工控系统安全防护

工业系统安全防护指引，加强工业网系统安全的方方面面！

工控系统安全防护

• 物理和环境安全（PE）
  • 物理隔离保护（PE-1）
    • 组织应对工业控制系统所在区域采取区域划分、物理隔离、访问控制、视频监控、专人值守等物理安全防护措施。
      • 1.是否已明确划分重点物理安全防护区域？
        • 防护要点组织应基于工业控制软硬件重要程度规划设立重点物理安全防护区域；
      • 2.是否已有现行针对重点物理安全防护区域的物理隔离保护管理制度文档？
        • 防护要点组织应对重点物理安全防护区域创建物理隔离保护管理文档。
  • 应急电源（PE-2）
    • 组织应为工业控制系统设立独立应急电源以保证其正常运行。
      • 3.是否有能为工业控制系统提供电力保障的应急电源（可不只为工业控制系统供电）？
        • 防护要点组织中备有应急电源，能在紧急情况下为包括工业控制系统在内的设施提供电力保障。
  • 物理防灾（PE-3）
    • 组织应具备物理防灾能力并部署相应防灾装置。
      • 4.是否有现行的工业控制系统的物理防灾管理制度？
        • 防护要点组织应为工业控制系统创建物理防灾管理制度文档。
• 通信网络安全（TN）
  • 网络隔离(TN-1)
    • 5.是否为开发和测试环境维护基线配置？
      • 防护要点组织应为开发和测试环境维护一个基线配置。
  • 区域划分(TN-2)
    • 6.是否建立安全区域划分策略？
      • 防护要点组织应建立安全区域划分策略。
  • 边界防护(TN-3)
    • 7.工业控制网络是否未发生在无防护状态下直接连接互联网的情况？
      • 防护要点组织应禁止未加防护的工业控制网络与互联网直接连接，确保互联网的安全风险不被引入工业控制网络。
• 工业主机安全（IH）
  • 安全软件(IH-1)
    • 8.是否建立工业控制系统防病毒和恶意软件入侵管理制度？
      • 防护要点应建立工业主机防病毒和恶意软件入侵管理制度，制定安全管理文档，确保该管理机制可有效防范防病毒和恶意软件入侵管理工作。
    • 9.工业控制系统是否安装具备病毒、木马防护，未授权应用禁止等功能的安全防护软件？
      • 防护要点应在工业主机中安装安全软件，有效防护病毒、木马等恶意程序，防止未授权应用程序和服务运行。
  • 补丁升级(IH-2)
    • 10.是否建立工业信息安全漏洞和补丁管理制度？
      • 防护要点应建立工业信息安全漏洞和补丁管理制度，确保组织掌握重大工业信息安全漏洞信息，并及时采取措施
  • 外设管理(IH-3)
    • 11.是否建立工业主机外设接口管理制度？
      • 防护要点应建立工业主机外设接口管理制度，严格管控工业主机外设接口的使用。
  • 身份认证(IH-4)
    • 12.是否建立身份认证管理制度？
      • 防护要点应建立身份认证管理制度。
    • 13.是否建立密码口令管理制度？
      • 防护要点应建立密码口令管理制度。
    • 14.是否根据不同业务需求、岗位职责，合理分类设置账户？
      • 防护要点应根据不同业务需求、岗位职责等，合理分类设置账户。
• 应用程序安全（AP）
  • 源代码审计(AP-1)
    • 15.企业信息安全保障相关文件，是否有针对工业控制系统的应用程序源代码进行安全审计的要求？
      • 防护要点组织制定相关管理制度，明确规定在部署运行应用程序前，应对其源代码进行安全性测试。
  • 升级安全保障(AP-2)
    • 16.企业信息安全保障相关文件，是否有针对工业控制系统的应用程序制定升级过程安全保障的要求？
      • 防护要点组织应针对应用程序的升级过程建立完善的安全保障制度。
• 数据安全防护（DP）
  • 数据分类分级管理(DP-1)
    • 17.是否建立工业数据资产目录？
      • 防护要点定期对工业数据资产进行分类梳理，建立工业数据资产目录。
  • 差异化防护(DP-2)
    • 18.组织是否建立重要工业数据清单？
      • 防护要点应明确识别重要工业数据清单（如通过OPC采集的生产数据、历史站存储的数据等）。
    • 19.重要工业数据传输是否采用校验技术以保证完整性？
      • 防护要点应采用校验技术，保证重要数据在动态传输过程中的完整性。
  • 数据备份(DP-3)
    • 20.是否建立关键业务数据清单（如生产工艺、生产计划、组态文件、调度管理等数据）？
      • 防护要点应建立关键数据清单（如生茶工艺、生产计划、组态文件、调度管理等数据）。
