DB33T 2051-2017 浙江省智慧供排水信息系統(tǒng)安全技術規(guī)范

Ⅱ 1 1 1 3 3 3 3 3 35.3城鎮(zhèn)供水信息系統(tǒng)安全等級劃分 35.4城鎮(zhèn)排水信息系統(tǒng)安全等級劃分 65.5城鎮(zhèn)供排水信息系統(tǒng)安全等級保護 6 7 7 7 8 8 9 9 9 9 9 有限公司、太平洋水處理工程有限公司、寧波東海集團有在信息系統(tǒng)中一種繞過安全控制的行為。攻擊成功與否取決于信息系統(tǒng)的脆弱性以及數據采集與監(jiān)視控制系統(tǒng)SupervisoryControlAndData可編程邏輯控制器Programmable專門為在工業(yè)環(huán)境下應用而設計的數字運算操作電子系統(tǒng)。它采用一種可編程的存儲器內部存儲執(zhí)行邏輯運算、順序控制、定時、計數和算術運算等操作的指令，通過數字式或模擬式的企業(yè)商業(yè)機密信息或國家機密信息或未經授權4保護原則和目標4.1.1保密性：保證非授權操作不能獲4.1.2完整性：保證非授權操作不能修改數據。4.1.4可控性：對信息的傳播及內容具有控制能力。4.1.5可用性：保證合法用戶在需要時可訪問到需要的信息4.1.6易操作：能夠方便地部署各種安全策略。4.2.1保證信息系統(tǒng)安全、可靠、穩(wěn)定的運行。4.2.2保證信息系統(tǒng)中的信息的保密性4.2.3保證信息系統(tǒng)中傳播內容的合法性。5.1國家信息安全保護等級劃分原則信息系統(tǒng)的安全保護等級應根據信息系統(tǒng)在國家安全、經濟建設、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害a)第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損b)第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或c)第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全d)第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家5.3城鎮(zhèn)供水信息系統(tǒng)安全等級劃分5縣級市供水企業(yè)門戶網站和辦公自動化系統(tǒng)應定為第一級；地級市以上（含）供水企業(yè)門戶網65.4城鎮(zhèn)排水信息系統(tǒng)安全等級劃分排水實時生產調度系統(tǒng)能監(jiān)測數據但不能實行控制，其信息系統(tǒng)安全等級應定為第一級，排水實時生產調度系統(tǒng)能監(jiān)測數據且能實行控制，其信息系地下管網地理信息系統(tǒng)地圖不涉敏感信息，其信息系統(tǒng)安全等級應定為第一級，否則應定為第縣級市及以下排水企業(yè)門戶網站和辦公自動化系統(tǒng)，其信息系統(tǒng)安全等級應定為第一級；地級其它信息系統(tǒng)若不涉敏感信息，其信息系統(tǒng)安全等級應定為第一級，否則應定為第二5.5城鎮(zhèn)供排水信息系統(tǒng)安全等級保護5.5.1城鎮(zhèn)供排水信息系統(tǒng)應具備的基本安全保護能力城鎮(zhèn)供排水信息系統(tǒng)的安全保護等級屬于1～3級。1～3級的信息系統(tǒng)應具備的基本安全保護能5.5.2城鎮(zhèn)供排水信息系統(tǒng)安全保護能力的基本要求7水廠、污水廠工控系統(tǒng)相應等級保護除應符合GB/T22239-2008安全保護能力基本技術信息系統(tǒng)運營、使用單位及其主管部門按照國家相關法規(guī)和標準，自主確定信息系統(tǒng)的安全保根據信息系統(tǒng)的重要程度、業(yè)務特點，通過劃分不同安全保護等級的信息系統(tǒng)，實現不同強度信息系統(tǒng)在新建、改建、擴建時應同步規(guī)劃和設計安全方案，投入一定比例的資金建設與維護信息安全設施，保障信息安全與信息化建設應跟蹤信息系統(tǒng)的變化情況，調整安全保護措施。由于信息系統(tǒng)的應用類型、范圍等條件的變化及其他原因，安全保護等級需要變更的，應當根據等級保護的管理規(guī)范和技術標準的要求，重新確定信息系統(tǒng)的安全保護等級，根據信息系統(tǒng)安全保護等級的調整情況，重新實施安全保護。信息安全體系建設應依據安全等級保護的基本要求，從物理安全、網絡安全、主機安全、應用安全、數據安全以及安全管理等方面綜合考慮，建設成可管理、可控制、可信任的并且融管理、運信息安全管理架構應包括：安全組織架構、人員管理架構和安全管理制度架構。應通過建立安信息安全運行體系應成為技術體系和管理體系作為運行體系的支撐，可通過運行體系的運行情況分析出技術體系和管理體系所存在的不足，為后期進一步完善加強信息安全工作打下基礎。信息信息安全技術體系是其安全管理體系和安全運行體系的交叉組成部分。安全技術體系應是整個8數據不得被非授權人員獲取或被獲取也不能被破解，采用數據訪問控制、數據存儲和傳輸加等數據不得被未授權的篡改或在篡改后能夠被迅速發(fā)現，采用數據操作權限、數字簽名、數據監(jiān)應用安全應保障應用程序使用過程和結果的安全，通過身份鑒別、訪問控制、安全審計等功能物理安全應保護計算機網絡設備、設施以及其他媒體免遭地震、火災、水災等環(huán)境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程，應包括機房安全、設施安全和動力安全網絡安全應以網絡安全架構為主體，并在此基礎上結合相應的網絡設備、安全設備和系統(tǒng)軟硬件進行安全部署和配置，應包括安全區(qū)域劃分、邊通信安全應建立在信號層面的安全，不得涉及具體的數據信息內容，可為信息的正確、可靠傳輸提供了物理保障。應包括通信線路安全、通信完整性、通信保密性等內97.2.3對重大配置變更應制定變更計劃并進行影響分析，配置變更實施前進行嚴格安7.4.1核心工控軟硬件所在區(qū)域應根據其安7.4.2必須拆除或封閉工業(yè)主機上不必要的通用串行總線（USB）、光驅等接口。確需使用通用串行總線（USB）、光驅等接口的，應按信息系統(tǒng)三級等保要求使用通用串行總線（USB）、光驅等接7.5.3工控設備、SCADA軟件、工業(yè)通信設備等應用軟件的登錄賬戶及密碼應避免使用默認口令或7.5.4必須對PLC內下載程序進行加密，避免使用默認口令或弱口令；應定期更新口令，其中第一7.5.5應加強對身份認證證書信息保護力度，除組態(tài)軟件特殊要求，嚴禁任何網絡文7.6.2嚴禁工控系統(tǒng)面向互聯網開通保留工業(yè)控制系統(tǒng)的相關訪問日志，并對操作過程進行安全審計。維護完畢后，應及時關閉臨時虛7.7.1工控網絡應部署網絡安全監(jiān)測設備，7.7.2在重要工控設備前應部署具備工業(yè)協(xié)議深即采取緊急防護措施，防止事態(tài)擴大，并逐級報送至屬地省級工業(yè)和信息化主管部門