ICS 25.040 N 10
GB
中华人民共和国国家标准
GB/T40682—2021/IEC62443-2-4:2015
工业自动化和控制系统安全 IACS服务提供商的安全程序要求
Security for industrial automation and control system-Security program
requirements for IACS service providers
(IEC62443-2-4:2o15,Securityforindustrialautomationandcontrolsystem Part 2-4:Security program requirements for IACS service providers,IDT)
2022-05-01实施
2021-10-11发布
国家市场监督管理总局国家标准化管理委员会
发布 GB/T 40682—2021/IEC 62443-2-4:2015
目 次
前言范围规范性引用文件
2
术语、定义和缩略语·
3
3.1术语和定义 3.2 缩略语概念
4
4.1 本标准的使用 4.2 成熟度模型要求综述
5
5.1 内容 5.2 分类与筛选 5.3 IEC62264-1层次模型. 5.4要求表的列 5.5列的定义附录A（规范性附录） 安全要求.· 参考文献
10
15 65 GB/T 40682—2021/IEC 62443-2-4:2015
前言
IEC62443是应用于工业自动化和控制系统安全的系列国际标准，目前我国已采用该系列标准发布了GB/T33007一2016《工业通信网络网络和系统安全建立工业自动化和控制系统安全程序》 （IEC62443-2-1：2010，IDT）、GB/T35673一2017《工业通信网络网络和系统安全系统安全要求和安全等级》（IEC62443-3-3：2013，IDT)和本标准，这些标准共同构成应用于工业自动化和控制系统安全的系列国家标准。
本标准按照GB/T1.1一2009给出的规则起草。 本标准使用翻译法等同采用IEC62443-2-4：2015《工业自动化和控制系统安全第2-4部分：IACS
服务提供商的安全程序要求》。
本标准做了下列编辑性修改：
将标准名称修改为《工业自动化和控制系统安全IACS服务提供商的安全程序要求》。
一
本标准由中国机械工业联合会提出。 本标准由全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124)归口。 本标准起草单位：机械工业仪器仪表综合技术经济研究所、电力规划总院有限公司、中国核电工程
有限公司、和利时科技集团有限公司、北京市自来水集团有限责任公司、浙江大学、华中科技大学、重庆邮电大学、工业和信息化部计算机与微电子发展研究中心（中国软件评测中心）、西门子（中国）有限公司、施耐德电气（中国)有限公司、罗克韦尔自动化（中国)有限公司、中国科学院沈阳自动化研究所、北京启明星辰信息安全技术有限公司、北京国电智深控制技术有限公司、深圳万讯自控股份有限公司、中国电子科技集团公司第三十研究所、工业和信息化部电子第五研究所、西南大学、中国东方电气集团有限公司、北京四方继保自动化股份有限公司、国家工业信息安全发展研究中心、北京市轨道交通设计研究院有限公司、上海自动化仪表有限公司、重庆信安网络安全等级测评有限公司、公安部第三研究所、中国网络安全审查技术与认证中心、北京网御星云信息技术有限公司。
本标准主要起草人：王玉敏、梅恪、张晋宾、王彦君、华铅、孙静、张晨艳、冯冬芹、周纯杰、李锐
陈小宗、朱镜灵、魏曼、王浩、王、刘杰、成继勋、赵军凯、兰昆、尚文利、张为群、刘枫、刘志祥、袁晓舒、 尚羽佳、郭永振、杜振华、张哲宇、肖衍、陆妹、丁长富、肖煦媛、高镜媚、闫韬、袁静、任卫红、甘杰夫、 宋文刚。
1 GB/T40682—2021/IEC62443-2-4:2015
工业自动化和控制系统安全 IACS服务提供商的安全程序要求
1范围
本标准定义了在自动化解决方案的集成和维护活动中IACS服务提供商可以向资产所有者提供的安全能力的一系列综合要求。因为并不是所有的要求都适用于所有的工业门类和组织，所以4.1.4为行规制定提供了这些要求的子集。行规用于将本标准适用于特定环境，也包括不基于IACS的环境。
