ICS35040

L80.

中華人民共和國國家標準

GB/T32919—2016

信息安全技術工業控制

系統安全控制應用指南

Informationsecuritytechnology—

Applicationguidetoindustrialcontrolsystemsecuritycontrol

2016-08-29發布2017-03-01實施

中華人民共和國國家質量監督檢驗檢疫總局發布

中國國家標準化管理委員會

GB/T32919—2016

目次

前言

…………………………Ⅶ

引言

…………………………Ⅷ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義

3………………1

縮略語

4……………………2

安全控制概述

5……………3

安全控制基線及其設計

6…………………6

安全控制選擇與規約

7……………………7

選擇與規約概述

7.1……………………7

安全控制選擇

7.2………………………7

安全控制裁剪

7.3………………………8

裁剪過程

7.3.1………………………8

界定范圍的指導

7.3.2………………8

安全控制補償

7.3.3…………………9

安全控制參數賦值

7.3.4……………9

安全控制補充

7.4………………………10

建立安全控制決策文檔

7.5……………11

安全控制選擇過程應用

8…………………12

附錄資料性附錄工業控制系統面臨的安全風險

A()…………………13

工業控制系統與傳統信息系統對比

A.1……………13

信息系統安全威脅與防護措施對工業控制系統的影響

A.2………14

工業控制系統面臨的威脅

A.3………………………15

工業控制系統脆弱性分析

A.4………………………16

工業控制系統脆弱性概述

A.4.1……………………16

策略和規程脆弱性

A.4.2……………16

網絡脆弱性

A.4.3……………………17

平臺脆弱性

A.4.4……………………19

附錄資料性附錄工業控制系統安全控制列表

B()……………………22

規劃

B.1(PL)…………………………22

安全規劃策略和規程

B.1.1(PL-1)…………………22

系統安全規劃

B.1.2(PL-2)…………22

行為規則

B.1.3(PL-3)………………23

信息安全架構

B.1.4(PL-4)…………23

安全活動規劃

B.1.5(PL-5)…………24

安全評估與授權

B.2(CA)……………24

Ⅰ

GB/T32919—2016

安全評估與授權策略和規程

B.2.1(CA-1)…………24

安全評估

B.2.2(CA-2)………………24

連接管理

B.2.3ICS(CA-3)…………26

實施計劃

B.2.4(CA-4)………………26

安全授權

B.2.5(CA-5)………………27

持續監控

B.2.6(CA-6)………………27

滲透測試

B.2.7(CA-7)………………28

內部連接

B.2.8(CA-8)………………28

風險評估

B.3(RA)……………………28

風險評估策略和規程

B.3.1(RA-1)………………28

安全分類

B.3.2(RA-2)……………29

風險評估

B.3.3(RA-3)……………29

脆弱性掃描

B.3.4(RA-4)…………29

系統與服務獲取

B.4(SA)……………30

系統與服務獲取策略和規程

B.4.1(SA-1)…………30

資源分配

B.4.2(SA-2)………………31

生存周期支持

B.4.3(SA-3)…………31

服務獲取

B.4.4(SA-4)………………31

系統文檔

B.4.5(SA-5)………………32

軟件使用限制

B.4.6(SA-6)…………33

用戶安裝軟件

B.4.7(SA-7)…………33

安全工程原則

B.4.8(SA-8)…………33

外部系統服務

B.4.9(SA-9)…………34

開發人員的配置管理

B.4.10(SA-10)………………34

開發人員的安全測試

B.4.11(SA-11)………………35

供應鏈保護

B.4.12(SA-12)…………35

可信賴性

B.4.13(SA-13)……………36

關鍵系統部件

B.4.14(SA-14)………………………36

程序管理

B.5(PM)……………………36

程序管理計劃

B.5.1(PM-1)………………………36

信息安全高管

B.5.2(PM-2)………………………37

信息安全資源

B.5.3(PM-3)………………………37

行動和里程碑計劃

B.5.4(PM-4)…………………37

安全資產清單

B.5.5(PM-5)………………………37

安全性能度量

B.5.6(PM-6)………………………37

組織架構

B.5.7(PM-7)……………37

關鍵基礎設施計劃

B.5.8(PM-8)…………………38

風險管理策略

B.5.9(PM-9)………………………38

安全授權過程

