DB32T 2765-2015 工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范

省地DB32江蘇省質(zhì)量技術(shù)監(jiān)督局發(fā)布 2 2 2 2 2 3 3 4 5 6 7 7 7 7 7 A.1監(jiān)督檢查表 本規(guī)范起草人：黃申、吳蘭、張騰標、李國琴、程愷、王坤、趙川工業(yè)控制系統(tǒng)廣泛應用于工業(yè)生產(chǎn)、電力設施、水利油氣、交通運輸和市政等領以控制生產(chǎn)設備的運行。隨著計算機和網(wǎng)絡技術(shù)的發(fā)展，特別是我國信息化與工業(yè)化深度融合工作的不斷推進，以及物聯(lián)網(wǎng)等新一代信息技術(shù)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件，以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡連接，病毒、木馬等威脅正在向工業(yè)控制系統(tǒng)擴散，工業(yè)控制系統(tǒng)信息安全問題隨之日益突出，如何保障工業(yè)工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查是幫助各重點領域工業(yè)控制系統(tǒng)運營、管和使用等部門充分認識工業(yè)控制系統(tǒng)信息安全重要性和緊迫性的重要手段，是切實加強工業(yè)控制系統(tǒng)信息安全管理保障工作的基礎和重要1工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范GB/T26333工業(yè)控制網(wǎng)絡安全風險DB32/T2289重點領域工業(yè)控制系統(tǒng)信息安全保護基本要求控制等技術(shù)監(jiān)測和控制生產(chǎn)設備運行的控制系統(tǒng)，包括監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器2SCADA監(jiān)控和數(shù)據(jù)采集（SupervisoryControlDCS分布式控制系統(tǒng)（DistributedControlSystPLC可編程邏輯控制器（ProgrammableLogicControlIT信息技術(shù)（InformationTechnoloSNMP簡單網(wǎng)絡管理協(xié)議（SimpleNetworkManagemenVPN虛擬專用網(wǎng)（VirtualPrivateNetwork）工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查的目的通常包括以制系統(tǒng)信息安全管理的重要性和緊迫性，增強風險意識和責任——通過監(jiān)督檢查工作的實施，著力培養(yǎng)專業(yè)的工業(yè)控制系統(tǒng)安全隊伍和專業(yè)人才。各重點領域工業(yè)控制系統(tǒng)主管單位依據(jù)工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范方落實安全整改和加固措施，切實加強和保障工業(yè)控制系統(tǒng)的信息安全管統(tǒng)信息安全管理基本措施落實情況，工業(yè)控制系統(tǒng)關(guān)鍵領域或關(guān)鍵點是否存在重大安全隱3監(jiān)督檢查方法是監(jiān)督檢查人員在工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作過程中以獲取檢查證據(jù)或檢查結(jié)果所使用的方法，主要包括人員訪談、人工查驗和技術(shù)測試等方人員訪談是監(jiān)督檢查人員通過引導工業(yè)控制系統(tǒng)相關(guān)人員進行有目的和有針對性的交作方法，對工業(yè)控制系統(tǒng)進行掃描、測試以驗證其安全狀況的督檢查工作進行監(jiān)管，以確保整個監(jiān)督檢查工作監(jiān)督檢查的實施應具有相應的過程控制規(guī)程和質(zhì)量保證要求，確保過程可4前期準備前期準備現(xiàn)場檢查存在共性問題的，監(jiān)對存在重大安全隱患的重點領域工業(yè)控制結(jié)束是安全整改報告編制否6.1.1確定目標6.1.2確定范圍工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查范圍可以是組織全部的信息及與信息處理相關(guān)的6.1.3組建團隊5責人參加的監(jiān)督檢查領導小組，或聘請相關(guān)觀察、了解并收集系統(tǒng)在物理、環(huán)境和操作等方面的相關(guān)據(jù)和方法，使之能夠與組織的環(huán)境和安全要求相適應。