1、附錄A(規范性附錄)工業控制系統信息安全防護效果核驗方法A.1概述工業控制系統信息安全防護效果核驗方法，依據第7章所列13個安全控制族中相關要求，從低到高，依次核驗各控制族相關要求達到的水平，以此為依據，綜合評價工業控制系統信息安全防護所處階段。其流程主要包括：組建核驗團隊、制定安全評價計劃、開展現場評價、形成結論四個部分，工業組織可依據評價結論開展工控安全防護加固等工作。A.2組建評價團隊應組建一個有經驗、經過培訓、具備評價能力的團隊實施現場評價活動，評價人員數量應為奇數，且團隊成員應包括安全管理人員、技術人員、審核人員、測評人員等，必要時可邀請專業信息安全測評機構參與。A.3制定安全評價計

2、劃A.3.1基本情況梳理對工業控制系統進行全面梳理，掌握工業控制系統基本情況。核查工業控制系統規劃設計方案、安全防護規劃設計方案、網絡拓撲圖等相關文檔，訪談工業控制系統管理人員，掌握如下基本信息：主要功能、部署位置、網絡拓撲結構、服務對象、用戶規模、業務周期、運行高峰期等；業務主管部門、運維機構、系統開發商和集成商、上線運行及系統升級日期等；定級情況、數據集中情況、災備情況等；主要硬件構成：重點梳理主要硬件設備類型、數量、生產商(品牌)情況。硬件設備類型有：PLC、工業主機、工業路由器、工業交換機等；主要軟件構成。重點梳理主要軟件類型、套數、生產商(品牌)情況。軟件類型有：工業組態軟件、監控軟

3、件等。A.3.2確定評價范圍評價范圍應包括組織各內設機構，以及為該組織信息系統提供運行維護支撐服務的下屬機構。可根據該組織信息安全保障工作需要，將對該組織信息系統安全可能產生重大影響的相關機構納入效果評價范圍。A.3.3確定評價具體任務與方案根據工業控制系統基本情況，制定效果評價方案。評價方案應明確以下內容：工作負責人和參評人員；評價范圍和重點；3)評價內容；4)工作時間進度安排。A.3.4確定還原恢復預案對于滲透式等入侵攻擊的技術方式，需清除設置的后門賬戶、上傳的腳本木馬等。A.3.5其它工作要求活動包括評價工具的使用等，不能影響工業組織的正常生產運行。A.4開展現場評價現場評價可采用人員訪

4、談、文檔查閱、人工核查、工具檢測等四種方式，可參考GB/T364662018中的實施方法。測評工具的選取需根據實際情況選擇，確保工具的使用不影響工業組織的正常生產運行。A.5形成評價結論評價結束后，應及時對評價結果進行梳理、匯總，對評價發現的問題和隱患進行分類整理，形成評價結論，結論應包括：評價對象、系統及網絡情況、存在的安全問題及整改建議等。A.6安全防護階段核定工業控制系統信息安全防護效果核驗方法采用“總體達標，單項合格”的思想開展，具體內容如下：為保證水平核定結果的公正和客觀，采用基于證據的方式，須有證據支持每條細則的評價結果，證據包括：負責人談話記錄、制度文件、設備運行記錄、現場核查結

5、果和測試結果等。工業控制系統信息安全防護水平提升應通過漸進的方式實現，即組織需達到低水平要求基礎上，才可開展高水平的評價。由于S-1(規劃建設)幫助組織建立完善的工業控制系統信息安全防護管理體系，故該階段要求需全部達到，才可開展S-2(單點防護)的建設工作。工業控制系統信息安全防護各水平安全控制措施權重相同，總體通過率需高于80%。即，若假設某工業控制系統信息安全防護水平中，第1至第13個安全控制族中組織適用的安全控制措施數量為叫，N2，N3，,N13(Nj0,0i14),各控制族中，達到要求的安全控制措施數量為M,M2，M3，,M13(0Mi叫+1,0i0.8；Mi/Ni0.4(0i14)。

