信息安全技术 工业控制系统安全检查指南-编制说明

工作简况任务来源2012，经国标委批准，全国信息安全标准化技术委员会（SAC/TC260）主任办公会讨论通过，研究编制《工业控制系统安全检查指南》国家标准。该项目由全国信息安全标准化技术委员会提出，全国信息安全标准化技术委员会归口，由中国信息安全测评中心负责主办。协作单位在接到《工业控制系统信息检查指南》标准的任务后，中国信息安全测评中心和北京三零卫士信息安全技术有限公司立即与中国石油等工业控制系统应用较为广泛的企业进行沟通，并得到了多家业内知名厂商的积极参与和反馈。经过层层筛选之后，最后确定由北京三零卫士信息安全技术有限公司、中国石油等单位作为标准编制协作单位。主要工作过程1.3.1成立编制组2012年接到标准编制任务，组建标准编制组，由中心、三零卫士、中国石油联合编制。编制组由具有资深的信息安全专业人员、工业控制系统专业人员、一线信息安全检查经验丰富人员、及参加多项信息安全标准编制的人员组成。中国信息安测评中心人员包括戴忠华、赵伟、彭勇、熊琦等；三零卫士包括张建军、高阳春等；中国石油包括腾征岺、吴强等。1.3.2制定工作计划编制组首先制定了编制工作计划，并确定了编制组人员例会安排以便及时沟通交流工作情况。1.3.3参考资料该标准编制过程中，主要参考了：GB/T20274.1-2006信息系统安全保障评估框架:简介和一般模型GB/T20274.2-2008信息安全技术保障GB/T20274.3-2008信息安全管理GB/T20274.4-2008工程保障工信部451号文GB/T22239-2008《计算机信息安全保护等级划分准则》IEC62443系列NISTSP800-82近几年中心承担中国石油工业控制系统安全检查实施资料近几年中心承担的信息安全检查评估实话资料1.3.4确定编制内容经标准编制组研究决定，中心2011年承担的中国石油工业控制系统信息安全检查实施资料为基础，参考等级保护、IEC62443和NISTSP800-82等资料，完成《工业控制系统安全检查指南》标准的编制工作。1.3.5编制工作简要过程按照项目进度要求，编制组人员首先对所参阅的产品、文档以及标准进行反复阅读与理解，查阅有关资料，编写标准编制提纲，在完成对提纲进行交流和修改的基础上，开始具体的编制工作。2013年4月，完成了工业控制系统相关技术和有关标准的前期基础调研。在调研期间，主要对中国信息安全测评中心近年来工控系统检查资料，中国石油工业控制系统的技术现状，对国内外相关标准的发展动向进行了研究，对相关技术文档和标准进行了分析理解。2014年1月完成了标准草稿的编制工作。以编制组人员收集的资料为基础，在不断的讨论和研究中，完善内容，最终形成了本标准草案（第一稿）。2015年3月，编制组在三零卫士对标准草案（第一稿）进行了讨论。并根据讨论意见进行修改。2015年7月，编制组以意见征求会形式邀请中国石油、中国石化、等行业代表等行业专家进行现场征求意见，根据反馈意见，会后根据相关意见对标准草案进行了修改，形成草案（第二稿）。1.3.6起草人及其工作标准编制组具体由戴忠华、赵伟、熊琦、彭勇、张建军、高阳春、靖小伟、腾征岺、吴强等人组成。戴忠华全面负责标准编制工作，包括制定工作计划、确定编制内容和整体进度、人员的安排；赵伟、熊琦主要负责标准的前期调研、现状分析、标准各版本的编制、意见汇总的讨论处理、编制说明的编写等工作；彭勇、张建军负责标准校对审核工作，腾征岺、吴强主要负责标准编制过程中的各项工业控制系统技术支持和整体指导。标准主要内容2.1编制原则为了使工业控制系统安全检查指南标准的内容从一开始就与国家标准保持一致，本标准的编写参考了其他国家有关标准，主要有GB/T20274.1-2006信息系统安全保障评估框架:简介和一般模型、GB/T20274.2-2008信息安全技术保障、GB/T20274.3-2008信息安全管理、GB/T20274.4-2008工程保障GB/T22239-2008《计算机信息安全保护等级划分准则》和工信部451号文。