DB32T 2765-2015 工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范

省地DB32江蘇省質(zhì)量技術(shù)監(jiān)督局發(fā)布 2 2 2 2 2 3 3 4 5 6 7 7 7 7 7 A.1監(jiān)督檢查表 本規(guī)范起草人：黃申、吳蘭、張騰標(biāo)、李國琴、程愷、王坤、趙川工業(yè)控制系統(tǒng)廣泛應(yīng)用于工業(yè)生產(chǎn)、電力設(shè)施、水利油氣、交通運輸和市政等領(lǐng)以控制生產(chǎn)設(shè)備的運行。隨著計算機和網(wǎng)絡(luò)技術(shù)的發(fā)展，特別是我國信息化與工業(yè)化深度融合工作的不斷推進，以及物聯(lián)網(wǎng)等新一代信息技術(shù)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件，以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接，病毒、木馬等威脅正在向工業(yè)控制系統(tǒng)擴散，工業(yè)控制系統(tǒng)信息安全問題隨之日益突出，如何保障工業(yè)工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查是幫助各重點領(lǐng)域工業(yè)控制系統(tǒng)運營、管和使用等部門充分認(rèn)識工業(yè)控制系統(tǒng)信息安全重要性和緊迫性的重要手段，是切實加強工業(yè)控制系統(tǒng)信息安全管理保障工作的基礎(chǔ)和重要1工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范GB/T26333工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險DB32/T2289重點領(lǐng)域工業(yè)控制系統(tǒng)信息安全保護基本要求控制等技術(shù)監(jiān)測和控制生產(chǎn)設(shè)備運行的控制系統(tǒng)，包括監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)、分布式控制系統(tǒng)（DCS）、可編程邏輯控制器2SCADA監(jiān)控和數(shù)據(jù)采集（SupervisoryControlDCS分布式控制系統(tǒng)（DistributedControlSystPLC可編程邏輯控制器（ProgrammableLogicControlIT信息技術(shù)（InformationTechnoloSNMP簡單網(wǎng)絡(luò)管理協(xié)議（SimpleNetworkManagemenVPN虛擬專用網(wǎng)（VirtualPrivateNetwork）工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查的目的通常包括以制系統(tǒng)信息安全管理的重要性和緊迫性，增強風(fēng)險意識和責(zé)任——通過監(jiān)督檢查工作的實施，著力培養(yǎng)專業(yè)的工業(yè)控制系統(tǒng)安全隊伍和專業(yè)人才。各重點領(lǐng)域工業(yè)控制系統(tǒng)主管單位依據(jù)工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作規(guī)范方落實安全整改和加固措施，切實加強和保障工業(yè)控制系統(tǒng)的信息安全管統(tǒng)信息安全管理基本措施落實情況，工業(yè)控制系統(tǒng)關(guān)鍵領(lǐng)域或關(guān)鍵點是否存在重大安全隱3監(jiān)督檢查方法是監(jiān)督檢查人員在工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查工作過程中以獲取檢查證據(jù)或檢查結(jié)果所使用的方法，主要包括人員訪談、人工查驗和技術(shù)測試等方人員訪談是監(jiān)督檢查人員通過引導(dǎo)工業(yè)控制系統(tǒng)相關(guān)人員進行有目的和有針對性的交作方法，對工業(yè)控制系統(tǒng)進行掃描、測試以驗證其安全狀況的督檢查工作進行監(jiān)管，以確保整個監(jiān)督檢查工作監(jiān)督檢查的實施應(yīng)具有相應(yīng)的過程控制規(guī)程和質(zhì)量保證要求，確保過程可4前期準(zhǔn)備前期準(zhǔn)備現(xiàn)場檢查存在共性問題的，監(jiān)對存在重大安全隱患的重點領(lǐng)域工業(yè)控制結(jié)束是安全整改報告編制否6.1.1確定目標(biāo)6.1.2確定范圍工業(yè)控制系統(tǒng)信息安全管理監(jiān)督檢查范圍可以是組織全部的信息及與信息處理相關(guān)的6.1.3組建團隊5責(zé)人參加的監(jiān)督檢查領(lǐng)導(dǎo)小組，或聘請相關(guān)觀察、了解并收集系統(tǒng)在物理、環(huán)境和操作等方面的相關(guān)據(jù)和方法，使之能夠與組織的環(huán)境和安全要求相適應(yīng)。監(jiān)督檢查依據(jù)包括（但不僅督檢查實施小組開展后續(xù)的檢查工作。監(jiān)督檢查方案的內(nèi)容一般包括員在監(jiān)督檢查實施過程中的任務(wù)和責(zé)任，并就監(jiān)督檢查的相關(guān)內(nèi)容開展培訓(xùn)和保密6監(jiān)督檢查實施小組成員應(yīng)嚴(yán)格按照監(jiān)督檢查方案和實施計劃開展現(xiàn)場檢查工作。必要7——報告編制人；——報告審核人；——報告批準(zhǔn)人；——檢查實施機構(gòu)的公章。全整改工作，并及時向所在地信息化主管部門及行業(yè)主管部門報告整改步考慮是否引入新的安全問題并進行檢查和分析，督促其改進和完善信息安全管理技術(shù)措安全整改后確認(rèn)被檢查方工業(yè)控制系統(tǒng)的安全風(fēng)險在可控范圍內(nèi)的，結(jié)束監(jiān)8安全管理崗位，各個信息安全管理崗位的職g）應(yīng)詢問和檢查信息安全管理部門和信息安全管理人員及負(fù)責(zé)人是否具有執(zhí)行日常a）應(yīng)建立包括人員錄用流程、標(biāo)準(zhǔn)、要求、方式和保密b）應(yīng)建立包括人員離崗剩余信息保護、資產(chǎn)歸還、保密承諾等在否及時取回各種身份證件、鑰匙等物件，以及機構(gòu)提供的軟硬件設(shè)備9含安全知識、安全技能等；查看考核記錄日期與考核周期是否方式）、進入時間、離開時間、訪問區(qū)域、訪問及操作內(nèi)容、陪同程度、資產(chǎn)編號、采購日期、型號版本等方面應(yīng)急支撐隊伍、應(yīng)急資源保障、事后總結(jié)教a）應(yīng)訪談業(yè)務(wù)主管或系統(tǒng)負(fù)責(zé)人，詢問是否制定工業(yè)控制系統(tǒng)信息安全事件應(yīng)急預(yù)c）應(yīng)訪談業(yè)務(wù)主管或系統(tǒng)負(fù)責(zé)人，詢問是否對工業(yè)控制系統(tǒng)的關(guān)鍵設(shè)備保有備機備e）應(yīng)檢查是否具有應(yīng)急預(yù)案培訓(xùn)記錄、應(yīng)c）工業(yè)控制系統(tǒng)與公共網(wǎng)絡(luò)、辦公網(wǎng)絡(luò)之a(chǎn)）應(yīng)檢查工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D，查驗是否與網(wǎng)絡(luò)拓?fù)涞膶嶋H部署情況一做過哪些安全測評，測評周期為多長，是否完成安全整a）應(yīng)建立工業(yè)控制系統(tǒng)移動存儲介質(zhì)管理制度，對可接入移動存儲介質(zhì)進行登記管移動存儲介質(zhì)無法在工業(yè)控制系統(tǒng)中直接插拔或讀d）應(yīng)查驗未登記移動存儲介質(zhì)是否在工業(yè)控制系統(tǒng)中無法直接插拔f）應(yīng)登錄工業(yè)控制系統(tǒng)的主要設(shè)備，查驗是否已設(shè)置禁止移動存儲介質(zhì)自動播放策略；查閱病