《信息安全技术 工业控制系统网络审计产品安全技术要求-编制说明》

1工作简况

1.1任务来源

2014年，经国标委批准，全国信息安全标准化技术委员会

（SAC/TC260）主任办公会讨论通过，研究制订《信息安全技术工业

控制系统网络审计产品安全技术要求》国家标准,国标计划号：

2014bzzd-WG5-004。该项目由全国信息安全标准化技术委员会提出，

全国信息安全标准化技术委员会归口，由珠海市鸿瑞软件技术有限公

司负责主编。

1.2协作单位

在接到《信息安全技术工业控制系统网络审计产品安全技术要

求》标准的任务后，珠海市鸿瑞软件技术有限公司立即与测评机构、

工业控制厂商进行沟通，并得到了多家单位的积极参与和反馈。最终

确定由公安部第三研究所（公安部计算机信息系统安全产品质量监督

检验中心）、北京和利时系统工程有限公司等单位作为标准编制协作

单位。

1.3编制的背景

目前工业控制系统已广泛应用于我国电力、水利、石化、交通运

输、制药以及大型制造行业，工控系统已是国家安全战略的重要组成

部分，一旦工控系统中的数据信息及控制指令被攻击者窃取篡改破

坏，将对工业生产和国家经济安全带来重大安全风险。

1

随着计算机和网络技术的发展，特别是信息化与工业化深度融

合，逐步形成了管理与控制的一体化，导致生产控制系统不再是一个

独立运行的系统，其接入的范围不仅扩展到了企业网甚至互联网，从

而面临着来自互联网的威胁。同时，随着工控系统产品越来越多地采

用通用协议、通用硬件和通用软件，病毒、木马等威胁正在向工控系

统扩散，工控系统信息安全问题日益突出，因此如何将工控系统与管

理系统进行安全防护已经破在眉捷，必须尽快建立安全标准以满足国

家信息安全的战略需要。

1.4编制的目的

在标准制定过程中，坚持以国内外产品发展的动向为研究基础，

对工控审计产品的安全技术要求提出规范化的要求，并结合工业控制

系统安全防护中产品的使用，制定切实可行的产品标准。标准可用于

该类产品的研制、开发、测试、评估和产品的采购，有利于规范化、

统一化。

2主要编制过程

2.1成立编制组

2014年12月接到标准编制任务，组建标准编制组，由珠海鸿瑞、

公安三所检测中心（以下检测“公安部检测中心”、北京和利时联合

编制。珠海鸿瑞的编制人员主要为审计产品研发人员，工业控制系统

安全工程实施负责人，公安部检测中心的编制组成员均具有资深的审

2

计产品检测经验、有足够的标准编制经验、熟悉CC、熟悉工业控制

安全；其他厂商的编制成员均为工控审计产品的研发负责人及主要研

发人员。公安部检测中心人员包括邹春明、沈清泓、陆臻、田原、

王志佳、孟双、顾健等；其它厂商包括刘智勇、陈敏超、王弢等。

2.2制定工作计划

编制组首先制定了编制工作计划，并确定了编制组人员例会安排

以便及时沟通交流工作情况。

2.3参考资料

该标准编制过程中，主要参考了：

•GB/T5271.8-2001信息系统词汇第8部分：安全

•GB17859-1999计算机信息系统安全保护划分准则

•GB/T18336.3－2015信息技术安全技术信息技术安全性评

估准则第3部分：安全保证要求

•GB/T20271-2006信息安全技术信息系统通用安全技术要求

•GB/T20945-2013信息安全技术信息系统安全审计产品技术

要求和测试评价方法

•IEC62443工业过程测量、控制和自动化网络与系统信息安全

•GA/T695-2014信息安全技术网络通信审计产品技术要求

•近几年到本检测中心所送检的相关网络审计产品、工控审计产

品及其技术资料

2.4确定编制内容

3

经标准编制组研究决定，以GB/T20945-2013国标内容为理论基

础，结合工业控制系统的需求特点，以GB17859-1999《计算机信息

系统安全保护等级划分准则》和GB/T18336-2015《信息技术安全

技术信息技术安全性评估准则》为主要参考依据，完成《信息安全

技术工业控制系统网络审计产品安全技术要求》标准的编制工作。

2.5编制工作简要过程

按照项目进度要求，编制组人员首先对所参阅的产品、文档以及

标准进行反复阅读与理解，查阅有关资料，编写标准编制提纲，在完

成对提纲进行交流和修改的基础上，开始具体的编制工作。

2015年2月，完成了对工控审计产品的相关技术文档和有关标准

的前期基础调研。在调研期间，主要对公安部检测中心历年检测产品

的记录、报告以及各产品的技术文档材料进行了筛选、汇总、分析，

对国内外相关产品的发展动向进行了研究，对相关产品的技术文档和

标准进行了分析理解。

2015年2月完成了标准草稿的编制工作。以编制组人员收集的资

料为基础，在不断的讨论和研究中，完善内容，最终形成了本标准草

案（第一稿）。

2015年3月，编制组邀请济南华汉、上海三零卫士等厂商对标准

草案进行研讨。

2015年6月，根据各厂商意见对标准草案（第一稿）进行修订，

明确了白名单方式对审计进行分析、接口安全等要求。形成了标准草

案（第二稿）。

4

2015年10月，编制组在公安部检测中心内部对标准草案（第二

稿）进行了讨论。删除了分级部署、组件间传输加密等要求，形成了

标准草案（第三稿）。

2016年6月，编制组在北京以研讨会形式邀请绿盟科技、启明星

辰、海天炜业、力控华康、匡恩、沈阳自动化所等以及崔书昆、韩博

怀等工业控制领域和信息安全领域的厂商代表和专家进行现场征求

意见，根据反馈意见，增加了工业控制协议解释深度要求、异常事件

识别等要求，形成草案（第四稿）。

