DB32T 2765-2015 工业控制系统信息安全管理监督检查工作规范

省地DB32江苏省质量技术监督局发布 2 2 2 2 2 3 3 4 5 6 7 7 7 7 7 A.1监督检查表 本规范起草人：黄申、吴兰、张腾标、李国琴、程恺、王坤、赵川工业控制系统广泛应用于工业生产、电力设施、水利油气、交通运输和市政等领以控制生产设备的运行。随着计算机和网络技术的发展，特别是我国信息化与工业化深度融合工作的不断推进，以及物联网等新一代信息技术的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题随之日益突出，如何保障工业工业控制系统信息安全管理监督检查是帮助各重点领域工业控制系统运营、管和使用等部门充分认识工业控制系统信息安全重要性和紧迫性的重要手段，是切实加强工业控制系统信息安全管理保障工作的基础和重要1工业控制系统信息安全管理监督检查工作规范GB/T26333工业控制网络安全风险DB32/T2289重点领域工业控制系统信息安全保护基本要求控制等技术监测和控制生产设备运行的控制系统，包括监控和数据采集（SCADA）系统、分布式控制系统（DCS）、可编程逻辑控制器2SCADA监控和数据采集（SupervisoryControlDCS分布式控制系统（DistributedControlSystPLC可编程逻辑控制器（ProgrammableLogicControlIT信息技术（InformationTechnoloSNMP简单网络管理协议（SimpleNetworkManagemenVPN虚拟专用网（VirtualPrivateNetwork）工业控制系统信息安全管理监督检查的目的通常包括以制系统信息安全管理的重要性和紧迫性，增强风险意识和责任——通过监督检查工作的实施，着力培养专业的工业控制系统安全队伍和专业人才。各重点领域工业控制系统主管单位依据工业控制系统信息安全管理监督检查工作规范方落实安全整改和加固措施，切实加强和保障工业控制系统的信息安全管统信息安全管理基本措施落实情况，工业控制系统关键领域或关键点是否存在重大安全隐3监督检查方法是监督检查人员在工业控制系统信息安全管理监督检查工作过程中以获取检查证据或检查结果所使用的方法，主要包括人员访谈、人工查验和技术测试等方人员访谈是监督检查人员通过引导工业控制系统相关人员进行有目的和有针对性的交作方法，对工业控制系统进行扫描、测试以验证其安全状况的督检查工作进行监管，以确保整个监督检查工作监督检查的实施应具有相应的过程控制规程和质量保证要求，确保过程可4前期准备前期准备现场检查存在共性问题的，监对存在重大安全隐患的重点领域工业控制结束是安全整改报告编制否6.1.1确定目标6.1.2确定范围工业控制系统信息安全管理监督检查范围可以是组织全部的信息及与信息处理相关的6.1.3组建团队5责人参加的监督检查领导小组，或聘请相关观察、了解并收集系统在物理、环境和操作等方面的相关据和方法，使之能够与组织的环境和安全要求相适应。监督检查依据包括（但不仅督检查实施小组开展后续的检查工作。监督检查方案的内容一般包括员在监督检查实施过程中的任务和责任，并就监督检查的相关内容开展培训和保密6监督检查实施小组成员应严格按照监督检查方案和实施计划开展现场检查工作。必要7——报告编制人；——报告审核人；——报告批准人；——检查实施机构的公章。全整改工作，并及时向所在地信息化主管部门及行业主管部门报告整改步考虑是否引入新的安全问题并进行检查和分析，督促其改进和完善信息安全管理技术措安全整改后确认被检查方工业控制系统的安全风险在可控范围内的，结束监8安全管理岗位，各个信息安全管理岗位的职g）应询问和检查信息安全管理部门和信息安全管理人员及负责人是否具有执行日常a）应建立包括人员录用流程、标准、要求、方式和保密b）应建立包括人员离岗剩余信息保护、资产归还、保密承诺等在否及时取回各种身份证件、钥匙等物件，以及机构提供的软硬件设备9含安全知识、安全技能等；查看考核记录日期