ICS 25.040.40 N 10
GB
中华人民共和国国家标准
GB/T 33007-2016/IEC 62443-2-1:2010
工业通信网络 网络和系统安全
建立工业自动化和控制
系统安全程序
Industrial communication networks-Network and system security--
Establishing an industrial automation and control
system security program
(IEC 62443-2-l:2010,Industrial communication networks
Network and system security-
Part 2-1:Establishing an industrial automation and
control system security program,IDT)
2016-10-13 发布
2017-05-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会 发布 GB/T 33007—2016/IEC 62443-2-1:2010
目 次
前言引言 1范围 2规范性引用文件 3　术语和定义、缩略语和约定· 3.1　术语和定义 3.2 缩略语和缩略词 3.3约定 4网络安全管理系统的元素 4.1概述 4.2 类别:风险分析 4.3 类别:采用 CSMS 处理风险 4.4 类别:CSMS 监视与改进附录 A（规范性附录）CSMS元素开发指导· A.1概述 A.2 类别:风险分析 A.3 类别:用 SCSMS 解决风险 A.4 分类:监视和提高 CSMS 附录 B（资料性附录）开发 CSMS 的过程 B.1 概述 B.2 过程的描述 B.3 活动:初始化 CSMS项目 B.4 活动：高级风险评估 B.5过程的描述 B.6活动:建立安全策略,组织和意识·…. B.7　活动:措施选择和实施· B.8活动:维护 CSMS 附录C（资料性附录） 与ISO/IEC 27001要求的映射 C.1 概述 C.2　本标准同ISO/IEC 27001:2005 的映射 C.3ISO/IEC27001:2005同本标准的映射. 参考文献·
V
VT
.·
10
......
2
.
27
27 28
49 100 106 106 106 107 107 108 109 111 111 113 113 113 117 121
..
图1 网络安全管理系统元素的图形化视图图2　风险分析类别的图形化视图·.· 图3元素组：安全、策略、组织的图形化视图
8
C
.........
11
I GB/T 33007—2016/IEC 62443-2-1:2010
15 20 24 28 28 31 41 44 49 61 67 69 71 74 78 80 82 84 85 87 90 100 106 107 ：108 ..109 .109 110 111
图4元素组：选择的安全措施的图形化视图图5元素组实现的图形表示图 6　图形视图类：监视与改进 CSMS 图 A.1 网络安全管理系统的元素的图形视图图 A.2 类别:风险分析的图形视图图 A.3 1998年至2004年计算机系统遭受攻击的数量报导（来源：CERT) 图 A.4 IACS数据采集样品的逻辑单. 图 A.5 形象的逻辑网络控制图的例子图 A.6 元素组的图形视图：安全政策、组织和意识图 A.7 元素组的图形视图：选定的安全措施图 A.8 一个分段结构的参考结构例图图 A.9 SCADA 参考架构与分割结构示例图 A.10 访问控制:账户管理图 A.11 访问控制:认证图 A.12 访问控制:授权图 A.13 实施方案图表图A.14 安全等级生命周期模型：评估阶段图 A.15 企业安全区域模板结构图 A.16 IACS安全区域图 A.17 安全等级生命周期模式：开发与实现阶段图 A.18 安全等级生命周期：维护阶段图 A.19 分类的图示：计算机安全管理系统的监控与改进· 图 B.1 建立一个CSMS 的顶级活动· 图 B.2 活动和活动的依赖关系:初始化CSMS项目图 B.3 活动及活动的从属：高等级风险评估图 B.4 活动和活动相关性：详细风险评估图 B.5 活动和活动相关性：建立安全策略,组织和意识· 图 B.6 培训和组织职责分配· 图 B.7 活动和活动相关性：措施选择和实施图B.8活动和活动相关性:CSMS维护
·
++
...
.............
.·
..
112
表1 商业理念：需求表 2 风险识别、分类和评估：需求表3 CSMS 范围:需求表 4 安全的组织:需求表 5 员工培训和安全意识：需求表 6 业务连续性计划需求表 7 安全策略和规程:需求· 表 8 人员安全：需求表 ９ 物理和环境安全：需求表10 网络划分需求表 11 访问控制-账户管理：需求表12 访问控制-认证:需求
10 12 12 13 13 14 16 17 17 18
.
