ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T37980—2019

信息安全技術(shù)

工業(yè)控制系統(tǒng)安全檢查指南

Informationsecuritytechnology—Guideforsecurityinspectionof

industrialcontrolsystems

2019-08-30發(fā)布2020-03-01實(shí)施

國(guó)家市場(chǎng)監(jiān)督管理總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T37980—2019

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………1

縮略語(yǔ)

4……………………2

檢查方式

5…………………2

檢查工作流程

6……………3

檢查內(nèi)容的選擇方法

7……………………5

檢查內(nèi)容

8…………………5

附錄資料性附錄風(fēng)險(xiǎn)分析方法

A()……………………17

附錄資料性附錄檢查內(nèi)容分類表

B()…………………22

參考文獻(xiàn)

……………………24

Ⅰ

GB/T37980—2019

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位中國(guó)信息安全測(cè)評(píng)中心中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院中國(guó)石油天然氣集團(tuán)公司

:、、、

北京三零衛(wèi)士信息安全技術(shù)有限公司北京匡恩網(wǎng)絡(luò)科技有限責(zé)任公司青島海天煒業(yè)過(guò)程控制技術(shù)股

,、

份有限公司網(wǎng)神信息技術(shù)北京股份有限公司浙江浙能臺(tái)州第二發(fā)電有限責(zé)任公司華能國(guó)際電力

、()、、

股份有限公司

。

本標(biāo)準(zhǔn)主要起草人戴忠華彭勇趙偉韓雪峰向憧熊琦邸麗清高洋范科鋒姚相振李琳

:、、、、、、、、、、、

周?？稻感ヲv征岑張建軍張大江宿鳳芹李航夏克晁李輝

、、、、、、、、。

Ⅲ

GB/T37980—2019

引言

隨著工業(yè)化和信息化的深度融合工業(yè)控制系統(tǒng)廣泛應(yīng)用于核設(shè)施鋼鐵有色化工石油石化電

,、、、、、

力天然氣先進(jìn)制造水利樞紐環(huán)境保護(hù)鐵路城市軌道交通民航城市供水供氣供熱以及其他與國(guó)

、、、、、、、、

計(jì)民生緊密相關(guān)的領(lǐng)域工業(yè)控制系統(tǒng)指應(yīng)用于工業(yè)領(lǐng)域的數(shù)據(jù)采集監(jiān)視與控制系統(tǒng)是由計(jì)算機(jī)設(shè)

。、,

備工業(yè)過(guò)程控制組件和網(wǎng)絡(luò)組成的控制系統(tǒng)是工業(yè)領(lǐng)域的神經(jīng)中樞工業(yè)領(lǐng)域使用的控制系統(tǒng)包括

、,。

監(jiān)控與數(shù)據(jù)采集系統(tǒng)分布式控制系統(tǒng)可編程邏輯控制器系統(tǒng)等近年來(lái)針

(SCADA)、(DCS)、(PLC)。

對(duì)工業(yè)控制系統(tǒng)的攻擊事件導(dǎo)出不窮工業(yè)控制系統(tǒng)的安全性將直接關(guān)系到國(guó)家重要基礎(chǔ)工業(yè)設(shè)施生

,

產(chǎn)的正常運(yùn)行和廣大公眾的利益

。

本標(biāo)準(zhǔn)制定的目的是為了指導(dǎo)我國(guó)國(guó)家關(guān)鍵基礎(chǔ)設(shè)施中相關(guān)工業(yè)控制系統(tǒng)行業(yè)用戶開展工業(yè)控制

系統(tǒng)信息安全自評(píng)工作掌握工業(yè)控制系統(tǒng)信息安全總體狀況及時(shí)有效發(fā)現(xiàn)工業(yè)控制系統(tǒng)存在的問(wèn)題

,,

和薄弱環(huán)節(jié)進(jìn)一步健全工業(yè)控制系統(tǒng)信息安全管理制度完善工業(yè)控制系統(tǒng)信息安全技術(shù)措施提高

,,,

工業(yè)控制系統(tǒng)信息安全防護(hù)能力為國(guó)家對(duì)重點(diǎn)行業(yè)工業(yè)控制系統(tǒng)信息安全檢查等工作提供支撐為實(shí)

,,

現(xiàn)更安全的工業(yè)控制系統(tǒng)并在其內(nèi)部進(jìn)行有效的風(fēng)險(xiǎn)管理提供幫助

。

Ⅳ

GB/T37980—2019

信息安全技術(shù)

工業(yè)控制系統(tǒng)安全檢查指南

1范圍

本標(biāo)準(zhǔn)給出了工業(yè)控制系統(tǒng)信息安全檢查的范圍方式流程方法和內(nèi)容

、、、。

本標(biāo)準(zhǔn)適用于開展工業(yè)控制系統(tǒng)的信息安全監(jiān)督檢查委托檢查工作同時(shí)也適用于各企業(yè)在本集

、,

團(tuán)系統(tǒng)范圍內(nèi)開展相關(guān)系統(tǒng)的信息安全自檢查

()。

注本標(biāo)準(zhǔn)適用的檢查范圍是廣泛應(yīng)用于核設(shè)施鋼鐵有色化工石油石化電力天然氣先進(jìn)制造水利樞紐

:、、、、、、、、、

環(huán)境保護(hù)鋼鐵城市軌道交通民航城市供水供氣供熱以及其他與國(guó)計(jì)民生緊密相關(guān)領(lǐng)域的工業(yè)控制系統(tǒng)

、、、、。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術(shù)術(shù)語(yǔ)

GB/T25069—2010

信息安全技術(shù)工業(yè)控制系統(tǒng)安全控制應(yīng)用指南

GB/T32919—2016

3術(shù)語(yǔ)和定義

和界定的以及下列術(shù)語(yǔ)和定義適用于本文件

GB/T25069—2010GB/T32919—2016。

31

.

工業(yè)控制系統(tǒng)industrialcontrolsystem

由各種自動(dòng)化控制組件以及對(duì)實(shí)時(shí)數(shù)據(jù)進(jìn)行采集監(jiān)測(cè)的過(guò)程控制組件共同構(gòu)成的確保工業(yè)基礎(chǔ)

、

設(shè)施自動(dòng)化運(yùn)行過(guò)程控制與監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)

、。

注工業(yè)控制系統(tǒng)的核心組件包括監(jiān)控和數(shù)據(jù)采集系統(tǒng)分布式控制系統(tǒng)可編程邏輯控制器主終端單元遠(yuǎn)程終

:、、、、

端單元上位機(jī)以及確保各組件通信的接口技術(shù)

、,。

32

.

監(jiān)控和數(shù)據(jù)采集系統(tǒng)supervisorycontrolanddataacquisitionsystem

在工業(yè)生產(chǎn)控制過(guò)程中對(duì)大規(guī)模遠(yuǎn)距離地理分布的資產(chǎn)和設(shè)備在廣域網(wǎng)環(huán)境下進(jìn)行集中式數(shù)據(jù)

,

采集與監(jiān)控管理的控制系統(tǒng)

。

注系統(tǒng)以計(jì)算機(jī)為基礎(chǔ)對(duì)遠(yuǎn)程分布運(yùn)行設(shè)備進(jìn)行監(jiān)控調(diào)度其主要功能包括數(shù)據(jù)采集參數(shù)測(cè)量和調(diào)

:SCADA,,、

節(jié)信息報(bào)警等系統(tǒng)一般由設(shè)在控制中心的主終端單元通信線路和設(shè)備遠(yuǎn)程終