發(fā)起的對(duì)本單位工業(yè)控制系統(tǒng)安全狀況進(jìn)行的檢查。自檢查在本標(biāo)準(zhǔn)的指導(dǎo)下，結(jié)合系統(tǒng)特定的安全要求進(jìn)行實(shí)施．受檢單位或監(jiān)督檢查的組織部門不具備檢查能力的，可委托經(jīng)相關(guān)主管部門認(rèn)可的機(jī)構(gòu)開展檢查。檢查工作流程檢查準(zhǔn)備概述檢查準(zhǔn)備是開展檢查工作的前提和基礎(chǔ)，是整個(gè)檢查過程有效性的保證。檢查準(zhǔn)備工作是否充分直接關(guān)系到后續(xù)工作能否順利開展。本階段的主要內(nèi)容是明確檢查工作的方式、依據(jù)、范圍和內(nèi)容，調(diào)研被檢查單位和被檢查系統(tǒng)的情況，確定被檢查單位的聯(lián)系人和聯(lián)絡(luò)方式，確定檢查組成員和檢查工具，制定檢查方案和計(jì)劃并通知被檢查單位。檢查準(zhǔn)備過程工作內(nèi)容根據(jù)檢查工作的要求，明確安全檢查工作的方式，包括監(jiān)管機(jī)構(gòu)監(jiān)督檢查、企業(yè)信息安全自查等。明確安全檢查工作的依據(jù)，包括國家信息安全規(guī)范性文件及標(biāo)準(zhǔn)、行業(yè)信息安全規(guī)范性文件及標(biāo)準(zhǔn)、主管機(jī)構(gòu)要求等．明確安全檢查工作的范圍，包括被檢查單位、被檢查系統(tǒng)、涉及的人員、被檢查單位的上級(jí)主管單位等，并通過調(diào)研形成“工業(yè)控制系統(tǒng)信息安全檢查工作調(diào)研表”。明確安全檢查工作的內(nèi)容。由兩部分內(nèi)容組成，一部分為基本檢查內(nèi)容，相關(guān)要求詳見本標(biāo)準(zhǔn)第8章；另外一部分為補(bǔ)充檢查內(nèi)容，由檢查機(jī)構(gòu)在每次檢查前，依據(jù)有關(guān)主管單位要求、信息安全發(fā)展態(tài)勢(shì)和企業(yè)的信息安全管理工作開展情況進(jìn)行擬定。。根據(jù)檢查工作的內(nèi)容，制定“工業(yè)控制系統(tǒng)信息安全檢查方案”“工業(yè)控制系統(tǒng)信息安全檢查計(jì)劃”和“工業(yè)控制系統(tǒng)信息安全檢查工作表".在現(xiàn)場(chǎng)檢查開始前，檢查組至少提前兩天將“工業(yè)控制系統(tǒng)信息安全檢查方案”和“工業(yè)控制系統(tǒng)信”下發(fā)至被檢查單位，明確要求被檢查單位對(duì)必要的系統(tǒng)和數(shù)據(jù)進(jìn)行備份，被檢查單位積極配合，并提供必要的配合人員和辦公條件。檢查機(jī)構(gòu)職責(zé)：向被檢查單位介紹安全檢查的意義和目的、檢查流程和工作方法；了解被檢查單位的工業(yè)控制系統(tǒng)建設(shè)狀況；指出被檢查單位需提供的基本資料；向被檢查單位說明檢查工作自身的風(fēng)險(xiǎn)和規(guī)避方法；準(zhǔn)備被檢查系統(tǒng)基本情況調(diào)查表單，被檢查單位職責(zé)：向檢查機(jī)構(gòu)介紹本單位的工業(yè)控制系統(tǒng)建設(shè)狀況與發(fā)展情況；準(zhǔn)備檢查機(jī)構(gòu)需要的資料；為檢查人員的信息收集提供支持和協(xié)調(diào)；根據(jù)被檢查系統(tǒng)的具體情況，如業(yè)務(wù)運(yùn)行高峰期、網(wǎng)絡(luò)布置情況等，為檢查時(shí)間安排提供適宜的建議；。檢查實(shí)施概述檢查實(shí)施是檢查工作的核心，主要依據(jù)檢查方案的總體要求將本檢查規(guī)范的要求落實(shí)到實(shí)際檢查工作中，通過對(duì)被檢查單位的人員訪談、文檔審查、配置核查和安全測(cè)試，并調(diào)閱自查或上次檢查報(bào)告（如果有），對(duì)被檢查單位工業(yè)控制系統(tǒng)的安全保護(hù)現(xiàn)狀進(jìn)行取證，取得分析與總結(jié)活動(dòng)所需的、足夠的證據(jù)和資料。檢查實(shí)施過程工作內(nèi)容檢查人員現(xiàn)場(chǎng)填寫“工業(yè)控制系統(tǒng)信息安全檢查工作表“，檢查完成后需要由被檢查單位簽字確認(rèn)．現(xiàn)場(chǎng)檢查完成后，需要由被檢查單位對(duì)被檢查的運(yùn)行情況進(jìn)行確認(rèn)，并在“工業(yè)控制系統(tǒng)運(yùn)行情況驗(yàn)證記錄”上簽字確認(rèn)，對(duì)千因檢查工作導(dǎo)致系統(tǒng)運(yùn)行異常的情況，如實(shí)記錄，并及時(shí)上報(bào)主管部門?