B.5.10(PM-10)……………………38

業務流程定義

B.5.11(PM-11)……………………39

人員安全

B.6(PS)……………………39

人員安全策略和規程

B.6.1(PS-1)…………………39

崗位分類

B.6.2(PS-2)………………39

Ⅱ

GB/T32919—2016

人員審查

B.6.3(PS-3)………………40

人員離職

B.6.4(PS-4)………………40

人員調離

B.6.5(PS-5)………………40

訪問協議

B.6.6(PS-6)………………41

第三方人員安全

B.6.7(PS-7)………………………41

人員處罰

B.6.8(PS-8)………………42

物理與環境安全

B.7(PE)……………42

物理與環境安全策略和規程

B.7.1(PE-1)…………42

物理訪問授權

B.7.2(PE-2)…………42

物理訪問控制

B.7.3(PE-3)…………42

傳輸介質的訪問控制

B.7.4(PE-4)…………………43

輸出設備的訪問控制

B.7.5(PE-5)…………………43

物理訪問監控

B.7.6(PE-6)…………43

訪問日志

B.7.7(PE-7)………………44

電力設備與電纜

B.7.8(PE-8)………………………44

緊急停機

B.7.9(PE-9)………………44

應急電源

B.7.10(PE-10)……………45

應急照明

B.7.11(PE-11)……………45

消防

B.7.12(PE-12)…………………45

溫濕度控制

B.7.13(PE-13)…………45

防水

B.7.14(PE-14)…………………46

交付和移除

B.7.15(PE-15)…………46

備用工作場所

B.7.16(PE-16)………………………46

防雷

B.7.17(PE-17)…………………46

電磁防護

B.7.18(PE-18)……………46

信息泄露

B.7.19(PE-19)……………47

人員和設備追蹤

B.7.20(PE-20)……………………47

應急計劃

B.8(CP)……………………47

應急計劃策略和規程

B.8.1(CP-1)…………………47

應急計劃

B.8.2(CP-2)………………47

應急計劃培訓

B.8.3(CP-3)…………48

應急計劃測試和演練

B.8.4(CP-4)…………………48

備用存儲設備

B.8.5(CP-5)…………49

備用處理設備

B.8.6(CP-6)…………49

通信服務

B.8.7(CP-7)………………50

系統備份

B.8.8(CP-8)………………50

系統恢復與重建

B.8.9(CP-9)………………………50

配置管理

B.9(CM)……………………51

配置管理策略和規程

B.9.1(CM-1)………………51

基線配置

B.9.2(CM-2)……………51

配置變更

B.9.3(CM-3)……………52

安全影響分析

B.9.4(CM-4)………………………53

變更的訪問限制

B.9.5(CM-5)……………………53

Ⅲ

GB/T32919—2016

配置設置

B.9.6(CM-6)……………54

最小功能

B.9.7(CM-7)……………54

系統組件清單

B.9.8(CM-8)………………………55

配置管理計劃

B.9.9(CM-9)………………………55

維護

B.10(MA)………………………56

維護策略和規程

B.10.1(MA-1)……………………56

受控維護

B.10.2(MA-2)……………56

維護工具

B.10.3(MA-3)……………57

遠程維護

B.10.4(MA-4)……………57

維護人員

B.10.5(MA-5)……………58

及時維護

B.10.6(MA-6)……………58

系統與信息完整性

B.11(SI)…………58

系統與信息完整性策略和規程

B.11.1(SI-1)………58

缺陷修復

B.11.2(SI-2)………………59

惡意代碼防護

B.11.3(SI-3)…………59

系統監控

B.11.4(SI-4)………………60

安全報警

B.11.5(SI-5)………………61

安全功能驗證

B.11.6(SI-6)…………61

軟件和信息完整性

B.11.7(SI-7)……………………62

輸入驗證

B.11.8(SI-8)………………62

錯誤處理

B.11.9(SI-9)………………62

信息處理和留存

B.11.10(SI-10)……………………63

可預見失效預防

B.11.11(SI-11)……………………63

輸出信息過濾

B.11.12(SI-12)………………………63

內存防護

B.11.13(SI-13)……………64

故障安全程序

B.11.14(SI-14)………………………64

入侵檢測和防護

B.11.15(SI-15)……………………64

介質保護

B.12(MP)……………………64

介質保護策略和規程

B.12.1(MP-1)………………64