6、A.7安全防護效果核定報告編寫根據工業控制系統信息安全防護核定結果，匯總并編寫報告，提供一定時間段內的進展記錄。報告應明確包含建設實施依據、方案內容、實施時間地點、組織架構、實施效果核定結果及佐證材料等內容，其中核定效果可以使用圖表幫助對結果的溝通和理解(見圖A.1、A.2、A.3)。4配置管理人員管理及培訓訪問控制與安全審計資產安全管理供應鏈安全2管理類指標核驗效果圖已經實現目標安全規劃及機構建設應急響應圖A.1管理類指標核驗效果圖6技術類指標核驗效果圖各指標對標情況5llilill圖A.3總體指標核驗效果圖附錄B（規范性附錄）工業控制系統信息安全防護效果對標方法B.1安全技術B.1.1物理

7、與環境安全B.1.1.1物理隔離保護安全防護階段評價要求標號對標方法S-1（規劃建設）PE-1-1a)1）現場核查組織是否明確劃分重點物理安全防護區域。PE-1-1b)1）核查組織是否已有現行針對重點物理安全防護區域的物理隔離保護管理制度文檔。S-2（單點防護）PE-1-2a)1）現場核查組織是否已針對核心工業控制軟硬件（如：工程師站、數據庫、服務器、工業控制設備等）劃分重點物理安全防護區域。PE-1-2b)1）現場核查在物理安全防護區域出入口是否有物理安全訪問控制措施（如：圍墻、門禁、門衛等）；2）人員訪談核查其人員物理訪問授權與對應區域工業控制系統組件邏輯訪問授權是否獨立。PE-1-2c)

8、1）現場核查組織是否在人員物理訪問工業控制系統設施前，有對人員進行訪問權限驗證的操作。S-3（集成管控）PE-1-3a)1）核查組織是否有在維護中的工業控制系統物理訪問記錄文本。PE-1-3b)1）人員訪談核查組織是否在必要時對訪問者進行陪同和監視。PE-1-3c)1）現場核查工業主機（如：工程師站、操作員站）與工業生產設備的物理訪問控制是否獨立。S-4（綜合協同）PE-1-4a)1）現場核查擁有可移動介質的工業現場設備是否采用相應手段（如：物理加鎖、驅動卸載、軟件禁用）提高其安全性。PE-1-4b)1）現場核查服務器放置區域是否有包含認證保護機制的物理隔離裝置。PE-1-4c)1）現場核查工

9、業控制系統網絡設備的放置區域是否只有被授權人員可以進入；2）核查工業控制系統網絡設備的放置區域是否符合設備要求的基礎環境要求。S-5（智能保障）PE-1-5a)1）若該自動化系統為組織自研，組織對應系統技術人員現場講解自動化機制工作原理，并演示自動化運行過程，從而判斷其自動化與功能正確性；2）若自動化系統非組織自研，則組織需提供第三方機構出具的系統檢驗報告。B.1.1.2應急電源安全防護階段評價要求標號對標方法S-1（規劃建設）PE-2-1a)1）核查組織中是否有能為工業控制系統提供電力保障的應急電源（可不只為工業控制系統供電）。S-2（單點防護）PE-2-2a)1）核查組織是否為工業控制系統

10、配備應急UPS電源；2）核查組織是否有該工業控制系統應急UPS電源的續航時間測算記錄。PE-2-2b)1）核查組織是否有為工業控制系統配備的短期不間斷電源；2）組織需提供該電源的第三方測評報告，證實該電源可為工業控制系統短期不間斷供電。S-3（集成管控）PE-2-3a)1）核查組織是否有為工業控制系統配備的長期備份電源；2）組織需提供該電源的第三方測評報告，證實該電源可保證主電源失效時在規定時間內保持工業控制系統功能。PE-2-3b)1）核查組織是否有為工業控制系統配備的備用電力供應系統；2）組織需提供該系統的第三方測評報告，證實該電源能夠在主電源長期喪失的事故中有能力維持工業控制系統所必須的

11、最小的運行能力。S-4（綜合協同）PE-2-4a)1）核查組織是否有為工業控制系統配備的長期的備用電力供應系統；2）組織需提供該系統所在電路的電路圖，以證實該系統是獨立運行而不依賴外部電源的。S-5（智能保障）PE-2-5a)1）若該供電系統為組織自研系統，組織對應供電系統技術人員需現場講解該備用電力供應系統的工作原理，并演示其功能實現過程，從而證實該供電系統有能快速、完全接替主電源的供電任務的能力；2）若自動化系統非組織自研，則組織需提供第三方機構出具的系統檢驗報告，從而證實該供電系統有能快速、完全接替主電源的供電任務的能力。B.1.1.3物理防災安全防護階段評價要求標號對標方法S-1（規劃