注1：术语“自动化解决方案”在本标准中用作专有名词：防止与这一术语的其他用法混落。本标准中的“安全”指
“网络安全”。 总之，IACS服务提供商提供的安全能力，被称为安全程序。在相关规范中，IEC62443-2-1描述了
对资产所有者安全管理系统的要求。
注2：这些安全能力通常指的是策略、规程、实践和相关人员，图1说明了集成和维护能力是如何与IACS以及集成到自动化解决方案中的控制系统产品相关
的。某些能力参考了IEC62443-3-3里定义的安全措施，服务提供商必须确保在自动化解决方案中（包含在控制系统产品中或单独添加到自动化解决方案中)支持这些措施。
工业白动化和控制系统(LACS)
操作
资产所有者
操作和维护能力（策略和规程）
+
白动化解决方案
集成能力（设计和部署）
系统集成商
安全仪表系统 (SIS)
基本过程控制系统 (BPCS)
补充的硬件和软件
IACS环境/具体项目
包括一个控制系统产品的配置实例
控制系统产品由以下部分组合
产品供应商
开发
嵌入式设备
主机设备
支持应用程序
网络组件
独立于IACS环境
图1服务提供商的能力范围
在图1中，自动化解决方案的图示包括一个基本过程控制系统（BPCS)，可选的安全仪表系统（SIS）
和可选的支持应用程序，例如先进控制。虚线框表示这些组件是“可选的”。
注3：在BPCS中术语“过程”可用于多种工业过程，包括连续过程和（离散）制造流程。
1 GB/T40682—2021/IEC62443-2-4:2015
注4：4.1.4描述了概述文件（profile)以及工业集团和其他组织可以如何使用它，从而使本标准适应其特定环境，包
括不基于IACS的环境。 注5：自动化解决方案通常有一个单独的控制系统（产品），但并不仅限于此。通常，自动化解决方案是硬件和软件
的集合，与产品组合无关，用于控制资产所有者定义的（例如连续的或制造的）物理过程。
2规范性引用文件
无。
3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。 3.1.1
资产所有者 assetowner 负责一个或者多个IACS的个人或者组织。 注1：用于代替常说的最终用户以示区别。 注2：定义包括了构成IACS的组件。 注3：本标准中，资产所有者也包括IACS的运营者
3.1.2
攻击面 attacksurface 能够访问系统的物理的和功能的接口，并且通过该接口可以潜在利用该系统注1：对于软件接口，攻击面的大小与接口定义的方法和参数数量成正比。因此，与复杂接口比较，简单接口的攻击
面比较小。 注2：攻击面的大小与脆弱性的数量之间没有必然联系。
3.1.3
自动化解决方案 automationsolution 在IACS中已安装、组态并运行的控制系统及其他额外的硬件和软件组件。 注1：在本标准中，自动化解决方案被用作专有名词。 注2：控制系统和自动化解决方案的区别在于控制系统包含在自动化解决方案设计中（例如，以特定方式配置的一
定数量的工作站、控制器和设备），然后被实现。该最终的配置被称为自动化解决方案。
注3：自动化解决方案可以由来自多个供应商的组件构成，供应商也包括控制系统的产品供应商。 3.1.4
基本过程控制系统 basicprocesscontrol system 响应来自过程及其相关设备、其他可编程系统和/或操作人员的输入信号，同时产生输出信号使得
过程及其相关设备以要求的方式运行，但不执行任何安全完整性功能（SIF）的系统。
注1：安全仪表功能的定义见IEC61508。 注2：本定义中的术语“过程”适用于多种工业过程，包括连续过程和制造流程。
3.1.5
咨询方 consultant 给集成或维护服务提供商提供专家意见或指导的分包方。
2 GB/T40682—2021/IEC62443-2-4:2015
3.1.6
控制系统 controlsystem IACS在设计和实现中使用的硬件和软件组件。 注1：如图1所示，控制系统由现场设备、嵌入式控制设备、网络设备和主机设备（包括工作站和服务器)组成。 注2：如图1所示，在自动化解决方案中控制系统指的是BPCS和可选的SIS。
3.1.7
移交handover 将自动化解决方案交给资产所有者的行为。 注：有效移交表示自动化解决方案中的操作和维护职责从集成服务提供商传递给了资产所有者，这一般发生在系
统测试成功地完成后，通常指现场验收测试(SAT)之后。
