(高清版)GBT 40211-2021 工業(yè)通信網(wǎng)絡(luò)　網(wǎng)絡(luò)和系統(tǒng)安全　術(shù)語(yǔ)、概念和模型

ICS25.040GB/T40211—2021/IEC/TS62443-1-1:2009工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全(IEC/TS62443-1-1:2009,Industrialcommunicationnetworks—Networkandsystemsecurity—Part1-1:Terminology,conceptsandmodels,IDT)國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)IGB/T40211—2021/IEC/TS62443-1-1:2009 Ⅲ 1 1 1 11.4基于活動(dòng)的準(zhǔn)則 21.5基于資產(chǎn)的準(zhǔn)則 2 23術(shù)語(yǔ)和定義、縮略語(yǔ) 3 3 33.3縮略語(yǔ) 4.1概述 4.2當(dāng)前系統(tǒng) 4.3當(dāng)前趨勢(shì) 4.4潛在影響 5.1概述 5.2安全目標(biāo) 5.3基礎(chǔ)要求 5.4縱深防御 5.5安全上下文 5.6威脅—風(fēng)險(xiǎn)評(píng)估 5.7安全程序成熟度 5.8策略 5.9安全區(qū) 6模型 466.1概述 46ⅡGB/T40211—2021/IEC/TS62443-1-1:20096.2參考模型 476.3資產(chǎn)模型 6.4參考體系結(jié)構(gòu) 6.5區(qū)和管道模型 546.6模型間的關(guān)系 參考文獻(xiàn) ⅢGB/T40211—2021/IEC/TS62443-1-1:2009本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。本標(biāo)準(zhǔn)使用翻譯法等同采用IEC/TS62443-1-1:2009《工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全第1-1部與本標(biāo)準(zhǔn)中規(guī)范性引用的國(guó)際文件有一致性對(duì)應(yīng)關(guān)系的我國(guó)文件如下：——GB/T18336.1—2015信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則般模型(ISO/IEC15408-1:2009,IDT)——GB/T20720.1—2019企業(yè)控制系統(tǒng)集成第1部分：模型和術(shù)語(yǔ)(IEC第1部分：簡(jiǎn)介和一62264-1:2013,IDT)本標(biāo)準(zhǔn)由中國(guó)機(jī)械工業(yè)聯(lián)合會(huì)提出。本標(biāo)準(zhǔn)由全國(guó)工業(yè)過(guò)程測(cè)量控制和自動(dòng)化標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC124)歸口。郵電大學(xué)、工業(yè)和信息化部計(jì)算機(jī)與微電子發(fā)展研究中心(中國(guó)軟件評(píng)測(cè)中心)、西門子(中國(guó))有限公宋文剛。GB/T40211—2021/IEC/TS62443-1-1:2009都進(jìn)行寬泛的解讀。統(tǒng)的其他可編程組件。息技術(shù)(IT)和操作人員、工程人員以及制造商組織之間的互相理解和合作對(duì)于任何信息倡議取得全面成功都是非常重要的，本標(biāo)準(zhǔn)也是那些負(fù)責(zé)IAC本標(biāo)準(zhǔn)主要涉及以下幾個(gè)典型的問(wèn)題：a)IACS安全應(yīng)用的范圍是什么?b)如何使用統(tǒng)一術(shù)語(yǔ)定義安全系統(tǒng)的需要和要求?c)以什么基本概念為基礎(chǔ)以便用于活動(dòng)、系統(tǒng)屬性和行動(dòng)的進(jìn)一步分析，這些對(duì)提供電子安全控制系統(tǒng)來(lái)說(shuō)非常重要?d)如何對(duì)IACS構(gòu)件進(jìn)行分組或分類以用于定義和管理安全?f)這些目標(biāo)是如何建立和修改的?每個(gè)問(wèn)題都在本標(biāo)準(zhǔn)中詳細(xì)介紹。1GB/T40211—2021/IEC/TS62443-1-1:2009工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全準(zhǔn)中其他標(biāo)準(zhǔn)的基礎(chǔ)。——所含功能性的范圍；——特定的系統(tǒng)和接口；——選擇所含活動(dòng)的準(zhǔn)則；——選擇所含資產(chǎn)的準(zhǔn)則。以下幾節(jié)是對(duì)這些內(nèi)容的介紹。本標(biāo)準(zhǔn)的范圍能夠描述為組織信息和自動(dòng)化系統(tǒng)內(nèi)的功能性范圍。該功能性可以典型地以一個(gè)或更多的模型來(lái)描述。本標(biāo)準(zhǔn)主要集中于工業(yè)自動(dòng)化和控制，這在參考模型中有所描述(見(jiàn)第6章)。雖然考慮了業(yè)務(wù)系工業(yè)自動(dòng)化和控制包括了過(guò)程工業(yè)中典型常見(jiàn)的監(jiān)視控制構(gòu)件。也包括SCADA(監(jiān)督和數(shù)據(jù)采集),該系統(tǒng)常被組織用于操作關(guān)鍵基礎(chǔ)設(shè)施。包括：——輸變電和配電；——供氣和供水管網(wǎng)；——燃?xì)夂鸵后w傳輸管道?？窟\(yùn)行。這些包括但不限于：a)工業(yè)控制系統(tǒng)及其相關(guān)通信網(wǎng)絡(luò)，包括分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)、遠(yuǎn)統(tǒng)以及監(jiān)視和診斷系統(tǒng)[本標(biāo)準(zhǔn)中，工業(yè)控制系統(tǒng)包括基本過(guò)程控制系統(tǒng)和安全儀表系統(tǒng)(SIS),不管它們是否物理上分離或整合]。b)與第6章描述的參考模型中第3層或更下層相關(guān)的系統(tǒng)。諸如先進(jìn)或多變量控制、在線優(yōu)化停電管理以及電能量管理系統(tǒng)。2GB/T40211—2021/IEC/TS62443-1-1:2009IEC62443-2-1提供了用于定義與生產(chǎn)操作相關(guān)活動(dòng)的準(zhǔn)則。已經(jīng)有了確定該技術(shù)規(guī)范范圍的相似列表。如果一個(gè)系統(tǒng)在執(zhí)行過(guò)程中應(yīng)考慮下列因素，該系統(tǒng)應(yīng)在IEC62443系列覆蓋的范圍內(nèi)進(jìn)行設(shè)計(jì)：a)可預(yù)見(jiàn)的過(guò)程操作；b)過(guò)程或人員安全；c)過(guò)程可靠性或可用性；e)過(guò)程可操作性；f)產(chǎn)品質(zhì)量；h)合規(guī)；i)產(chǎn)品銷售或儲(chǔ)運(yùn)交接。a)資產(chǎn)具有制造或運(yùn)行過(guò)程的經(jīng)濟(jì)價(jià)值；b)資產(chǎn)完成制造或運(yùn)行過(guò)程所必須的功能；c)資產(chǎn)代表制造或運(yùn)行過(guò)程中的知識(shí)產(chǎn)權(quán)；d)資產(chǎn)在制造或運(yùn)行過(guò)程中對(duì)運(yùn)行和維護(hù)安全是必須的；f)資產(chǎn)對(duì)保護(hù)環(huán)境是必須的；g)資產(chǎn)應(yīng)保護(hù)公眾免于受到制造或運(yùn)行過(guò)程中引起的事件影響；i)用于災(zāi)難恢復(fù)所需要的資產(chǎn)；j)記錄安全事件所需要的資產(chǎn)。下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文ISO/IEC15408-1信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第1部分：簡(jiǎn)介和一般模型(Informationtechnology—Securitytechniques—EvaluationcriteriaforITsecurity—Part1:Introudctionandgeneralmodel)部分：模型和術(shù)語(yǔ)(Enterprise-controlsystemintegration—Part1:Modelsandterminology)3GB/T40211—2021/IEC/TS62443-1-1:20093.2.1注：訪問(wèn)可能會(huì)涉及物理訪問(wèn)(物理上允許在某個(gè)區(qū)域授權(quán)，擁有物理的加密裝置，PIN碼或訪問(wèn)卡或允許訪問(wèn)的生物特征)或邏輯訪問(wèn)(通過(guò)邏輯和物理方法的結(jié)合，獲得授權(quán)登錄到系統(tǒng)和應(yīng)用)。3.2.2.43.2.5注：區(qū)域可以包括生產(chǎn)線、過(guò)程單元和生產(chǎn)設(shè)備。區(qū)域可以通過(guò)本地的網(wǎng)絡(luò)進(jìn)行互連，并且包括該區(qū)域執(zhí)行操作的3.2.63.2.7.94GB/T40211—2021/IEC/TS62443-1-1:2009——主動(dòng)攻擊是指企圖改變系統(tǒng)資源或影響其操作。 內(nèi)部攻擊是指安全范圍內(nèi)的實(shí)體發(fā)起的攻擊(內(nèi)部實(shí)體),即被授權(quán)訪問(wèn)系統(tǒng)資源的實(shí)體未按所授權(quán)的方——外部攻擊是指范圍外部由系統(tǒng)未授權(quán)或者不合法的使用者發(fā)起的(包括內(nèi)部人員從安全范圍外發(fā)起的攻3.2.10攻擊樹(shù)attacktree3.2.11---內(nèi)部審計(jì)是由組織內(nèi)專門從事內(nèi)部審計(jì)的獨(dú)立部門實(shí)施；.13旨在建立傳輸、信息或發(fā)起方有效性的安全方法，核實(shí)接收特定信息類別的個(gè)人授權(quán)的方法的有效性。3.2.143.2.15包括控制系統(tǒng)以能夠自主或者遠(yuǎn)程操作的移動(dòng)設(shè)備。3.2.163.2.17物理或者邏輯安全區(qū)域的邊或者邊界。5GB/T40211—2021/IEC/TS62443-1-1:20093.2.18能夠自主運(yùn)行的惡意軟件的統(tǒng)稱。.20通道channel在通信管道(見(jiàn)3.2.27)內(nèi)建立的特定的通信鏈接。3.2.21密文ciphertext通過(guò)加密后傳輸?shù)臄?shù)據(jù)，這樣其語(yǔ)義信息內(nèi)容(它的含3.2.22接收或請(qǐng)求來(lái)自服務(wù)器端的服務(wù)或信息的設(shè)備或應(yīng)用11]。..26危害(泄密)compromise3.2.27保護(hù)安全的通信資產(chǎn)邏輯組。3.2.28保密性confidentiality6GB/T40211—2021/IEC/TS62443-1-1:20093.2.29控制中心controlcenter用于運(yùn)營(yíng)資產(chǎn)的中心位置。3.2.30過(guò)程的現(xiàn)場(chǎng)傳感控制設(shè)備。3.2.31用于連接控制物理過(guò)程設(shè)備的實(shí)時(shí)網(wǎng)絡(luò)(見(jiàn)3.2.97)。3.2.32成本cost影響公司或者個(gè)人的可度量的價(jià)值。3.2.333.2.343.2.35通過(guò)加密算法執(zhí)行變換的輸入?yún)?shù)。