監(jiān)督檢查依據(jù)包括（但不僅督檢查實施小組開展后續(xù)的檢查工作。監(jiān)督檢查方案的內(nèi)容一般包括員在監(jiān)督檢查實施過程中的任務和責任，并就監(jiān)督檢查的相關(guān)內(nèi)容開展培訓和保密6監(jiān)督檢查實施小組成員應嚴格按照監(jiān)督檢查方案和實施計劃開展現(xiàn)場檢查工作。必要7——報告編制人；——報告審核人；——報告批準人；——檢查實施機構(gòu)的公章。全整改工作，并及時向所在地信息化主管部門及行業(yè)主管部門報告整改步考慮是否引入新的安全問題并進行檢查和分析，督促其改進和完善信息安全管理技術(shù)措安全整改后確認被檢查方工業(yè)控制系統(tǒng)的安全風險在可控范圍內(nèi)的，結(jié)束監(jiān)8安全管理崗位，各個信息安全管理崗位的職g）應詢問和檢查信息安全管理部門和信息安全管理人員及負責人是否具有執(zhí)行日常a）應建立包括人員錄用流程、標準、要求、方式和保密b）應建立包括人員離崗剩余信息保護、資產(chǎn)歸還、保密承諾等在否及時取回各種身份證件、鑰匙等物件，以及機構(gòu)提供的軟硬件設備9含安全知識、安全技能等；查看考核記錄日期與考核周期是否方式）、進入時間、離開時間、訪問區(qū)域、訪問及操作內(nèi)容、陪同程度、資產(chǎn)編號、采購日期、型號版本等方面應急支撐隊伍、應急資源保障、事后總結(jié)教a）應訪談業(yè)務主管或系統(tǒng)負責人，詢問是否制定工業(yè)控制系統(tǒng)信息安全事件應急預c）應訪談業(yè)務主管或系統(tǒng)負責人，詢問是否對工業(yè)控制系統(tǒng)的關(guān)鍵設備保有備機備e）應檢查是否具有應急預案培訓記錄、應c）工業(yè)控制系統(tǒng)與公共網(wǎng)絡、辦公網(wǎng)絡之a(chǎn)）應檢查工業(yè)控制系統(tǒng)的網(wǎng)絡結(jié)構(gòu)拓撲圖，查驗是否與網(wǎng)絡拓撲的實際部署情況一做過哪些安全測評，測評周期為多長，是否完成安全整a）應建立工業(yè)控制系統(tǒng)移動存儲介質(zhì)管理制度，對可接入移動存儲介質(zhì)進行登記管移動存儲介質(zhì)無法在工業(yè)控制系統(tǒng)中直接插拔或讀d）應查驗未登記移動存儲介質(zhì)是否在工業(yè)控制系統(tǒng)中無法直接插拔f）應登錄工業(yè)控制系統(tǒng)的主要設備，查驗是否已設置禁止移動存儲介質(zhì)自動播放策略；查閱病毒木馬查殺記錄等文檔，抽查部分a）工業(yè)控制系統(tǒng)網(wǎng)絡結(jié)構(gòu)拓撲圖應與實際情況一致；工業(yè)控制系統(tǒng)中不存在遠程通c）遠程通信應采取一定的安全防護措施（如認證、VPN、冗余線路、數(shù)據(jù)加密等涉及重要敏感數(shù)據(jù)的工業(yè)控制系統(tǒng)，其遠程通信應具有足夠安全的防護措理、安全可控；涉及遠程通信的主管方、運維方分別包括哪些，是工業(yè)控制系統(tǒng)，對其遠程通信安全防護措施進行驗證控性，安全措施有哪些，必要時對措施有效性進行b）應對工業(yè)控制系統(tǒng)服務器、關(guān)鍵PLC控制器、交換機、路由器、防火墻等關(guān)鍵資產(chǎn)a）應合理設置工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應用程序等關(guān)鍵資產(chǎn)的a）應訪談系統(tǒng)管理員，詢問工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應用程序b）應訪談系統(tǒng)管理員，詢問如何配置角色/用戶權(quán)限，管理員、操作員的權(quán)責分配情a）工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應用程序等帳號、協(xié)議鑒別等口令應至少由8位數(shù)字、大小寫字母、特殊字符組成，并定期更換。