12、建設）PE-3-1a)1）核查組織是否有現行的工業控制系統的物理防災管理制度。S-2（單點防護）PE-3-2a)1）核查組織是否已部署火災檢測和消費系統或設備；2）核查該設備的維護記錄（或其他證據），以證實組織對設備進行維護。PE-3-2b)1）組織提供工業控制系統所在環境的溫濕度測量結果記錄，并與該環境中運行的設備所允許的溫濕度進行比對，判斷是否符合要求。PE-3-2c)1）現場核查總閥門或隔離閥門是否易用且工作正常；2）人員訪談核查總閥門或隔離閥門位置及使用方式關鍵人員是否知曉。S-3（集成管控）PE-3-3a)1）現場核查放置工業控制系統的設施內是否設置有避雷裝置；2）組織應提供主機房、

13、通信設備機房等機房滿足機房相關安全建設標準的通過測試報告。PE-3-3b)1）組織應提供工業控制系統滿足電磁防護要求的測試報告；2）現場核查電源線和通信線纜是否相互隔離。PE-3-3c)1）組織對應防火設備或系統技術人員現場講解自動化機制工作原理，并演示自動化運行過程，從而判斷其自動化與功能正確性；2）若自動化設備或系統非組織自研，則組織需提供第三方機構出具的系統檢驗報告。PE-3-3d)1）組織對應設備或系統技術人員現場講解并演示自動通知組織和緊急事件處理人激活操作的過程，從而判斷其自動通知與功能正確性。S-4（綜合協同）PE-3-4a)1）組織需提供工業主機集中部署區域（如：主機房、通信設

14、備機房等）建筑耐火等級證明材料，判斷該區域是否采用具有耐火等級的建筑材料；2）現場核查上條所述區域內的重要設備與其他設備是否采取區域隔離防護措施。PE-3-4b)1）現場核查工業主機集中部署區域（如：機房、通信設備機房等）是否裝配了溫濕度自動調節設施，并核對環境溫濕度與區域內設備運行溫濕度的符合度。PE-3-4c)1）組織需提供自動放水災設施、系統或方案，相關人員現場講解原理并配合其中必要環節的演示。S-5（智能保障）PE-3-5a)1）組織相應技術人員現場講解自動化物理防災管理實時監控機制原理并進行相應演示，評價人員通過原理講解與演示判斷其自動機制能否實時探測物理災患并及時預警；2）核查其實

15、時探測記錄日志。PE-3-5b)1）組織的自動化物理防災系統對應技術人員需現場講解其工作原理并進行演示，評價人員根據其原理講解與現場演示判斷該系統能否在有事故發生時自動調配物理防災裝置并采取征求應急手段應對。B.1.2通信網絡安全B.1.2.1網絡隔離安全防護階段評價要求標號對標方法S-1（規劃建設）TN-1-1a)1）核查組織配置文檔，是否存在開發和測試環境的基線配置；2）開發和測試環境的基線配置是否合理。S-2（單點防護）TN-1-2a)1）現場核查組織實際生產環境，通過工具檢測確認是否與開發測試環境網絡隔離。S-3（集成管控）TN-1-3a)1）核查組織開發測試環境和測試報告，是否與實際

16、生產環境相匹配。S-4（綜合協同）TN-1-4a)1）通過人工核查或工具檢測，確認工業控制系統開發、測試和生產環境是否分離（如網絡是否相連、生產環境是否存在測試賬戶/數據等）。S-5（智能保障）TN-1-5a)1）通過人工核查云端開發環境，現場核查測試環境與實際生產環境，查看策略和配置文檔，是否實現開發環境、測試環境、用戶驗收測試環境及生產環境的分離控制。B.1.2.2區域劃分安全防護階段評價要求標號對標方法S-1（規劃建設）TN-2-1a)1）通過人員訪談或文檔查閱，確認是否建立安全區域劃分策略。S-2（單點防護）TN-2-2a)1）通過人員訪談或人工核查，確認其是否依據區域重要性和業務需求