3.2.36行為。3.2.37數(shù)據(jù)保密性dataconfidentiality7GB/T40211—2021/IEC/TS62443-1-1:20093.2.383.2.393.2.40縱深防御defenseindepth—--攻擊者在不被發(fā)現(xiàn)的情況下突破或者繞過(guò)每一層；3.2.41注1:非軍事化區(qū)的目的是為外部信息交換提供內(nèi)部網(wǎng)絡(luò)策略，實(shí)現(xiàn)外部非信任源的受限訪問(wèn)，同時(shí)屏蔽內(nèi)部網(wǎng)絡(luò)3.2.42拒絕服務(wù)denialofservice3.2.43數(shù)字簽名digitalsignature3.2.44分布式控制系統(tǒng)distributed系統(tǒng)單元被分離但是以耦合方式運(yùn)行的一種控制系統(tǒng)類型。注1:分布式控制系統(tǒng)有比那些典型的SCADA系統(tǒng)更短的耦合時(shí)間常數(shù)。3.2.453.2.46未授權(quán)組織對(duì)通信信息的監(jiān)視或者記錄。8GB/T40211—2021/IEC/TS62443-1-1:20093.2.473.2.48生產(chǎn)或運(yùn)輸產(chǎn)品運(yùn)營(yíng)和維護(hù)基礎(chǔ)服務(wù)的商業(yè)實(shí)體。3.2.493.2.503.2.51現(xiàn)場(chǎng)I/0網(wǎng)絡(luò)fieldI/0network連接傳感器和執(zhí)行器到控制設(shè)備的通信鏈路(有線的或無(wú)線的)。3.2.52防火墻firewall注：防火墻可以是安裝在通用計(jì)算機(jī)上的應(yīng)用軟件或者是專有平臺(tái)(設(shè)備),用于轉(zhuǎn)發(fā)或者拒絕/丟棄網(wǎng)絡(luò)上的包。3.2.53連接功能相近但實(shí)現(xiàn)不同的兩個(gè)(或多個(gè))計(jì)算機(jī)網(wǎng)絡(luò)的中繼裝置，且該裝置能夠使一個(gè)網(wǎng)絡(luò)的主3.2.54地理場(chǎng)所geographicsite3.2.55用于不同安全等級(jí)(一個(gè)網(wǎng)絡(luò)通常比另一個(gè)更安全)的兩個(gè)網(wǎng)絡(luò)(或者計(jì)算機(jī)或者其他信息系統(tǒng))之3.2.56接入到通信子網(wǎng)或網(wǎng)間的計(jì)算機(jī)，并且該計(jì)算機(jī)可以使用網(wǎng)絡(luò)提供的服務(wù)與其他附屬系統(tǒng)進(jìn)行數(shù)9GB/T40211—2021/IEC/TS62443-1-1:20093.2.573.2.583.2.593.2.603.2.613.2.623.2.633.2.643.2.653.2.66ISO國(guó)際標(biāo)準(zhǔn)化組織。GB/T40211—2021/IEC/TS62443-1-1:20093.2.673.2.683.2.693.2.703.2.71●制造企業(yè)內(nèi)與生產(chǎn)進(jìn)度表、使用、能力、定義、歷史記錄和所有資源狀態(tài)(人員、設(shè)備和材料)相關(guān)的管理3.2.723.2.73：縮寫“OPC”來(lái)自“過(guò)程控制OLE(OdEmbedding)”的縮寫。3.2.743.2.75GB/T40211—2021/IEC/TS62443-1-1:20093.2.76網(wǎng)絡(luò)釣魚phishing通過(guò)偽造郵件引誘接收者瀏覽貌似合法的網(wǎng)站，使受害者透露信3.2.773.2.78特權(quán)privilege3.2.793.2.80兩個(gè)系統(tǒng)間執(zhí)行和控制某些關(guān)聯(lián)類型(例如通信)的規(guī)則集(例如格式和規(guī)程)10]3.2.81用一致的方式描述模塊和系統(tǒng)接口的結(jié)構(gòu)。3.2.823.2.83織的區(qū)域內(nèi)。與從公司區(qū)域外部并且很遠(yuǎn)的位置來(lái)的訪問(wèn)相比，訪問(wèn)風(fēng)險(xiǎn)可能比較低。3.2.84遠(yuǎn)程客戶端remoteclient問(wèn)控制網(wǎng)絡(luò)的部分控制設(shè)備。3.2.85參與通信的某一實(shí)體拒絕承認(rèn)參與了全部通信或部分通信。3.2.86采取安全控制或者對(duì)抗措施后仍存在的風(fēng)險(xiǎn)。3.2.87GB/T40211—2021/IEC/TS62443-1-1:20093.2.88建議如何對(duì)各對(duì)抗措施分配資源以使總風(fēng)險(xiǎn)最小的過(guò)程。3.2.89基于風(fēng)險(xiǎn)評(píng)估來(lái)辨識(shí)和采用與所保護(hù)的資產(chǎn)價(jià)值相稱的對(duì)抗措施的過(guò)程。3.2.90風(fēng)險(xiǎn)緩解控制riskmitigationcontrols風(fēng)險(xiǎn)對(duì)抗措施和業(yè)務(wù)連續(xù)性計(jì)劃的結(jié)合。3.2.91組織機(jī)構(gòu)可接受的殘余風(fēng)險(xiǎn)的等級(jí)。3.2.923.2.93在OSI第三層上的兩個(gè)網(wǎng)絡(luò)之間的網(wǎng)關(guān)，在網(wǎng)絡(luò)間中繼和直接傳遞數(shù)據(jù)包。路由器最常見(jiàn)的形式3.2.943.2.953.2.96安全完整性等級(jí)safetyintegritylevel離散的等級(jí)(四個(gè)中的一個(gè)),用于規(guī)定分配注：安全完整性等級(jí)4是安全完整性的最高等級(jí)，安全完整性等級(jí)1是安全完整性的最低等級(jí)。3.2.97安全網(wǎng)絡(luò)safetynetwork連接安全儀表系統(tǒng)并用于安全相關(guān)信息通信的網(wǎng)絡(luò)。3.2.98秘密secretGB/T40211—2021/IEC/TS62443-1-1:20093.2.99a)保護(hù)系統(tǒng)所采取的措施；b)由建立和維護(hù)保護(hù)系統(tǒng)的措施而產(chǎn)生的系統(tǒng)狀態(tài)；d)基于計(jì)算機(jī)系統(tǒng)的能力，能夠提供充分的把握使非授權(quán)人員和系統(tǒng)既無(wú)法修改軟件及其數(shù)據(jù)e)防止對(duì)工業(yè)自動(dòng)化和控制系統(tǒng)的非法或有害的入侵，或者干擾其正確和計(jì)劃的操作。注：措施可以是與物理安全(控制物理訪問(wèn)計(jì)算機(jī)的資產(chǎn))或者邏輯安全(登錄給定系統(tǒng)和應(yīng)用的能力)相關(guān)的控制手段。3.2.1003.2.101安全審計(jì)securityaudit3.2.1023.2.103安全控制securitycontrol見(jiàn)3.2.33。3.2.104安全事件securityevent3.2.105安全功能securityfunction防止未授權(quán)電子干預(yù)的區(qū)域或者管道功能，這些干預(yù)能影響或改變?cè)趨^(qū)或管道內(nèi)的設(shè)備和系統(tǒng)的3.2.106系統(tǒng)或者網(wǎng)絡(luò)的不利事件或者這種事件發(fā)生的威脅9]。3.2.107安全入侵securityintrusionGB/T40211—2021/IEC/TS62443-1-1:20093.2.108基于該區(qū)域或者管道的風(fēng)險(xiǎn)評(píng)估，與區(qū)域或管道的設(shè)備和系統(tǒng)所需要的對(duì)抗措施有效性及固有安3.2.1093.2.110安全邊界securityperimeter應(yīng)用了安全策略和安全體系結(jié)構(gòu)的區(qū)域分界線(邏輯的或物理的),即系統(tǒng)資源得到安全服務(wù)保護(hù)3.2.1113.2.1123.2.113精確描述了安全實(shí)踐是如何實(shí)現(xiàn)和執(zhí)行的。3.2.114從策略的定義和通信到最佳行業(yè)實(shí)踐的實(shí)現(xiàn)，以及目前執(zhí)行的操作和審計(jì)等管理安全所有概念的統(tǒng)稱。3.2.1153.2.116安全違規(guī)securityviolation來(lái)自外部入侵或內(nèi)部無(wú)意違反安全策略的行為或事件。3.2.117安全區(qū)securityzone共享通用安全需求的邏輯資產(chǎn)或物理資產(chǎn)的集合。GB/T40211—2021/IEC/TS62443-1-1:20093.2.1183.2.1193.2.1203.2.121欺騙spoof3.2.1223.2.1233.2.1243.2.1253.2.1263.2.1273.2.1283.2.129GB/T40211—2021/IEC/TS62443-1-1:20093.2.130在兩個(gè)安全區(qū)域內(nèi)能夠提供安全通信的通信鏈路。3.2.131在兩個(gè)安全區(qū)域內(nèi)不能夠提供安全通信的通信鏈路。3.2.132用于獲取潛在功能需求的技術(shù)，采用一個(gè)或者多個(gè)場(chǎng)景以傳達(dá)系統(tǒng)如何連接到終端用戶或者其他系統(tǒng)以達(dá)到特定目標(biāo)。3.2.1333.2.134通過(guò)將自身副本插入到其他可執(zhí)行的代碼或文件中進(jìn)行傳播的，可自我復(fù)制或者自我衍生的程序。3.2.135脆弱性vulnerability3.2.136用于連接遠(yuǎn)距離(例如國(guó)內(nèi)或跨國(guó))的計(jì)算機(jī)、網(wǎng)絡(luò)和其他設(shè)備的通信網(wǎng)絡(luò)3.2.137注1:雖然術(shù)語(yǔ)最初指與電導(dǎo)體進(jìn)行機(jī)械連接以鏈接兩個(gè)節(jié)點(diǎn)，現(xiàn)在指從任何類型的媒介上讀信息，媒介用于鏈接3.2.1383.2.139下列縮略語(yǔ)適用于本文件。ANSI:AmericanNationalStandardsInstitute(美國(guó)國(guó)家標(biāo)準(zhǔn)研究所)CIA:Confidentiality,Integrity,andAvailability(保密性、完整性和可用性)GB/T40211—2021/IEC/TS62443-1-1:2009CN:ControlNetwork(控制網(wǎng)絡(luò))COTS:CommercialofftheShelf(商用現(xiàn)貨)CSMS:CyberSecurityManagementSystem(網(wǎng)絡(luò)安全管理系統(tǒng))DCS:DistributedControlSystem(分布式控制系統(tǒng))DDoS:DistributedDenialofService(分布式拒絕服務(wù))DoS:DenialofService(拒絕服務(wù))DMZ:DemilitarizedZone(非軍事化區(qū))FIPS:U.S.FederalInformationProcessingStandards(美國(guó)聯(lián)邦信息處理標(biāo)準(zhǔn))IACS:IndustrialAutomationandControlSystem(工業(yè)自動(dòng)化和控制系統(tǒng))IEC:InternationalElectrotechnicalCommission(國(guó)際電工委員會(huì))IEEE:InstituteofElectricalandElectronicsEngineers(電子和電氣工程師協(xié)會(huì))I/O:Input/Output(輸入/輸出)IP:InternetProtocol(因特網(wǎng)協(xié)議)IT:InformationTechnology(信息技術(shù))LAN:LocalAreaNetwork(局域網(wǎng))NASA:U.S.NationalAeronauticsandSpaceAdministration(美國(guó)國(guó)家航空航天局)NOST:NASAOfficeofStandardsandTechnology(NASA標(biāo)準(zhǔn)和技術(shù)辦公室)OSI:OpenSystemsInterconnect(開(kāi)放系統(tǒng)互連)PLC:ProgrammableLogicController(可編程邏輯控制器)RTU:RemoteTerminalUnit(遠(yuǎn)程終端單元)SCADA:SupervisoryControlandDataAcquisition(監(jiān)督控制和數(shù)據(jù)采集)SIL:SafetyIntegrityLevel(安全完整性等級(jí))SIS:Safety-InstrumentedSystem(安全儀表系統(tǒng))WAN:WideAreaNetwork(廣域網(wǎng))4現(xiàn)狀工業(yè)自動(dòng)化和控制系統(tǒng)在復(fù)雜的環(huán)境下運(yùn)行。