与考核周期是否方式）、进入时间、离开时间、访问区域、访问及操作内容、陪同程度、资产编号、采购日期、型号版本等方面应急支撑队伍、应急资源保障、事后总结教a）应访谈业务主管或系统负责人，询问是否制定工业控制系统信息安全事件应急预c）应访谈业务主管或系统负责人，询问是否对工业控制系统的关键设备保有备机备e）应检查是否具有应急预案培训记录、应c）工业控制系统与公共网络、办公网络之a）应检查工业控制系统的网络结构拓扑图，查验是否与网络拓扑的实际部署情况一做过哪些安全测评，测评周期为多长，是否完成安全整a）应建立工业控制系统移动存储介质管理制度，对可接入移动存储介质进行登记管移动存储介质无法在工业控制系统中直接插拔或读d）应查验未登记移动存储介质是否在工业控制系统中无法直接插拔f）应登录工业控制系统的主要设备，查验是否已设置禁止移动存储介质自动播放策略；查阅病毒木马查杀记录等文档，抽查部分a）工业控制系统网络结构拓扑图应与实际情况一致；工业控制系统中不存在远程通c）远程通信应采取一定的安全防护措施（如认证、VPN、冗余线路、数据加密等涉及重要敏感数据的工业控制系统，其远程通信应具有足够安全的防护措理、安全可控；涉及远程通信的主管方、运维方分别包括哪些，是工业控制系统，对其远程通信安全防护措施进行验证控性，安全措施有哪些，必要时对措施有效性进行b）应对工业控制系统服务器、关键PLC控制器、交换机、路由器、防火墙等关键资产a）应合理设置工业控制系统组态软件、PLC控制器（SNMP）、应用程序等关键资产的a）应访谈系统管理员，询问工业控制系统组态软件、PLC控制器（SNMP）、应用程序b）应访谈系统管理员，询问如何配置角色/用户权限，管理员、操作员的权责分配情a）工业控制系统组态软件、PLC控制器（SNMP）、应用程序等帐号、协议鉴别等口令应至少由8位数字、大小写字母、特殊字符组成，并定期更换。严禁弱口a）应访谈系统管理员、业务操作员，询问是否对工业控制系统组态软件、PLC控制器组成和长度具有相应的要求或规定，是否有禁止使用弱口令、默观察操作员站等重要办公场地，检查是否存在张贴系统口令字条等安全责任与义务，是否具有工业控制系统信息安全保在线服务的，应具备强认证、强加密等工作方式（如动态口令、VPN、数据加密等），确保工业控制系统使用单位对远程在线服务行为的自主安c)应访谈系统管理员、信息安全员，询问是否具有升级/变更管理规范等文档，并查机、防火墙等网络与安全设备设置安全基线（统一安全），重要敏感程度应进行识别和分类管理,如何进行识别和分类管理；是否存在b）应查阅其相关管理制度等文档，查验采取的管理措施及其实施情况。份数据并确保备份数据的可用性，备份过程中应采取加密、访问限制等安全保护措施，安全保护措施有哪些，如何满足数据b）应查验和评估以上安全措施的有效性；检查备份可用性的测试记录。与审计的内容包括哪些，是否定期进行审计a）工业控制系统应至少配有两路供电，提供可靠的工业控制系统环境电力b）应在工业控制系统关键设备供电线路中串接不间），），c）应检查机房，查看工业控制系统关键设备供电线路中的不间断电源（UPS）设备是否正常运行，查看不间断电源（UPS）设备说明，确认其续航时a）应在车间、机房等关键区域采用防静电地板，关键设备、机柜安是否部署交流接地措施，或安装电源防雷保安器和信号传输线b）车间、机房等关键区域的空气含尘浓度，静态条件下每升空气中大于或等于0.5µm机：10~35℃;关机：10~40℃),相对湿度是否控制在40%~70%之间；f）应检查特殊环境下的车间、机房等关键区域是否采取有害气体监a）关键区域应部署水敏感监测仪监测环境渗水情况，对水情进行监测预警b）应查阅机房设计方案等文档，并检查关键区域的水敏感监测仪是否正常运行；对火情进行监测预警和控制，是否指定人员对其进行定期检查和a）工业控制系统通信线缆与供电线缆应分离铺设，避免强弱电之间的电磁b）应对关键设备、磁介质实施电磁屏蔽等措施，防止电磁泄漏和受到电磁攻击。