犐犆犛２５．０４０

犖１０

中華人民共和國國家標準

犌犅／犜２６３３３—２０１０

工業控制網絡安全風險評估規范

犈狏犪犾狌犪狋犻狅狀狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉狊犲犮狌狉犻狋狔犻狀犻狀犱狌狊狋狉犻犪犾犮狅狀狋狉狅犾狀犲狋狑狅狉犽

２０１１０１１４發布２０１１０６０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犜２６３３３—２０１０

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４符號和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５風險評估要點!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６特性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

７確定評估目的!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

８評估設計和規劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

９制定評估計劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１０評定技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１１評估的實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

１２編寫評估報告!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

附錄Ａ（規范性附錄）工業控制網絡安全網關的安全風險評估!!!!!!!!!!!!!!!１３

附錄Ｂ（規范性附錄）工業控制網絡現場設備層安全風險評估!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犜２６３３３—２０１０

前言

本標準按照ＧＢ／Ｔ１．１—２００９給出的規則起草。

本標準中的一些內容可能涉及某些專利，本標準對任何這樣的專利權均不負有鑒別責任。

本標準由中國機械工業聯合會提出。

本標準由全國工業過程測量和控制標準化技術委員會歸口。

本標準起草單位：重慶郵電大學、浙江大學、浙江中控技術股份有限公司、機械工業儀器儀表綜合技

術經濟研究所、中國科學院沈陽自動化研究所、大連理工大學、上海工業自動化儀表研究所、上海自動化

儀表股份有限公司、中國四聯儀器儀表集團有限公司、西南大學、天津天儀集團儀表有限公司、北京華控

技術有限公司。

本標準起草人：王浩、王平、金建祥、馮冬芹、歐陽勁松、梅恪、徐皚冬、仲崇權、繆學勤、包偉華、劉進、

張慶軍、秘明睿、劉杰、劉楓、楊彬、周勇。

Ⅲ

犌犅／犜２６３３３—２０１０

引言

隨著各種通信技術在工業控制網絡中的廣泛應用，在實現更多功能的同時，工業控制網絡的安全問

題日益凸顯。

本評估標準是一種針對工業控制網絡的安全風險評估方法。通過對工業控制網絡的安全風險評估

可以發現網絡的安全隱患，通過采用相應的安全措施彌補安全漏洞，從而增強工業控制網絡的安全。

本標準規定了工業控制網絡安全風險評估的一般方法和準則，描述了工業控制網絡安全風險評估

的一般步驟，側重于評估對象的分析和評估計劃的設計。

Ⅳ

犌犅／犜２６３３３—２０１０

工業控制網絡安全風險評估規范

１范圍

本標準規定了評估的步驟，對評估方法給出了建議。

本標準適用于工業控制網絡的安全風險評估，定義了評估的要點。

本標準討論工業控制網絡的通信安全，它主要取決于系統所采用的防護措施。

２規范性引用文件

下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文

件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

ＧＢ／Ｔ９３６１—１９８８計算機場地安全要求

ＧＢ／Ｔ９３８７．２—１９９５信息處理系統開放系統互連基本參考模型第２部分：安全體系結構

ＧＢ１７８５９—１９９９計算機信息系統安全保護等級劃分準則

ＧＢ／Ｔ１７９０３．１—２００８信息技術安全技術抗抵賴第１部分：概述

ＧＢ／Ｔ１７９６５—２０００信息技術開放系統互連高層安全模型（ｉｄｔＩＳＯ／ＩＥＣ１０７４５：１９９５）

ＧＢ／Ｔ１８２７２．１—２０００工業過程測量和控制系統評估中系統特性的評定第１部分：總則和方

法學

ＧＢ／Ｔ１８２７２．２—２０００工業過程測量和控制系統評估中系統特性的評定第２部分：評估方

法學

ＧＢ／Ｔ１８２７２．３—２０００工業過程測量和控制系統評估中系統特性的評定第３部分：系統功能

性評估

ＧＢ／Ｔ１８２７２．７—２００６工業過程測量和控制系統評估中系統特性的評定第７部分：系統安全

性評估

ＧＢ／Ｔ１８３３６．１—２００８信息技術安全技術信息技術安全性評估準則第１部分：簡介和一般

模型（ＩＳＯ／ＩＥＣ１５４０８１