組織越來(lái)越需要信息在工業(yè)自動(dòng)化和業(yè)務(wù)之間共設(shè)備是直接和工藝過(guò)程相連的，安全遭到破壞的后果不僅僅是喪失了商業(yè)保密或在信息傳送中發(fā)生中威脅不僅僅來(lái)自外部，內(nèi)部具有一定技術(shù)能力的人員惡意或另外，工業(yè)自動(dòng)化和控制系統(tǒng)還經(jīng)常和其他業(yè)務(wù)系統(tǒng)相連。對(duì)運(yùn)行系統(tǒng)的修改和測(cè)試還會(huì)對(duì)系統(tǒng)的運(yùn)行產(chǎn)生沒(méi)有意識(shí)到的影響。控制系統(tǒng)區(qū)域之外的人對(duì)系統(tǒng)所進(jìn)行的安全測(cè)試，更加劇了這些影響的數(shù)道的。雖然技術(shù)變化和合作伙伴關(guān)系可能對(duì)業(yè)務(wù)行為是有益的，但也增加了破壞安全的潛在風(fēng)險(xiǎn)。正因GB/T40211—2021/IEC/TS62443-1-1:2009工業(yè)自動(dòng)化和控制系統(tǒng)是從單個(gè)的、獨(dú)立的、專用操作系統(tǒng)和網(wǎng)絡(luò)向互聯(lián)的系統(tǒng)和使用商用技術(shù)(即，操作系統(tǒng)和協(xié)議)的應(yīng)用逐漸演化的。工業(yè)自動(dòng)化和控制系統(tǒng)正在通過(guò)各種通信網(wǎng)絡(luò)與企業(yè)管理a)增加了工業(yè)控制系統(tǒng)各項(xiàng)活動(dòng)的可見(jiàn)性(工作進(jìn)程、設(shè)備狀態(tài)、生產(chǎn)進(jìn)度),從業(yè)務(wù)層面集成工c)通用的接口降低了總體維護(hù)成本，并允許對(duì)生產(chǎn)過(guò)程的遠(yuǎn)程支持；d)對(duì)過(guò)程控制系統(tǒng)的遠(yuǎn)程監(jiān)視可以降低成本并有利于更快速地解決問(wèn)題。工業(yè)自動(dòng)化和控制系統(tǒng)的企業(yè)帶來(lái)潛在的風(fēng)險(xiǎn)。難以確定：——授權(quán)誰(shuí)可以訪問(wèn)電子信息；——用戶何時(shí)能訪問(wèn)信息；-—用戶訪問(wèn)何種數(shù)據(jù)或功能；——訪問(wèn)請(qǐng)求源的位置；——如何請(qǐng)求訪問(wèn)。下面幾個(gè)趨勢(shì)使得工業(yè)自動(dòng)化和控制系統(tǒng)的安全變得越來(lái)越重要：a)近年來(lái)對(duì)商業(yè)和個(gè)人計(jì)算機(jī)系統(tǒng)的惡意代碼攻擊顯著增加。與前些年比，每年企業(yè)報(bào)告發(fā)生未經(jīng)授權(quán)企圖(無(wú)論是有意的還是無(wú)意的)訪問(wèn)電子信息的案例逐漸增多。b)工業(yè)自動(dòng)化和控制系統(tǒng)轉(zhuǎn)向COTS操作系統(tǒng)和協(xié)議，并與商業(yè)網(wǎng)絡(luò)互聯(lián)。使得這些系統(tǒng)和目前商業(yè)系統(tǒng)和桌面設(shè)備容易遭到同樣的軟件攻擊。c)因特網(wǎng)上用于自動(dòng)攻擊的工具隨處可得到?，F(xiàn)在使用這些工具的外部威脅包括網(wǎng)絡(luò)犯罪分子和控制系統(tǒng)的安全變得更加復(fù)雜。在開(kāi)發(fā)這些系統(tǒng)的安全措施時(shí)應(yīng)考慮這些情況。犯罪或恐怖活動(dòng)意圖對(duì)更大的組織機(jī)構(gòu)或設(shè)施造成影響。f)采用工業(yè)文件協(xié)議，例如作為工業(yè)自動(dòng)化和控制系統(tǒng)與現(xiàn)場(chǎng)設(shè)備之間的通信的因特網(wǎng)協(xié)議(IP)。使用IP協(xié)議，工業(yè)自動(dòng)化和控制系統(tǒng)與現(xiàn)場(chǎng)設(shè)備在網(wǎng)絡(luò)層會(huì)受到同商用系統(tǒng)一樣的安全正在受到更加顯著和廣泛的關(guān)注。這種變化需要建立結(jié)構(gòu)化的導(dǎo)則和規(guī)程，來(lái)規(guī)范工業(yè)自動(dòng)化和GB/T40211—2021/IEC/TS62443-1-1:2009下是控制平臺(tái)的可能性。入侵工業(yè)自動(dòng)化和控制系統(tǒng)可能出現(xiàn)的后果包括：b)向未經(jīng)授權(quán)的目的地發(fā)布信息；c)喪失過(guò)程數(shù)據(jù)和生產(chǎn)信息的完整性或可靠性；d)喪失系統(tǒng)的可用性；f)設(shè)備損壞；g)人員傷害；h)違反法律法規(guī)；i)帶來(lái)公共健康和信任的風(fēng)險(xiǎn)；j)對(duì)國(guó)家安全造成威脅。5概念本章描述幾個(gè)基本概念，這些概念構(gòu)成了后面章節(jié)以及IEC62443其他標(biāo)準(zhǔn)的基礎(chǔ)。特別是解決a)哪些是用于描述安全的主要概念；b)哪些重要概念構(gòu)成了完整的安全程序的基礎(chǔ)。商業(yè)系統(tǒng)的信息技術(shù)(IT)安全策略一般最為關(guān)注信息的保密性，以及為此要采取的必要的訪問(wèn)控制。在工業(yè)自動(dòng)化和控制系統(tǒng)的環(huán)境下，這些目標(biāo)的優(yōu)先級(jí)往往是不同的。這些系統(tǒng)的安全最關(guān)注維持系統(tǒng)所有部件的可用性。存在與由工業(yè)自動(dòng)化和控制系統(tǒng)控制、監(jiān)視甚至影響的工業(yè)機(jī)器相關(guān)聯(lián)的時(shí)間響應(yīng)也很重要?？刂葡到y(tǒng)可以要求1ms范圍內(nèi)的系統(tǒng)響應(yīng)時(shí)間，而傳統(tǒng)商業(yè)系統(tǒng)在1s或幾秒內(nèi)完成操作就可以了。GB/T40211—2021/IEC/TS62443-1-1:2009通用的信息技術(shù)(IT)系統(tǒng)保密性(C)保密性(C)根據(jù)應(yīng)用場(chǎng)景的不同，系統(tǒng)的完整性也可具有最高優(yōu)先級(jí)。某些運(yùn)行要求各個(gè)部件或系統(tǒng)具有不同的優(yōu)先級(jí)目標(biāo)(即完整性或可用性可優(yōu)先于保密性，或反之),從而使得組織采取不同的應(yīng)對(duì)措施達(dá)到這些安全目標(biāo)。圖1所示簡(jiǎn)單的CIA模型還不足以使人們完全理解工業(yè)自動(dòng)化和控制系統(tǒng)安全的要求。雖然IEC62443系列的其他部分會(huì)給出詳盡的清單，但一些工業(yè)自動(dòng)化安全的最基本要求還是在這里列出。這些要求包括：c)數(shù)據(jù)完整性(DI):保證被選通信通道上數(shù)據(jù)的完整性，防止未經(jīng)授權(quán)的修改。d)數(shù)據(jù)保密性(DC):保證被選通信通道上數(shù)e)限制數(shù)據(jù)流(RDF):限制通信通道上的數(shù)據(jù)流，防止向未經(jīng)授權(quán)的信息源發(fā)布信息。f)事件及時(shí)響應(yīng)(TRE):對(duì)于任務(wù)關(guān)鍵型或安全關(guān)鍵型的情況，通過(guò)通知合適的主管機(jī)構(gòu)、報(bào)告g)資源可用性(RA):保證網(wǎng)絡(luò)資源的可上述的所有要求都在本標(biāo)準(zhǔn)范圍內(nèi)，只是有些更詳細(xì)的內(nèi)容見(jiàn)IEC62443系列的其他部分。例如，數(shù)據(jù)完整性和數(shù)據(jù)保密性的技術(shù)要求細(xì)節(jié)見(jiàn)IEC62443的其他部分。一般通過(guò)單一措施或技術(shù)很難達(dá)到安全的目標(biāo)。比較高級(jí)的方法是使用縱深防御的概念，即通過(guò)安全上下文構(gòu)成了解釋術(shù)語(yǔ)和概念的基礎(chǔ)，并給出了安全各要素之間的相互關(guān)系。這里所說(shuō)安全GB/T40211—2021/IEC/TS62443-1-1:2009的意思是防止對(duì)工業(yè)自動(dòng)化和控制系統(tǒng)的正常和預(yù)期運(yùn)行過(guò)程的非法或有害的入侵和干擾。安全上下文基于威脅、風(fēng)險(xiǎn)、措施的概念，以及它們相互之間的關(guān)系。這些概念的關(guān)系可以用一個(gè)簡(jiǎn)單的模型來(lái)表示。圖2復(fù)制的是ISO/IEC15408-1(通常規(guī)則)里的一個(gè)模型。圖3是對(duì)這種相互關(guān)系的另一種不同的觀點(diǎn)。資產(chǎn)擁有者希望最小化資產(chǎn)擁有者希望最小化強(qiáng)制對(duì)策風(fēng)險(xiǎn)對(duì)產(chǎn)生資產(chǎn)增加對(duì)威脅圖2上下文要素相互關(guān)系信息安全保證信息安全保證產(chǎn)生保證資產(chǎn)擁有者信心脆弱性要求對(duì)策最小化對(duì)資產(chǎn)給出依據(jù)利用威脅評(píng)價(jià)在圖3的上下文模型給出了與安全保證和威脅—風(fēng)險(xiǎn)評(píng)估兩個(gè)相互關(guān)聯(lián)的過(guò)程有關(guān)的一套擴(kuò)展概念集。GB/T40211—2021/IEC/TS62443-1-1:2009被不同威脅利用的脆弱性。下面這些條款將對(duì)這些要素進(jìn)行詳細(xì)描述。資產(chǎn)是安全程序關(guān)注的焦點(diǎn)。它們是被保護(hù)的對(duì)象。為了充分理解對(duì)于IACS環(huán)境的風(fēng)險(xiǎn)，首先系統(tǒng)并構(gòu)成設(shè)備的資產(chǎn)是最重要的物理資產(chǎn)。資產(chǎn)經(jīng)常會(huì)對(duì)組織產(chǎn)生非常持久的和破壞性的后果。過(guò)程自動(dòng)化資產(chǎn)是一種特殊形式的邏輯資產(chǎn)。它們包括執(zhí)行工業(yè)過(guò)程的自動(dòng)邏輯。這些過(guò)程高度依賴于對(duì)精確定義事件的重復(fù)或連續(xù)的執(zhí)行。過(guò)程資產(chǎn)的損害可能通過(guò)物理方法(例如，破壞媒體)或非物理方法(例如，未經(jīng)授權(quán)的修改),導(dǎo)致對(duì)過(guò)程某種程度c)人員資產(chǎn)：人員資產(chǎn)包括人員以及它們所擁有的與生產(chǎn)活動(dòng)相關(guān)的知識(shí)和技能。