车间、野外等场所的关键设备的安全，具体包括d）应检查部署在机房、车间等场所的关键设备的存放和保管位置，A.1监督检查表1应设立工业控制系统信息安全管理工作的职能部门，设置信息安全管理岗位，配备相应的安全管理人员，并指定安全管理负责人，明确部门、岗位和2应建立包括人员录用流程、标准、要求、方式和保应建立包括人员离岗剩余信息保护、资产归还、保应建立包括人员考核指标、考核方式、考核对象、应建立包括人员培训计划、培训周期、培训对象、应指定专职信息安全员，建立信息安全员的培训与应建立包括外部人员访问条件、访问范围、访问控3应建立包括工业控制系统软硬件、文档、资料、工具等在内的资产安全管理规定和资产清单，资产清单中应包括资产责任部门、保管人员、所处位置、应明确工业控制系统资产管理的责任部门，指定专人负责工业控制系统资产管理，详实记录资产管理4应制定工业控制系统信息安全事件应急预案，明确应急组织领导、应急处置流程、应急支撑队伍、应应进行应急预案培训，定期开展应急演练，对应急5与应详细登记工业控制系统与公共网络a、办公网络b之制系统网络边界隔离设备的安全控制策略应符合实工业控制系统与电子信息系统之间应不存在无必要电子信息系统应由明确的工业控制系统安全管理部电子信息系统与工业控制系统之间应有严格的互相6工业控制系统的主要设备应设置禁止移动存储介质78管理工业控制系统网络结构拓扑图应与实际情况一致；工业控制系统中不存在远程通信，或所有远程通信远程通信中网络架设、运维使用模式科学合理、安全可控；涉及远程通信的主管方、运维方安全、可靠），9管理工业控制系统网络结构拓扑图应与实际情况一致；工业控制系统不存在无线组网，或所有无线组网具有必要性；涉及重要敏感数据信息或带有关键控制必要的无线组网应采取一定的安全防护措施（如认证、准入、数据加密等）确保可控性，并定期检查与应建立配置管理规范，对关键设备的配置变更进行日志记录，定期对关键设备配置信息进行核查和审计路由器、防火墙等关键资产的运行、启动文件和程序文件等进行定期备份，在发生配置变更时及时进应合理设置工业控制系统组态软件、PLC控制器口令小写字母、特殊字符组成，并定期更换。严禁弱口禁止多人共享同一口令、公开张贴系统口令字条等应关闭工业控制系统主要设备的无关端口、服务、应禁止在主要设备上安装即时通讯、视频播放、游与集成商所承担的信息安全责任与义务，具有工业控一般情况下应禁止工业控制系统的远程在线服务；工业控制系统在特殊情况下需要远程在线服务的，应具备强认证、强加密等工作方式（如动态口令、VPN、数据加密等确保工业控制系统使用单位对应主动跟踪工业控制系统主要软硬件设备的安全漏对工业控制系统关键软硬件设备进行升级、变更、补丁安装时，应事先进行安全评估与验证，分析安应对工业控制系统涉及的笔记本、台式电脑、打印机等终端设备以及服务器、交换机、防火墙等网络应根据安全基线，定期检查终端设备、服务器、网络与安全设备是否满足安全基线要求，包括终端计对工业控制系统采集、传输、处理数据的重要敏感程度应进行识别和分类管理；对涉及地理、矿产、原材料等国家基础数据以及其他重要敏感数据的工业控制系统，应建立专门制度确保其数据安全，并涉及采集重要数据的工业控制系统，其采集方式应符合安全、保密、可控等要求，具有相应的安全防护技术（如数据单向采集、加密、身份鉴别等）和与涉及存储和备份重要数据的工业控制系统，应满足数据的保密性、可用性要求。定期备份数据并确保备份数据的可用性，备份过程中应采取加密、访问应对重要数据进行审计，对数据库、数据文档的修工业控制系统应至少配有两路市电供电，提供可靠环境应在工业控制系统关键设备供电线路中串接不间断求应在供电线路中部署稳压器与过电压防护设备，以应在车间、机房等关键区域采用防静电地板，关键在车间、机房等关键区域实施运维操作时应使用防与应对关键区域采取接地与防雷措施，采取交流接地措施,或安装电源防雷保安器和信号传输线防雷保与车间、机房等关键区域应至少满足计算机工作环境车间、机房等关键区域的空气含尘浓度，静态条件下每升空气中大于或等于0.5µm的尘粒数，应小于