，F(xiàn)場(chǎng)檢查采用的方法和可能的風(fēng)險(xiǎn)如下：現(xiàn)場(chǎng)檢查采用的方法主要包括：人員訪談檢查人員通過與工業(yè)控制系統(tǒng)有關(guān)人員（個(gè)人／群體）進(jìn)行交流、討論等活動(dòng)，獲取證據(jù)以證明信息系統(tǒng)安全保護(hù)措施是否有效的一種方法。檢查人員通過對(duì)被檢查單位支撐工業(yè)控制系統(tǒng)安全建設(shè)與運(yùn)維的安全管理制度記錄等文檔執(zhí)行．3)配置核查檢查人員通過對(duì)被檢查系統(tǒng)進(jìn)行觀察、查驗(yàn)、分析等活動(dòng)，獲取證據(jù)以證明被檢查系統(tǒng)安全保護(hù)措施是否有效的一種方法．4)安全測(cè)試檢查人員使用預(yù)定的方法／工具使被檢查系統(tǒng)產(chǎn)生特定的行為，通過查看、分析這些行為的結(jié)一種方法。在檢查中也可不重新。該階段主要可能的風(fēng)險(xiǎn)包括：驗(yàn)證測(cè)試影響工業(yè)控制系統(tǒng)正常運(yùn)行。在現(xiàn)場(chǎng)檢查時(shí)，需要對(duì)設(shè)備和系統(tǒng)的安全策略配行造成一定的影響，甚至存在誤操作的可能．工具測(cè)試影響工業(yè)控制系統(tǒng)正常運(yùn)行。在現(xiàn)場(chǎng)檢查時(shí)，有時(shí)會(huì)使用一些技術(shù)測(cè)試工具進(jìn)行漏洞測(cè)試、性能測(cè)試甚至抗?jié)B透能力測(cè)試等。工具測(cè)試可能會(huì)對(duì)系統(tǒng)的負(fù)載造成一定的影響，其中漏洞測(cè)試和滲透測(cè)試可能對(duì)系統(tǒng)數(shù)據(jù)造成一定破壞。．檢查機(jī)構(gòu)職責(zé)：利用人員訪談、文檔審查、配置核查和安全測(cè)試的方法檢查系統(tǒng)的保護(hù)措施與本標(biāo)準(zhǔn)要求的符合情況，以及正確性和有效性．被檢查單位職責(zé)：協(xié)助檢查人員實(shí)施工只測(cè)試并提供有效建議，降低安全檢查對(duì)系統(tǒng)運(yùn)行的影響，協(xié)助檢查人員完成業(yè)務(wù)相關(guān)內(nèi)容的問詢、驗(yàn)證和測(cè)試；相關(guān)人員對(duì)檢查結(jié)果進(jìn)行確認(rèn)．檢查結(jié)果分析概述檢查結(jié)果分析是總結(jié)被檢查系統(tǒng)整體安全保護(hù)能力的綜合評(píng)價(jià)活動(dòng)，根據(jù)現(xiàn)場(chǎng)檢查結(jié)果和本標(biāo)準(zhǔn)面臨的風(fēng)險(xiǎn)，從而給出檢查結(jié)論，形成檢查報(bào)告和整改通知書．檢查結(jié)果分析過程工作內(nèi)容現(xiàn)場(chǎng)檢查工作完成后，由檢查組對(duì)檢查結(jié)果進(jìn)行整理，采用定性或定魚的風(fēng)險(xiǎn)分析方法（參見附錄A),編制“工業(yè)控制系統(tǒng)安全檢查報(bào)告“。檢查結(jié)果分析過程的角色和職責(zé)檢查機(jī)構(gòu)職責(zé)：分析檢查結(jié)果，形成檢查結(jié)論；檔歸檔保存，并將檢查過程中生成的電子文檔清除．檢查內(nèi)容的選擇方法全覆蓋法選取檢查內(nèi)容的所有檢查項(xiàng)。根據(jù)國家職能部門、上級(jí)主管部門或企業(yè)對(duì)工業(yè)控制系統(tǒng)進(jìn)行安全檢查工作的實(shí)際預(yù)期目標(biāo)需求，從檢查內(nèi)容中確定重點(diǎn)檢查項(xiàng)，只檢查重點(diǎn)項(xiàng)．增項(xiàng)檢查法、未包含的檢查項(xiàng)作為新增檢查項(xiàng)。注：對(duì)于檢查內(nèi)容的選擇，不局限千采取單一方式進(jìn)行選擇，也可根據(jù)檢查目的，采用多種選擇方式相結(jié)合，如同時(shí)采用重點(diǎn)項(xiàng)抽取法和增項(xiàng)檢在法確定檢在內(nèi)容．檢查內(nèi)容概述參考GB/T22239—2008、GB/T20269—2006和GB/T20984—2007,結(jié)合工業(yè)控制系統(tǒng)特性，將工業(yè)控制系統(tǒng)安全檢查內(nèi)容分為十二類，分別是組織體系、規(guī)章制度、資金保障、人員安全管理、服務(wù)外包管控、關(guān)鍵信息資產(chǎn)管控、工業(yè)控制系統(tǒng)建設(shè)安全管理、網(wǎng)路安全防護(hù)、上位機(jī)主機(jī)和設(shè)備安全防護(hù)、物理環(huán)境安全防護(hù)、運(yùn)行安全管理和應(yīng)急管理。