17、合理劃分工業控制網絡安全區域。S-3（集成管控）TN-2-3a)1）通過文檔查閱或人工核查，確認其是否依據安全區域實施隔離防護以滿足企業網絡邊界防護需求；2）通過人工核查或工具檢測，確認網絡安全防護設備部署情況及配置策略，核查其與組織提供材料的一致性。S-4（綜合協同）TN-2-4a)1）查閱組織工業控制網絡拓撲圖，控制設備是否按功能和安全要求劃分到不同區域；2）核查組織工業控制網絡通信管理系統，區域之間是否執行管道通信，并對控制區域間管道中的通信內容進行統一管理。S-5（智能保障）TN-2-5a)1）核查網閘、防火墻、路由器、交換機和無線接入網關設備等提供訪問控制功能的設備或相關組件，是否能

18、智能生成區域訪問控制策略并自適應演進。B.1.2.3邊界防護安全防護階段評價要求標號對標方法S-1（規劃建設）TN-3-1a)1）通過人工核查或工具檢測，確認工業控制網絡是否未發生在無防護狀態下直接連接互聯網的情況。S-2（單點防護）TN-3-2a)1）通過人員訪談或文檔查閱，核查是否在不同網絡邊界之間部署安全防護設備，評價安全訪問控制和限制非法網絡訪問等功能的有效性；2）通過人工核查或工具檢測，確認網絡邊界的安全防護設備部署是否與組織提供材料相一致，評價安全防護設備配置策略及其部署實施情況的真實性。TN-3-2b)c)1）核查生產網和辦公網邊界的安全防護設備，是否有非授權內聯和非法外聯行為限

19、制或檢查功能或記錄。S-3（集成管控）TN-3-3a)1）核查工業控制網絡邊界的安全防護設備，是否具有通信監控功能。S-4（綜合協同）TN-3-4a)1）核查組織連接外部網絡或工業控制系統的接口，是否得到管理并與邊界安全保護設備相一致；2）是否限制外部信息流僅能流向管理接口中的服務器。TN-3-4b)1）核查無線網絡的部署方式，是否單獨組網后再連接到有線網絡；2）核查無線網絡是否通過受控的邊界防護設備接入到內部網絡；3）核查是否禁止用戶自主配置無線網絡功能。S-5（智能保障）TN-3-5a)1）核查并測試驗證是否采用技術措施能夠對非授權設備接入內部網絡的行為進行有效阻斷；2）核查并測試驗證是否

20、采用技術措施能夠對內部用戶非授權聯到外部網絡的行為進行有效阻斷。TN-3-5b)1）核查并測試驗證是否采用可信驗證機制對接入到網絡中的設備進行可信驗證。B.1.3工業主機安全B.1.3.1安全軟件安全防護階段評價要求標號對標方法S-1（規劃建設）IH-1-1a)1）通過人員訪談和文檔查閱，是否建立工業控制系統防病毒和惡意軟件入侵管理制度；2）通過人員訪談和文檔查閱，防病毒和惡意軟件入侵管理制度是否完善。IH-1-1b)1）通過人員訪談和現場核查，工業控制系統是否安裝安全防護軟件；2）通過現場核查和工具檢測，安全防護軟件是否具備病毒、木馬防護，未授權應用禁止等功能。S-2（單點防護）IH-1-2

21、a)1）通過現場核查和工具檢測，安全軟件是否已在離線環境中測試驗證。IH-1-2b)1）通過人員訪談和現場核查，是否按照采購合同、軟件協議等規定的方式正確使用安全軟件。S-3（集成管控）IH-1-3a)1）通過人員訪談和現場核查，是否定期對工業控制系統進行查殺；2）通過人員訪談和現場核查，臨時接入設備使用前是否進行查殺，并留存查殺記錄。S-4（綜合協同）IH-1-4a)1）通過人員訪談和現場核查，是否安裝工業控制系統安全軟件統一管理系統。IH-1-4b)1）通過現場核查和工具檢測，檢測安全軟件是否能夠及時識別網絡入侵和惡意病毒，并及時告警。S-5（智能保障）IH-1-5a)1）通過人員訪談和現