人員資產(chǎn)還技能。很少有工藝設(shè)施是完全自動(dòng)的，由于人為因素造成的運(yùn)行故障可能會(huì)對(duì)生產(chǎn)造成重大機(jī)并對(duì)生產(chǎn)造成影響，雖然并沒(méi)有對(duì)工業(yè)自動(dòng)化和控制系統(tǒng)產(chǎn)生任何物理或邏輯上的破壞。任何傷及人員的事故或攻擊都被認(rèn)為是影響了人員資產(chǎn)。程中也是用定性的方法表述資產(chǎn)損失。組織提供關(guān)于損失的潛在影響的清晰描繪。影響、無(wú)影響這樣的相對(duì)值。很多資產(chǎn)僅能用定性損失來(lái)分析。風(fēng)險(xiǎn)評(píng)估過(guò)程可以從定性評(píng)GB/T40211—2021/IEC/TS62443-1-1:2009價(jià)值可以按照產(chǎn)生損失的類型來(lái)進(jìn)行分類：c)直接損失：直接損失代表的是更新資產(chǎn)的成本。對(duì)物理資產(chǎn)而言，包括設(shè)備本身更新的成本。d)間接損失：間接損失代表了由于喪失資產(chǎn)組織將會(huì)面對(duì)的任何損失。這可以包括生產(chǎn)過(guò)程的停工期、返工或其他由于資產(chǎn)喪失導(dǎo)致的生產(chǎn)成本。物理資產(chǎn)的間接損失一般包括由于部件資產(chǎn)類型直接損失間接損失定性或定量物理可能產(chǎn)生高的直接損失，主要是由于資產(chǎn)更新產(chǎn)生的成本。直接損失來(lái)自生產(chǎn)過(guò)程喪失完整性或可用性，以及干擾了生產(chǎn)過(guò)程的準(zhǔn)確順序或協(xié)調(diào)性而導(dǎo)致的物理資產(chǎn)的破壞損失造成的下游影響包括喪失控制、其他資產(chǎn)的喪失或破壞，以及停工損失等可以從對(duì)高風(fēng)險(xiǎn)的定性分析開(kāi)始，然后再定量分析獲得更精確的結(jié)果邏輯直接損失較小，因?yàn)榇鎯?chǔ)媒體通常價(jià)格低廉且容易更換高的間接損失，經(jīng)常是由于喪失知識(shí)產(chǎn)權(quán)、專有程序的損害或違規(guī)造成的。由于設(shè)備損壞或物質(zhì)釋放產(chǎn)生的間接損失可以導(dǎo)致停工、返工、重新設(shè)計(jì)，或其他為恢復(fù)工業(yè)過(guò)程控制的工作大部分是定性的，但有些下游影響可以定量評(píng)估人員按照人員傷害的程度可以從低到中等確定直接損失?？梢远虝r(shí)間內(nèi)恢復(fù)的小的傷害可能對(duì)公司的直接損失比較小，雖然傷害對(duì)個(gè)人的影響還會(huì)持續(xù)一段時(shí)間按照人員傷害程度，以及該人對(duì)生產(chǎn)過(guò)程的重要性，間接損失可以是從低到高。按照個(gè)人所需恢復(fù)時(shí)間的不同，產(chǎn)生的加班成本或臨時(shí)替換成本也會(huì)有很大不同。如果評(píng)估中考慮到社會(huì)責(zé)任以及潛在的訴訟和裁決的因素，永久性致殘或死亡可能會(huì)產(chǎn)生高的間接損失對(duì)生產(chǎn)立即產(chǎn)生定性影響，緊接著會(huì)產(chǎn)生人員恢復(fù)或替換的定量影響脆弱性可能是來(lái)自有意的設(shè)計(jì)選擇，也可能源于錯(cuò)誤理解運(yùn)行環(huán)境的偶然情況。脆弱性還有可能在設(shè)備老化直至最終被淘汰的過(guò)程中顯現(xiàn)。與正常運(yùn)行或受控的設(shè)備相比，這種情況通常發(fā)生在較短的時(shí)間內(nèi)。脆弱性不僅僅限于電子或網(wǎng)絡(luò)系統(tǒng)。了解物理(包括人員)和電子脆弱性之間的相互作用，24GB/T40211—2021/IEC/TS62443-1-1:2009對(duì)于建立有效的工業(yè)自動(dòng)化和控制系統(tǒng)安全是至關(guān)重要的。風(fēng)險(xiǎn)通常定義為用概率表示的預(yù)計(jì)損失，這里的概率是指特定的威脅利用特定的脆弱性造成特定的后果的幾率。風(fēng)險(xiǎn)是威脅、脆弱性和后果的函數(shù)，由于特定威脅或脆弱性對(duì)組織的資產(chǎn)造成特定損害，因而后果對(duì)組織造成負(fù)面影響。威脅和脆弱性可以用可能性來(lái)表示，可能性是特定行為發(fā)生的概率。資產(chǎn)擁有者在估計(jì)風(fēng)險(xiǎn)時(shí)應(yīng)歸類并包括緩解或修補(bǔ)的成本。它們還應(yīng)當(dāng)采取適當(dāng)?shù)膶?duì)抗措施來(lái)緩任何合理的風(fēng)險(xiǎn)評(píng)估方法都應(yīng)采用層次化的方法對(duì)所有涉及的系統(tǒng)進(jìn)行分析，從最靠近威脅的系a)風(fēng)險(xiǎn)初始評(píng)估；c)評(píng)估殘余風(fēng)險(xiǎn)。第2步和第3步可以根據(jù)需要重復(fù)進(jìn)行，以將該殘余風(fēng)險(xiǎn)降低到可接受的水平。特別的，第2步還包括評(píng)估現(xiàn)有控制和實(shí)施計(jì)劃，增加補(bǔ)救措施或其他對(duì)抗措施。更具體的確定風(fēng)險(xiǎn)過(guò)程的描述將在IEC62443以后部分給出。需要考慮的典型風(fēng)險(xiǎn)通常包括：定性風(fēng)險(xiǎn)分析的結(jié)果包括一份資產(chǎn)或情況清單，包含總體可能性和后果分級(jí)。按照分級(jí)對(duì)各項(xiàng)風(fēng)險(xiǎn)做出適當(dāng)?shù)捻憫?yīng)屬于管理責(zé)任。一些組織可以接受相對(duì)比較高的風(fēng)險(xiǎn)等級(jí)(例如有強(qiáng)勁增長(zhǎng)勢(shì)頭的和能力。管理宜明確定義和理解組織對(duì)風(fēng)險(xiǎn)承受的意愿和能力，才能夠更好地分析已被識(shí)別的殘余風(fēng)險(xiǎn)的響應(yīng)級(jí)別。工業(yè)自動(dòng)化和控制系統(tǒng)安全不必重新使用定義風(fēng)險(xiǎn)容忍等級(jí)的過(guò)程，只需從組織其他風(fēng)險(xiǎn)管理實(shí)踐中獲得即可。GB/T40211—2021/IEC/TS62443-1-1:2009c)接受風(fēng)險(xiǎn)：還有一種選擇是接受風(fēng)險(xiǎn)，將它看作是開(kāi)展業(yè)務(wù)的代價(jià)。組織需要承擔(dān)一定的風(fēng)d)轉(zhuǎn)移或分擔(dān)風(fēng)險(xiǎn)：也可以通過(guò)建立保險(xiǎn)或協(xié)議來(lái)轉(zhuǎn)移部分或全部風(fēng)險(xiǎn)到第三方。一例子是外包實(shí)現(xiàn)某些功能或服務(wù)。這種方法不是總有效，因?yàn)榭赡懿荒芨采w所有資產(chǎn)。安全注有效的控制。組織不了解所有風(fēng)險(xiǎn)，在運(yùn)行復(fù)雜的工業(yè)自動(dòng)化和控制系統(tǒng)時(shí)，偶然的事故使這些風(fēng)險(xiǎn)呈現(xiàn)工業(yè)自動(dòng)化和控制系統(tǒng)或?qū)?yīng)的生產(chǎn)過(guò)程帶來(lái)沒(méi)有預(yù)料到的安全威脅。制手段進(jìn)行工作的結(jié)果可能就會(huì)產(chǎn)生威脅。威脅付諸行動(dòng)就變成攻擊(有時(shí)叫入侵)。無(wú)論設(shè)計(jì)部件和系統(tǒng)，或在某地或某組織內(nèi)部實(shí)施安全樹(shù)的方法。威脅可能是被動(dòng)的或主動(dòng)的。下面條款將分別進(jìn)行描述。被動(dòng)信息的收集能為潛在入侵者提供有價(jià)值的信息。威脅代理經(jīng)常通過(guò)與雇員、合同承包商隨意的語(yǔ)言交流來(lái)收集被動(dòng)信息。當(dāng)然，設(shè)施內(nèi)部或外部的人員也可以通過(guò)視覺(jué)觀察來(lái)收集被動(dòng)信息。被些經(jīng)常在它們責(zé)任區(qū)域外活動(dòng)的人的持續(xù)觀察可以幫助組織判斷出正在遭受被動(dòng)信息收集，特別是在26GB/T40211—2021/IEC/TS62443-1-1:2009與精確背景調(diào)查信息結(jié)合時(shí)。偵聽(tīng)是一種被動(dòng)威脅的例子。它是監(jiān)視通信流中數(shù)據(jù)的行為。搭線竊聽(tīng)、截取信息流中的數(shù)據(jù)是最為常見(jiàn)的偵聽(tīng)方法。偵聽(tīng)可能很復(fù)雜。偵聽(tīng)各種通信網(wǎng)絡(luò)的數(shù)據(jù)的工具隨處可見(jiàn)。雖然這些設(shè)備通通信攻擊意圖是中斷工業(yè)自動(dòng)化和控制系統(tǒng)的通信。通信攻擊可以通過(guò)各種方式進(jìn)行。通信攻擊系統(tǒng)進(jìn)行攻擊。不安全代碼、旁路防火墻執(zhí)行未經(jīng)授權(quán)的命令。注入攻擊用于從數(shù)據(jù)庫(kù)竊取通常無(wú)法獲得的信息，和或通過(guò)載有數(shù)據(jù)庫(kù)的計(jì)算機(jī)獲得對(duì)組織機(jī)構(gòu)的主機(jī)訪問(wèn)。在網(wǎng)絡(luò)連接中，這些詞匯用來(lái)形容硬件和軟件可能被愚弄的各種方法。黑客可以偽造一個(gè)電子郵信息看似來(lái)自授權(quán)的IP地址。威脅代理還企圖通過(guò)哄騙個(gè)人出示安全信息來(lái)獲取其他數(shù)據(jù)。社會(huì)工程之所以成功是因?yàn)樗氖芎φ弑灸艿叵Ｍ嘈牌渌嘶蜃匀坏叵Ｍ梢詭椭鷦e人。這些社會(huì)工程的受害者被哄騙釋放信息，而他們自己沒(méi)有意識(shí)到這些信息可以用來(lái)攻擊計(jì)算機(jī)網(wǎng)絡(luò)。GB/T40211—2021/IEC/TS62443-1-1:2009與品牌的信任度相關(guān)聯(lián)。用代碼(automatedexploitcode)或木馬的形式。用的存儲(chǔ)空間，并將導(dǎo)致整個(gè)系統(tǒng)停止工作。更為危險(xiǎn)的病毒可以旁路掉安全系統(tǒng)，自己在網(wǎng)絡(luò)上傳播。對(duì)簡(jiǎn)單的自開(kāi)發(fā)代碼可以收集信息以便用于將來(lái)入侵、財(cái)務(wù)開(kāi)發(fā)(financialexploitation)或統(tǒng)計(jì)目的(營(yíng)銷)。自動(dòng)利用代碼能利用其他資源或系統(tǒng)中已有的應(yīng)用來(lái)強(qiáng)化收集信息和破壞數(shù)據(jù)的能力。一個(gè)全自動(dòng)利用代碼一般稱為蠕蟲病毒。蠕蟲病毒是一個(gè)獨(dú)立的程序或算法，它可以在計(jì)算機(jī)網(wǎng)絡(luò)上自我復(fù)險(xiǎn)惡的木馬病毒是一個(gè)聲稱可以擺脫病毒的程序，而實(shí)際上反過(guò)來(lái)它是將病毒帶入計(jì)算機(jī)。惡意代碼能夠以僵尸網(wǎng)絡(luò)形式傳播，收集所泄密的在通用命令和控制設(shè)施的機(jī)器運(yùn)行程序。僵尸拒絕(或降級(jí))服務(wù)攻擊影響網(wǎng)絡(luò)、操作系統(tǒng)或應(yīng)用資源的可用性?；诰W(wǎng)絡(luò)的拒絕服務(wù)最常見(jiàn)的應(yīng)用造成重大損失。采取一些本來(lái)能夠被防御的攻擊行動(dòng)。對(duì)抗措施是要采取的行動(dòng)或預(yù)案，目的是將風(fēng)險(xiǎn)降低到可接受的水平或滿足安全策略。它們一般不能消除風(fēng)險(xiǎn)。