本标准符合我国的实际情况，遵从我国有关法律、法规的规定。具体原则与要求如下：1）先进性标准是先进经验的总结，同时也是技术的发展趋势。目前，我国工控安全标准相关较少。要制定出先进的产品国家标准，必须参考国内外先进技术和标准，吸收其精华，才能制定出具有先进水平的标准。本标准的编写始终遵循这一原则。2）实用性标准必须是可用的，才有实际意义，因此本标准的编写是在对国内外标准的相关技术内容消化、吸收的基础上，结合我国的工业控制系统实际情况，吸收其精华，制定出符合我国国情的、可操作性强的标准。3）兼容性本标准既要与国际接轨，更要与我国现有的政策、法规、标准、规范等相一致。编制组在对标准起草过程中始终遵循此原则，其内容符合我国已经发布的有关政策、法律和法规。2.2编制思路目前，我国开展信息安全管理的纲领性文件有三个，一个GB17859，另一个是GB/T18336，及GB/T20274。这三个国家标准从提纲挈领的角度规定了我国开展信息安全管理、信息安全产品和信息系统标准编制的基本原则。具体理由阐述如下：从20世纪80年代开始，世界各国相继制定了多个信息技术安全评价标准。这些标准中美国国防部发布的可信计算机系统评估准则（TCSEC）是这方面最早的标准。在TCSEC发布后的十多年里，美国政府和机构的信息系统安全性有了较大程度的提高，特别是在操作系统和数据库方面，开创了安全标准的先河。根据TCSEC而进行的评估项目已经向一百多种商业安全产品颁发了证书，达到C2级的操作系统安全已得到世界上广泛的承认。并随后引发了加拿大和欧洲等国进行相似标准的研发。随着信息安全的不断向前推进，人们发现TCSEC的一些要求太严格，以致限制了其应用范围，需要新的评估准则来完成TCSEC所不能完成的使命。同时，信息安全产品的厂商迫切需要一种国际性的评估准则，而不是各国各自的不同准则来评估其产品，这样产品的国际市场将大大拓宽。因此，1996年，CC作为时代发展的产物被推上了历史的舞台。为了更好的实现由TCSEC向CC的平稳过渡，美国国防部下属机构，“国家安全电信与信息系统安全委员会”（简称NSTISSC,现已更名为“国家系统安全委员会”简称CNSS）于1999年3月发布了“关于可信计算机评估准则向国际信息技术安全评估通用准则过渡的咨询备忘录”（NSTISSAMCOMPUSEC/1-99）。“目前采用TCSEC准则进行评估的安全项目仍可进行，但自1999年2月1日起，任何新的安全产品必须采用CC来评估。截止到2001年12月31日，之前所有采用TCSEC进行评估的产品要么废止，要么将TCSEC级别相应转换为CC的保证级别，否则所有TCSEC级别将被视为无效。”目前，NSA根据CC已将TCSEC中的C2、B1、B2、B3级操作系统形成了各自的PP，各类防火墙的PP已经完成。根据此备忘录的精神，国家计算机安全处（NCSC）出版的包括TCSEC在内的彩虹系列在之后的时间里分别根据CC的需求进行相应的分类，要么不再采用，要么修改采用以满足CC的需求。CC根据“安全保证要求”不断递增而分为7个保证级，但实际上除了这7个保证级外，“保护轮廓”（PP）根据数据的敏感性、信息所面对的威胁级别等要求也分为三种强健性级别：基本、中等、高级。因此，即使是同种产品，由于应用于不同强健级别的环境中，对其安全功能要求不同，故PP的级别不同。这一点在本质上与TCSEC的按安全功能要求分为5级是相似的，也是CC在理论上承继TCSEC的具体体现。上述资料表明，TCSEC与CC两者虽然在不同的历史时期出现，但在本质上它们是一脉相承，互相融合的。由于信息技术及市场需求的发展，TCSEC准则在过渡到CC的时候，将自身有价值的方面融入新出现的CC准则中，让其不断发扬光大。另一方面，TCSEC进入中国以后，也结合中国的特点进行了修改与完善，并形成了强制性国家标准GB17859。GB17859首先对计算机信息系统及其可信计算基（TCB）作了规范性说明，指出：“计算机信息系统”是由计算机及其相关的配套设备、设施（含网络）构成的，按照一定的应用目标和规格对信息进行采集、加工、存储、传输、检索等处理的人机系统，而“可信计算基”则是计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。