毒木馬查殺記錄等文檔，抽查部分a）工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D應(yīng)與實際情況一致；工業(yè)控制系統(tǒng)中不存在遠(yuǎn)程通c）遠(yuǎn)程通信應(yīng)采取一定的安全防護措施（如認(rèn)證、VPN、冗余線路、數(shù)據(jù)加密等涉及重要敏感數(shù)據(jù)的工業(yè)控制系統(tǒng)，其遠(yuǎn)程通信應(yīng)具有足夠安全的防護措理、安全可控；涉及遠(yuǎn)程通信的主管方、運維方分別包括哪些，是工業(yè)控制系統(tǒng)，對其遠(yuǎn)程通信安全防護措施進行驗證控性，安全措施有哪些，必要時對措施有效性進行b）應(yīng)對工業(yè)控制系統(tǒng)服務(wù)器、關(guān)鍵PLC控制器、交換機、路由器、防火墻等關(guān)鍵資產(chǎn)a）應(yīng)合理設(shè)置工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應(yīng)用程序等關(guān)鍵資產(chǎn)的a）應(yīng)訪談系統(tǒng)管理員，詢問工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應(yīng)用程序b）應(yīng)訪談系統(tǒng)管理員，詢問如何配置角色/用戶權(quán)限，管理員、操作員的權(quán)責(zé)分配情a）工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器（SNMP）、應(yīng)用程序等帳號、協(xié)議鑒別等口令應(yīng)至少由8位數(shù)字、大小寫字母、特殊字符組成，并定期更換。嚴(yán)禁弱口a）應(yīng)訪談系統(tǒng)管理員、業(yè)務(wù)操作員，詢問是否對工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器組成和長度具有相應(yīng)的要求或規(guī)定，是否有禁止使用弱口令、默觀察操作員站等重要辦公場地，檢查是否存在張貼系統(tǒng)口令字條等安全責(zé)任與義務(wù)，是否具有工業(yè)控制系統(tǒng)信息安全保在線服務(wù)的，應(yīng)具備強認(rèn)證、強加密等工作方式（如動態(tài)口令、VPN、數(shù)據(jù)加密等），確保工業(yè)控制系統(tǒng)使用單位對遠(yuǎn)程在線服務(wù)行為的自主安c)應(yīng)訪談系統(tǒng)管理員、信息安全員，詢問是否具有升級/變更管理規(guī)范等文檔，并查機、防火墻等網(wǎng)絡(luò)與安全設(shè)備設(shè)置安全基線（統(tǒng)一安全），重要敏感程度應(yīng)進行識別和分類管理,如何進行識別和分類管理；是否存在b）應(yīng)查閱其相關(guān)管理制度等文檔，查驗采取的管理措施及其實施情況。份數(shù)據(jù)并確保備份數(shù)據(jù)的可用性，備份過程中應(yīng)采取加密、訪問限制等安全保護措施，安全保護措施有哪些，如何滿足數(shù)據(jù)b）應(yīng)查驗和評估以上安全措施的有效性；檢查備份可用性的測試記錄。與審計的內(nèi)容包括哪些，是否定期進行審計a）工業(yè)控制系統(tǒng)應(yīng)至少配有兩路供電，提供可靠的工業(yè)控制系統(tǒng)環(huán)境電力b）應(yīng)在工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備供電線路中串接不間），），c）應(yīng)檢查機房，查看工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備供電線路中的不間斷電源（UPS）設(shè)備是否正常運行，查看不間斷電源（UPS）設(shè)備說明，確認(rèn)其續(xù)航時a）應(yīng)在車間、機房等關(guān)鍵區(qū)域采用防靜電地板，關(guān)鍵設(shè)備、機柜安是否部署交流接地措施，或安裝電源防雷保安器和信號