ICS 25.040 CCS N 10
GB
中华人民共和国国家标准
GB/T 42445—2023/IECTR62443-2-3:2015
工业自动化和控制系统安全
IACS环境下的补丁管理
Security for industrial automation and control systems-
Patch management in the IACS environment
(IEC TR 62443-2-3:2015,Security for industrial automation and control systems-—Part 2-3:Patch management in the IACS environment,IDT)
2023-03-17发布
2023-10-01实施
国家市场监督管理总局国家标准花管理委赏会 发布 GB/T42445—2023/IECTR62443-2-3:2015
目 次
前言引言
川
IV
范围 2 规范性引用文件 3 术语、定义、缩略语和缩写 3.1术语和定义 3.2 缩略语和缩写 4工业自动化和控制系统补丁 4.1工业自动化和控制系统中的补丁间题 4.2不良补丁管理的影响 4.3过时的IACS的补丁管理缓解方法 4.4补丁生命周期状态 5推荐给资产所有者的要求推荐给IACS产品供应商的要求
1
6
交换补丁信息 7.1 概述 7.2 补丁信息交换格式 7.3补丁兼容性信息文件名约定 7.4VPC文件schema 7.5VPC文件元素定义附录A（资料性）VPCXSD文件格式 A.1VPCXSD文件格式规范. A.2核心组件类型附录B(资料性）IACS资产所有者应用补丁导则· B.1 附录结构 B.2 概述 B.3 信息收集 B.4 项目规划与实施 B,5 监视与评价 B.6 补丁测试 B.7 补丁部署和安装 B.8运行IACS补丁管理程序附录C（资料性）IACS产品供应商/服务提供商补丁安装导则
7
(
..
13
1
21
21
21
22
29 35
Y
41
43
46 GB/T42445-2023/IECTR 62443-2-3:2015
46 46 47 48 48 49
C.1 附录结构· C.2 脆弱性发现 C.3 安全更新的开发、验证和确认 C.4 网络安全更新的发布.. C.5 沟通和延伸参考文献
.
......
I GB/T42445—2023/IECTR62443-2-3:2015
前言
本文件按照GB/T1.1--2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定
起草。
本文件等同采用IECTR62443-2-3：2015《工业自动化和控制系统安全第2-3部分：IACS环境下的补丁管理》。文件类型由IEC的技术报告调整为我国的国家标准。
本文件做了下列最小限度的编辑性改动：
为与现有标准协调，将标准名称改为《工业自动化和控制系统安全IACS环境下的补丁管理》。
本文件由中国机械工业联合会提出。 本文件由由全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124)归口。 本文件起草单位：东方电气集团科学技术研究院有限公司、机械工业仪器仪表综合技术经济研究
所、电力规划总院有限公司、施耐德电气（中国)有限公司、西门子（中国）有限公司、北京四方继保自动化股份有限公司、北京国能智深控制技术有限公司、华北电力大学、重庆信安网络安全等级测评有限公司、 国电投芜湖发电有限责任公司、中国石油天然气股份有限公司塔里木油田分公司、重庆邮电大学、西南大学、中国科学院沈阳自动化研究所、华中科技大学、中国电子科技集团公司第三十研究所、上海工业自动化仪表研究院有限公司、工业和信息化部电子第五研究所、国家工业信息安全发展研究中心、罗克韦尔（上海）有限公司、上海电器科学研究所（集团）有限公司、和利时科技集团有限公司、工业和信息化部计算机与微电子发展研究中心（中国软件测评中心）、西安空间无线电技术研究所。
本文件主要起草人：袁晓舒、王玉敏、尚羽佳、张晋宾、王勇、国韬、杜振华、朱镜灵、龚钢军、周彦晖、
程家荣、杨其展、魏曼、刘枫、赵剑明、周纯杰、兰昆、刘慧芳、刘杰、赵冉、高镜媚、任悦、刘盈、郭永振、 王爱鹏、桑梓、王英、翟婉波、杨小倩、张焱、徐进、王佳、胡博、杨超。 GB/T42445-2023/IECTR62443-2-3:2015
引言
IEC62443是应用于工业自动化和控制系统安全的系列国际标准，目前我国已采用该系列标准发布了GB/T33007-2016《工业通信网络网络和系统安全建立工业自动化和控制系统安全程序》 （IEC62443-2-1：2010，IDT）、GB/T35673—2017《工业通信网络网络和系统安全系统安全要求和安全等级》（IEC62443-3-3：2013，IDT）、GB/T40211一2021《工业通信网络网络和系统安全术语、概述和模型》(IEC62443-1-1：2009，IDT)、GB/T40218—2021《工业通信网络网络和系统安全工业自动化和控制系统信息安全技术》IECTR62443-3-1：2009，IDT）、GB/T40682—2021《工业自动化和控制系统网络安全第2-4部分：IACS服务提供商的安全程序要求》（IEC62443-2-4：2015，IDT)和本文件，这些标准共同构成应用于工业自动化和控制系统安全的系列国家标准。
网络安全是现代组织中的一个日益重要的话题。许多信息技术（IT）和商业组织多年来一直持续关注网络安全，并按国际标准化组织（ISO)和国际电工委员会（IEC)的ISO/IEC27001和ISO/IEC 27002来建立信息安全管理系统（ISMS)。这些管理系统为组织提供了一个保护其资产免受网络攻击的方法。