它建立了一个基本的保护环境，并提供一个可信计算系统所要求的附加用户服务。GB17859在系统、科学地分析计算机信息系统安全问题的基础上，结合我国信息系统建设的实际情况，从技术角度将计算机信息系统安全保护等级划分为五个级别，即：用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。这五个级别定义了不同强度的信息系统保护能力，包含有不同要素和不同强度的安全控制。安全保护能力从第一级到第五级逐级增强。从某种意义上说，GB17859代表了中国信息安全的实际需求，GB/T18336则代表了与国际接轨的需求。所以，基于TCSEC的GB17859与翻译自ISO/IEC15408的GB/T18336共同组成了我国信息安全标准体系的两大基础。2.3标准内容2.3.1标准结构本标准的编写格式和方法依照GB/T1.1-2009标准化工作导则第一部分：标准的结构和编写规则。本标准主要结构包括如下内容：前言引言范围规范性引用文件术语和定义相关标准介绍标准概述检查要求检查流程和方案附录A.参考标准体系架构2.3.2主要内容2.3.2.1前言、引言、范围、规范性引用文件、术语和定义和相关标准介绍该部分定义了本标准适应的范围，所引用的其它标准情况，及以何种方式引用，术语和定义部分明确了该标准所涉及的一些术语。缩略语部分主要列出本标准中用的缩略语全称及中文解释。2.3.2.2标准概述本标准研究关于工业控制系统安全检查内容及要求的广泛定义及概况，研究主要包括工业控制系统信息安全检查的关键安全要求，以及工业控制系统信息系统安全评估的方法、流程和方案。为安全检查要求的实施提供一般性指导，适用于工业控制系统环境下加强信息系统安全自查及管理；为使用工业控制系统的行业进行信息安全建设以及国家政府机构对国家重点行业进行信息安全检查中选择和制定的安全控制提供准则。本标准从技术和管理两个层面对安全检查要求进行分类扩展，为国家工业控制系统信息安全的类似标准提供补充。每一个检查项包括多个检查要点，每一个检查要点包含多个检查内容。主要包括如下内容：a) 技术类包括：控制网网络安全、网络设备安全、工业控制主机安全、工业控制应用软件安全、数据与通信安全、物理安全、控制设备安全。b) 管理类包括：工业控制系统信息安全规划管理、工业控制系统信息安全制度管理、工业控制系统信息安全组织建设、工业控制系统人员安全管理、工业控制系统开发管理、工业控制系统运维管理、工业控制系统信息安全应急管理、工业控制系统信息安全风险评估。2.3.2.3检查要求类别项目条目等保SP800-82451号文IEC62443-2技技术类控制网网络安全网络架构安全1.2.12.2.42.12.2控制网边界保护1.2.41.4.72.1网络安全审计1.2.31.2.21.2.41.2.101.2.122.31.7.10网络冗余和容差策略1.2.12.2无线接入1.1.182.21.8.7远程访问1.1.172.2网络设备安全版本和更新情况2.4设备的标示与鉴别1.2.71.3.41.3.5口令管理1.2.72.3访问控制与特权1.2.71.1.21.1.71.1.171.8配置管理2.2.32.31.9.6协议安全端口安全2.3日志管理1.2.3工业控制主机安全身份标示与鉴别1.3.1访问控制1.3.32.31.8.5口令管理1.3.32.31.8.5安全审计1.3.51.2.21.2.41.2.101.2.122.31.7.10恶意代码防护1.3.82.9.31.7.4入侵防范1.3.72.9.4工业控制应用软件安全版本和更新情况2.4身份标识与鉴别1.4.1访问控制1.4.32.51.8.6口令管理2.5安全审计1.4.51.2.21.2.41.2.101.2.122.51.7.10数据与通信安全数据与通信完整性1.4.71.5.11.4.92.22.5