檢查內(nèi)容分類表參見附錄B.組織體系第一責(zé)任人確立本檢查項(xiàng)包括：檢查方法：文檔審查，查看信息安全文件。信息安全貴任落實(shí)本檢查項(xiàng)包括：檢查是否設(shè)立工業(yè)控制系統(tǒng)信息安全管理工作的職能部門，是否設(shè)立安全主管、系統(tǒng)管理員、、安全管理員等崗位。是否以文件的形式明確責(zé)任部門、責(zé)任人員的職責(zé)。檢查要素：信息安全責(zé)任部門、資任人員。日常安全生產(chǎn)管理體系。檢查方法：文檔審查，查看信息安全責(zé)任部門、責(zé)任人員職責(zé)文件。日常安全生產(chǎn)管理體系職責(zé)文件．專職機(jī)構(gòu)及崗位設(shè)置本檢查項(xiàng)包括：檢查組織的信息安全管理部門及崗位設(shè)置是否符合以下要求：企業(yè)集團(tuán)公司總部設(shè)置工業(yè)控制系統(tǒng)信息安全專職管理機(jī)構(gòu)．企業(yè)集團(tuán)公司二級(jí)單位設(shè)置工業(yè)控制系統(tǒng)信息安全管理和技術(shù)崗位。企業(yè)級(jí)別、信息安全管理部門及崗位設(shè)置。檢查方法：人員訪談，訪問企業(yè)所屬級(jí)別和信息安全管理部門及崗位設(shè)置。文檔審查，根據(jù)企業(yè)級(jí)別查看信息安全管理部門及崗位設(shè)置說明文件。安全人員配置本檢查項(xiàng)包括：．檢查要素：專職信息安全工作人員數(shù)拯信息安全崗位數(shù)蠹。檢查方法：文檔審查查閱企業(yè)網(wǎng)絡(luò)職責(zé)說明及人員崗位職責(zé)分配說明．本檢查項(xiàng)包括：檢查企業(yè)是否制定符合國家及行業(yè)政策要求的工業(yè)控制系統(tǒng)信息安全工作整體策略和總體方案，是否說明了信息安全工作總體目標(biāo)、范圍、防護(hù)框架和防護(hù)措施。檢查要素：信息安全工作整體策略、總體方案、信息安全工作總體目標(biāo)、范圍、防護(hù)框架和防護(hù)措施。檢查方法：文檔審查，查閱信息安全整體策略和總體方案文檔．制度制定及體系完整性本檢查項(xiàng)包括：檢查企業(yè)是否針對(duì)工業(yè)控制系統(tǒng)的信息安全工作制定基本安全管理制度，并以此為基礎(chǔ)形成涵蓋人員管理、資產(chǎn)管理、介質(zhì)管理、建設(shè)安全管理、運(yùn)行維護(hù)管理、外包服務(wù)管理、培訓(xùn)教育等方面的制度體系。檢查方法：文檔審查，查閱組織是否制定了基本管理制度，內(nèi)容是否涵蓋人員管理、資產(chǎn)管理、介質(zhì)管理、建設(shè)安全管理、運(yùn)行維護(hù)管理、外包服務(wù)管理、培訓(xùn)教育等方面．操作規(guī)程制定本檢查項(xiàng)包括：檢查企業(yè)是否對(duì)信息安全運(yùn)行維護(hù)人員執(zhí)行的日常操作制定運(yùn)維流程和操作規(guī)程。檢查要素：檢查方法：文檔審查，查閱組織制定的運(yùn)維流程和操作規(guī)程文檔。制度發(fā)布本檢查項(xiàng)包括：、有效的方式發(fā)布工業(yè)控制系統(tǒng)信息安全管理制度。檢查要素：檢查方法：文檔審查，查閱安全管理制度發(fā)布方式和相關(guān)記錄。資金保障本檢查項(xiàng)包括：檢查企業(yè)是否將信息安全建設(shè)費(fèi)用（安全軟硬件購置、系統(tǒng)安全功能開發(fā)、安全驗(yàn)收測(cè)試、安全咨詢與培訓(xùn)、安全專項(xiàng)研究等）和運(yùn)行維護(hù)費(fèi)用（日常安全運(yùn)維、監(jiān)測(cè)分析、應(yīng)急演練、應(yīng)急保障、信息安全監(jiān)督檢查、測(cè)試評(píng)估等）納人年度預(yù)算。信息安全建設(shè)費(fèi)用、運(yùn)行維護(hù)費(fèi)用。檢查方法：文檔審查，查看年度預(yù)算計(jì)劃。人員安全管理本檢查項(xiàng)包括：檢查企業(yè)信息安全從業(yè)，工業(yè)控制系統(tǒng)設(shè)計(jì)、建設(shè)、運(yùn)維等相關(guān)各類人員是否經(jīng)培訓(xùn)合格后上崗，是否定期接受相應(yīng)的政策規(guī)劃和專業(yè)技能培訓(xùn)．檢查方法：文檔審查，查閱參加安全培訓(xùn)的人員名單及成績(jī)單。保本檢查項(xiàng)包括：檢查企業(yè)是否與安全管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員等關(guān)鍵崗位的人員，工業(yè)控制系統(tǒng)相關(guān)設(shè)備及系統(tǒng)的開發(fā)單位和供應(yīng)商簽署保密協(xié)議。