目前，工业自动化和控制系统（IACS)供应商和所有者在其日常活动中使用为商业系统开发的商用现成(COTS)技术。由于COTS系统被更广泛地了解和使用，它在IACS中的应用也提高了IACS设备受到网络攻击的机会。对于IACS安全新的研究也发现了许多设备的脆弱点。对工业系统的成功攻击可能导致健康、安全和环境（HSE)后果。
组织可能在不了解后果的情况下，尝试使用商业网络安全策略来解决IACS的安全。虽然其中的许多解决方案可以应用于IACS，但它们需要以正确的方式应用以消除意外的后果。
本文件解决了IACS网络安全的补丁管理问题。补丁管理是一个网络安全整体策略的一部分，它通过安装补丁来增加网络安全性，其中补丁也被称为软件更新、软件升级、固件升级、服务包、修补程序、 基本输人输出系统(BIOS)更新以及其他可解决缺陷、可操作性、可靠性和网络安全脆弱性的数字电子程序更新。本文件介绍了资产所有者和IACS产品供应商对于IACS补丁管理方面的许多间题和行业关注点，以及不良的补丁管理对IACS的可靠性和/或可操作性的影响。
IV GB/T42445—2023/IECTR 62443-2-3:2015
工业自动化和控制系统安全 IACS环境下的补丁管理
1范围
本文件描述了对已经建立并正在维护工业自动化和控制系统(IACS)补丁管理计划的资产所有者和IACS产品供应商的要求。
本文件推荐了一种定义好的格式，涉及资产所有者和IACS产品供应商分发安全补丁信息，并定义了IACS产品供应商对于补丁信息的开发和资产所有者对于补丁的部署和安装等一些相关活动。所定义的交换格式和活动主要用于安全相关的补丁。交换格式和活动被定义用于安全相关的补丁，但也可能应用于与安全无关的补丁或更新。
本文件不区分为操作系统（OS)、应用程序或设备补丁，也不区分提供基础架构组件或IACS应用程序的产品供应商，而是为适用于IACS的所有补丁提供指导。此外，补丁类型可以是用于解决缺陷、 可靠性问题、可操作性问题或安全脆弱性。
注1：发现和披露影响IACS的安全脆弱性是本文件范围之外的一般性间题，本文件不提供这方面的道德标准和处
理方法的指导。如果不做特殊说明，本文件中的“安全”都是指“信息安全”。
注2：本文件没有提供从发现脆弱性到创建脆弱性补丁期间如何缓解脆弱性的指导。减轻安全风险的多种补偿措
施是IACS安全管理体系（IACS-SMS)的一部分，若需要这方面内容的指导，请参阅本文件附录B的B.4.5、 B.4.6和B.8.5以及IEC62443系列标准的其他部分。
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
IECTS62443-1-1工业通信网络网络和系统安全第1-1部分：术语、概念和模型（Industrial communication networks—Network and system securityPart 1-1:Terminology,concepts and mod els)
注：GB/T40211—2021工业通信网络网络和系统安全术语、概念和模型IECTS62443-1-1:2009，IDT） IEC62443-2-1工业通信网络网络和系统安全第2-1部分：建立工业自动化和控制系统安全
程序（Industrial communicationnetworksNetwork and system security—Part 2-1：Establishing an industrial automation and control system securityprogram)
注：GB/T33007工业通信网络网络和系统安全建立工业自动化和控制系统安全程序（IEC62443-2-1：
2010,IDT)
3术语、定义、缩略语和缩写
3.1术语和定义
IECTS62443-1-1和IEC62443-2-1界定的以及下列术语和定义适用于本文件。
1 GB/T42445-2023/IECTR62443-2-3:2015
3.1.1
缺陷bug 软件原始开发中的缺陷（如安全脆弱性），使其以非预期的方式执行或运转（如导致可靠性或可操作
性问题)。 3.1.2
补丁patch 在原软件组件基础上为解决安全脆弱性、错误、可靠性、可操作性问题（更新）或添加新功能（升级）
的软件变更。
注：补丁也可以称为软件更新、软件升级、固件升级、服务包、安装修补程序、基本输入输出系统（BIOS)更新、安全建
议和其他数字电子程序更新。
3.1.3
补丁生命周期 patch lifecycle 从补丁建议或创建到补丁安装之间的时间段，注1：在本文件中，补丁生命周期从补丁创建并可用时开始。 注2：有些人认为补丁的生命周期开始于脆弱性被披露时。但是，本文件不可能提供从脆弱性披露、决定创建补丁
到补丁可用期间所有缓解脆弱性措施的指导。软件开发商或产品供应商也有权决定是否开发补丁程序。
3.1.4
补丁管理 patchmanagement 用于监视补丁发布的过程集，包括决定需将哪些补丁安装到考虑中的系统（SuC)中，以及如果在安
装到生产SuC之前应对补丁进行测试，需在哪个特定时间安装补丁并跟踪其成功安装。
3.2 缩略语和缩写
ANSI：美国国家标准学会（AmericanNationalStandardsInstitute） BCP：业务连续性评估（Businesscontinuityassessment） BIA：业务影响评估（Businessimpactassessment） BIOS：基本输人输出系统（Basicinputoutputsystem） CCTS：核心组件技术规范（CoreComponentsTechnicalSpecification) CERT：网络安全应急响应组，计算机应急准备组或其他区域/行业相应组织（CyberEmergencyRe