要采取的對(duì)抗措施的特性取決于要應(yīng)對(duì)的威脅的特性。a)用戶和/或計(jì)算機(jī)鑒別；b)訪問(wèn)控制；28GB/T40211—2021/IEC/TS62443-1-1:2009f)資源隔離和分離；g)惡意軟件的掃描；h)系統(tǒng)活動(dòng)的監(jiān)視；i)物理安全。施上。徑上產(chǎn)生信號(hào)。硬連接偵聽(tīng)通過(guò)先進(jìn)通信控制設(shè)備可以被檢測(cè)，例如智能數(shù)據(jù)網(wǎng)絡(luò)交換機(jī)，但無(wú)線偵聽(tīng)，即使用非常精良和昂貴的無(wú)線遠(yuǎn)程通信技術(shù)也幾乎無(wú)法被檢測(cè)到。可以通過(guò)控制和關(guān)閉電廠無(wú)用受到日益增長(zhǎng)的計(jì)算機(jī)安全風(fēng)險(xiǎn)的驅(qū)使，很多組織采取了積極的方法來(lái)解決針對(duì)他們的IT系統(tǒng)和網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。它們開(kāi)始意識(shí)到網(wǎng)絡(luò)安全問(wèn)題的解決是一個(gè)連續(xù)的過(guò)程，而不是一個(gè)具有顯著的起點(diǎn)和終點(diǎn)的項(xiàng)目。歷史上提供和支持商業(yè)信息系統(tǒng)和工業(yè)自動(dòng)化和控制系統(tǒng)的組織一直運(yùn)行在兩個(gè)相互排斥的領(lǐng)域。它們都不能理解對(duì)方的需求和專業(yè)技術(shù)。當(dāng)它們將普通的IT安全實(shí)踐在工業(yè)自動(dòng)化和控制系統(tǒng)上實(shí)施的時(shí)候產(chǎn)生了大量的問(wèn)題。在某些情況下，安全實(shí)踐對(duì)立于將生產(chǎn)連續(xù)性和安全性最大化的普通的功能安全實(shí)踐。因?yàn)槟壳肮I(yè)自動(dòng)化和控制系統(tǒng)中采用了大量的開(kāi)放信息技術(shù)，所以需要額外的知識(shí)來(lái)安全地運(yùn)用這些技術(shù)。IT和制造、生產(chǎn)性組織宜協(xié)同工作并把它們的知識(shí)和技能共同應(yīng)用于解決安全問(wèn)題。在具有很高潛在一個(gè)成熟的安全程序的目標(biāo)是集成計(jì)算機(jī)安全的所有方面，包括桌面和商業(yè)計(jì)算系統(tǒng)以及工業(yè)自動(dòng)化和控制系統(tǒng)。圖4顯示了很多業(yè)務(wù)所面臨的集成過(guò)程。很多組織對(duì)它們的商業(yè)計(jì)算機(jī)系統(tǒng)有很具體的和完整的計(jì)算機(jī)安全程序，但是并沒(méi)有完全針對(duì)IACS開(kāi)發(fā)出網(wǎng)絡(luò)安全管理實(shí)踐。GB/T40211—2021/IEC/TS62443-1-1:2009一個(gè)常見(jiàn)的錯(cuò)誤就是把解決計(jì)算機(jī)安全當(dāng)作一個(gè)有起始和結(jié)束日期的項(xiàng)目。在這種情況下，安全性水平經(jīng)常隨著時(shí)間推移而下降，如圖5所示。當(dāng)新的威脅和脆弱性隨著技術(shù)的改變而產(chǎn)生的時(shí)候，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)總是在改變。需要一個(gè)新的方式來(lái)維持安全并且把風(fēng)險(xiǎn)控制在一個(gè)可接受的水平。時(shí)間建議開(kāi)發(fā)并且實(shí)現(xiàn)整個(gè)組織范圍內(nèi)的網(wǎng)絡(luò)安全管理系統(tǒng)，包括采取糾正措施防止隨著時(shí)間推移安全等級(jí)下降的趨勢(shì)以及評(píng)估風(fēng)險(xiǎn)的程序元素。IEC62443-2-1中詳細(xì)描述了網(wǎng)絡(luò)安全管理系統(tǒng)的關(guān)鍵元素。每個(gè)組織實(shí)施網(wǎng)絡(luò)安全管理系統(tǒng)的過(guò)程由于組織目標(biāo)和對(duì)風(fēng)險(xiǎn)的容忍程度而不同。將網(wǎng)絡(luò)安全集成到組織的文檔實(shí)踐是一種文化的改變，需要花費(fèi)時(shí)間和資源。如圖6所示，它不能一步實(shí)現(xiàn)。它是一GB/T40211—2021/IEC/TS62443-1-1:2009個(gè)為達(dá)到網(wǎng)絡(luò)安全性的循序漸進(jìn)的標(biāo)準(zhǔn)化過(guò)程。要實(shí)施的安全實(shí)踐需要跟風(fēng)險(xiǎn)水平相稱，在不同的組織中也是不一樣的，甚至在基于全局目標(biāo)和需求的同一個(gè)組織內(nèi)部不同的實(shí)踐之間也是不一樣的。在一個(gè)組織中為每個(gè)級(jí)別的系統(tǒng)制定的策略和規(guī)程也可以是不同的，因?yàn)轱L(fēng)險(xiǎn)水平和安全要求也可能是a)培訓(xùn)IACS的職員以理解當(dāng)前的信息技術(shù)和網(wǎng)絡(luò)安全問(wèn)題；b)教育IT職員以理解IACS技術(shù)以及過(guò)程安全管理規(guī)程和方法；c)開(kāi)發(fā)(安全)實(shí)踐以綜合所有組織的協(xié)同應(yīng)對(duì)網(wǎng)絡(luò)安全問(wèn)題的技能。為成功實(shí)施網(wǎng)絡(luò)安全程序，需要適當(dāng)結(jié)合風(fēng)險(xiǎn)緩解項(xiàng)目和網(wǎng)絡(luò)安全管理系統(tǒng)(CSMS)程序開(kāi)發(fā)兩方面的人員。為達(dá)到所需的集成的成熟的網(wǎng)絡(luò)安全程序狀態(tài)，來(lái)自多組人員的技能和理解的典型范圍見(jiàn)圖6。通信和IT支持IT安全供應(yīng)商過(guò)程安全I(xiàn)ACS支持操作和維護(hù)圖6用于CSMS開(kāi)發(fā)的綜合資源可以用包含若干個(gè)階段的生命周期來(lái)描述一個(gè)網(wǎng)絡(luò)安全程序的相對(duì)成熟度。每個(gè)階段包含一個(gè)或工業(yè)自動(dòng)化和控制系統(tǒng)的分區(qū)或控制系統(tǒng)內(nèi)的控制區(qū)域可能處于不同成熟度階段。這種情況出于出售設(shè)施或者業(yè)務(wù)的一部分或者有其他資源可用于將安全系統(tǒng)升級(jí)到更成熟的階段。通過(guò)按照表2中的階段和步驟對(duì)工業(yè)自動(dòng)化和控制系統(tǒng)部分中取得的進(jìn)展進(jìn)行評(píng)估，組織可以獲得對(duì)安全成熟度更詳細(xì)的評(píng)估。GB/T40211—2021/IEC/TS62443-1-1:2009階段步驟概念識(shí)別概念功能分析定義實(shí)施功能設(shè)計(jì)詳細(xì)設(shè)計(jì)建設(shè)運(yùn)行運(yùn)行符合性監(jiān)視回收和處置處置拆解表3～表7描述了成熟度生命周期中的階段和步驟。表3概念階段步驟描述識(shí)別識(shí)別需要保護(hù)的財(cái)產(chǎn)、資產(chǎn)、服務(wù)以及員工。開(kāi)始開(kāi)發(fā)安全程序概念繼續(xù)開(kāi)發(fā)安全程序。對(duì)資產(chǎn)服務(wù)以及需要某種程度保護(hù)的職員進(jìn)行建檔。把針對(duì)企業(yè)的潛在的內(nèi)部、外部威脅進(jìn)行建檔。建立安全任務(wù)、愿景和價(jià)值。為工業(yè)自動(dòng)化和控制系統(tǒng)、設(shè)備、信息系統(tǒng)以及職員開(kāi)發(fā)安全策略步驟描述定義繼續(xù)開(kāi)發(fā)安全程序。為工業(yè)自動(dòng)化和控制系統(tǒng)、設(shè)備、生產(chǎn)系統(tǒng)、信息系統(tǒng)和職員建立安全功能需求。針對(duì)潛在危險(xiǎn)清單對(duì)設(shè)施和相關(guān)服務(wù)執(zhí)行脆弱性評(píng)估。發(fā)現(xiàn)和確定工業(yè)自動(dòng)化和控制系統(tǒng)的法律要求。執(zhí)行針對(duì)潛在脆弱性和威脅的風(fēng)險(xiǎn)分析。將風(fēng)險(xiǎn)、對(duì)企業(yè)的潛在影響和潛在的緩解方法進(jìn)行歸類。將安全工作劃分到可控的任務(wù)和模塊，以便進(jìn)行功能設(shè)計(jì)的開(kāi)發(fā)。為工業(yè)自動(dòng)化和控制系統(tǒng)的安全部分建立網(wǎng)絡(luò)功能定義GB/T40211—2021/IEC/TS62443-1-1:2009步驟描述功能設(shè)計(jì)在本階段完成安全程序的開(kāi)發(fā)。定義企業(yè)范圍、裝置范圍和控制區(qū)域的安全需求。定義潛在的活動(dòng)和事件并建檔，執(zhí)行功能需求和實(shí)施計(jì)劃以實(shí)現(xiàn)安全的企業(yè)。定義功能性安全組織和結(jié)構(gòu)。定義實(shí)施計(jì)劃中需要的功能。定義和發(fā)布安全區(qū)域、邊界和訪問(wèn)控制門戶。完成和發(fā)布安全策略及規(guī)程詳細(xì)設(shè)計(jì)定義物理和邏輯系統(tǒng)以執(zhí)行此前定義的功能化的安全需求。實(shí)施培訓(xùn)程序。完成實(shí)施計(jì)劃的開(kāi)發(fā)。啟動(dòng)資產(chǎn)管理和變更管理程序。為被保護(hù)區(qū)域設(shè)計(jì)邊界和訪問(wèn)控制門戶構(gòu)建執(zhí)行實(shí)施計(jì)劃。為完成被保護(hù)區(qū)域以及在企業(yè)內(nèi)的邊界，安裝物理的安全設(shè)備、邏輯應(yīng)用、配置和員工規(guī)程。激活和維護(hù)訪問(wèn)控制門戶的屬性。培訓(xùn)程序完成。資產(chǎn)管理和變更管理程序起作用，并開(kāi)始運(yùn)行。安全安全系統(tǒng)完成交接，并準(zhǔn)備由運(yùn)行和維護(hù)人員接收表6運(yùn)行階段步驟描述運(yùn)行安全設(shè)備、服務(wù)、應(yīng)用和配置都已完成，并由運(yùn)行人員和維護(hù)人員接收。員工已培訓(xùn)，并就安全事項(xiàng)繼續(xù)培訓(xùn)。維護(hù)人員監(jiān)視企業(yè)、裝置或者控制區(qū)域部分的安全性，并保持運(yùn)行正常。資產(chǎn)管理和變更管理處于運(yùn)行和維護(hù)狀態(tài)符合性監(jiān)視內(nèi)部審計(jì)。風(fēng)險(xiǎn)審核。外部審計(jì)表7回收和處置階段步驟描述處置淘汰的安全系統(tǒng)被正確地拆解和處置。為保護(hù)區(qū)域更新或重建安全邊界。訪問(wèn)控制門戶被生成，重新定義，重新配置或者關(guān)閉。向員工通報(bào)關(guān)于安全系統(tǒng)及事項(xiàng)的變更及其對(duì)相關(guān)系統(tǒng)的影響拆解知識(shí)產(chǎn)權(quán)被適當(dāng)?shù)厥占?、建檔并安全地保存或者銷毀。訪問(wèn)控制門戶以及相關(guān)鏈接被關(guān)閉。向員工通報(bào)安全系統(tǒng)及事項(xiàng)的拆解及其對(duì)剩余安全系統(tǒng)的影響GB/T40211—2021/IEC/TS62443-1-1:2009安全策略使得組織能夠?yàn)榱司S持可接受的安全水平而遵循一致的程序。策略被定義在企業(yè)中的不同層級(jí)，從建立在企業(yè)層級(jí)的治理或管理策略到定義安全管理細(xì)節(jié)的操作策略。最特定等級(jí)的策略是安全審計(jì)能夠檢驗(yàn)其符合性的組織文檔。