数据与通信保密性1.4.81.5.21.4.101.4.131.4.302.22.5通信资源控制1.4.11备份和恢复1.5.32.51.7.5物理安全备用电源1.1.92.7.11消防设施1.1.5防水和防潮1.1.6控制系统组件选址2.7.18控制中心/控制站2.7.17环境因素控制1.1.71.1.82.7.141.6.1电磁防护1.1.102.7.19防盗窃和防破坏1.1.31.6物理访问控制1.1.22.7.32.7.62.7.81.6.1控制设备安全固件版本和更新情况2.4设备的标识与鉴别1.4.11.3.31.3.42.2访问控制与特权1.4.31.1.21.1.51.1.62.21.6.2远程访问控制1.1.172.21.6.2管管理类工业控制系统信息安全规划管理工业控制系统信息安全规划3.2.21.2信息安全方案设计2.4.2工业控制系统信息安全制度管理信息安全管理制度范围2.1.1制定和发布2.1.2评审和修订2.1.3工业控制系统信息安全组织建设岗位设置2.2.141.3.1人员配备2.2.241.3.1授权和审批2.2.341.3.1沟通和合作2.2.441.3.1审核和检查2.2.54工业控制系统人员安全管理人员录用2.3.11.5.1人员离职2.3.22.8.41.5.3人员变动2.8.51.5.3安全教育和培训2.3.42.1.32.1.41.5.2人员考核2.3.3第三方人员安全2.3.52.8.71.3.21.7.2人员处罚2.8.82.3工业控制系统安全开发管理产品采购2.4.3第三方管理2.41.7.2离线测试2.4.73.4.11验收交付2.4.8工业控制系统信息安全运维管理资产管理2.5.21.42.2介质管理2.5.32.6.61.7.7设备管理2.5.42.4控制系统维护2.5.22.5.51.9网络安全管理2.5.61.7.5系统监控管理2.5.51.7.10补丁管理2.9.142.42.4工业控制系统信息安全应急管理应急预案2.5.132.3.22.61.10.2应急演练2.5.132.3.42.4.32.61.10.2应急保障2.5.132.3.32.61.10.2业务连续性规划2.3.101.11.1工业控制系统信息安全风险评估风险评估3.3.432.4编制的背景和意义工业控制系统（IndustrialControlSystem，ICS），是由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件，共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统。其核心组件包括数据采集与监视控制（SupervisoryControlAndDataAcquisition，SCADA）系统、过程控制系统（ProcessControlSystem，PCS）、分布式控制系统（DistributedControlSystem，DCS）、可编程逻辑控制器（ProgrammableLogicController，PLC）、远程终端（RemoteTerminalUnit，RTU）、智能电子设备（IntelligentElectronicDevice，IED），以及确保各组件通信的接口技术。过去十多年间，世界范围内的各类工业控制系统（DCS/PLC/PCS等）及SCADA系统广泛采用信息技术（InformationTechnology，IT），微软视窗操作系统Windows®,以太网Ethernet™及传输控制协议/因特网互联协议（TransmissionControlProtocol/InternetProtocol，TCP/IP），现场总线(Fieldbus)技术，用于过程控制的对象连接与嵌入（ObjectLinkingandEmbedding，OLE；OLEforProcessControl，OPC）等技术的应用使工业设备接口越来越开放，减弱了控制系统及SCADA系统等与外界的隔离。