檢查方法：文檔審查，查閱簽署保密協(xié)議的人員名單及其崗位或單位。人員審查本檢查項(xiàng)包括：檢查企業(yè)是否對(duì)信息安全崗位人員和其他敏感崗位人員實(shí)施身份、檢查要素：人員的身份、背景和資質(zhì)審查制度和審查結(jié)果記錄檢查方法：文檔審查，查閱信息安全崗位人員和其他敏感崗位人員的身份、背景和資質(zhì)審查記錄。本檢查項(xiàng)包括：檢查企業(yè)是否在信息安全崗位人員及其他敏感崗位人員離崗時(shí)執(zhí)行權(quán)限回收和離崗承諾書簽署。檢查要素：人員的權(quán)限回收記錄、檢查方法：文檔審查，查閱信息安全崗位人員及其他敏感崗位人員的回收記錄和離崗承諾書。服務(wù)外包管控外包服務(wù)協(xié)議本檢查項(xiàng)包括：檢查企業(yè)與合約方簽訂的外包服務(wù)協(xié)議中是否具有信息安全管控和保密條款。檢查要素：外包服務(wù)協(xié)議。檢查方法：文檔審查，查閱外包服務(wù)協(xié)議中的信息安全管控和保密條款。本檢查項(xiàng)包括：檢查企業(yè)是否對(duì)外部人員訪問機(jī)房等受控區(qū)域采取書面審批、人員陪同、進(jìn)出記錄等管控措施。檢查方法：文檔審查，查閱第三方人員訪問管理制度和記錄。遠(yuǎn)程服務(wù)管控本檢查項(xiàng)包括：檢查企業(yè)是否采取遠(yuǎn)程服務(wù)，如采取遠(yuǎn)程服務(wù)，針對(duì)遠(yuǎn)程服務(wù)訪問采取書面審批、訪問控制、在線監(jiān)測(cè)、日志審計(jì)等管控措施。檢查方法：人員訪談，詢問對(duì)遠(yuǎn)程服務(wù)訪問采取的控制措施。文檔審查，查閱遠(yuǎn)程服務(wù)管控措施制度和記錄。配置核查，如采取遠(yuǎn)程服務(wù)，查閱遠(yuǎn)程服務(wù)管控相關(guān)審計(jì)日志。本檢查項(xiàng)包括：檢查企業(yè)是否采取技術(shù)措施實(shí)現(xiàn)開發(fā)測(cè)試環(huán)境與實(shí)際生產(chǎn)運(yùn)行環(huán)境物理分離，并對(duì)開發(fā)人員的活動(dòng)范圍和行為實(shí)施管控?，F(xiàn)場(chǎng)開發(fā)的管控措施和記錄檢查方法：人員訪談，詢問是否將開發(fā)測(cè)試環(huán)境與實(shí)際生產(chǎn)環(huán)境物理分離。文檔審查，查閱開發(fā)人員的活動(dòng)范圍和行為管控制度。關(guān)鍵信息資產(chǎn)管控資產(chǎn)管理本檢查項(xiàng)包括：檢查企業(yè)是否識(shí)別所有與工業(yè)控制系統(tǒng)相關(guān)的資產(chǎn)并編制了準(zhǔn)確的資產(chǎn)清單，是否對(duì)每項(xiàng)資產(chǎn)明確管理責(zé)任人及其職責(zé)。檢查要素：資產(chǎn)清單。檢查方法：文檔審查，查閱資產(chǎn)清單，檢查是否識(shí)別所有與信息系統(tǒng)相關(guān)的資產(chǎn)，是否對(duì)每項(xiàng)資產(chǎn)明確管理責(zé)任人及其職責(zé)．本檢查項(xiàng)包括：檢查企業(yè)是否在系統(tǒng)、設(shè)備維修或報(bào)廢時(shí)，選取了可信服務(wù)機(jī)構(gòu)并對(duì)數(shù)據(jù)采取了備份、清除等有效保護(hù)措施。檢查要素：可信服務(wù)機(jī)構(gòu)選擇、數(shù)據(jù)保護(hù)措施和記錄。檢查方法：文檔審查，查閱系統(tǒng)、設(shè)備維修或報(bào)廢管理制度和記錄。工業(yè)控制系統(tǒng)邃設(shè)安全管理上線安全測(cè)評(píng)本檢查項(xiàng)包括：上線前通過安全測(cè)評(píng)的系統(tǒng)清單、信息系統(tǒng)清單。檢查方法：文檔審查，查閱全部信息系統(tǒng)列表，查閱并統(tǒng)計(jì)已通過信息安全測(cè)評(píng)的系統(tǒng)測(cè)評(píng)報(bào)告。產(chǎn)品采購和使用本檢查項(xiàng)包括：檢查企業(yè)安全產(chǎn)品和密碼產(chǎn)品的采購及使用是否符合國家有關(guān)規(guī)定。檢查要素：安全產(chǎn)品和密碼產(chǎn)品．檢查方法：人員訪談，訪談相關(guān)人員是否了解相關(guān)制度，是否存在不執(zhí)行相關(guān)制度的特殊情況。文檔審查，查閱企業(yè)相關(guān)管理制度和資產(chǎn)清單等，檢查其采購及使用是否符合國家有關(guān)規(guī)定。