傳輸線b）車間、機房等關(guān)鍵區(qū)域的空氣含塵濃度，靜態(tài)條件下每升空氣中大于或等于0.5μm機：10~35℃;關(guān)機：10~40℃),相對濕度是否控制在40%~70%之間；f）應(yīng)檢查特殊環(huán)境下的車間、機房等關(guān)鍵區(qū)域是否采取有害氣體監(jiān)a）關(guān)鍵區(qū)域應(yīng)部署水敏感監(jiān)測儀監(jiān)測環(huán)境滲水情況，對水情進行監(jiān)測預(yù)警b）應(yīng)查閱機房設(shè)計方案等文檔，并檢查關(guān)鍵區(qū)域的水敏感監(jiān)測儀是否正常運行；對火情進行監(jiān)測預(yù)警和控制，是否指定人員對其進行定期檢查和a）工業(yè)控制系統(tǒng)通信線纜與供電線纜應(yīng)分離鋪設(shè)，避免強弱電之間的電磁b）應(yīng)對關(guān)鍵設(shè)備、磁介質(zhì)實施電磁屏蔽等措施，防止電磁泄漏和受到電磁攻擊。車間、野外等場所的關(guān)鍵設(shè)備的安全，具體包括d）應(yīng)檢查部署在機房、車間等場所的關(guān)鍵設(shè)備的存放和保管位置，A.1監(jiān)督檢查表1應(yīng)設(shè)立工業(yè)控制系統(tǒng)信息安全管理工作的職能部門，設(shè)置信息安全管理崗位，配備相應(yīng)的安全管理人員，并指定安全管理負(fù)責(zé)人，明確部門、崗位和2應(yīng)建立包括人員錄用流程、標(biāo)準(zhǔn)、要求、方式和保應(yīng)建立包括人員離崗剩余信息保護、資產(chǎn)歸還、保應(yīng)建立包括人員考核指標(biāo)、考核方式、考核對象、應(yīng)建立包括人員培訓(xùn)計劃、培訓(xùn)周期、培訓(xùn)對象、應(yīng)指定專職信息安全員，建立信息安全員的培訓(xùn)與應(yīng)建立包括外部人員訪問條件、訪問范圍、訪問控3應(yīng)建立包括工業(yè)控制系統(tǒng)軟硬件、文檔、資料、工具等在內(nèi)的資產(chǎn)安全管理規(guī)定和資產(chǎn)清單，資產(chǎn)清單中應(yīng)包括資產(chǎn)責(zé)任部門、保管人員、所處位置、應(yīng)明確工業(yè)控制系統(tǒng)資產(chǎn)管理的責(zé)任部門，指定專人負(fù)責(zé)工業(yè)控制系統(tǒng)資產(chǎn)管理，詳實記錄資產(chǎn)管理4應(yīng)制定工業(yè)控制系統(tǒng)信息安全事件應(yīng)急預(yù)案，明確應(yīng)急組織領(lǐng)導(dǎo)、應(yīng)急處置流程、應(yīng)急支撐隊伍、應(yīng)應(yīng)進行應(yīng)急預(yù)案培訓(xùn)，定期開展應(yīng)急演練，對應(yīng)急5與應(yīng)詳細(xì)登記工業(yè)控制系統(tǒng)與公共網(wǎng)絡(luò)a、辦公網(wǎng)絡(luò)b之制系統(tǒng)網(wǎng)絡(luò)邊界隔離設(shè)備的安全控制策略應(yīng)符合實工業(yè)控制系統(tǒng)與電子信息系統(tǒng)之間應(yīng)不存在無必要電子信息系統(tǒng)應(yīng)由明確的工業(yè)控制系統(tǒng)安全管理部電子信息系統(tǒng)與工業(yè)控制系統(tǒng)之間應(yīng)有嚴(yán)格的互相6工業(yè)控制系統(tǒng)的主要設(shè)備應(yīng)設(shè)置禁止移動存儲介質(zhì)78管理工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D應(yīng)與實際情況一致；工業(yè)控制系統(tǒng)中不存在遠(yuǎn)程通信，或所有遠(yuǎn)程通信遠(yuǎn)程通信中網(wǎng)絡(luò)架設(shè)、運維使用模式科學(xué)合理、安全可控；涉及遠(yuǎn)程通信的主管方、運維方安全、可靠），9管理工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)拓?fù)鋱D應(yīng)與實際情況一致；工業(yè)控制系統(tǒng)不存在無線組網(wǎng)，或所有無線組網(wǎng)具有必要性；涉及重要敏感數(shù)據(jù)信息或帶有關(guān)鍵控制必要的無線組網(wǎng)應(yīng)采取一定的安全防護措施（如認(rèn)證、準(zhǔn)入、數(shù)據(jù)加密等）確?？