產(chǎn)品分類 / Product Categories
聯(lián)系我們 / Contact Us
江西丹巴赫機(jī)器人股份有限公司服務(wù)熱線：400-697-1188
聯(lián)系電話：0791-88133135
公司傳真：0791-88221576
手機(jī)號(hào)碼：18607918385
公司郵箱：sale@danbahe.cn
公司地址：南昌市高新區(qū)創(chuàng)新三路811號(hào)
工業(yè)控制系統(tǒng)安全應(yīng)用出新規(guī) 為安全設(shè)計(jì)奠定基礎(chǔ)
DANBACH ROBOT
工業(yè)控制系統(tǒng)的安全與其它領(lǐng)域的安全是樣的，應(yīng)用管理、運(yùn)行和技術(shù)上的保護(hù)措施和對(duì)策，以保護(hù)工業(yè)控制系統(tǒng)及其信息的保密性、完整性和可用性等。應(yīng)用這些控制的目的是，減少脆弱性或影響，抵御工業(yè)控制系統(tǒng)所面臨的安全威脅。
工業(yè)控制系統(tǒng)安全應(yīng)用出新規(guī) 為安全設(shè)計(jì)奠定基礎(chǔ)
2016年8月29日，質(zhì)量監(jiān)督檢驗(yàn)檢疫總局、標(biāo)準(zhǔn)化管理委員會(huì)正式發(fā)布《GB/T 32919 信息安全技術(shù) 工業(yè)控制系統(tǒng)安全控制應(yīng)用指南》。
該標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化委員會(huì)(SAC/TC260)提出，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口管理。適用于工業(yè)控制系統(tǒng)擁有者、使用者、設(shè)計(jì)實(shí)現(xiàn)者以及信息安全管理部門，為工業(yè)控制系統(tǒng)信息安全設(shè)計(jì)、實(shí)現(xiàn)、整改工作提供指導(dǎo)，也為工業(yè)控制系統(tǒng)信息安全運(yùn)行、風(fēng)險(xiǎn)評(píng)估和安全檢查工作提供參考。方便規(guī)約工業(yè)控制系統(tǒng)的安全功能需求，為安全設(shè)計(jì)(包括安全體系結(jié)構(gòu)設(shè)計(jì))和安全實(shí)現(xiàn)奠定基礎(chǔ)。
、核心內(nèi)容
1. 安全控制概述
工業(yè)控制系統(tǒng)的安全與其它領(lǐng)域的安全是樣的，應(yīng)用管理、運(yùn)行和技術(shù)上的保護(hù)措施和對(duì)策，以保護(hù)工業(yè)控制系統(tǒng)及其信息的保密性、完整性和可用性等。應(yīng)用這些控制的目的是，減少脆弱性或影響，抵御工業(yè)控制系統(tǒng)所面臨的安全威脅，從而緩解工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)，以滿足利益相關(guān)者的安全需要。
標(biāo)準(zhǔn)附錄B中給出了可用于工業(yè)控制系統(tǒng)的安全控制列表。為了更方便地使用控制選擇和規(guī)約過(guò)程，把控制概括為管理類、運(yùn)行類和技術(shù)類，十八個(gè)族，每個(gè)族包含些與該族的安全功能相關(guān)的安全控制。對(duì)于每項(xiàng)安全控制，有三方面的內(nèi)容：
·此項(xiàng)安全能力的簡(jiǎn)潔陳述，描述了要由組織或工業(yè)控制系統(tǒng)進(jìn)行的與安全相關(guān)的活動(dòng)或動(dòng)作；
·提供了些與此項(xiàng)安全控制相關(guān)的信息，指導(dǎo)組織在定義、開發(fā)和實(shí)現(xiàn)安全控制時(shí)適當(dāng)?shù)夭捎茫?br />
·對(duì)于需要更大保護(hù)的工業(yè)控制系統(tǒng)，提出控制增強(qiáng)措施。
2. 安全控制基線及其設(shè)計(jì)
本標(biāo)準(zhǔn)結(jié)合工業(yè)控制系統(tǒng)基本特征(參見(jiàn)附錄A)，結(jié)合以往諸多工業(yè)控制系統(tǒng)的安全實(shí)踐，將附錄B中工業(yè)控制系統(tǒng)的安全控制集分為三個(gè)別，統(tǒng)稱為安全控制基線，即基于工業(yè)控制系統(tǒng)安全風(fēng)險(xiǎn)的影響程度對(duì)安全控制的個(gè)分，可作為規(guī)劃工業(yè)控制系統(tǒng)中選擇安全控制的個(gè)起始點(diǎn)。附錄C為三個(gè)別的安全控制基線。