配置核查，核查已被通報(bào)存在隱患的在線運(yùn)行的系統(tǒng)和設(shè)備是否已經(jīng)整改及相關(guān)運(yùn)行管理和安全防護(hù)措施。核心產(chǎn)品采購測(cè)試本檢查項(xiàng)包括：企業(yè)應(yīng)用的信息安全產(chǎn)品、系統(tǒng)基礎(chǔ)軟硬件、系統(tǒng)應(yīng)用軟件、工業(yè)控制系統(tǒng)或設(shè)備等在采購前是否通過了安全性測(cè)試．檢查要素：安全性測(cè)試報(bào)告。檢查方法：備等的安全性測(cè)試報(bào)告．網(wǎng)絡(luò)安全防護(hù)網(wǎng)絡(luò)架構(gòu)安全本檢查項(xiàng)包括：10檢查企業(yè)是否根據(jù)業(yè)務(wù)特點(diǎn)對(duì)網(wǎng)絡(luò)進(jìn)行了分區(qū)分域管控，并對(duì)不同域之間采取了邊界防護(hù)措施。檢查要素：人員訪談，訪談企業(yè)對(duì)網(wǎng)絡(luò)的分區(qū)分域管控情況，了解每個(gè)分區(qū)邊界的防護(hù)情況。文檔審查，查看網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖與訪談情況的一致性．安全測(cè)試，利用相關(guān)命令語句等測(cè)試各分區(qū)的連通情況．控制網(wǎng)邊界防護(hù)本檢查項(xiàng)包括：檢查企業(yè)是否設(shè)置控制網(wǎng)邊界防護(hù)的技術(shù)措施，檢查網(wǎng)絡(luò)邊界連接情況和安全設(shè)備部署情況。檢查要素：控制網(wǎng)邊界防護(hù)技術(shù)措施。網(wǎng)絡(luò)邊界連接情況．人員訪談，詢問采取的控制網(wǎng)邊界防護(hù)的技術(shù)措施．配置核查，檢查網(wǎng)絡(luò)邊界連接情況和安全設(shè)備部署情況。是否能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行有效阻斷。網(wǎng)絡(luò)安全審計(jì)本檢查項(xiàng)包括：檢查企業(yè)是否建立控制服務(wù)器等工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備安全配置和審計(jì)制度。檢查企業(yè)是否設(shè)置網(wǎng)絡(luò)安全審計(jì)的技術(shù)措施和審計(jì)記錄保護(hù)措施檢查要素：網(wǎng)絡(luò)安全審計(jì)記錄。人員訪談，詢問采取的網(wǎng)絡(luò)安全審計(jì)的技術(shù)措施和審計(jì)記錄保護(hù)措施。．配置核查，檢查網(wǎng)絡(luò)安全審計(jì)記錄，對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流晝、用戶行為等進(jìn)行日志記錄．本檢查項(xiàng)包括：檢查要素：檢查方法：人員訪談，詢問采取網(wǎng)絡(luò)冗余和容差策略。配置核查，檢查關(guān)鍵節(jié)點(diǎn)的網(wǎng)絡(luò)設(shè)備、安全設(shè)備的冗余，采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免存在網(wǎng)絡(luò)單點(diǎn)故障；檢查控制網(wǎng)內(nèi)網(wǎng)絡(luò)設(shè)備、安全設(shè)備、重要服務(wù)器的備件情況。遠(yuǎn)程訪問本檢查項(xiàng)包括：檢查企業(yè)是否按照遠(yuǎn)程訪問方式的使用限制和操作指南進(jìn)行遠(yuǎn)程訪問，是否設(shè)置遠(yuǎn)程訪問監(jiān)控機(jī)制，是否設(shè)置遠(yuǎn)程接人授權(quán)機(jī)制，是否設(shè)置遠(yuǎn)程接人過程安全性保護(hù)措施。保護(hù)措施．控制部分或整個(gè)工業(yè)控制系統(tǒng)，能對(duì)非授權(quán)的遠(yuǎn)程訪問進(jìn)行阻斷。本檢查包括：監(jiān)測(cè)、日志審計(jì)等必要管控措施。檢查要素：檢查方法：人員訪談，詢問對(duì)移動(dòng)終端接人采取的控制措施。。上位機(jī)主機(jī)和設(shè)備安全防護(hù)8.10.1 補(bǔ)丁更新本檢查項(xiàng)包括：檢查企業(yè)是否按照補(bǔ)丁管理制度要求進(jìn)行可更新補(bǔ)丁的更新。檢查要素：補(bǔ)丁更新管理制度、補(bǔ)丁更新情況．檢查方法：文檔審查，查閱補(bǔ)丁更新管理制度和補(bǔ)丁更新頻率。配置核查，檢查主機(jī)操作系統(tǒng)和網(wǎng)絡(luò)設(shè)備的補(bǔ)丁更新情況。補(bǔ)丁更新情況。