·
I GB/T 33007-—2016/IEC 62443-2-1:2010
表13访问控制-授权：需求表 14风险管理与实现的需求表153 系统开发与维护的需求表 16 信息和文件管理的需求表17 事件规划与响应的需求· 表 18 一致性:需求表 19审查、改进和维护的 CSMS 的需求表 A.1 典型的可能性集表 A.2 典型的后果集表 A.3 典型的风险级别矩阵表 A.4 基于 IACS 风险等级的应对防护措施示例表 A.5 IACS资产评价结果实例· 表 A.6 IACS资产评价结果和风险等级实例· 表 A.7 IACS 的目标安全等级.. 表 C.1 本标准的要求到ISO/IEC 27001:2005的参考映射表 C.2 ISO/IEC 27001要求与本标准的映射
20 21 21 22 23 25 25 38 39 39 81 83 83 85 113 117
.
4 + GB/T 33007-2016/IEC 62443-2-1:2010
前言
本标准按照GB/T1.1一2009《标准化工作导则第 1部分：标准的结构和编写》和 GB/T 20000.2— 2009《标准化工作指南第2部分：采用国际标准》给出的规则起草。
本标准使用翻译法等同采用IEC62443-2-1:2010《工业通信网络网络和系统安全第2-1部分：建立工业自动化和控制系统安全程序》（英文版）。其技术内容、文本结构以及表达形式与 IEC62443-2-1:2010完全等同。
为了方便使用,本标准作了下列编辑性修改：一删除了原文中的前言；一一将介绍部分的内容作为本标准的引言；一如果不做说明，文中的“安全”都是指“网络安全”。 本标准由中国机械工业联合会提出。 本标准由全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124)和全国信息安全标准
化技术委员会（SAC/TC 260)归口。
本标准起草单位：机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究院、中国电力科学研究院、中国核电工程有限公司、上海自动化仪表股份有限公司、北京交通大学、东土科技股份有限公司、清华大学、西门子（中国)有限公司、浙江大学、西南大学、重庆邮电大学、施耐德电气（中国)有限公司、北京钢铁设计研究总院、华中科技大学、北京奥斯汀科技有限公司、罗克韦尔自动化（中国)有限公司、中国仪器仪表学会、北京和利时系统工程有限公司、工业和信息化部电子第五研究所、中国科学院沈阳自动化研究所、北京海泰方圆科技有限公司、青岛多芬诺信息安全技术有限公司、北京国电智深控制技术有限公司、北京力控华康科技有限公司、广东航宇卫星科技有限公司、华北电力设计院工程有限公司、华为技术有限公司、启明星辰、中国电子科技集团公司第三十研究所、深圳万讯自控股份有限公司、 中标软件有限公司、横河电机（中国)有限公司北京研发中心。
本标准主要起草人：王玉敏、范科峰、梁潇、冯冬芹、王亦君、华、陈小、张建军、薛百华、许斌、 高昆仑、王雪、刘枫、王浩、夏德海、周纯杰、张莉、王、刘杰、孙昕、徐冬、朱毅明、孙静、胡伯良、梅恪、 刘安正、田雨聪、方亮、马欣欣、王勇、杜佳琳、陈日罡、李锐、刘利民、孔勇、刘文龙、李琳、黄敏、朱镜灵、 张智、何佳、张建勋、孟雅辉、兰昆、成继勋、丁露、陈小枫、杨应良、杨磊。
V GB/T 33007--2016/IEC 62443-2-1:2010
引言
0.1概述网络安全是一个在现代组织中日益重要的话题。多年来，许多涉及信息技术和业务的组织一直在
关注网络安全，并且按照ISO 和 IEC标准已经建立了行之有效的网络安全管理系统（CSMS)（见 ISO/IEC17799［23}1和ISO/IEC27001［24），这些管理系统为组织机构提供了一种行之有效的方法来保护其资产免受网络攻击。
工业自动化控制系统（IACS)组织已经开始在日常流程中使用为业务系统开发的商用现成技术 (COTS)，这使得IACS设备受到网络攻击的可能性随之增加。由于多方面的原因，在对抗网络攻击方面这些系统通常不如专为IACS环境设计的系统那么健壮。这些弱点可能导致健康、安全和环境方面 (HSE)的后果
在没有理解这些后果的情况下，组织可能会试图使用已有的信息技术和业务安全方案来解决 IACS 的安全问题。尽管许多解决方案可以应用到 IACS,但是需要采取正确的方式以消除不良后果。
