GB/T 36466-2018信息安全技術工業(yè)控制系統(tǒng)風險評估實施指南

ICS35040

L80.

中華人民共和國國家標準

GB/T36466—2018

信息安全技術

工業(yè)控制系統(tǒng)風險評估實施指南

Informationsecuritytechnology—

Implementationguidetoriskassessmentofindustrialcontrolsystems

2018-06-07發(fā)布2019-01-01實施

國家市場監(jiān)督管理總局發(fā)布

中國國家標準化管理委員會

GB/T36466—2018

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術語定義和縮略語

3、………………………1

術語和定義

3.1…………………………1

縮略語

3.2………………2

概述

4………………………2

工業(yè)控制系統(tǒng)層次結(jié)構(gòu)模型

4.1………………………2

實施原則及工作形式

4.2………………3

框架及流程

4.3…………………………3

實施方法

5…………………5

概述

5.1…………………5

文檔查閱

5.2……………5

現(xiàn)場訪談

5.3……………6

現(xiàn)場核查

5.4……………6

現(xiàn)場測試

5.5……………7

模擬仿真環(huán)境測試

5.6…………………7

實施過程

6…………………7

準備

6.1…………………7

資產(chǎn)評估

6.2……………14

威脅評估

6.3……………16

脆弱性評估

6.4…………………………19

保障能力評估

6.5………………………28

風險分析

6.6……………30

殘留風險控制

6.7………………………31

附錄資料性附錄記錄表

A()……………32

附錄資料性附錄脆弱性及保障能力核查表示例

B()…………………34

參考文獻

……………………41

Ⅰ

GB/T36466—2018

前言

本標準按照給出的規(guī)則起草

GB/T1.1—2009。

本標準由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本標準主要起草單位國家信息技術安全研究中心中國電子技術標準化研究院全球能源互聯(lián)網(wǎng)

:、、

研究院中國電子信息產(chǎn)業(yè)集團有限公司第六研究所

、。

本標準主要起草人李京春李冰劉鴻運方進社劉賢剛范科峰高昆侖劉仁輝葛培勤王宏

:、、、、、、、、、、

曾珍珍李健梁瀟詹雄李霞龐寧姚相振周睿康趙婷劉楠徐克超蔡磊

、、、、、、、、、、、。

Ⅲ

GB/T36466—2018

引言

隨著工業(yè)控制系統(tǒng)和信息化技術的融合工業(yè)控制系統(tǒng)廣泛應用于冶金電力石化水處理鐵路

,、、、、、

航空和食品加工等行業(yè)工業(yè)控制系統(tǒng)指應用于工業(yè)控制領域的數(shù)據(jù)采集監(jiān)視與控制系統(tǒng)是由計算

。、,

機設備工業(yè)過程控制組件和網(wǎng)絡組成的控制系統(tǒng)是工業(yè)領域的神經(jīng)中樞工業(yè)中使用的控制系統(tǒng)包

、,。

括監(jiān)視控制與采集系統(tǒng)分布式控制系統(tǒng)可編程邏輯控制器系統(tǒng)等我國把工業(yè)控制系統(tǒng)信息安全作

、、。

為信息安全保障的一個相對獨立的體系進行建設其安全性將直接關系到國家重要基礎工業(yè)設施生產(chǎn)

,

的正常運行和廣大公眾的利益

。

本標準在對工業(yè)控制系統(tǒng)的資產(chǎn)進行整理分析的基礎上從其資產(chǎn)的安全特性出發(fā)分析工業(yè)控制

,,

系統(tǒng)的威脅來源與自身脆弱性歸納出工業(yè)控制系統(tǒng)面臨的信息安全風險并給出實施工業(yè)控制系統(tǒng)風

,,

險評估的指導性建議

。

本標準主要為第三方安全檢測評估機構(gòu)在工業(yè)控制系統(tǒng)現(xiàn)場實施風險評估提供指南也可供工業(yè)

,

控制系統(tǒng)業(yè)主單位進行自評估時參考

。

Ⅳ

GB/T36466—2018

信息安全技術

工業(yè)控制系統(tǒng)風險評估實施指南

1范圍

本標準規(guī)定了工業(yè)控制系統(tǒng)風險評估實施的方法和過程

。

本標準適用于指導第三方安全檢測評估機構(gòu)對工業(yè)控制系統(tǒng)的風險評估實施工作也可供工業(yè)控

,

制系統(tǒng)業(yè)主單位進行自評估時參考

。

2規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術信息安全風險評估規(guī)范

GB/T20984—2007

信息安全技術信息安全風險評估實施指南

GB/T31509—2015

信息安全技術工業(yè)控制系統(tǒng)安全控制應用指南

GB/T32919—2016

企業(yè)控制系統(tǒng)綜合第部分模型和術語

ISO/IEC62264-1:20131:(Enterprise-controlsystem

integration—Part1:Modelsandterminology)

3術語定義和縮略語

、

31術語和定義

.

和中界定的以及下列術語和定義適用于本文件

GB/T31509—2015GB/T32919—2016。

311

..

監(jiān)視控制數(shù)據(jù)采集系統(tǒng)supervisorycontrolanddataacquisitionsystemSCADA

;

在工業(yè)生產(chǎn)控制過程中對大規(guī)模遠距離地理分布的資產(chǎn)和設備在廣域網(wǎng)環(huán)境下進行集中式數(shù)據(jù)

,

采集與監(jiān)控管理的控制系統(tǒng)

。

312

..

分布式控制系統(tǒng)distributedcontrolsystemDCS