本檢查項(xiàng)包括：檢查企業(yè)是否按照惡意代碼管理制度要求進(jìn)行惡意代碼檢測(cè)和可更新惡意代碼庫的更新．12檢查要素：惡意代碼防范管理制度、惡意代碼庫更新情況。檢查方法：文檔審查，查閱惡意代碼防范管理制度和更新頻率．配置核查，檢查惡意代碼檢測(cè)程序和可更新惡意代碼庫的更新情況。系統(tǒng)安全整改加固本檢查項(xiàng)包括：檢查企業(yè)生產(chǎn)控制主機(jī)和設(shè)備中對(duì)等級(jí)保護(hù)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估、信息安全檢查等工作中發(fā)現(xiàn)的問題是否完成安全整改加固。檢查要素：安全問題報(bào)告、安全整改加固實(shí)施工作報(bào)告。檢查方法：配置核查，檢查與驗(yàn)證安全整改加固工作實(shí)施情況。移動(dòng)存儲(chǔ)介質(zhì)管理本檢查項(xiàng)包括：檢查企業(yè)是否設(shè)置限制和管理移動(dòng)存儲(chǔ)介質(zhì)使用的管理和技術(shù)措施，是否對(duì)移動(dòng)存儲(chǔ)介質(zhì)的分發(fā)、注冊(cè)、使用、存放、銷毀實(shí)施管理．移動(dòng)存儲(chǔ)介質(zhì)管理措施。文檔審查，查閱移動(dòng)存儲(chǔ)介質(zhì)安全管理制度。安全測(cè)試，驗(yàn)證系統(tǒng)中是否具備移動(dòng)存儲(chǔ)介質(zhì)管理技術(shù)措施。上位機(jī)終端管控本檢查項(xiàng)包括：檢查生產(chǎn)控制網(wǎng)上位機(jī)終端是否實(shí)施了安全管控（安全管理、接人管理等）并統(tǒng)一安裝防病毒軟件。終端安全管理措施、實(shí)施了安全管控措施的終端。檢查方法：人員訪談，詢問采取了何種終端安全管理措施．文檔審查，查閱終端安全管理制度。配置核查，檢查并統(tǒng)計(jì)終端安全管理措施部署情況。主機(jī)和設(shè)備賬號(hào)口令管理本檢查項(xiàng)包括：符合口令管理制度要求的主機(jī)和設(shè)備。13文檔審查，查閱主機(jī)和設(shè)備安全檢測(cè)報(bào)告。配置核查，檢查井統(tǒng)計(jì)符合口令管理制度要求的主機(jī)和設(shè)備數(shù)量。本檢查項(xiàng)包括：按照等級(jí)保護(hù)要求落實(shí)物理安全防護(hù)的機(jī)房清單。檢查方法：文檔審查，查閱等級(jí)測(cè)評(píng)報(bào)告等并統(tǒng)計(jì)按照等級(jí)保護(hù)要求落實(shí)物理安全防護(hù)的機(jī)房。運(yùn)行安全管理日常維護(hù)本檢查項(xiàng)包括：檢查企業(yè)是否按照制定的規(guī)章制度、運(yùn)維流程、操作規(guī)程等執(zhí)行生產(chǎn)控制系統(tǒng)日常維護(hù)并有詳盡記錄。檢查要素：檢查方法：文檔審查，查閱是否按照制定的規(guī)音制度、運(yùn)維流程、操作規(guī)程等執(zhí)行信息系統(tǒng)日常維護(hù)并有詳盡記錄。安全審計(jì)檢查是否對(duì)網(wǎng)絡(luò)運(yùn)行日志、操作系統(tǒng)日志、數(shù)據(jù)庫訪問日志、業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行日志、安全設(shè)備日志集中收集措施、日志定期分析報(bào)告檢查方法：文檔審查，查閱是否具備集中日志定期分析報(bào)告。配置核查，檢查是否對(duì)網(wǎng)絡(luò)運(yùn)行日志、操作系統(tǒng)日志、數(shù)據(jù)庫訪問日志、業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行日志、安全設(shè)備和系統(tǒng)運(yùn)行日志等進(jìn)行集中收集。丁管理檢查企業(yè)是否按照補(bǔ)丁管理制度制定補(bǔ)丁升級(jí)策略，是否針對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)建立補(bǔ)丁升級(jí)測(cè)試環(huán)境或建立了獲取已測(cè)試補(bǔ)丁的有效渠道。檢查方法：配置核查，檢查是否對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)建立補(bǔ)丁升級(jí)測(cè)試環(huán)境或建立了獲取己測(cè)試補(bǔ)丁的有效14渠道．安全監(jiān)測(cè)檢查企業(yè)是否建立安全監(jiān)測(cè)系統(tǒng)對(duì)控制網(wǎng)網(wǎng)絡(luò)流量、重要網(wǎng)絡(luò)設(shè)備、工控系統(tǒng)終端、病毒木馬情況、安全防護(hù)情況等進(jìn)行實(shí)時(shí)監(jiān)測(cè)。