0.2IACS 的网络安全管理系统管理系统通常提供管理系统中应包括什么的指导，但不提供关于如何去开发管理体系的指导。本
标准为阐述 IACS 的 CSMS包含的元素，同时也提供如何为IACS开发 CSMS的指导。
面对一个具有挑战性的问题时，一个非常常见的工程方法是将问题分解成更小的子问题,按照分治方式解决每个子问题。这是解决IACS网络安全风险的合理途径。然而，在解决网络安全方面常犯的错误是，试图用一套系统一次解决所有的网络安全问题。网络安全是一个更大的挑战，需要考虑整个 IACS以及环绕和利用IACS 的政策、规程、实践和人员。实施这样大范围的管理系统可能需要组织内部的文化变革。
在整个组织范围的基础上解决网络安全是一项艰巨的任务。但是对于安全来说，没有现成的解决方案。这很容易理解，因为没有适合所有情况的安全实践。理论上绝对的安全也许能实现，但是这很可能是不可取的,因为要达到这样近乎完美的状态必然要损失实用性。安全实际上是一个风险和成本的平衡。所有的情况有所不同。在某些情况下，风险可能与 HSE因素有关而不是单纯的经济影响。风险可能带来不可恢复的后果而不是暂时性的财务挫折。因此一个强制性安全实践的解决方案集要么过于严格，费用昂贵无法遵循,要么不足以应对风险。
0.3本标准与 ISO/IEC 17799 和 ISO/IEC 27001 的关系 ISO/IEC17799[23］和ISO/IEC27001[24]是描述业务/信息技术系统的网络安全管理系统的优秀
标准。这些标准中的内容大部分也适用于IACS。该标准强调IACS网络安全实践的管理与业务/信息技术系统网络安全的管理之间需保持一致。这些程序的一致性可以节约开销。该标准鼓励用户阅读 ISO/IEC 17799 和 ISO/IEC 27001获得额外的支持信息。本标准基于这些 ISO/IEC 标准制定，强调 IACS和一般业务/信息技术系统的重要差异。本标准引人一个重要的概念，IACS的网络安全风险可能带来 HSE影响,应与其他现有风险管理实践结合来应对这些风险。
VI GB/T 33007—2016/IEC 62443-2-1:2010
工业通信网络网络和系统安全
建立工业自动化和控制
系统安全程序
1范围
本标准规定了如何在工业自动化和控制系统(IACS)中建立网络安全管理系统,并且提供了如何开发这些元素的指南。本标准与 IEC 62443-1-1中描述的 IACS相比,其定义和范围更广泛。
本标准中描述的 CSMS中的元素主要是政策、过程、规程以及与人员相关的内容,描述了在组织范围内最终的 CSMS将要包括或应当包括哪些内容。
注1：IEC62443系列标准和参考文献中的其他文档讨论了有关安全的更细致的具体的技术和方案。 怎样开发 CSMS 的指导是一个例子,它代表了作者的观点：一个组织可以去开发元素,但它未必能
在所有的情况下应用。为了给组织开发一套功能完整的 CSMS,本标准的用户必须仔细地阅读需求和适当地使用指导。本标准所讨论的策略和规程应该根据组织需要进行剪裁。
注2：可能有这种情况，如企业已经有自已的 CSMS并增加了IACS,或完全没有正式建立 CSMS。作者不能为
IACS建立CSMS 的组织预测所有情况，因此本标准不试图为所有情况提供解决方案。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
IEC 62443-1-1工业通信网络网络和系统网络安全　第1-1部分：术语、概念和模型（Industrial communication networks-Network and system securityPart 1-1 : Terminology ,concepts and models) 3术语、定义、缩略语和约定 3.1术语和定义
IEC62443-1-1界定的以及下列术语和定义适用于本文件。 3.1.1
访问账户access account 允许用户访问固定设备的特定数据或功能集的访问控制功能，注：账户经常会和用户的身份(ID)和密码相关。这些用户ID和密码可以是个人的或者小组共用的，例如执行同样
的工作任务的控制室工作小组。
3.1.2
行政管理实践 administrative practices 已定义好的和文档化的实践/规程，供员工能一直遵守。 注：通常用于企业内部的雇员。在IACS环境下，常与 HSE有关。
3.1.3
资产　asset 组织所拥有或保管的物理或逻辑对象,该对象对组织具有潜在或实际的价值［IEC 62443-1-1,3.2.6]
1