煽匦?，并定期檢查與應(yīng)建立配置管理規(guī)范，對關(guān)鍵設(shè)備的配置變更進行日志記錄，定期對關(guān)鍵設(shè)備配置信息進行核查和審計路由器、防火墻等關(guān)鍵資產(chǎn)的運行、啟動文件和程序文件等進行定期備份，在發(fā)生配置變更時及時進應(yīng)合理設(shè)置工業(yè)控制系統(tǒng)組態(tài)軟件、PLC控制器口令小寫字母、特殊字符組成，并定期更換。嚴(yán)禁弱口禁止多人共享同一口令、公開張貼系統(tǒng)口令字條等應(yīng)關(guān)閉工業(yè)控制系統(tǒng)主要設(shè)備的無關(guān)端口、服務(wù)、應(yīng)禁止在主要設(shè)備上安裝即時通訊、視頻播放、游與集成商所承擔(dān)的信息安全責(zé)任與義務(wù)，具有工業(yè)控一般情況下應(yīng)禁止工業(yè)控制系統(tǒng)的遠(yuǎn)程在線服務(wù)；工業(yè)控制系統(tǒng)在特殊情況下需要遠(yuǎn)程在線服務(wù)的，應(yīng)具備強認(rèn)證、強加密等工作方式（如動態(tài)口令、VPN、數(shù)據(jù)加密等確保工業(yè)控制系統(tǒng)使用單位對應(yīng)主動跟蹤工業(yè)控制系統(tǒng)主要軟硬件設(shè)備的安全漏對工業(yè)控制系統(tǒng)關(guān)鍵軟硬件設(shè)備進行升級、變更、補丁安裝時，應(yīng)事先進行安全評估與驗證，分析安應(yīng)對工業(yè)控制系統(tǒng)涉及的筆記本、臺式電腦、打印機等終端設(shè)備以及服務(wù)器、交換機、防火墻等網(wǎng)絡(luò)應(yīng)根據(jù)安全基線，定期檢查終端設(shè)備、服務(wù)器、網(wǎng)絡(luò)與安全設(shè)備是否滿足安全基線要求，包括終端計對工業(yè)控制系統(tǒng)采集、傳輸、處理數(shù)據(jù)的重要敏感程度應(yīng)進行識別和分類管理；對涉及地理、礦產(chǎn)、原材料等國家基礎(chǔ)數(shù)據(jù)以及其他重要敏感數(shù)據(jù)的工業(yè)控制系統(tǒng)，應(yīng)建立專門制度確保其數(shù)據(jù)安全，并涉及采集重要數(shù)據(jù)的工業(yè)控制系統(tǒng)，其采集方式應(yīng)符合安全、保密、可控等要求，具有相應(yīng)的安全防護技術(shù)（如數(shù)據(jù)單向采集、加密、身份鑒別等）和與涉及存儲和備份重要數(shù)據(jù)的工業(yè)控制系統(tǒng)，應(yīng)滿足數(shù)據(jù)的保密性、可用性要求。定期備份數(shù)據(jù)并確保備份數(shù)據(jù)的可用性，備份過程中應(yīng)采取加密、訪問應(yīng)對重要數(shù)據(jù)進行審計，對數(shù)據(jù)庫、數(shù)據(jù)文檔的修工業(yè)控制系統(tǒng)應(yīng)至少配有兩路市電供電，提供可靠環(huán)境應(yīng)在工業(yè)控制系統(tǒng)關(guān)鍵設(shè)備供電線路中串接不間斷求應(yīng)在供電線路中部署穩(wěn)壓器與過電壓防護設(shè)備，以應(yīng)在車間、機房等關(guān)鍵區(qū)域采用防靜電地板，關(guān)鍵在車間、機房等關(guān)鍵區(qū)域?qū)嵤┻\維操作時應(yīng)使用防與應(yīng)對關(guān)鍵區(qū)域采取接地與防雷措施，采取交流接地措施,或安裝電源防雷保安器和信號傳輸線防雷保與車間、機房等關(guān)鍵區(qū)域應(yīng)至少滿足計算機工作環(huán)境車間、機房等關(guān)鍵區(qū)域的空氣含塵濃度，靜態(tài)條件下每升空氣中大于或等于0.5μm的塵粒數(shù)，應(yīng)小于