檢查要素：安全監(jiān)測(cè)系統(tǒng)、安全監(jiān)測(cè)報(bào)告．檢查方法：配置核查，檢查安全監(jiān)測(cè)系統(tǒng)的監(jiān)測(cè)對(duì)象范圍和監(jiān)測(cè)內(nèi)容。應(yīng)急管理信息通報(bào)本檢查項(xiàng)包括：檢查企業(yè)是否建立網(wǎng)絡(luò)與信息安全信息通報(bào)機(jī)制，按要求向監(jiān)管機(jī)構(gòu)通報(bào)網(wǎng)絡(luò)和信息系統(tǒng)安全狀況。檢查方法：文檔審查，查閱是否通過制度建立網(wǎng)絡(luò)與信息安全信息通報(bào)機(jī)制，是否明確需要通報(bào)的內(nèi)容和范圍，是否落實(shí)負(fù)責(zé)人員。2 本檢查項(xiàng)包括：檢查要素：檢查方法：人員訪談，詢問是否制定不同事件的應(yīng)急預(yù)案．啟動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育培訓(xùn)和定期審核更新等方面的內(nèi)容。應(yīng)急演練本檢查項(xiàng)包括：檢查企業(yè)是否實(shí)施年度應(yīng)急演練，是否有演練腳本和演練實(shí)施記錄文檔。檢查要素：應(yīng)急演練制度和記錄。檢查方法：文檔審查，查閱是否制定應(yīng)急演練制度，是否實(shí)施年度應(yīng)急演練，是否有演練腳本和演練實(shí)施15記錄文檔．本檢查項(xiàng)包括：檢查方法：人員訪談，詢問是否具備應(yīng)急支援技術(shù)隊(duì)伍，是否具備應(yīng)急備機(jī)備件并能正常工作．文檔審查，查閱應(yīng)急支援技術(shù)隊(duì)伍人員名單，查閱應(yīng)急備機(jī)備件清單。事故調(diào)查本檢查項(xiàng)包括：檢查方法：人員訪談，詢問是否曾配合或組織開展事故調(diào)查．事故的原因，是否記錄事故調(diào)查過程。16附 錄 A（資料性附錄）風(fēng)險(xiǎn)分析方法定性分析判斷安全問題發(fā)生的可能性判斷工業(yè)控制系統(tǒng)安全問題發(fā)生的可能性是工業(yè)控制系統(tǒng)定性分析方法的第一步，其取值范圍為高、中和低，詳見表A.1.表A.1 工業(yè)控制系統(tǒng)安全問題發(fā)生的可能性取值表標(biāo)識(shí)定義高安全問題出現(xiàn)的頻率較高（大于或等于1次／月）；或在大多數(shù)情況下很有可能會(huì)發(fā)生；或可以證實(shí)多次發(fā)生過；或其實(shí)現(xiàn)條件較容易被攻擊者獲得中安全問題出現(xiàn)的頻率中等（大于1次／半年）！或在某種情況下可能會(huì)發(fā)生；或被證實(shí)曾經(jīng)發(fā)生過；或其實(shí)現(xiàn)條件難以被攻擊者獲得低安全問題出現(xiàn)的頻率較??；或一般不太可能發(fā)生；或沒有被證實(shí)發(fā)生過；或其實(shí)現(xiàn)條件很難被攻擊者獲得判斷對(duì)工業(yè)控制系統(tǒng)造成的影響程度低，詳見表A.2.表A.2 對(duì)工業(yè)控制系統(tǒng)安全造成的影響程度取值表標(biāo)識(shí)定義高如果安全問題出現(xiàn)，將對(duì)工業(yè)控制系統(tǒng)造成重大損害中低如果安全問題出現(xiàn)，將對(duì)工業(yè)控制系統(tǒng)造成一般損害如果安全問題出現(xiàn)，將對(duì)工業(yè)控制系統(tǒng)造成較小或輕微損害判斷工業(yè)控制系統(tǒng)面臨的安全風(fēng)險(xiǎn)綜合A.1.1和A.1.2的結(jié)果，對(duì)工業(yè)控制系統(tǒng)面臨的安全風(fēng)險(xiǎn)進(jìn)行賦值，風(fēng)險(xiǎn)值的取值范圍為高、中和低，詳見表A.3.A.3 工業(yè)控制系統(tǒng)面臨的安全風(fēng)險(xiǎn)取值衰標(biāo)識(shí)描述高中一旦發(fā)生將產(chǎn)生較為嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大低一旦發(fā)生造成的影響程度較低甚至幾乎不存在，一般僅限于組織內(nèi)部，通過較為簡(jiǎn)單的手段很快能解決17定量分析根據(jù)工業(yè)控制系統(tǒng)生產(chǎn)企業(yè)信息安全工作實(shí)際情況是否符合檢查項(xiàng)描述，為檢查項(xiàng)賦予權(quán)重值(V,;),根據(jù)檢查結(jié)果判定賦予最化判定值(P,;)'安全檢查結(jié)果量化由式(A.l)計(jì)算求得：ISL=笘（笘V,;P,;) (A.l)式中：n-—檢查項(xiàng)個(gè)數(shù)Im-—第i檢查項(xiàng)中檢查條款的個(gè)數(shù)。