2016年8月，编制组在北京以研讨会形式邀请绿盟科技、启明星

辰、海天炜业、网康、匡恩、华为等以及顾建国、许玉娜、李健、张

格、范科峰、孙娅萍等工业控制领域和信息安全领域的厂商代表和专

家进行现场征求意见，根据反馈意见，细化了审计策略、事件分级分

类，增加产品描述等。形成草案（第五稿）。

2016年8月，通过WG5秘书处，向山西天地科技、南京中新赛克

等成员单位广泛征求意见，并根据反馈意见进行了修改，主要包括，

增加引用标准GB/T30976.1-2014并参考其中的术语定义和缩略语；

修改环境适应性要求等。形成草案（第六稿）。

2016年8月25日，在WG5组织的标准推荐会上，编制组向与会

专家汇报了标准进展情况、标准的主要内容以及意见汇总处理情况。

与会专家并提出了相关意见，编制组根据专家意见进行修订，并通过

组内投票。形成征求意见稿。

2.6起草人及其工作

5

标准编制组具体由邹春明、沈清泓、陆臻、田原、王志佳、孟双、

顾健、刘智勇、陈敏超、王弢等人组成。邹春明全面负责标准编制工

作，包括制定工作计划、确定编制内容和整体进度、人员的安排；沈

清泓、田原、王志佳主要负责标准的前期调研、现状分析、标准各版

本的编制、意见汇总的讨论处理、编制说明的编写等工作；陆臻、孟

双负责标准校对审核等工作；顾健主要负责标准编制过程中的各项技

术支持和整体指导。

3编制原则及思路

3.1编制原则

为了使工控审计产品标准的内容从一开始就与国家标准保持一

致，本标准的编写参考了其他国家有关标准，主要有GB/T

17859-1999、GB/T20271-2006、GB/T20945-2013、IEC62443和GB/T

18336-2015。

本标准符合我国的实际情况，遵从我国有关法律、法规的规定。

具体原则与要求如下：

1）先进性

标准是先进经验的总结，同时也是技术的发展趋势。目前，国家

管理机构及用户单位工业控制系统信息安全越来越重视，我国工控审

计产品处于快速发展阶段，要制定出先进的产品国家标准，必须参考

国内外先进技术和标准，吸收其精华，才能制定出具有先进水平的标

准。本标准的编写始终遵循这一原则。

6

2）实用性

标准必须是可用的，才有实际意义，因此本标准的编写是在对国

内外标准的相关技术内容消化、吸收的基础上，结合我国的实际情况，

广泛了解了市场上主流产品的功能，吸收其精华，制定出符合我国国

情的、可操作性强的标准。

3）兼容性

本标准既要与国际接轨，更要与我国现有的政策、法规、标准、

规范等相一致。编制组在对标准起草过程中始终遵循此原则，其内容

符合我国已经发布的有关政策、法律和法规。

3.2编制思路

1)GB17859为我国信息安全工作的纲领性文件，据此对产品进行

分等级要求；

2)GB/T18336对应国际标准《信息技术安全评估通用准则》（即

CC），为信息安全产品领域国际上普遍遵循的标准。本标准引

用了其第三部分安全保证要求，并参考了其PP的生成要求；

3)标准格式上依据GB/T1.1进行编制；

4)广泛征集工业控制厂商、信息安全厂商及用户单位意见。

4标准主要内容

4.1安全功能要求

安全功能要求是对工业控制系统网络审计产品应具备的安全功

7

能提出具体要求，包括审计数据采集、审计数据还原、审计记录、审

计识别和分析、事件响应和报警、审计查阅和报表、审计记录存储、

时间同步、标识和鉴别、安全管理、审计日志。具体内容和等级划分

如表4-1所示。

表4-1安全功能要求等级划分

安全功能要求基本级增强级

采集策略***

审计数据采集

网络流量监测***

网络层通信协议还原***

审计数据还原工业控制协议还原***

事件辨别扩展接口——*

审计数据生成**

审计数据外发——*

记录内容***

审计记录

数据库支持**

基于白名单规则白名单规则定义**

分析白名单方式识别**

异常事件识别***

审计识别和分自定义识别规则**

异常事件

析基于白名单规则自动生成——*

事件分类分级**

基于统计的分析——*

关联分析——*

事件响应——*

事件响应和报

事件告警**

警

告警方式***

常规查阅**

审计查阅和报有限查阅**

表可选查阅**

审计报表**

存储安全**

审计记录存储

存储空间耗尽处理***

时间同步**

唯一性标识**

管理员属性定义**

标识和鉴别管理员角色——*

基本鉴别***

多鉴别**

8

安全功能要求基本级增强级

超时锁定或注销——*

鉴别失败处理**

鉴别数据保护**

接口及安全管理**

管理信息传输安全——*

安全管理

安全状态监测***

分布式部署——*

审计日志生成***

审计日志审计日志内容**

审计日志存储**

注：“*”表示具有该要求，“**”表示要求有所增强，“——”表示不适用。

4.2安全保障要求

安全保障要求针对工业控制系统网络审计产品的开发和使用文

档的内容提出具体的要求，例如开发、指导性文档、生命周期支持、

测试、脆弱性评定等。具体内容和等级划分如表4-2所示。

表4-2安全保障要求等级划分

安全保障要求基本级增强级

安全架构**

功能规范***

开发

实现表示——*

产品设计***

指导性操作用户指南**

文档准备程序**

配置管理能力***

配置管理范围***

生命周交付程序**

期支持开发安全——*

生命周期定义——*

工具和技术——*

测试覆盖***

测试深度——*

测试

功能测试**

独立测试