所謂安全策略是指定或規(guī)定組織如何保護(hù)其敏感、關(guān)鍵系統(tǒng)資源的規(guī)則。策略無(wú)歧義地指明什么是強(qiáng)制性的。因?yàn)椴呗允菑?qiáng)制性和無(wú)歧義的，因此可以審計(jì)。組織的安全策略也將法律法規(guī)以及合同義務(wù)考慮在內(nèi)。它們是審計(jì)檢測(cè)該組織實(shí)際業(yè)務(wù)的標(biāo)尺。補(bǔ)充策略的是規(guī)程。安全規(guī)程詳細(xì)定義了提供某種安全機(jī)制的必要步驟。因?yàn)樗鼈兊脑敿?xì)程度，規(guī)程是應(yīng)用于一個(gè)特定事項(xiàng)。它們屬于特定技術(shù)。策略引用了這些規(guī)程并強(qiáng)制它們的使用。和策略及規(guī)程相對(duì)的是導(dǎo)則。導(dǎo)則不是強(qiáng)制性的。它們是描述做某些事情的一種方法，這些事情是想做的但不是強(qiáng)制性的。因?yàn)閷?dǎo)則不是強(qiáng)制的并且可能是含糊的，所以不能審計(jì)實(shí)踐是否遵從導(dǎo)則。導(dǎo)則在一些時(shí)候是由沒(méi)有權(quán)威去要求其被遵守的團(tuán)體所撰寫的。導(dǎo)則不適于描述那些應(yīng)被強(qiáng)制的實(shí)踐。因?yàn)槊總€(gè)組織不同部分的策略和規(guī)程經(jīng)常是不同的，所以它們之間的充分協(xié)調(diào)是很重要的。尤其是工業(yè)自動(dòng)化和控制系統(tǒng)的安全策略宜與通用IT安全的類似策略相互協(xié)調(diào)。如果各方之間有很好的各種策略和規(guī)程結(jié)構(gòu)上的一致性將增加整體的策略和規(guī)程集合的協(xié)調(diào)性。每個(gè)策略和規(guī)程文檔都有一個(gè)簡(jiǎn)短但是對(duì)其目的精確的說(shuō)明。它也有一個(gè)定義文檔適用范圍的說(shuō)明。以及對(duì)它想要降低的風(fēng)險(xiǎn)、文檔的關(guān)鍵原則的描述。這些公共的條目通過(guò)提供關(guān)于策略或規(guī)程的意圖的信息來(lái)引導(dǎo)讀者。它們還通過(guò)描述文檔的意圖在文檔被修訂時(shí)提供有益的指南。系統(tǒng)生命周期的不同階段不同安全策略問(wèn)題的行規(guī)。安全策略和規(guī)程可只針對(duì)某個(gè)生命周期階段。某些策略和規(guī)程可規(guī)定它們只和某個(gè)階段有關(guān)。關(guān)注所有不同階段以及特定階段的所有策略和規(guī)程都放在安全策略和規(guī)程的集合中。安全策略和規(guī)程包含組織如何測(cè)量符合程度以及如何更新策略的使用說(shuō)明。組織經(jīng)常在執(zhí)行或者評(píng)估審計(jì)的時(shí)候意識(shí)到需要更新策略。審計(jì)可以發(fā)現(xiàn)策略和規(guī)程中的模糊之處，以及部分策略和規(guī)程沒(méi)有清晰地定義所需的過(guò)程和結(jié)果。審計(jì)能指出對(duì)抗措施和規(guī)程所需的增補(bǔ)。審計(jì)還可以指出需要重策略和規(guī)程宜允許不可預(yù)見(jiàn)的環(huán)境導(dǎo)致其無(wú)法被遵守。策略還宜指出如何將對(duì)抗策略和規(guī)程的例外進(jìn)行文檔化和批準(zhǔn)。對(duì)批準(zhǔn)的例外進(jìn)行文檔化使得安全狀態(tài)變得清晰，而不是在策略和規(guī)程中保留模糊和不精確。此外，組織宜在策略中明確哪些是要求，哪些是選擇性建議。精確地使用以下助動(dòng)詞將去除模糊對(duì)一個(gè)要求所提供的選擇性。詞組“在可能時(shí)策略和規(guī)程標(biāo)識(shí)出人員職責(zé)。過(guò)程-控制員工是否應(yīng)對(duì)控制網(wǎng)絡(luò)負(fù)責(zé)，是否應(yīng)對(duì)控制網(wǎng)絡(luò)和企業(yè)網(wǎng)絡(luò)之間的一個(gè)非軍事化區(qū)(DMZ)負(fù)責(zé)?如果企業(yè)信息系統(tǒng)部門負(fù)責(zé)需要過(guò)程-控制員工完成特定操作GB/T40211—2021/IEC/TS62443-1-1:2009該組織在近期能夠處理的安全實(shí)踐集合。隨著時(shí)間的推移和組織能力的提高，可以修訂和強(qiáng)化策略和企業(yè)級(jí)策略對(duì)安全程序授權(quán)并且設(shè)定其方向。它指明了組織總體的安全目標(biāo)。都保持恰當(dāng)和精確。策略因此可以是穩(wěn)定的，只有當(dāng)組織在安全上的基本定位發(fā)生改變時(shí)，才需要重企業(yè)級(jí)策略指明責(zé)任區(qū)域，并且為這些區(qū)域分配責(zé)任。策略可定義IT部門和裝置運(yùn)行之間的關(guān)是企業(yè)網(wǎng)絡(luò)安全的最高級(jí)別的考量，然而保持連續(xù)運(yùn)行可以是控制系統(tǒng)的此外，策略指明適用于組織的特定標(biāo)準(zhǔn)和法規(guī)。它可以指明培訓(xùn)是安全程序中的一個(gè)重要組成部分。策略還可以指明策略違規(guī)的后果。操作性策略和規(guī)程是在組織的較低層級(jí)上建立的，用于規(guī)定企業(yè)級(jí)策略是如何在一套特定情況下實(shí)施。安全規(guī)程將策略付諸實(shí)施。它們定義了組織如何實(shí)現(xiàn)目標(biāo)以及如何滿足策略的要求。規(guī)程建立起解決策略所關(guān)注的過(guò)程。a)系統(tǒng)設(shè)計(jì)；b)采購(gòu)；c)安裝；e)系統(tǒng)維護(hù)；f)人員；h)培訓(xùn)。書面的規(guī)程描述了當(dāng)情況發(fā)生變化時(shí)變更它們(指規(guī)程)的過(guò)程。每個(gè)策略或規(guī)程有一個(gè)明確的所利于組織判斷風(fēng)險(xiǎn)的降低和實(shí)施策略的費(fèi)用之間是否平衡。如果此平衡是不可接受的，策略和規(guī)程將不得不調(diào)整。規(guī)程還需更新以反映技術(shù)的變化。規(guī)程能夠支持審計(jì)。安全審計(jì)對(duì)觀察到的組織行動(dòng)與書面規(guī)程進(jìn)行比較。策略和規(guī)程可以涵蓋若干個(gè)主題。每個(gè)組織都是不一樣的，宜確定適用于它的工業(yè)自動(dòng)化和控制系統(tǒng)的適當(dāng)?shù)牟呗院鸵?guī)程?？赡艿闹黝}包括以下條款。GB/T40211—2021/IEC/TS62443-1-1:2009全范圍的設(shè)備或者規(guī)程，風(fēng)險(xiǎn)管理是十分重要的。不過(guò)風(fēng)險(xiǎn)管理是復(fù)雜的，而且需要針對(duì)組織進(jìn)行裁剪。基于風(fēng)險(xiǎn)管理的策略定義了如何確定一個(gè)可以接受的風(fēng)險(xiǎn)等級(jí)以及如何控制風(fēng)險(xiǎn)。該等級(jí)根據(jù)特定組織環(huán)境和目標(biāo)的不同而不同。確定風(fēng)險(xiǎn)等級(jí)的過(guò)程宜周期性地重復(fù)進(jìn)行，以適應(yīng)環(huán)境的改變。系統(tǒng)安全性的提高可以通過(guò)把訪問(wèn)權(quán)限限定給那些需要且可信的用戶。訪問(wèn)管理策略辨別用戶的不同角色，以及每個(gè)角色訪問(wèn)不同類別(物理的或邏輯的)資產(chǎn)的權(quán)限。它規(guī)定了保護(hù)資產(chǎn)職員的責(zé)任，以及維護(hù)訪問(wèn)管理規(guī)程管理者的責(zé)任。這些訪問(wèn)特權(quán)的授權(quán)宜由管理層批準(zhǔn)并詳細(xì)文檔化，而且周期重要。這一領(lǐng)域中的策略為備份和恢復(fù)提供了必要的框架和期望的需求，以及業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)的規(guī)劃。它們還定義了存檔特性(例如數(shù)據(jù)需要被保留多久)?？刂葡到y(tǒng)的安全取決于包含控制系統(tǒng)的空間物理安全。工廠的場(chǎng)地可能在為控制系統(tǒng)編寫安全策略之前就有一個(gè)物理安全策略。然而，與系統(tǒng)物理訪問(wèn)有關(guān)的策略與那些涉及非系統(tǒng)資產(chǎn)的策略可以不同。例如，所有煉油廠的員工幾乎可以對(duì)裝置柵欄內(nèi)的所有設(shè)施具有通用訪問(wèn)權(quán)，但是對(duì)IT機(jī)房的訪問(wèn)僅限于IT相關(guān)的人員—就是為了防止意外的損壞。控制系統(tǒng)安全策略宜包含對(duì)物理安全策略a)推薦的網(wǎng)絡(luò)設(shè)計(jì)；b)推薦的防火墻配置；c)用戶授權(quán)和鑒別；d)不同過(guò)程控制系統(tǒng)之間的相互連接；e)無(wú)線通信的使用；f)域和信任關(guān)系；g)補(bǔ)丁管理(包括鑒別);存儲(chǔ)設(shè)備；j)對(duì)外部網(wǎng)絡(luò)的訪問(wèn)(如因特網(wǎng));k)email的恰當(dāng)使用。GB/T40211—2021/IEC/TS62443-1-1:2009便攜式設(shè)備構(gòu)成固定設(shè)備所有的安全風(fēng)險(xiǎn)，但是由于它們的可移動(dòng)性使得它們不容易被常用從安裝到審計(jì)的安全規(guī)程所涵蓋。它們的移動(dòng)性使得當(dāng)它們離開(kāi)物理安全區(qū)域的時(shí)候更容易發(fā)生(數(shù)據(jù))損壞，當(dāng)它們連接到安全區(qū)域的時(shí)候更容易發(fā)生信息攔截。因此經(jīng)常需要一個(gè)特殊的策略涵蓋便攜式設(shè)取代有線使用射頻傳輸?shù)目刂圃O(shè)備已經(jīng)在某些控制系統(tǒng)應(yīng)用中使用很多年。當(dāng)成本下降以及新標(biāo)備的關(guān)鍵區(qū)別在于后者的信號(hào)在物理安全邊界內(nèi)不受局限，使得它們更容易受到攔截和損壞。因此一個(gè)專門針對(duì)無(wú)線設(shè)備的策略適用于在業(yè)務(wù)中正在使用或者將來(lái)可能采用無(wú)線設(shè)備或傳感器的組織。該遠(yuǎn)程訪問(wèn)繞過(guò)了系統(tǒng)邊界的本地物理安全控制。它將對(duì)信任區(qū)域的訪問(wèn)擴(kuò)展到一個(gè)完全不同的地理位置，包括一臺(tái)可能沒(méi)有經(jīng)過(guò)物理上位于信任區(qū)域的計(jì)算機(jī)的安全檢查的計(jì)算機(jī)。宜采取不同的安人員事項(xiàng)一般在企業(yè)人事和IT安全策略中定義?？刂葡到y(tǒng)安全策略提供具體細(xì)節(jié)，而更通用的策略并不包含在控制系統(tǒng)方面。例如控制系統(tǒng)安全策略將協(xié)調(diào)帶有人員篩查和監(jiān)視實(shí)踐的控制系統(tǒng)的訪問(wèn)角色。安全事項(xiàng)包括涉及分包商的工作，它們的角色例如供應(yīng)商、一個(gè)涵蓋分包商的安全策略針對(duì)的是和那些可能帶來(lái)脆弱性的分包商的相互作用。該策略指明各方的入與分包商的合同。賴和守時(shí)。系統(tǒng)的安全性要定期審計(jì)，以測(cè)量與安全策略和實(shí)踐的符合度。安全策略針對(duì)審計(jì)的需求并規(guī)定合規(guī)等其他方面。要監(jiān)視安全策略以確定策略自身是否需要修改。監(jiān)視安全策略是每個(gè)安全策略和規(guī)程文檔的一部及由何人來(lái)審查和更新該策略。GB/T40211—2021/IEC/TS62443-1-1:2009每種情況都有不同的可接受安全性等級(jí)。