介質訪問

B.12.2(MP-2)……………65

介質標記

B.12.3(MP-3)……………65

介質存儲

B.12.4(MP-4)……………65

介質傳輸

B.12.5(MP-5)……………65

介質銷毀

B.12.6(MP-6)……………66

介質使用

B.12.7(MP-7)……………66

事件響應

B.13(IR)……………………67

事件響應策略和規程

B.13.1(IR-1)………………67

事件響應培訓

B.13.2(IR-2)………………………67

事件響應測試與演練

B.13.3(IR-3)………………67

事件處理

B.13.4(IR-4)……………68

事件監控

B.13.5(IR-5)……………68

事件報告

B.13.6(IR-6)……………69

事件響應支持

B.13.7(IR-7)………………………69

Ⅳ

GB/T32919—2016

事件響應計劃

B.13.8(IR-8)………………………69

教育培訓

B.14(AT)……………………70

教育培訓策略和規程

B.14.1(AT-1)………………70

安全意識培訓

B.14.2(AT-2)………………………70

基于角色的安全培訓

B.14.3(AT-3)………………70

安全培訓記錄

B.14.4(AT-4)………………………71

標識與鑒別

B.15(IA)…………………71

標識與鑒別策略和規程

B.15.1(IA-1)……………71

組織內用戶的標識與鑒別

B.15.2(IA-2)…………71

設備標識與鑒別

B.15.3(IA-3)……………………72

標識符管理

B.15.4(IA-4)…………73

鑒別符管理

B.15.5(IA-5)…………73

鑒別反饋

B.15.6(IA-6)……………74

密碼模塊鑒別

B.15.7(IA-7)………………………74

組織外用戶的標識與鑒別

B.15.8(IA-8)…………75

訪問控制

B.16(AC)……………………75

訪問控制策略和規程

B.16.1(AC-1)………………75

賬戶管理

B.16.2(AC-2)……………75

強制訪問控制

B.16.3(AC-3)………………………76

信息流強制訪問控制

B.16.4(AC-4)………………77

職責分離

B.16.5(AC-5)……………78

最小授權

B.16.6(AC-6)……………78

失敗登錄控制

B.16.7(AC-7)………………………79

系統使用提示

B.16.8(AC-8)………………………80

以前訪問提示

B.16.9(AC-9)………………………80

并發會話控制

B.16.10(AC-10)……………………80

會話鎖定

B.16.11(AC-11)…………80

會話終止

B.16.12(AC-12)…………81

未標識鑒別的許可行為

B.16.13(AC-13)…………81

遠程訪問

B.16.14(AC-14)…………82

無線訪問

B.16.15(AC-15)…………83

移動設備的訪問控制

B.16.16(AC-16)……………83

外部系統的使用

B.16.17(AC-17)…………………84

信息共享

B.16.18(AC-18)…………84

審計與問責

B.17(AU)…………………85

審計與問責策略和規程

B.17.1(AU-1)……………85

審計事件

B.17.2(AU-2)……………85

審計記錄的內容

B.17.3(AU-3)……………………85

審計存儲能力

B.17.4(AU-4)………………………86

審計失效響應

B.17.5(AU-5)………………………86

審計信息的監控分析和報告

B.17.6、(AU-6)……………………87

審計簡化和報告生成

B.17.7(AU-7)………………87

時間戳

B.17.8(AU-8)………………87

Ⅴ

GB/T32919—2016

審計信息保護

B.17.9(AU-9)………………………87

抗抵賴

B.17.10(AU-10)……………88

審計信息保留

B.17.11(AU-11)……………………88

審計生成

B.17.12(AU-12)…………88

系統與通信保護

B.18(SC)……………89

系統與通信保護策略和規程

B.18.1(SC-1)………89

應用分區

B.18.2(SC-2)……………89

安全功能隔離

B.18.3(SC-3)………………………90

共享資源中的信息

B.18.4(SC-4)…………………90

拒絕服務防護

B.18.5(SC-5)………………………90

資源優先級

B.18.6(SC-6)…………91

邊界保護

B.18.7(SC-7)……………91

傳輸完整性

B.18.8(SC-8)…………93

傳輸機密性

B.18.9(SC-9)…………93

網絡中斷

B.18.10(SC-10)…………94

密鑰建立與管理

B.18.11(SC-11)…………………94

密碼技術的使用

B.18.12(SC-12)…………………