    • 21.是否定期对关键业务数据实施本地备份？
      • 防护要点应对关键数据实施本地定期备份，提供数据恢复功能。
    • 22. 是否对关键业务数据提供数据恢复功能？
      • 防护要点应对关键数据实施本地定期备份，提供数据恢复功能。
  • 数据保护(DP-4)
    • 23.是否建立相应的规章制度对测试数据进行管理和保护？
      • 防护要点应建立相应规章制度，对测试数据从产生到销毁的过程进行规范管理。
• 监测预警与态势感知（MS）
  • 资产感知(MS-1)
    • 24.是否建立的工业控制系统及安全重要资产清单？
      • 防护要点建立组织工业控制控制系统及安全重要资产清单。
    • 25.工业控制系统及安全重要资产清单是否完整准确， 覆盖组织研发、生产、测试环境中的工业控制系统、工业主机、制造装备、智能设备等，明确资产版本型号、运行状态、物理位置、联网情况等信息？
      • 防护要点建立组织工业控制控制系统及安全重要资产清单。
  • 风险监测(MS-2)
    • 26.是否选择具备一定资质的安全企事业单位，定期开 展信息安全监测服务？
      • 防护要点应选择相关安全机构开展信息安全监测服务。
    • 27.是否签订监测服务合同，拟定监测服务方案？
      • 防护要点应选择相关安全机构开展信息安全监测服务。
    • 28.监测服务单位是否组织提供合理完备的监测服务及 风险建议？
      • 防护要点应选择相关安全机构开展信息安全监测服务。
  • 威胁预警(MS-3)
    • 29.是否建立工控安全威胁预警机制？
      • 防护要点应建立威胁预警机制。
• 安全规划与机构建设（PD）
  • 策略与规程(PD-1)
    • 30.企业是否有针对工业控制系统制定的信息安全制度性文件？
      • 防护要点组织针对工业控制系统的信息安全制定了基本的制度文件，并明确规定由工业控制系统运维部门负责安全主体责任，牵头开展工业控制系统信息安全防护能力建设。
    • 31.企业部门职责划分制度文件是否由运维部门对工业控制系统负安全主体责任？
      • 防护要点组织针对工业控制系统的信息安全制定了基本的制度文件，并明确规定由工业控制系统运维部门负责安全主体责任，牵头开展工业控制系统信息安全防护能力建设。
  • 机构设置(PD-2)
    • 32.是否建立工业控制系统信息安全管理机制？
      • 防护要点组织应建立工业控制系统信息安全管理机制，确保工控安全管理工作有序开展。
  • 职责划分(PD-3)
    • 组织应明确各相关部门及工作岗位的职责。
      • 33.是否设立信息安全管理工作的职能部门，其工作职责是否明确？
        • 防护要点组织应设立信息安全管理工作的职能部门，专门负责工业控制系统信息安全相关工作。
• 资产安全管理（AM）
  • 设备资产管理(AM-1)
    • 59.是否有现行的设备资产管理制度？
      • 防护要点组织应制定设备资产管理制度。
  • 介质保护(AM-2)
    • 组织应对使用的介质进行保护。
      • 60.组织的介质种类，是否进行分类保护？
        • 防护要点组织应对介质进行分类保护，将介质分为数字介质和非数字介质。其中，数字介质包括：硬盘、光盘、软盘、U盘等，非数字介质包括文档、微缩胶片等。
      • 61.是否定期对介质保护制度进行评审和更新？
        • 防护要点组织应建立介质保护制度，包括介质登记、介质使用、介质销毁等，并定期对介质保护制度进行评审、更新。
      • 62.是否建立介质保护制度，是否包括介质登记、介质使用、介质销毁等？
        • 防护要点组织应建立介质保护制度，包括介质登记、介质使用、介质销毁等，并定期对介质保护制度进行评审、更新。
• 访问控制与审计（AA）
  • 口令保护(AA-3)
    • 47.是否制定了针对工业控制系统的口令保护相关规章制度？
      • 防护要点组织应建立口令保护的基本制度。
  • 安全审计(AA-4)
    • 48.是否有历史安全审计报告？
      • 防护要点组织应在安全审计结束后，对审计记录数据进行分析，并形成审计报告。
    • 49.是否有现行的安全审计管理制度文档，是否包括审计记录、审计信息保护、审计分析等方面？
      • 防护要点组织应建立安全审计管理制度文档，包括审计记录、审计信息保护、审计分析等方面；
  • 账户管理(AA-2)
    • 50.是否制定了针对工业控制系统的账户管理相关规章制度？
      • 防护要点组织应制定账户管理的基本制度。