sponse Team, Computer Emergency Readiness Team or other regional/industryvariant)
CD：光盘（Compactdisc） COTS：商用现成（Commercial-off-the-shelf) CPNI：国家基础设施保护中心（[UKJCentreforProtectionofNationalInfrastructure) CPU：中央处理器（Centralprocessingunit) DCS：分布式控制系统（Distributedcontrolsystem） DHS：美国国土安全部（[USJDepartmentofHomelandSecurity） DRP：灾难恢复计划（Disasterrecoveryplanning） DVD：数字多功能光盘（Digitalversatiledisc） EULA：最终用户许可协议（Enduserlicenseagreement） FAT：工厂验收试验（Factoryacceptancetesting） HSE：健康、安全与环境（保护）（Health，safetyandenvironmental) HTML：超文本标记语言（HypertextMarkupLanguage） HTTP：超文本传输协议（Hypertexttransferprotocol）
2 GB/T42445—2023/IECTR62443-2-3:2015
ICS-CERT：美国工业控制系统网络应急响应小组（[USDHS]IndustrialControlSystemsCyber
EmergencyResponseTeam)
IACS：工业自动化与控制系统（Industrialautomationandcontrolsystem（s）） IACS-SMS：IACS安全管理系统（IACSsecuritymanagementsystem) IDS：人侵检测系统（Intrusiondetectionsystem） IEC：国际电工委员会（InternationalElectro-technicalCommission） IP：因特网协议(Internetprotocol) IPS：人侵防护系统（Intrusionpreventionsystem） ISA：国际自动化学会（InternationalSocietyofAutomation） ISMS：信息安全管理系统（Informationsecuritymanagementsystem） ISO：国际标准化组织（InternationalOrganizationforStandardization） IT：信息技术（Informationtechnology） KPI：关键绩效指标（Keyperformanceindicator） MD5：消息摘要算法5（Messagedigest5） MES：制造执行系统（Manufacturingexecutionsystem） MESA：国际制造企业解决方案协会（ManufacturingEnterpriseSolutionsAssociationInterna
tional)
MSMUG：微软制造用户组（MicrosoftManufacturingUsersGroup） NERC：北美电力可靠性委员会（NorthAmericanElectricReliabilityCorporation） NISCC：美国国家基础设施安全协调中心（[US]NationalInfrastructureSecurityCo-ordination
Centre)
NSA：美国国家安全局（[US]NationalSecurityAgency） OAGIS：开放应用组集成规范（OpenApplicationsGroupIntegrationSpecification) OEM：原始设备制造商（Originalequipmentmanufacturer） OS：操作系统（Operatingsystem） PLC：可编程逻辑控制器（Programmablelogiccontroller） RACI：负责的、批准的、咨询的、知情的（Responsible，accountable，consulted，informed)） RAID：独立磁盘穴余阵列（Redundantarrayof independentdisks） RASCI：负责的、批准的、支持的、咨询的、知情的（Responsible，accountable，supportive
consulted and informed)
RTU：远程终端单元（Remoteterminalunit) SAT：现场验收测试(Siteacceptancetesting） SHA：安全哈希算法（Securehashalgorithm） SIS：安全仪表系统（Safetyinstrumentedsystem） SMTP：简单邮件传输协议（SimpleMailTransferProtocol) SPX：顺序包交换（Sequencedpacketexchange） SQL：结构化查询语言（Structuredquerylanguage） SuC：考虑中的系统（Systemunderconsideration） TC：技术委员会（Technicalcommittee） UN：联合国（UnitedNations） UN/CEFACT：联合国贸易便利和电子商务统一资源标识符中心（UnitedNationsCentrefor