石油工業(yè)信息系統(tǒng)安全管理規(guī)范

1石油工業(yè)信息系統(tǒng)安全管理規(guī)范本文件規(guī)定了石油工業(yè)信息系統(tǒng)安全管理的總體要求，以及涵蓋信息系統(tǒng)的技術(shù)、管理、建設(shè)、運維的各環(huán)節(jié)管理的基本要求和對于云計算、工控系統(tǒng)、物聯(lián)網(wǎng)的增強管理要求，還包括關(guān)鍵信息基礎(chǔ)設(shè)施的安全保護，描述了檢測控制的證實方法。本文件適用于石油工業(yè)領(lǐng)域的信息系統(tǒng)設(shè)計、建設(shè)和運行維護的安全管理。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件：不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求GB/T22240-2020信息安全技術(shù)網(wǎng)絡(luò)安全等級保護定級指南GB/T25070信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求GB/T28448信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求GB/T39204信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護要求3術(shù)語和定義下列術(shù)語和定義適用于本文件。安全策略securitypolicy由最高管理層作出的關(guān)于信息安全的最廣泛、最概括的定義，明確指定了企業(yè)信息安全的作用、價值與意義。遵從共同安全策略的資產(chǎn)和資源的集合。安全事件securityinciden與可能危害組織資產(chǎn)或損害其運行相關(guān)的、單個或多個被識別的信息安全事態(tài)。云計算平臺cloudcomputingplatform云服務(wù)商提供的云計算基礎(chǔ)設(shè)施及其上的服務(wù)軟件的集合。19.2準備階段了解被檢測信息系統(tǒng)安全管理現(xiàn)狀，明確檢測控制項和控制(資料性)d)信息系統(tǒng)網(wǎng)絡(luò)安全等吸保護符合GB/Te)關(guān)鍵信息系統(tǒng)的安全防護符合GB/T39204的要求。)加強對云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、工業(yè)控制等系統(tǒng)的安全管理。g)對于步及商業(yè)秘密的信息系統(tǒng)，應(yīng)開展商業(yè)a)機房場地選擇在具備防震，防風(fēng)和防雨等能力的建筑內(nèi)，非頂層或地下室。b)機房場地避免讓在油氣生產(chǎn)、煉油煉化等區(qū)城及儲油儲氣設(shè)施附近。c)機房出人口配置門禁系統(tǒng)，控制、鑒別和記錄出人人員。d)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標識。e)設(shè)置機房防盜報警系統(tǒng)或設(shè)置有專人值守的現(xiàn)頻監(jiān)控系統(tǒng)。f)將各類機柜。設(shè)施和設(shè)備房通過接地系統(tǒng)安全接地。g)采用防靜電地板或地面并采用必要的接地防靜電措施。h)設(shè)置溫濕度自動調(diào)節(jié)設(shè)施，使機房溫濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。i)提供短期的備用電力供應(yīng)，至少潤足設(shè)備在所電情況下的正常運行要求。a)根據(jù)系統(tǒng)功能、重要性和所步及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段。b)按照方便管理和控制的原則為各于網(wǎng)、胃段分配地址段。c)避免開重要料段部署在網(wǎng)絡(luò)邊界處，重要網(wǎng)段與其他網(wǎng)段之間采取技術(shù)隔離手段。d)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備兀余空間，滿足業(yè)務(wù)高峰期需要。e)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要。f)每半年組織網(wǎng)絡(luò)滲透測試，確認網(wǎng)絡(luò)區(qū)城間防護策略的有效性。g)主動發(fā)現(xiàn)安全漏洞并修復(fù)，如存在安全患的通信協(xié)議、a)根據(jù)系統(tǒng)的安全等級，采用對應(yīng)的訪問控制技術(shù)。9表A.1(續(xù))b)每半年檢查系統(tǒng)賬戶，制陳或停用多余的、目的，攻擊的時間，并在發(fā)生嚴重人侵事件e)定期監(jiān)督、評審和審核服務(wù)供應(yīng)商提供的服務(wù)，并對其變更服務(wù)內(nèi)z)確保密碼產(chǎn)品與服務(wù)的采購和使用符合國家密碼管理b)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識管理，根)定期開展安全檢查，形成報告，采取措施應(yīng)對發(fā)現(xiàn)c)平臺對虛擬機的指令、內(nèi)存、網(wǎng)絡(luò)、存儲等資源實現(xiàn)隔表A.1(續(xù))b)工業(yè)控制系統(tǒng)貌立組網(wǎng)，加強與其他系統(tǒng)間的網(wǎng)絡(luò)區(qū)城劃分和隔離。a)感知終端設(shè)備具有長時間工作的電力供莊，物理環(huán)境應(yīng)確保不被破壞和干擾.b)感知節(jié)點對連接設(shè)