GB/T 37980-2019信息安全技術工業(yè)控制系統(tǒng)安全檢查指南

ICS35040

L80.

中華人民共和國國家標準

GB/T37980—2019

信息安全技術

工業(yè)控制系統(tǒng)安全檢查指南

Informationsecuritytechnology—Guideforsecurityinspectionof

industrialcontrolsystems

2019-08-30發(fā)布2020-03-01實施

國家市場監(jiān)督管理總局發(fā)布

中國國家標準化管理委員會

GB/T37980—2019

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術語和定義

3………………1

縮略語

4……………………2

檢查方式

5…………………2

檢查工作流程

6……………3

檢查內容的選擇方法

7……………………5

檢查內容

8…………………5

附錄資料性附錄風險分析方法

A()……………………17

附錄資料性附錄檢查內容分類表

B()…………………22

參考文獻

……………………24

Ⅰ

GB/T37980—2019

前言

本標準按照給出的規(guī)則起草

GB/T1.1—2009。

本標準由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本標準起草單位中國信息安全測評中心中國電子技術標準化研究院中國石油天然氣集團公司

:、、、

北京三零衛(wèi)士信息安全技術有限公司北京匡恩網絡科技有限責任公司青島海天煒業(yè)過程控制技術股

,、

份有限公司網神信息技術北京股份有限公司浙江浙能臺州第二發(fā)電有限責任公司華能國際電力

、()、、

股份有限公司

。

本標準主要起草人戴忠華彭勇趙偉韓雪峰向憧熊琦邸麗清高洋范科鋒姚相振李琳

:、、、、、、、、、、、

周?？稻感ヲv征岑張建軍張大江宿鳳芹李航夏克晁李輝

、、、、、、、、。

Ⅲ

GB/T37980—2019

引言

隨著工業(yè)化和信息化的深度融合工業(yè)控制系統(tǒng)廣泛應用于核設施鋼鐵有色化工石油石化電

,、、、、、

力天然氣先進制造水利樞紐環(huán)境保護鐵路城市軌道交通民航城市供水供氣供熱以及其他與國

、、、、、、、、

計民生緊密相關的領域工業(yè)控制系統(tǒng)指應用于工業(yè)領域的數據采集監(jiān)視與控制系統(tǒng)是由計算機設

。、,

備工業(yè)過程控制組件和網絡組成的控制系統(tǒng)是工業(yè)領域的神經中樞工業(yè)領域使用的控制系統(tǒng)包括

、,。

監(jiān)控與數據采集系統(tǒng)分布式控制系統(tǒng)可編程邏輯控制器系統(tǒng)等近年來針

(SCADA)、(DCS)、(PLC)。

對工業(yè)控制系統(tǒng)的攻擊事件導出不窮工業(yè)控制系統(tǒng)的安全性將直接關系到國家重要基礎工業(yè)設施生

,

產的正常運行和廣大公眾的利益

。

本標準制定的目的是為了指導我國國家關鍵基礎設施中相關工業(yè)控制系統(tǒng)行業(yè)用戶開展工業(yè)控制

系統(tǒng)信息安全自評工作掌握工業(yè)控制系統(tǒng)信息安全總體狀況及時有效發(fā)現工業(yè)控制系統(tǒng)存在的問題

,,

和薄弱環(huán)節(jié)進一步健全工業(yè)控制系統(tǒng)信息安全管理制度完善工業(yè)控制系統(tǒng)信息安全技術措施提高

,,,

工業(yè)控制系統(tǒng)信息安全防護能力為國家對重點行業(yè)工業(yè)控制系統(tǒng)信息安全檢查等工作提供支撐為實

,,

現更安全的工業(yè)控制系統(tǒng)并在其內部進行有效的風險管理提供幫助

。

Ⅳ

GB/T37980—2019

信息安全技術

工業(yè)控制系統(tǒng)安全檢查指南

1范圍

本標準給出了工業(yè)控制系統(tǒng)信息安全檢查的范圍方式流程方法和內容

、、、。

本標準適用于開展工業(yè)控制系統(tǒng)的信息安全監(jiān)督檢查委托檢查工作同時也適用于各企業(yè)在本集

、,

團系統(tǒng)范圍內開展相關系統(tǒng)的信息安全自檢查

()。

注本標準適用的檢查范圍是廣泛應用于核設施鋼鐵有色化工石油石化電力天然氣先進制造水利樞紐

:、、、、、、、、、

環(huán)境保護鋼鐵城市軌道交通民航城市供水供氣供熱以及其他與國計民生緊密相關領域的工業(yè)控制系統(tǒng)

、、、、。

2規(guī)范性引用文件

下列文件對于本文件的應用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術術語

GB/T25069—2010

信息安全技術工業(yè)控制系統(tǒng)安全控制應用指南

GB/T32919—2016

3術語和定義

和界定的以及下列術語和定義適用于本文件

GB/T25069—2010GB/T32919—2016。

31

.

工業(yè)控制系統(tǒng)industrialcontrolsystem

由各種自動化控制組件以及對實時數據進行采集監(jiān)測的過程控制組件共同構成的確保工業(yè)基礎

、

設施自動化運行過程控制與監(jiān)控的業(yè)務流程管控系統(tǒng)

、。

注工業(yè)控制系統(tǒng)的核心組件包括監(jiān)控和數據采集系統(tǒng)分布式控制系統(tǒng)可編程邏輯控制器主終端單元遠程終

:、、、、

端單元上位機以及確保各組件通信的接口技術

、,。

32

.

監(jiān)控和數據采集系統(tǒng)supervisorycontrolanddataacquisitionsystem

在工業(yè)生產控制過程中對大規(guī)模遠距離地理分布的資產和設備在廣域網環(huán)境下進行集中式數據

,

采集與監(jiān)控管理的控制系統(tǒng)

。

注系統(tǒng)以計算機為基礎對遠程分布運行設備進行監(jiān)控調度其主要功能包括數據采集參數測量和調

:SCADA,,、

節(jié)信息報警等系統(tǒng)一般由設在控制中心的主終端單元通信線路和設備遠程終