  • 远程访问(AA-1)
    • 组织应建立工业控制系统远程访问控制机制。
      • 51.是否制定了相应规章制度，禁止工业控制系统面向互联网开通HTTP、FTP、Telnet 等高风险通用网络服务？
        • 防护要点组织应制定远程访问策略，原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。
• 供应链安全（SC）
  • 合同协议控制(SC-4)
    • 52.是否与供应商签订产品和服务采购协议？
      • 防护要点组织应与供应商签订产品和服务采购协议，并体现产品和服务安全保障、保密和验收准则等内容。
    • 53.采购协议中是否体现产品和服务安全保障、保密和验收准则等内容？
      • 防护要点组织应与供应商签订产品和服务采购协议，并体现产品和服务安全保障、保密和验收准则等内容。
  • 采购交付(SC-3)
    • 54.产品采购规范，是否制定供应商的信息安全基线 要求？
      • 防护要点组织应在采购前建立与供应链信息安全风险承受能力相适应的采购策略，制定供应商的信息安全基线要求。
    • 55.产品采购策略，是否与供应链信息安全风险承受 能力相适应？
      • 防护要点组织应在采购前建立与供应链信息安全风险承受能力相适应的采购策略，制定供应商的信息安全基线要求。
  • 供应商选择(SC-2)
    • 56.是否根据产品和服务重要程度对供应商开展相应的安全调查？（供应商选择策略与规程）
      • 防护要点组织应制定供应商选择策略和制度，根据产品和服务重要程度对供应商开展相应的安全调查。
  • 产品选型(SC-1)
    • 57.是否限制获取市场上具有安全能力的信息技术产品？
      • 防护要点组织应限制获取市场上具有安全能力的信息技术产品，在使用前应进行评估和确认。
    • 58.信息技术产品的测试评估文档，组织在使用前是否进行评估和确认？
      • 防护要点组织应限制获取市场上具有安全能力的信息技术产品，在使用前应进行评估和确认。
• 配置管理（CM）
  • 安全配置(CM-1)
    • 组织应建立工业控制系统安全配置清单，并定期进行评审。
      • 43.是否有现行的安全配置管理制度文档？
        • 防护要点组织应创建安全配置管理制度文档。
      • 44.是否有在维护的安全配置清单？
        • 防护要点组织应创建安全配置清单。
  • 配置变更(CM-2)
    • 45.否有现行的配置变更日志文档管理制度？
      • 防护要点组织应设立配置变更日志文档管理制度。
    • 46.是否有在维护的配置变更管理制度文档？
      • 防护要点组织应创建配置变更管理制度文档。
• 应急响应（ER）
  • 应急预案(ER-1)
    • 组织应建立应急计划制度，制定应急预案。
      • 40.是否建立应急计划制度，制定应急预案？
        • 防护要点应建立应急计划制度，制定应急预案，包括目的、范围、角色、责任、管理承诺、组织实体之间的协调关系等。
  • 应急演练(ER-2)
    • 41.是否定期开展工业控制系统信息安全应急演练？
      • 防护要点组织应制定应急演练计划，定期开展工业控制系统信息安全应急演练。
    • 42.是否制定应急演练计划？
      • 防护要点组织应制定应急演练计划，定期开展工业控制系统信息安全应急演练。
• 人员管理及培训（PT）
  • 人员安全管理(PT-1)
    • 组织应建立人员安全管理制度。
      • 34.是否建立针对工业控制系统信息安全的人员安全管理制度？
        • 防护要点应建立专门针对工业控制系统信息安全的人员安全管理制度，内容包需包括目的、范围、角色、责任、管理承诺等。
      • 35.是否定期对人员安全管理制度进行评审和更新？
        • 防护要点应定期对人员安全管理制度进行评审和更新。
  • 教育培训(PT-2)
    • 36.是否建立工业信息安全教育培训制度？
      • 防护要点应建立工业信息安全教育培训制度，至少包括目的、范围、角色、责任、管理承诺、部门间协调以及合规性。
    • 37.是否制定教育培训课程？
      • 防护要点制定教育培训课程，推动教育培训的实施。
    • 38.是否定期对教育培训制度和课程进行评审和调整？
      • 防护要点应定期开展教育培训活动，并对教育培训制度和课程进行评审和调整。
    • 39.是否定期开展教育培训活动？
      • 防护要点应定期开展教育培训活动，并对教育培训制度和课程进行评审和调整。