22、場核查，已部署的安全軟件統一管理系統是否集成自適應分析學習功能；2）通過現場核查和工具檢測，安全軟件統一管理系統是否能實現異常控制程序、指令等實時分析反饋。B.1.3.2補丁升級安全防護階段評價要求標號對標方法S-1（規劃建設）IH-2-1a)1）通過人員訪談和文檔查閱，是否建立工業信息安全漏洞和補丁管理制度。S-2（單點防護）IH-2-2a)1）通過人員訪談和現場核查，出現重大工業信息安全漏洞時，是否及時進行補丁升級或消減措施。S-3（集成管控）IH-2-3a)1）通過人員訪談和現場核查，補丁安裝前，是否對補丁進行安全評估測試，驗證其可能帶來的后果。IH-2-3b)1）通過人員訪談和現場核查

23、，補丁升級是否由組織統一管理，并由專業人員進行補丁升級。S-4（綜合協同）IH-2-4a)1）通過人員訪談和現場核查，在補丁升級前，是否制定詳細的回退計劃。S-5（智能保障）IH-2-5a)1）通過人員訪談和現場核查，是否部署補丁審查系統；2）通過人員訪談和現場核查，補丁審查系統是否能定期自動掃描檢查工業主機補丁升級情況。IH-2-5b)1）通過人員訪談和現場核查，是否建立全仿真測試環境；2）通過人員訪談和現場核查，補丁安裝前，是否在測試環境中開展全面安全性測試。B.1.3.3外設管理安全防護階段評價要求標號對標方法S-1（規劃建設）IH-3-1a)1）通過人員訪談和文檔查閱，是否建立工業主機

24、外設接口管理制度。S-2（單點防護）IH-3-2a)1）通過人員訪談和現場核查，是否拆除或封閉工業主機上不必要的USB、光驅、無線等接口。S-3（集成管控）IH-3-3b)1）通過人員訪談和現場核查，是否通過外設安全管理、技術手段實現訪問控制。S-4（綜合協同）IH-3-4a)1）通過人員訪談和現場核查，是否采用經過統一審批的工業主機外接設備；2）通過現場核查和工具檢測，工業主機是否拒絕訪問未經審批的外接設備。S-5（智能保障）一一B.1.3.4身份認證安全防護階段評價要求標號對標方法S-1（規劃建設）IH-4-1a)1）通過人員訪談和文檔查閱，是否建立身份認證管理制度。IH-4-1b)1）通

25、過人員訪談和文檔查閱，是否建立密碼口令管理制度。IH-4-1c)1）通過人員訪談和現場核查，是否根據不同業務需求、崗位職責，合理分類設置賬戶。S-2（單點防護）IH-4-2a)1）通過人員訪談和現場核查，在工業主機等登錄訪問過程中，是否使用身份認證管理技術。IH-4-2b)1）通過人員訪談和現場核查，是否明確禁止賬戶借用。IH-4-2c)1）通過人員訪談和現場核查，是否以最小特權原則來進行系統賬戶權限分配。IH-4-2d)1）通過人員訪談和現場核查，賬戶是否設置高強度登錄密碼，并定期更新。S-3（集成管控）IH-4-3a)1）通過現場核查和工具檢測，連續登錄失敗時，是否限制賬戶的無效訪問。IH

26、-4-3b)1）通過人員訪談和現場核查，是否加強對身份認證信息的保護力度，禁止在不同系統和網絡環境下共享。S-4（綜合協同）IH-4-4a)1）通過人員訪談和現場核查，在關鍵設備、系統和平臺的訪問過程中，是否采用兩種或兩種以上因素認證方式。IH-4-4b)1）通過人員訪談和現場核查，是否明確授權和監督匿名賬戶的使用。IH-4-4c)1）通過人員訪談和現場核查，是否定期審計賬戶權限。IH-4-4d)1）通過人員訪談和現場核查，當未成功嘗試超出最大次數時，是否鎖死賬戶，直至管理員予以釋放。S-5（智能保障）IH-4-5a)1）通過人員訪談和現場核查，是否建立全組織范圍內的身份認證系統；2）通過人員

27、訪談和現場核查，是否實現多級別因素認證，構建重要工業設備多層防御機制。B.1.4應用程序安全B.1.4.1源代碼審計安全防護階段評價要求標號對標方法S-1（規劃建設）AP-1-1a)1）查閱企業信息安全保障相關文件，確認是否有針對工業控制系統的應用程序源代碼進行安全審計的要求。S-2（單點防護）AP-1-2a)1）查閱企業工業控制系統應用程序管理文件，確認是否有禁止使用開源、受限制的或無認證源代碼源的可執行代碼的要求；2）通過對現場工作人員的訪談或相關工具演示，確認是否有相應技術手段保障實施該項要求。S-3（集成管控）AP-1-3a)1）查閱企業定制軟件和應用程序的服務合同等資料，確認是否要求