工業(yè)控制系統(tǒng)安全各檢查項(xiàng)的權(quán)重值和扯化判定值詳見表A.4.表A.4 工業(yè)控制系統(tǒng)安全定量分析賦值表V;;檢查類 檢查項(xiàng) 權(quán)重值 量化判定值V;;P計(jì)符合：P,;=l第一責(zé)任人確立 1 ：;=0.5不符合：P,1=0符合：P;;=l信息安全責(zé)任落實(shí) 2 ：P,;=系 ：=O符合：P;;=l專職機(jī)構(gòu)及崗位設(shè)笠 2 部分符合：P;;=0.5不符合：P,;=O2 比＝安全人員配置

信息安全崗位總數(shù)P;;=比值的小數(shù)點(diǎn)后兩位符合：凡=l規(guī)幸制度

定 2 合：P;;=不符合：P,;=O形成體系：O.S<P,;?l制度制定及體系完整性 2 ：O<P;;?0.5無制度：凡=O符合：P;;=l定 2 ：;=不符合：=O符合：凡=l制度發(fā)布 1 部分符合：=不符合：P,;=O符合：P;;=l資金保障 經(jīng)費(fèi)預(yù)笲 1 部分符合：=0.5不符合：P;;=O18表A.4(續(xù)）類 檢查項(xiàng) 權(quán)重值V,;比值年度培訓(xùn)人數(shù)

量化判定值P,;人員安全管理

1保密協(xié)議簽訂 I

員工總數(shù)P,;=比值的小數(shù)點(diǎn)后兩位比值簽署保密協(xié)議員工數(shù)量員工總數(shù)P,;=比值的小數(shù)點(diǎn)后兩位符合：P,;=l人員審查 1 部分符合：=不符合：P,;=O符合：凡=I崗位調(diào)整管控 1 部分符合：P;;=0.5不符合：凡=O符合：P,;=l外包服務(wù)協(xié)議 1 部分符：P,;=0.5不符：P;;=O符合：P;;l外部人員訪問管理 1 部分符合：P;;0.5服務(wù)外包管控 不符合：P,;=O符合：P;;=l遠(yuǎn)程服務(wù)管控 2 部分符：=0.5凡=O符合：P;;l控 1 ：P;;0.5不符合：P;;=O符合：P,;=l資產(chǎn)管理 1 合：P,;=0.5關(guān)鍵信息 不符合：P,;=O控 符合：凡=I資產(chǎn)維修報(bào)廢管理 1 部分符合：=0.5不符合：P,;=O上線安全測(cè)評(píng)1上線安全測(cè)評(píng)1P,比值產(chǎn)品采購和使用1符合：凡=I部分符合：P,;=0.5不符合：P,;O核心產(chǎn)品采購測(cè)試1符合：P;;=l部分符合：P,;=0.5不符合：P;;=O工業(yè)控制系統(tǒng)建設(shè)安全管理1937980—2019檢查類

表A.4(續(xù)）檢在項(xiàng)V;;P檢在項(xiàng)V;;P,;符合：P,;=l網(wǎng)絡(luò)架構(gòu)安全2部分符合：P,;=0.5不符合：P,1=0符合：P;;=I控制網(wǎng)邊界防護(hù)2部分符合：肛=0.5不符合：P,;=O符合：凡=l網(wǎng)絡(luò)安全審計(jì)I部分符合：凡=0.5不符合：P,;=O符合：P.;=l網(wǎng)絡(luò)冗余和容差策略2部分符合：P;;=0.5不符合：P,;=O符合：P;;=l遠(yuǎn)程訪問1部分符合：凡=0.5不符合：凡=O符合：P,;=l移動(dòng)終端安全接人1部分符合：P,;=0.5：;=O補(bǔ)丁更新1部分符合：P;;=0.5不符合：P,;=O符合：P;;=l惡意代碼防護(hù)2部分符合：P;;=0.5不符合：P,;=O巳完成加固的主機(jī)和設(shè)備數(shù)上位機(jī)主機(jī)和系統(tǒng)安全整改加固2應(yīng)加固主機(jī)和設(shè)備數(shù)P,;=比值的小數(shù)點(diǎn)后兩位設(shè)備安全防護(hù)符合：凡=I移動(dòng)存儲(chǔ)介質(zhì)管理1部分符合：P,;=0.5不符合：P;;=O己管控終端數(shù)上位機(jī)終端管控2總終端數(shù)P;;=比值的小數(shù)點(diǎn)后兩位網(wǎng)絡(luò)安全防護(hù)主機(jī)和設(shè)備賬號(hào)口令管理 2

未發(fā)現(xiàn)問題的主機(jī)和設(shè)備臺(tái)數(shù)總檢測(cè)臺(tái)數(shù)比值P,;=比位的小數(shù)點(diǎn)后兩位比值物理環(huán)境 比值符合要求的機(jī)房數(shù)安全防護(hù) 機(jī)房安全建設(shè) 2 組織機(jī)房總數(shù)凡＝比值的小數(shù)點(diǎn)