【儀表網(wǎng) 行業(yè)標準】近日，由機械工業(yè)儀器儀表綜合技術經(jīng)濟研究所起草，TC124(全國工業(yè)過程測量控制和自動化標準化技術委員會)歸口的國家標準計劃《工業(yè)自動化和控制系統(tǒng)信息安全 系統(tǒng)設計的安全風險評估》征求意見稿已編制完成，現(xiàn)公開征求意見。
網(wǎng)絡通信安全是連接工業(yè)化和信息化的關鍵保障，工業(yè)過程測量和控制網(wǎng)絡是工業(yè)自動化的關鍵技術，在工業(yè)控制網(wǎng)絡技術的應用過程中，通信安全是保證信息化良性發(fā)展的關鍵手段。盡早制定我國的工業(yè)過程測量和控制系統(tǒng)的通信安全標準，才能更好的保證工業(yè)過程測量、控制和自動化網(wǎng)絡信息領域的安全。
網(wǎng)絡安全法的發(fā)布以及工業(yè)和信息化部印發(fā)的《關于加強工業(yè)控制系統(tǒng)信息安全管理的通知》中明確要求相關部門和企業(yè)充分認識工業(yè)控制系統(tǒng)信息安全的重要性和緊迫性，并要求切實加強工業(yè)控制系統(tǒng)信息安全管理，尤其是先進制造等重點領域以及其他與國計民生緊密相關領域的工業(yè)控制系統(tǒng)信息安全管理，從而落實安全管理要求。
制定此類標準的目的也是為了促進企業(yè)明確其安全生產(chǎn)的主要目標是：保護國家重點領域包括核設施、鋼鐵、有色、化工、石油石化、電力、天然氣、先進制造、水利樞紐、環(huán)境保護、鐵路、城市軌道交通、民航、城市供水供氣供熱以及其他與國計民生緊密相關領域的工業(yè)控制系統(tǒng)的信息安全，去識別工業(yè)控制系統(tǒng)的安全風險，以保障工業(yè)生產(chǎn)運行安全、國家經(jīng)濟安全和人民生命財產(chǎn)安全。
本文件按照GB/T 1.1—2020《標準化工作導則 第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定起草。
本文件適用于：a) 為工業(yè)自動化和控制系統(tǒng)(IACS)制定被評估系統(tǒng)(SUC)；b) 將 SUC 劃分為區(qū)域和管道；c) 評估每個區(qū)域和管道的風險；為每個區(qū)域及管道建立目標安全等級 (SL-T)并記錄安全性要求。
ZCR 2.1: 進行初始網(wǎng)絡安全風險評估：
1.要求
組織應對SUC進行網(wǎng)絡安全風險評估，或確認之前的初始網(wǎng)絡安全風險評估仍然適用，以確定最壞情況下可能因干擾、違反、中斷或禁用任務關鍵型IACS運行而導致的未緩解的網(wǎng)絡安全風險。
2.原由和附加指南
初始網(wǎng)絡安全風險評估的目的是初步了解SUC在受到損害時可能帶給組織的最壞情況影響。通常根據(jù)對健康、安全、環(huán)境、業(yè)務中斷、生產(chǎn)損失、產(chǎn)品質量、財務、法律、監(jiān)管、聲譽的影響進行評估，此評估有助于確定詳細風險評估的優(yōu)先級，并有助于將資產(chǎn)劃分到SUC內相應的的區(qū)域和管道中。
對于潛在危險過程，宜參考IEC 61511-2[8]中定義的流程危害分析(PHA)和功能安全評估結果，作為初始網(wǎng)絡安全風險評估的一部分，以確定最壞情況的影響。各組織還宜考慮來自各國政府、特定行業(yè)的信息共享和分析中心(ISAC)和其他相關來源的威脅情報。
初期風險的評估通常通過建立可能性、影響和風險之間關系的風險矩陣來完成(例如，企業(yè)風險矩陣)。風險矩陣示例見附錄B。
ZCR 3.1: 建立區(qū)域和管道：
1.要求
組織應將IACS和相關資產(chǎn)劃分到已確定風險的區(qū)域或管道中。分組應基于初始網(wǎng)絡安全風險評估的結果或其他標準，如資產(chǎn)的關鍵性、操作功能、物理或邏輯位置、所需訪問權限(例如，最低權限原則)或負責組織。
2.原由和附加指南
將資產(chǎn)分為區(qū)域和管道的目的是確定那些具有相同安全要求的資產(chǎn)，并確定降低風險所需的相同安全措施。可根據(jù)詳細風險評估的結果調整IACS資產(chǎn)分配。但這只是一般要求，應特別注意安全相關系統(tǒng)，包括安全儀表系統(tǒng)、無線系統(tǒng)、直接連接到互聯(lián)網(wǎng)端點的系統(tǒng)、與IACS連接但由其他實體(包括外部系統(tǒng))和移動設備管理的系統(tǒng)。
例如，一個設施可首先劃分為多個運行區(qū)域，如材料儲存、加工、精加工等。運行區(qū)域通常可進一步劃分為功能層，如制造執(zhí)行系統(tǒng)(MES)、監(jiān)控系統(tǒng)(如人機界面[HMI])，主控制系統(tǒng)(例如，BPCS、DCS、遠程終端單元[RTU]和可編程邏輯控制器[PLC])和安全系統(tǒng)。IEC 62264-1[9] 中定義的普渡參考模型等模型通常用作該劃分的基礎。IACS產(chǎn)品供應商參考體系結構也會有所幫助。
更多詳情請見附件。
所有評論僅代表網(wǎng)友意見，與本站立場無關。