28、對交付的軟件和應用程序進行源代碼安全分析等測試；2）核查企業定制軟件和應用程序的安全測試報告資料，確認是否包含了SQL注入、文件操作（上傳/寫入/讀取/刪除）、文件包含、命令執行、XSS、Cookie欺騙、邏輯漏洞等方面的測試。S-4（綜合協同）AP-1-4a)1）核查企業源代碼審計記錄形成的知識庫，確認是否形成了明確的代碼審計流程；2）查驗產業鏈上下游服務企業提交的源代碼審計記錄，確認是否按照規定的代碼審計流程實施。AP-1-4b)1）核查企業定制軟件和應用程序的目錄列表，確認是否都具有對應的源代碼安全檢測升級報告。S-5（智能保障）AP-1-5a)1）通過現場工作人員演示，確認是否有定制專

29、用的代碼審計工具；2）查閱該工具的運維記錄日志，確認是否進行持續升級維護。AP-1-5b)1）查閱企業源代碼審計標準文件，確認是否實現了代碼審計工作流程的標準化；2）查閱企業源代碼審計工具庫，確認是否可以滿足代碼審計標準化流程的需要。AP-1-5c)1）核查企業內部技術崗位設置情況，確認是否有從事源代碼安全檢測工作的人員配置。B.1.4.2升級安全保障安全防護階段評價要求標號對標方法S-1（規劃建設）AP-2-1a)1）查閱企業信息安全保障相關文件，確認是否有針對工業控制系統的應用程序制定升級過程安全保障的要求。S-2（單點防護）AP-2-2a)1）查閱應用程序升級過程記錄，確認升級包是否通過

30、官方渠道獲得；2）確認是否有相應的檢查工具，對升級包的簽名或摘要值進行了檢查確認。AP-2-2b)1）查閱應用程序升級過程記錄，確認是否在升級實施前對升級包進行了安全測評；2）查閱相關升級測試報告等文件，確認是否包含測試環境、測試內容、測試方法、測試過程、測試時間、測試人等內容。S-3（集成管控）AP-2-3c)1）查閱應用程序升級過程記錄，確認是否對升級后的應用程序進行持續跟蹤；2）確認是否有技術工具對升級后的異常狀況進行發現和處理。S-4（綜合協同）AP-3-4a)1）查閱針對應用程序安全升級的管理系統設計、驗證、建設等文檔，確認是否能有效實現應用程序升級工作的統籌管理；2）通過現場工作人

31、員演示，確認該管理系統是否已經部署實施。AP-3-4b)1）查閱企業信息安全保障相關文件，確認是否有關于應用程序升級失敗后“回退”的計劃安排；2）通過對現場工作人員的訪談，確認其是否了解升級失敗后“回退”的具體操作步驟。S-5（智能保障）一一B.1.5數據安全防護B.1.5.1數據分類分級管理安全防護階段評價要求標號對標方法S-1（規劃建設）DP-1-1a)1）查閱組織對工業數據資產分類梳理記錄，是否建立工業數據資產目錄；2）工業數據資產目錄是否完整合理。S-2（單點防護）DP-1-2a)1）是否按照行業主管部門相關規定，開展工業數據分類分級工作，形成工作記錄及分類分級結果。DP-1-2b)1

32、）是否具備以書面的形式整理的工業數據分類情況和定級情況；2）是否組織技術專家對工業數據分類分級結果的合理性和正確性進行審核論證。S-3（集成管控）DP-1-3a)1）是否制定規則，明確工業數據的應用現狀、防護措施、共享范圍等，并向數據所在地相應層級的有關部門上報備案。DP-1-3b)1）是否每年定期對數據備案情況進行復查，并將變更情況上報有關部門。S-4（綜合協同）DP-1-4a)1）是否制定數據共享制度；2）是否禁止核心工業數據共享；3）對確需共享的工業數據，是否按照相關法規政策要求，嚴格控制知悉范圍，并報數據所在地的省級有關主管部門備案。S-5（智能保障）DP-1-5a)1）是否在數據共享