安全控制基線應(yīng)用于以下兩種情況：
種情況，基于工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估，按風(fēng)險(xiǎn)影響程度將工業(yè)控制系統(tǒng)劃分為低影響系統(tǒng)、中影響系統(tǒng)和高影響系統(tǒng)。在這種情況下，低影響系統(tǒng)選擇安全控制基線；中影響系統(tǒng)選擇第二安全控制基線；高影響系統(tǒng)選擇第三安全控制基線。
第二種情況，通過(guò)定劃分準(zhǔn)則(參見(jiàn)國(guó)標(biāo)GB/T 22240-2008《信息安全技術(shù) 信息系統(tǒng)安全等保護(hù)定指南》)，將工業(yè)控制系統(tǒng)劃分為相應(yīng)的安全等。在這種情況下，1、2系統(tǒng)選擇安全控制基線；3系統(tǒng)選擇第二安全控制基線；4、5系統(tǒng)選擇第三安全控制基線。
3. 安全控制選擇與規(guī)約
為了使組織的工業(yè)控制系統(tǒng)是安全的，就必須實(shí)施選擇并規(guī)約安全控制和控制增強(qiáng)的過(guò)程，該過(guò)程包括以下三個(gè)子過(guò)程：
a) 選擇初始安全控制基線；
b) 裁剪所選擇的初始安全控制基線；
c) 補(bǔ)充經(jīng)裁剪的安全控制基線。
安全控制選擇過(guò)程應(yīng)用。安全控制選擇過(guò)程可從兩個(gè)不同的角度，應(yīng)用于組織的工業(yè)控制系統(tǒng)。個(gè)角度是新系統(tǒng)的開發(fā)，另個(gè)角度是在運(yùn)行系統(tǒng)。
對(duì)于新開發(fā)系統(tǒng)，由于系統(tǒng)并不存在，并且組織沒(méi)有進(jìn)行初始的安全定， 因此要從需求定義的視角來(lái)應(yīng)用安全控制選擇過(guò)程。包含在工業(yè)控制系統(tǒng)安全計(jì)劃中的安全控制，作為組織的安全規(guī)格說(shuō)明，應(yīng)用在設(shè)計(jì)、開發(fā)、實(shí)現(xiàn)、運(yùn)行等系統(tǒng)生命周期各階段。
對(duì)于在運(yùn)行系統(tǒng)，當(dāng)系統(tǒng)本身或所面臨的風(fēng)險(xiǎn)發(fā)生重大變更時(shí)，基于當(dāng)前系統(tǒng)處理、存儲(chǔ)和傳輸?shù)牟煌瑯I(yè)務(wù)類型，重新評(píng)估、確認(rèn)系統(tǒng)安全別，重新評(píng)審現(xiàn)有安全計(jì)劃，分析當(dāng)前使用的、相關(guān)聯(lián)的安全控制與安全需求間的切合程度，調(diào)整的或重新制定安全計(jì)劃中的安全控制。
4. 工業(yè)控制系統(tǒng)基本特征及安全風(fēng)險(xiǎn)分析
附錄A將工業(yè)控制系統(tǒng)與傳統(tǒng)信息系統(tǒng)進(jìn)行了對(duì)比，分析了信息系統(tǒng)安全威脅與防護(hù)措施對(duì)工業(yè)控制系統(tǒng)的影響，介紹了工業(yè)控制系統(tǒng)面臨的威脅，從策略和規(guī)程、網(wǎng)絡(luò)硬件、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)邊界、通信和無(wú)線連接、網(wǎng)絡(luò)設(shè)備配置、工業(yè)控制系統(tǒng)平臺(tái)硬件、工業(yè)控制系統(tǒng)平臺(tái)軟件、工業(yè)控制系統(tǒng)平臺(tái)配置、工業(yè)控制系統(tǒng)平臺(tái)病毒防護(hù)十個(gè)方面分析了工業(yè)控制系統(tǒng)脆弱性。
二、閱讀體會(huì)
本標(biāo)準(zhǔn)的內(nèi)容與GB/T 33007建立工業(yè)自動(dòng)化和控制系統(tǒng)安全程序 比較接近，發(fā)布時(shí)間相差不到兩個(gè)月。兩個(gè)標(biāo)準(zhǔn)的發(fā)展歷程不同，引用與參考文檔不同，使各自具有不同的特色。下面是兩個(gè)標(biāo)準(zhǔn)的主要引用與參考文件說(shuō)明。
上一篇：考察德國(guó)企業(yè)，我們學(xué)什么？
下一篇：機(jī)器人學(xué)習(xí)蓄勢(shì)待發(fā)