但是，越来越多的案例表明，来自商业网络、因特网以及其它因素导致的网络安全问题正逐渐在控制系统及SCADA系统中扩散，直接影响了工业稳定生产及人身安全。2003年1月，Slammer蠕虫病毒入侵大量工厂网络，直到防火墙将其截获，人们依然认为系统是安全的。2005年8月13日美国佳士拿汽车工厂的控制系统通过维修人员的笔记本电脑感染病毒，虽然已安装了IT防火墙，病毒就在几秒钟之内从一个车间感染到另一个车间，从而最终导致停工。2006年10月一部被感染的维修用的笔记本电脑,让黑客入侵访问了在美国宾夕法尼亚州的哈里斯堡水处理厂的计算机系统。2007年，加拿大水利SCADA系统，通过安装恶意软件破坏了用于取水调度的控制计算机。2008年，波兰某城市的地铁系统，通过电视遥控器改变轨道扳道器，导致4节车厢脱轨；2010年10月，肆虐伊朗国内的“超级工厂病毒，Stuxnet蠕虫病毒”已经造成伊朗布什尔核电站推迟发电，并对伊朗国内工业造成大面积影响。2011年，美国伊利诺伊州城市供水系统，黑客入侵SCADA系统，使得供水泵遭到破坏。目前工业控制系统已广泛应用于我国电力、水利、石化、交通运输、制药以及大型制造行业，工控系统已是国家安全战略的重要组成部分，一旦工控系统中的数据信息及控制指令被攻击者窃取篡改破坏，将对工业生产和国家经济安全带来重大安全风险。我国工控系统起步于上世纪50年代，相比于国外晚了近半个世纪，产业技术水平存在着一定的差距，目前工控系统复杂化、IT化和通用化的趋势在逐步增加而形成“管控一体化”趋势，使得工控系统与管理系统及互联网相连通，内部也越来越多地采用了通用软件、硬件和协议，使封闭的工控系统逐步暴露出来，直接面对来自外界的攻击威胁，因此如何将工控系统与管理系统进行安全防护已经破在眉捷，必须尽快建立安全标准以满足国家信息安全的战略需要。在国际上，美国在2007年颁布的ChemicalFacilityAnti-TerrorismStandards(CFATS)标准（该标准由美国国土安全部颁布）以及2008年颁布的USChemicalAnti-TerrorismAct（美国化学反恐怖主义法）针对工业信息设备安全做了强制要求。2011年10月27日，工信部下发《关于加强工业控制系统信息安全管理的通知》，强调了加强工业控制系统信息安全管理的重要性和紧迫性。工控系统与管理系统具有很大区别，管理系统的信息安全通常都将保密性放在首位、完整性放在第二位、可用性则放在最后。工控系统安全目标优先级顺序则恰好相反。其首要考虑的是所有系统部件的可用性、完整性则在第二位、保密性通常都在最后考虑，这些需求体现如下：(1) 工控系统的可用性则直接影响到企业生产，生产线停机或者误动都可能导致巨大经济损失，甚至是人员生命危险和社会安全破坏。(2) 工控系统的实时性要求很高，系统要求响应时间大多在毫秒级或更快等级，而通用管理系统能够接受秒级或或更慢的等级。(3) 工控系统对持续稳定可靠运行指标要求很高，信息安全必须具备保证持续的可操作性及稳定的系统访问、系统性能以及全生命周期安全支持。针对以上技术特点，工控系统与管理系统采用传统安全隔离与信息交换产品难以满足相关要求，因此有必要制定针对工控系统的隔离安全隔离与信息交换产品标准，工控安全隔离与信息交换产品的总体目标是抵御黑客、病毒等通过各种形式对工控系统发起的恶意破坏和攻击，防止由信息安全层面上引起工控系统故障及工业设备损坏。具体内容如下：(1) 防止通过外部边界发起的攻击和侵入，尤其是防止由攻击导致的工控系统故障及设备损坏。(2) 防止未授权用户访问系统或非法获取信息和侵入及重大的非法操作。本标准的制订针对当前工控系统的信息安全需求，为工控系统全方位多层次的安全防护提供了有力的技术支撑，对提高我国工控系统信息安全防护强度具有十分重要的意义。2.5编制的目的在标准制定过程中，坚持以国内外工控标准发展的动向为研究基础，对工业控制系统信息安全检查工作提出规范化的要求，并结合系统等级保护和信息安全测评的使用，制定切实可行的检查指南。标准可用于工业控制系统信息安全类检查评估工作，有利于规范化、统一化。国内外标准对比情