嚴禁弱口a）應訪談系統(tǒng)管理員、業(yè)務操作員，詢問是否對工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器組成和長度具有相應的要求或規(guī)定，是否有禁止使用弱口令、默觀察操作員站等重要辦公場地，檢查是否存在張貼系統(tǒng)口令字條等安全責任與義務，是否具有工業(yè)控制系統(tǒng)信息安全保在線服務的，應具備強認證、強加密等工作方式（如動態(tài)口令、VPN、數(shù)據(jù)加密等），確保工業(yè)控制系統(tǒng)使用單位對遠程在線服務行為的自主安c)應訪談系統(tǒng)管理員、信息安全員，詢問是否具有升級/變更管理規(guī)范等文檔，并查機、防火墻等網(wǎng)絡與安全設備設置安全基線（統(tǒng)一安全），重要敏感程度應進行識別和分類管理,如何進行識別和分類管理；是否存在b）應查閱其相關(guān)管理制度等文檔，查驗采取的管理措施及其實施情況。份數(shù)據(jù)并確保備份數(shù)據(jù)的可用性，備份過程中應采取加密、訪問限制等安全保護措施，安全保護措施有哪些，如何滿足數(shù)據(jù)b）應查驗和評估以上安全措施的有效性；檢查備份可用性的測試記錄。與審計的內(nèi)容包括哪些，是否定期進行審計a）工業(yè)控制系統(tǒng)應至少配有兩路供電，提供可靠的工業(yè)控制系統(tǒng)環(huán)境電力b）應在工業(yè)控制系統(tǒng)關(guān)鍵設備供電線路中串接不間），），c）應檢查機房，查看工業(yè)控制系統(tǒng)關(guān)鍵設備供電線路中的不間斷電源（UPS）設備是否正常運行，查看不間斷電源（UPS）設備說明，確認其續(xù)航時a）應在車間、機房等關(guān)鍵區(qū)域采用防靜電地板，關(guān)鍵設備、機柜安是否部署交流接地措施，或安裝電源防雷保安器和信號傳輸線b）車間、機房等關(guān)鍵區(qū)域的空氣含塵濃度，靜態(tài)條件下每升空氣中大于或等于0.5μm機：10~35℃;關(guān)機：10~40℃),相對濕度是否控制在40%~70%之間；f）應檢查特殊環(huán)境下的車間、機房等關(guān)鍵區(qū)域是否采取有害氣體監(jiān)a）關(guān)鍵區(qū)域應部署水敏感監(jiān)測儀監(jiān)測環(huán)境滲水情況，對水情進行監(jiān)測預警b）應查閱機房設計方案等文檔，并檢查關(guān)鍵區(qū)域的水敏感監(jiān)測儀是否正常運行；對火情進行監(jiān)測預警和控制，是否指定人員對其進行定期檢查和a）工業(yè)控制系統(tǒng)通信線纜與供電線纜應分離鋪設，避免強弱電之間的電磁b）應對關(guān)鍵設備、磁介質(zhì)實施電磁屏蔽等措施，防止電磁泄漏和受到電磁攻擊。車間、野外等場所的關(guān)鍵設備的安全，具體包括d）應檢查部署在機房、車間等場所的關(guān)鍵設備的存放和保管位置，A.1監(jiān)督檢查表1應設立工業(yè)控制系統(tǒng)信息安全管理工作的職能部門，設置信息安全管理崗位，配備相應的安全管理人員，并指定安全管理負責人，明確部門、崗位和2應建立包括人員錄用流程、標準、要求、方式和保應建立包括人員離崗剩余信息保護、資產(chǎn)歸還、保應建立包括人員考核指標、考核方式、考核對象、應建立包括人員培訓計劃、培訓周期、培訓對象、應指定專職信息安全員，建立信息安全員的培訓與應建立包括外部人員訪問條件、訪問范圍、訪問控3應建立包括工業(yè)控制系統(tǒng)軟硬件、文檔、資料、工具等在內(nèi)的資產(chǎn)安全管理規(guī)定和資產(chǎn)清單，資產(chǎn)清單中應包括資產(chǎn)責任部門、保管人員、所處位置、應明確工業(yè)控制系統(tǒng)資產(chǎn)管理的責任部門，指定專人負責工業(yè)控制系統(tǒng)資產(chǎn)管理，詳實記錄資產(chǎn)管理4應制定工業(yè)控制系統(tǒng)信息安全事件應急預案，明確應急組織領導、應急處置流程、應急支撐隊伍、應應進行應急預案培訓，定期開展應急演練，對應急5與應詳細登記工業(yè)控制系統(tǒng)與公共網(wǎng)絡a、辦公網(wǎng)絡b之制系統(tǒng)網(wǎng