33、制度中明確規定對不同重要性或敏感程度的數據共享范圍進行分類控制；2）是否按照數據定級情況，明確獲取該項數據以及授權機構及相關單位。DP-1-5b)1）針對S-2以上的（分級分類等級）數據，是否采取最小知悉原則確定開放范圍；2）是否按照數據分類分級情況，建立加密認證、權限管理和訪問管理等安全保護機制。B.1.5.2差異化防護安全防護階段評價要求標號對標方法S-1（規劃建設）DP-2-1a)1）通過文檔查閱和人員訪談，核查組織是否建立重要工業數據清單；2）核查重要工業數據清單是否完整、準確；DP-2-1b)1）現場核查重要工業數據傳輸是否采用校驗技術以保證完整性。S-2（單點防護）DP-2-2a)

34、1）核查靜態存儲的重要工業數據是否設置訪問控制功能。DP-2-2b)1）現場核查組織的重要工業數據在動態傳輸過程中是否采用加密傳輸或使用VPN等方式進行保護。DP-2-2c)1）現場核查靜態存儲的重要工業數據是否采用加密存儲或隔離保護；2）核查是否制定靜態數據訪問流程，記錄數據訪問日志并定期審計。S-3（集成管控）DP-2-3a)1）通過人員訪談和文檔查閱，核查組織是否根據行業主管部門相關政策，對數據進行分類梳理和標識；2）核查組織是否建立工業數據資產分類目錄。DP-2-3b)1）核查是否根據行業主管部門相關政策，按照數據重要性或敏感度的不同，對數據實施分級防護。DP-2-3c)1）是否建立針

35、對工業數據上云的授權認證機制；2）是否明確規定不同類別工業數據使用范圍、使用權限;3）是否與云服務商或第三方簽訂協議或合同時嚴格明確其對于生產控制數據的采集、管理和使用權限。S-4（綜合協同）DP-2-4a)1）是否能對進出工業控制網絡的數據流實現基于應用協議和應用內容的訪問控制。DP-2-4b)2）是否采用技術或人工篩選的方式對連接設備（包括終端節點）產生、傳輸和存儲的數據進行標識、鑒別和可信驗證。S-5（智能保障）DP-2-5a)1）是否建設了數據集中管控平臺；2）平臺是否具備對分散在各個工業控制系統及設備上的關鍵業務數據進行收集匯總、集中分析和合規審計等能力。B.1.5.3數據備份安全防

36、護階段評價要求標號對標方法S-1（規劃建設）DP-3-1a)1）通過文檔查閱、人員訪談，核查是否建立關鍵業務數據清單（如生產工藝、生產計劃、組態文件、調度管理等數據）。DP-3-1b)1）核查是否定期對關鍵業務數據實施本地備份；2）是否對關鍵業務數據提供數據恢復功能。S-2（單點防護）DP-3-2a)1）核查是否對關鍵業務數據進行異地備份；2）是否利用受保護的通信網絡將重要數據定時批量傳送至備份場地。DP-3-2b)1）核查是否根據業務需要，制定關鍵業務數據的備份方式、備份周期等策略，策略是否合理有效；2）查閱數據備份記錄，核查數據備份策略是否執行到位。S-3（集成管控）DP-3-3a)1）核

37、查是否定期對所備份的關鍵業務數據進行恢復測試，并形成測試記錄；2）核查所備份的關鍵業務數據恢復的及時性、完整性等是否滿足組織業務需要。DP-3-3b)1）是否對備份數據建立合理、有效的安全防護手段（如數據加密、訪問控制等）。S-4（綜合協同）DP-3-4a)1）是否根據數據重要性和對系統運行的影響，制定相應的數據備份策略和恢復策略；2）是否部署有效的備份程序和恢復程序。S-5（智能保障）DP-3-5a)1）核查是否建立異地災難備份中心，提供數據處理系統及業務應用的實時切換；2）是否對備份數據進行定期切換測試，形成測試記錄，確保切換數據的可用性。DP-3-5b)1）核查是否能提供具備實時性的關鍵業務數據處理系統的熱冗余。B.1.5.4數據保護安全防護階段評價要求標號對標方法S-1（規劃建設）DP-4-1a)1）通過人員訪談或文檔查閱，組織是否建立相應的規章制度對測試數據進行管理和保護。S-2（單點防護）DP-4-2a