對(duì)于大的或復(fù)雜的系統(tǒng)，對(duì)所有組成部分都采取同樣等級(jí)的安全性是不實(shí)際的或不必要的。使用安全區(qū)或受保護(hù)區(qū)域的概念來(lái)說(shuō)明不同。安全區(qū)是具用相同且解決多層次安全性需求?？v深防御可以通過(guò)對(duì)安全區(qū)分配不同的屬性完成。一個(gè)安全區(qū)有一個(gè)邊界，介于被包含的和被排斥的元素之間。區(qū)的概念還隱含著從區(qū)內(nèi)和區(qū)外對(duì)資產(chǎn)訪問(wèn)的需求。這定義了必要的訪問(wèn)和通信，允許信息和人員在安全區(qū)內(nèi)和區(qū)間的移動(dòng)。區(qū)可以被認(rèn)為是被信任的或不被信任的。安全區(qū)能以物理概念(物理區(qū))或者邏輯方式(虛擬區(qū))定義。物理區(qū)的定義通過(guò)物理位置把資產(chǎn)分組。這種類型的區(qū)容易確定哪個(gè)資產(chǎn)在區(qū)內(nèi)。虛擬區(qū)的定義是通過(guò)將資產(chǎn)或部分物理資產(chǎn)編組進(jìn)安全還是在區(qū)外。安全需求可以分為以下類型。對(duì)于在安全邊界內(nèi)有價(jià)值的一組資產(chǎn)，它們需要被鏈接到安全區(qū)外的資產(chǎn)。這個(gè)訪問(wèn)可以有多種遠(yuǎn)程通信是與相互不靠近的實(shí)體之間的信息的傳送。為實(shí)現(xiàn)這一技術(shù)規(guī)范的目的，遠(yuǎn)程訪問(wèn)被定義為與所針對(duì)的安全區(qū)邊界之外的資產(chǎn)進(jìn)行通信。本地訪問(wèn)通常被認(rèn)為是在單個(gè)安全區(qū)內(nèi)的資產(chǎn)之間的通信。物理安全區(qū)被用于限制對(duì)一個(gè)特定區(qū)域的訪問(wèn)，因?yàn)樵谀莻€(gè)區(qū)域內(nèi)的所有系統(tǒng)都要求它們的操作員、維護(hù)人員和開(kāi)發(fā)人員有同樣的信任級(jí)別。這并不排除一個(gè)更高級(jí)別的物理安全區(qū)嵌入在一個(gè)較低級(jí)別的物理安全區(qū)內(nèi)，或者一個(gè)更高級(jí)別的通信訪問(wèn)區(qū)嵌入在一個(gè)較低級(jí)別的物理安全區(qū)內(nèi)。對(duì)于物理區(qū)宜具有與其期望的安全等級(jí)相稱的物理邊界，并且和其他資產(chǎn)安全性規(guī)劃相一致。物理安全區(qū)的一個(gè)例子是一個(gè)典型的制造工廠。被授權(quán)的人員由一個(gè)授權(quán)機(jī)構(gòu)(安全警衛(wèi)或者安全邊界之內(nèi)的資產(chǎn)需要被保護(hù)以達(dá)到一個(gè)給定的安全等級(jí)或策略。邊界內(nèi)所有的設(shè)備宜采用相的資產(chǎn)而不同。根據(jù)定義，安全區(qū)之外的資產(chǎn)在一個(gè)不同的或者更低的安全等級(jí)。它們不以相同的安全等級(jí)被保GB/T40211—2021/IEC/TS62443-1-1:2009護(hù)，并且不以相同的安全等級(jí)或策略被信任。5.10管道信息需要在安全區(qū)內(nèi)流入與流出。甚至在非網(wǎng)絡(luò)化系統(tǒng)中，也會(huì)存在一些通信(如：為創(chuàng)建和維持系統(tǒng)，可編程設(shè)備的間斷連接等)。為涵蓋通信的安全方面以及提供包括通信特殊要求的結(jié)構(gòu)，本標(biāo)準(zhǔn)定義了專門的安全區(qū)：通信管道。管道是一種特殊類型的安全區(qū)，成組信息按邏輯被編成信息組在區(qū)內(nèi)或在區(qū)外流動(dòng)。它可能是單個(gè)服務(wù)(即單一以太網(wǎng))或由多個(gè)數(shù)據(jù)載體組成(多根網(wǎng)絡(luò)電纜和直接的物理存取通路)。與區(qū)一樣，它由物理的與邏輯的兩種結(jié)構(gòu)組成。管道可連接區(qū)內(nèi)的實(shí)體，或連接不同區(qū)的實(shí)體。與區(qū)相同，管道可以是可信的或不可信的。典型的可信管道是不越過(guò)區(qū)邊界，在區(qū)內(nèi)通過(guò)通信處理。越過(guò)區(qū)邊界的可信管道需要使用端到端的安全處理。不可信管道是與區(qū)端點(diǎn)不具有相同安全等級(jí)的管道。在這種情形下，實(shí)際的通信安全由單個(gè)通道負(fù)責(zé)，如圖7所示。企業(yè)區(qū)城便攜式電腦便攜式電腦便攜式電腦工作站便攜式電腦作站文件/打印應(yīng)用數(shù)據(jù)服務(wù)器服務(wù)器服務(wù)器A控制區(qū)域防火墻應(yīng)用服務(wù)器應(yīng)用服務(wù)器數(shù)據(jù)服務(wù)器應(yīng)用服務(wù)器應(yīng)用服務(wù)器數(shù)據(jù)服務(wù)器服務(wù)器工廠C控制區(qū)域防火墻應(yīng)用數(shù)據(jù)防火墻服務(wù)器廠控制管道防火墻應(yīng)用數(shù)據(jù)維護(hù)服務(wù)器服務(wù)器服務(wù)器工廠控制管道應(yīng)用數(shù)據(jù)防火墻維護(hù)服務(wù)器廠控制管道畫控制器I/O控制器控制器I/OIO控制器I/O含有三個(gè)廠區(qū)的企業(yè)見(jiàn)圖7,每個(gè)廠區(qū)有自己的總部。三個(gè)廠區(qū)都連接至企業(yè)網(wǎng)絡(luò)中，以便與廠區(qū)總部以及其他廠區(qū)進(jìn)行通信。圖中定義了四個(gè)可能的管道(也有其他的定義方式，為簡(jiǎn)潔起見(jiàn)在此忽略)。第一種管道企業(yè)管道位于圖中的頂部。它將不同位置的多個(gè)廠區(qū)連接到企業(yè)數(shù)據(jù)中心。如果采用租用通信或?qū)Ｓ猛ㄐ艁?lái)構(gòu)建廣域網(wǎng)(WAN),則認(rèn)為是可信管道。假如同時(shí)采用公用網(wǎng)絡(luò)和專用網(wǎng)絡(luò)，則被視為不可信管道。管道包括組成廠區(qū)連接的所有通信設(shè)備和防火墻。GB/T40211—2021/IEC/TS62443-1-1:2009圖7中在每個(gè)廠區(qū)表示了第二種管道的例子，每個(gè)廠區(qū)有各自的可信管道進(jìn)行控制通信。通道是建立在通信管道內(nèi)的特定通信連接，它們繼承了用作通信媒體的管道的安全屬性(即安全管道內(nèi)的通道將保持安全管道的安全等級(jí))。通道有可信的或不可信的?？尚磐ǖ朗窃试S與其他安全區(qū)進(jìn)行安全通信的通信連接?？尚磐ǖ滥苡糜趯⑻摂M安全區(qū)擴(kuò)展到包含物理安全區(qū)之外的實(shí)體。不可信通道是與被研究的安全區(qū)不在同一個(gè)安全等級(jí)的通信路徑。在接收信息前，到參考區(qū)(該區(qū)定義為不安全通信)的通信和從參考區(qū)來(lái)的通信都需要驗(yàn)證。安全等級(jí)概念是以區(qū)為基礎(chǔ)，而不是基于單個(gè)設(shè)備或系統(tǒng)來(lái)思考安全問(wèn)題。通常IACS由多個(gè)廠家的設(shè)備與系統(tǒng)組成，所有功能協(xié)調(diào)一起為工業(yè)操作提供集成自動(dòng)化功能。正如單個(gè)設(shè)備的功能能力有助于IACS的能力一樣，單個(gè)設(shè)備的安全能力和實(shí)施對(duì)抗策略需要相互作用來(lái)達(dá)到該區(qū)所期望的安安全等級(jí)為區(qū)安全提供了定性的方法。作為一種定性方法，安全等級(jí)定義適用于比較和管理組織選擇和驗(yàn)證安全等級(jí)提供了定性的方法。它既適用于最終用戶也適用于IACS和安全產(chǎn)品的供應(yīng)商?？椀膮^(qū)的安全。采用安全等級(jí)方法的組織宜定義每個(gè)等級(jí)表示的內(nèi)容，以及在區(qū)中如何測(cè)量安全等級(jí)。整個(gè)組織件的技術(shù)對(duì)抗措施以及管理類對(duì)抗措施。求的效果一致。安全等級(jí)方法提供了對(duì)區(qū)或管道進(jìn)行風(fēng)險(xiǎn)分類的能力，也有助于定義在區(qū)或管道內(nèi)用推薦最少使用三個(gè)安全等級(jí)。三個(gè)等級(jí)的定性描述見(jiàn)表8。組織為描述其特定的安全需求，可在此基礎(chǔ)上擴(kuò)展和定義額外的安全等級(jí)。安全等級(jí)定性描述1低2中3高安全等級(jí)可以被定義為以下三種不同的類型：GB/T40211—2021/IEC/TS62443-1-1:2009a)SL(目標(biāo)):區(qū)或管道的目標(biāo)安全等級(jí)；b)SL(達(dá)到的):區(qū)或管道已實(shí)現(xiàn)的安全等級(jí)；c)SL(能力):與區(qū)或管道相關(guān)的對(duì)抗措施的安全等級(jí)能力，或區(qū)或管道內(nèi)的設(shè)備或系統(tǒng)固有的SL(目標(biāo))宜分配給一個(gè)區(qū)，也可以分配給一個(gè)管道。區(qū)和管道的SL(目標(biāo))在風(fēng)險(xiǎn)評(píng)估時(shí)確定。只要使用該管道的區(qū)在風(fēng)險(xiǎn)評(píng)估中考慮了該管道相關(guān)的安全屬性，則沒(méi)必要再給該管道分配目標(biāo)安全等級(jí)。風(fēng)險(xiǎn)評(píng)價(jià)宜考慮相關(guān)區(qū)或管道的安全被損害的可能性和結(jié)果。風(fēng)險(xiǎn)評(píng)估可以是定性的、半定量的或定量的。SL(目標(biāo))確定用于防止區(qū)或管道內(nèi)安對(duì)抗措施可以是：a)技術(shù)性對(duì)抗措施(防火墻、防病毒軟件等);b)管理性對(duì)抗措施(策略和規(guī)程);c)物理性對(duì)抗措施(鎖門等)。影響區(qū)和管道SL(目標(biāo))確定的因素有：d)已定義區(qū)邊界和管道的網(wǎng)絡(luò)結(jié)構(gòu)；e)將與被考慮區(qū)域進(jìn)行通信的區(qū)域的SL(目標(biāo));f)用于區(qū)通信的管道的SL(目標(biāo)),如果已分配；g)對(duì)區(qū)內(nèi)設(shè)備和系統(tǒng)的物理訪問(wèn)。區(qū)域內(nèi)，計(jì)算SL(目標(biāo))宜基于安全層及它們對(duì)整體的影響。區(qū)或管道的SL(達(dá)到的)取決于區(qū)或管道內(nèi)設(shè)備和系統(tǒng)的固有安全屬性和/或用于防止區(qū)或管道的目的是確保在任何時(shí)候區(qū)或管道的SL(達(dá)到的)大于或等于該區(qū)或管道的SL(目標(biāo))。SL(能力)用于定義區(qū)或管道內(nèi)與區(qū)或管道的安全相關(guān)的對(duì)抗措施及設(shè)備和系統(tǒng)的固有安全屬性。a)證明對(duì)等實(shí)體的真實(shí)性；b)保護(hù)消息的真實(shí)性和完整性；c)保護(hù)消息/信息/通信的保密性；d)確保問(wèn)責(zé)制(不可否認(rèn)性);e)強(qiáng)制訪問(wèn)控制策略；f)防止拒絕服務(wù)攻擊；g)維護(hù)平臺(tái)信任度；h)檢測(cè)篡改；i)監(jiān)視安全狀態(tài)。41GB/T40211—2021/IEC/TS62443-1-1:2009區(qū)或管道內(nèi)對(duì)抗措施、設(shè)備或系統(tǒng)的SL(能力)有助于達(dá)到基于該區(qū)或管道內(nèi)對(duì)抗措施、設(shè)備或系統(tǒng)所涉及的相關(guān)安全屬性的SL(達(dá)到的)。區(qū)或管道的SL(達(dá)到的)取決于幾個(gè)因素。