)絡邊界隔離設備的安全控制策略應符合實工業(yè)控制系統(tǒng)與電子信息系統(tǒng)之間應不存在無必要電子信息系統(tǒng)應由明確的工業(yè)控制系統(tǒng)安全管理部電子信息系統(tǒng)與工業(yè)控制系統(tǒng)之間應有嚴格的互相6工業(yè)控制系統(tǒng)的主要設備應設置禁止移動存儲介質(zhì)78管理工業(yè)控制系統(tǒng)網(wǎng)絡結(jié)構(gòu)拓撲圖應與實際情況一致；工業(yè)控制系統(tǒng)中不存在遠程通信，或所有遠程通信遠程通信中網(wǎng)絡架設、運維使用模式科學合理、安全可控；涉及遠程通信的主管方、運維方安全、可靠），9管理工業(yè)控制系統(tǒng)網(wǎng)絡結(jié)構(gòu)拓撲圖應與實際情況一致；工業(yè)控制系統(tǒng)不存在無線組網(wǎng)，或所有無線組網(wǎng)具有必要性；涉及重要敏感數(shù)據(jù)信息或帶有關(guān)鍵控制必要的無線組網(wǎng)應采取一定的安全防護措施（如認證、準入、數(shù)據(jù)加密等）確?？煽匦裕⒍ㄆ跈z查與應建立配置管理規(guī)范，對關(guān)鍵設備的配置變更進行日志記錄，定期對關(guān)鍵設備配置信息進行核查和審計路由器、防火墻等關(guān)鍵資產(chǎn)的運行、啟動文件和程序文件等進行定期備份，在發(fā)生配置變更時及時進應合理設置工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器口令小寫字母、特殊字符組成，并定期更換。嚴禁弱口禁止多人共享同一口令、公開張貼系統(tǒng)口令字條等應關(guān)閉工業(yè)控制系統(tǒng)主要設備的無關(guān)端口、服務、應禁止在主要設備上安裝即時通訊、視頻播放、游與集成商所承擔的信息安全責任與義務，具有工業(yè)控一般情況下應禁止工業(yè)控制系統(tǒng)的遠程在線服務；工業(yè)控制系統(tǒng)在特殊情況下需要遠程在線服務的，應具備強認證、強加密等工作方式（如動態(tài)口令、VPN、數(shù)據(jù)加密等確保工業(yè)控制系統(tǒng)使用單位對應主動跟蹤工業(yè)控制系統(tǒng)主要軟硬件設備的安全漏對工業(yè)控制系統(tǒng)關(guān)鍵軟硬件設備進行升級、變更、補丁安裝時，應事先進行安全評估與驗證，分析安應對工業(yè)控制系統(tǒng)涉及的筆記本、臺式電腦、打印機等終端設備以及服務器、交換機、防火墻等網(wǎng)絡應根據(jù)安全基線，定期檢查終端設備、服務器、網(wǎng)絡與安全設備是否滿足安全基線要求，包括終端計對工業(yè)控制系統(tǒng)采集、傳輸、處理數(shù)據(jù)的重要敏感程度應進行識別和分類管理；對涉及地理、礦產(chǎn)、原材料等國家基礎數(shù)據(jù)以及其他重要敏感數(shù)據(jù)的工業(yè)控制系統(tǒng)，應建立專門制度確保其數(shù)據(jù)安全，并涉及采集重要數(shù)據(jù)的工業(yè)控制系統(tǒng)，其采集方式應符合安全、保密、可控等要求，具有相應的安全防護技術(shù)（如數(shù)據(jù)單向采集、加密、身份鑒別等）和與涉及存儲和備份重要數(shù)據(jù)的工業(yè)控制系統(tǒng)，應滿足數(shù)據(jù)的保密性、可用性要求。定期備份數(shù)據(jù)并確保備份數(shù)據(jù)的可用性，備份過程中應采取加密、訪問應對重要數(shù)據(jù)進行審計，對數(shù)據(jù)庫、數(shù)據(jù)文檔的修工業(yè)控制系統(tǒng)應至少配有兩路市電供電，提供可靠環(huán)境應在工業(yè)控制系統(tǒng)關(guān)鍵設備供電線路中串接不間斷求應在供電線路中部署穩(wěn)壓器與過電壓防護設備，以應在車間、機房等關(guān)鍵區(qū)域采用防靜電地板，關(guān)鍵在車間、機房等關(guān)鍵區(qū)域?qū)嵤┻\維操作時應使用防與應對關(guān)鍵區(qū)域采取接地與防雷措施，采取交流接地措施,或安裝電源防雷保安器和信號傳輸線防雷保與車間、機房等關(guān)鍵區(qū)域應至少滿足計算機工作環(huán)境車間、機房等關(guān)鍵區(qū)域的空氣含塵濃度，靜態(tài)條件下每升空氣中大于或等于0.5μm的塵粒數(shù)，應小于