區(qū)或管道的SL(達(dá)到的)可以用這些因素的函數(shù)表示：SL(達(dá)到的)=f(x?, ,xn,t)……(1)x;(1≤i≤n)包括但不限于：x?:與區(qū)或管道相關(guān)的對(duì)抗措施，以及區(qū)或管道內(nèi)設(shè)備和系統(tǒng)的固有安全屬性的SL(能力);x?:與之建立通信的區(qū)域的SL(達(dá)到的);x?:管道類型及用于與其他區(qū)域通信的管道相關(guān)的安全屬性(僅適用于區(qū)域);x?:對(duì)抗措施的效果；xg:攻擊者可用的專業(yè)知識(shí)和資源；x?:設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性的降級(jí)；xg:入侵檢測(cè)；這些參數(shù)在下面的條款中有更詳細(xì)的描述。對(duì)抗措施和固有安全屬性的SL(能力)區(qū)或管道內(nèi)對(duì)抗措施、設(shè)備和系統(tǒng)涉及的相關(guān)安全屬性及其效果有助于實(shí)現(xiàn)區(qū)或管道的SL(達(dá)到的)。則無(wú)益于區(qū)或管道SL(達(dá)到的)的實(shí)現(xiàn)。與此類似，如果區(qū)或管道內(nèi)的設(shè)備和系統(tǒng)的固有安全屬性與區(qū)或管道的安全無(wú)關(guān)，那么它們也無(wú)益于區(qū)或管道SL(達(dá)到的)的實(shí)現(xiàn)。建立通信區(qū)域的SL(達(dá)到的)區(qū)或管道的安全不能孤立考慮。它受與之進(jìn)行通信的其他區(qū)域的SL(達(dá)到的)影響。例如，考慮利用串行鏈路與DCS通信的化工廠內(nèi)的SIS。假設(shè)DCS和SIS位于兩個(gè)獨(dú)立的區(qū)域，那么SIS區(qū)域的SL(達(dá)到的)將受DCS區(qū)域的SL(達(dá)到的)影響。管道可以是具有固有安全屬性的點(diǎn)對(duì)點(diǎn)鏈路、LAN或WAN。管道可包括增強(qiáng)管道安全屬性的對(duì)抗措施。有助于管道安全的管道的安全屬性也將有助于實(shí)現(xiàn)管道的SL(達(dá)到的)。一個(gè)區(qū)用來(lái)與其他區(qū)通信的管道的安全屬性將有助于實(shí)現(xiàn)區(qū)域的SL(達(dá)到的)。使用技術(shù)和管理對(duì)抗措施能幫助達(dá)到區(qū)或管道所要求的SL(目標(biāo))。涉及不同安全屬性的各種技術(shù)對(duì)抗措施都可用于工業(yè)自動(dòng)化和控制系統(tǒng)(IACS)的實(shí)現(xiàn)。技術(shù)對(duì)42GB/T40211—2021/IEC/TS62443-1-1:2009SL(達(dá)到的)的達(dá)到幫助很小或者完全沒(méi)有幫助。技術(shù)對(duì)抗措施的示例包括入侵檢測(cè)系統(tǒng)(IDS)、防火墻和防病毒軟件。技術(shù)對(duì)抗措施效果評(píng)價(jià)宜考慮以下因素：全的軟件缺陷或內(nèi)存泄露。當(dāng)技術(shù)對(duì)抗措施不可行時(shí)宜使用管理對(duì)抗措施。管理措施的示例如限制對(duì)IACS部件的物理訪問(wèn)?；趯徲?jì)和/或測(cè)試至少與區(qū)域相關(guān)的安全屬性的程序規(guī)定，宜定期審計(jì)和/或測(cè)試對(duì)抗措施以及設(shè)備和系統(tǒng)的固有安全屬性的效果。在某些情況下，新脆弱性的發(fā)現(xiàn)也可攻擊者可用的專業(yè)知識(shí)和資源(包括工具和時(shí)間)會(huì)影響區(qū)或管道的SL(達(dá)到的)。宜假定工業(yè)可接受攻擊者的能力和工具。攻擊者損害區(qū)域安全的可用時(shí)間取決于區(qū)或管道已實(shí)現(xiàn)的應(yīng)用和對(duì)抗措施。設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性事實(shí)上將隨時(shí)間而降級(jí)，從而降低區(qū)或管道的SL(達(dá)到的)。設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性的降級(jí)由以下因素導(dǎo)致：a)新脆弱性的發(fā)現(xiàn)；b)攻擊者技能的提高；c)攻擊者對(duì)現(xiàn)有對(duì)抗措施的熟悉；d)攻擊者可使用更好的資源。設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性可能包括入侵檢測(cè)。檢測(cè)到入侵后的可用響應(yīng)時(shí)間會(huì)影響區(qū)域和管道的SL(達(dá)到的)。用于實(shí)現(xiàn)SL(目標(biāo))的設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性的使用可能導(dǎo)致通信性能的降級(jí)。由于設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性導(dǎo)致的通信性能的降級(jí)需要被評(píng)價(jià)，以確保區(qū)域仍能滿足最小功能要求。例如，響應(yīng)速度對(duì)于IACS是一個(gè)重要要求。對(duì)抗措施可能增加通信延遲，這在43GB/T40211—2021/IEC/TS62443-1-1:2009一旦確定了區(qū)域邊界和管道，安全等級(jí)就成了IACS區(qū)域的安全生命周期的一個(gè)重要部分。認(rèn)識(shí)到安全等級(jí)生命周期是區(qū)域和管道的隨著時(shí)間推移變化的安全級(jí)別是重要的。意識(shí)到安全等級(jí)生命周期始終關(guān)注于區(qū)域和管道的安全等級(jí)是重要的。它不宜與區(qū)域內(nèi)組成IACS的實(shí)際物理資產(chǎn)的生命周期階段混淆。雖然資產(chǎn)生命周期和區(qū)域安全等級(jí)生命周期間有許多重疊和互補(bǔ)活動(dòng)，但是它們每個(gè)有不同的觸發(fā)點(diǎn)導(dǎo)致從一個(gè)階段進(jìn)入另一個(gè)階段。而且，物理資產(chǎn)的改變可能引起一系列安全等級(jí)活動(dòng)圖8描述了安全等級(jí)生命周期。在安全生命周期的評(píng)估階段給區(qū)域分配SL(目標(biāo))。在實(shí)施階段執(zhí)行對(duì)抗措施以滿足區(qū)域要求的SL(目標(biāo))。一個(gè)區(qū)域的SL(達(dá)到的)依賴于多種因素。為了確保區(qū)域的SL(達(dá)到的)始終優(yōu)于或等于SL(目標(biāo)),必要時(shí)，在安全生命周期的維護(hù)階段宜審計(jì)和/或測(cè)試并升級(jí)對(duì)抗措施。IEC61158-4涉及了SL(能力)安全等級(jí)生命周期的評(píng)估階段所示的活動(dòng)見(jiàn)圖9。在給區(qū)域分配SL(目標(biāo))前，需建立以下內(nèi)容：b)組織的風(fēng)險(xiǎn)容忍準(zhǔn)則。44GB/T40211—2021/IEC/TS62443-1-1:2009針對(duì)針對(duì)IACS信息安全I(xiàn)A是否已建立區(qū)域?是區(qū)域和管道的SL(目標(biāo))是否已知?否為區(qū)域和管道評(píng)估公司的風(fēng)險(xiǎn)容忍提供的安全保護(hù)程度區(qū)域和管道SL(目標(biāo))的目標(biāo)的SL(目標(biāo))進(jìn)入開(kāi)發(fā)和實(shí)施階段供應(yīng)商和用戶的任務(wù)選擇適當(dāng)?shù)腟L(目標(biāo))評(píng)估IACS的后果/風(fēng)險(xiǎn)建立IACS區(qū)域和管道供應(yīng)商的任務(wù)用戶的任務(wù)來(lái)自維護(hù)階段圖9安全等級(jí)生命周期——評(píng)估階段宜對(duì)區(qū)域執(zhí)行風(fēng)險(xiǎn)評(píng)估，并給區(qū)域分配SL(目標(biāo))。與評(píng)估階段相關(guān)的風(fēng)險(xiǎn)評(píng)估和其他的相關(guān)活動(dòng)的細(xì)節(jié)見(jiàn)IEC62443以后的部分。5.12.3開(kāi)發(fā)和實(shí)施階段一旦在評(píng)估階段給區(qū)域分配了SL(目標(biāo)),就宜執(zhí)行對(duì)抗措施以實(shí)現(xiàn)區(qū)域的SL(達(dá)到的)大于或等于SL(目標(biāo))。在安全等級(jí)生命周期的實(shí)施階段，有關(guān)新建或現(xiàn)有IACS區(qū)域的所有活動(dòng)見(jiàn)圖10。在根據(jù)區(qū)域的安全要求確認(rèn)系統(tǒng)后，SL(達(dá)到的)就已確定。與實(shí)施階段相關(guān)活動(dòng)的細(xì)節(jié)見(jiàn)IEC62443以后的部分。45GB/T40211—2021/IEC/TS62443-1-1:2009新建IACSSL(目標(biāo))改變(目標(biāo))是新建或現(xiàn)有?新建現(xiàn)有(能力)選擇設(shè)備使用SL等級(jí)的開(kāi)發(fā)集成IACS設(shè)備確認(rèn)系統(tǒng)SL(能力)IACS屬性測(cè)試集成IACS供應(yīng)商的供應(yīng)商的任務(wù)用戶的任務(wù)區(qū)域和管道在1是SL(達(dá)到的)是否可接受?安全保證因素在現(xiàn)場(chǎng)已經(jīng)到位否(達(dá)到的)或接受風(fēng)險(xiǎn)用戶的任務(wù)圖10安全等級(jí)生命周期——實(shí)施階段設(shè)備和系統(tǒng)的對(duì)抗措施和固有安全屬性會(huì)隨時(shí)間而降級(jí)。區(qū)域(包括與區(qū)域相關(guān)的管道)的安全屬性宜定期或者當(dāng)發(fā)現(xiàn)新脆弱性時(shí)進(jìn)行審計(jì)和/或測(cè)試，以確保區(qū)域的SL(達(dá)到的)始終大于或等于SL(目標(biāo))。與維護(hù)區(qū)域的SL(達(dá)到的)相關(guān)的活動(dòng)見(jiàn)圖11。與維護(hù)階段相關(guān)活動(dòng)的細(xì)節(jié)見(jiàn)IEC62443以后的其他部分。46GB/T40211—2021/IEC/TS62443-1-1:2009過(guò)程改變計(jì)劃中的和安全保障屬性結(jié)果檢查影響，確定f1時(shí)刻的SL(達(dá)到的)是審查OS補(bǔ)丁和更新的更新和應(yīng)用程序補(bǔ)丁記錄1.時(shí)刻的記錄1.時(shí)刻的SL(達(dá)到的)L(達(dá)到的)是否是可接受?是否否否SL(達(dá)到的)確定SL(達(dá)到的)供應(yīng)商應(yīng)用程序修補(bǔ)兼容性和實(shí)際的否實(shí)際的否否實(shí)施附加的安全措施是接受風(fēng)險(xiǎn)并對(duì)1時(shí)刻的SL(達(dá)到的)文檔化供應(yīng)商和用戶的任務(wù)任務(wù)用戶的任務(wù)6模型本章描述了可用于設(shè)計(jì)恰當(dāng)安全程序的一系列模型。其目的是使用通用的框架和詞匯，按照處理47第4層第3層第2層第1層第0層第4層第3層第2層第1層第0層GB/T40211—2021/IEC/TS62443-1-1:2009c)參考體系結(jié)構(gòu)，描述資產(chǎn)的配置。參考架構(gòu)對(duì)每個(gè)企業(yè)或企業(yè)內(nèi)的部門都是唯一的。依賴于被審查IACS范圍，參考架構(gòu)對(duì)每個(gè)狀況也是d)區(qū)模型，依據(jù)已定義特征將參考架構(gòu)元素進(jìn)行分組。它為策略、規(guī)程和指南的定義提供了環(huán)所有這些信息被用于開(kāi)發(fā)管理IAC