3.1.8
工业自动化和控制系统 industrial automationand control system 工业过程运行中包括的人员、硬件、软件、规程和策略的集合，并且能够影响或改变其安全、稳定和
可靠运行。
注1：IACS可以包括没有安装在资产所有者现场的组件。 注2：IACS的定义源自IEC62443-3-3，描述见图1。IACS的示例包括分布式控制系统（DCS)、监控和数据采集
（SCADA)系统。本标准也定义了专有名词“解决方案”表示控制系统产品和可能涉及IACS中的附加组件的特定示例。因此，自动化解决方案与控制系统的区别在于它表示了特定资产所有者的控制系统硬件和软件组件的特定实现（设计和组态）。
3.1.9
集成服务提供商 integration service provider 能够提供用于自动化解决方案的包括设计、安装、组态、测试、调试和移交在内的集成活动的服务提
供商。
注：通常集成服务提供商是指集成商或主要自动化承包方（MAC)。 3.1.10
维护服务提供商 maintenance service provider 能够在移交后为自动化解决方案提供支持活动的服务提供商。 注：通常认为维护与运行是有区别的（例如，常用的口语中，通常假定自动化解决方案或者是运行中，或者是维护
中）。维护服务提供商能够在运行中执行支持活动，如，管理用户账户、安全监视和安全评价
3.1.11
移动存储介质 portablemedia 具有数据存储能力，用于从设备物理地复制数据，并将数据传输到另一个设备的可携带设备注：移动存储介质的类型包括但不限于：CD/DVD/BluRay介质、USB存储设备、智能手机、闪存、固体状态磁盘、硬
驱动、手持和便携计算机。
3.1.12
产品供应商 product supplier 硬件和/或软件产品的生产商。 注：用于代替常说的厂商以示区别。
3.1.13
远程访问 remoteaccess 通过控制系统的外部接口访问控制系统。 注1：支持远程访问的应用示例包括RDP、OPC和Syslog 注2：通常，资产所有者决定了远程访间应用和自动化解决方案属于不同的安全区域。资产所有者在自动化解决方
案中使用区域和管道的应用见IEC62443-3-2。
3 GB/T40682—2021/IEC62443-2-4:2015
3.1.14
安全仪表系统 safety instrumented system 用于实现功能安全的系统。 注1：关于功能安全的更多内容见IEC61508和IEC61511。 注2：不是所有的行业都使用该术语。该术语不限定于任何特定行业，它通常用来指执行功能安全的系统。其他等
同的术语包括安全系统和安全相关系统。
3.1.15
安全损害 securitycompromise 违背系统安全，例如发生了（1)未授权信息泄露或修改，（2)拒绝服务。 注：安全损害指破坏系统安全，或者违背安全策略，与系统的影响或潜在影响无关。
3.1.16
安全事件 securityincident 对资产所有者来说有一定重要性的安全损害，或者可能会产生严重安全损害的失败的攻击尝试。 注1：术语“有一定重要性的”取决于发现安全危害的环境。例如，相同的危害一种环境下可以声称是安全事件，但
是在另一种环境下却不是。资产所有者常用筛选活动来评价安全危害并且标识那些足以确定为安全事件的危害。
注2：在一些环境下，失败的危害系统的尝试，例如失败的登录尝试，其严重性足以归类为安全事件。 3.1.17
安全补丁securitypatch 软件组件中的安全相关的软件补丁。 注1：本定义中，固件也视为软件。 注2：软件补丁处理已知的或潜在的脆弱性，或者简单地提高软件组件的安全，包括使其可靠地运行
3.1.18
安全程序 securityprogram 安全服务集，包括适用于IACS的集成服务和维护服务，以及相关的策略、规程和产品。 注：IACS服务提供商的安全程序参照IACS的策略和规程来解决IACS关注的安全问题，
3.1.19
服务提供商 serviceprovider 根据与资产所有者的协议要求，能够提供特定支持服务，以及相关供给的个人或组织（内部组织、外
部组织、制造商等）。
注：用于代替常说的“厂商”以示区别。 3.1.20
分包商 subcontractor 与集成或维护服务提供商有合同约定，或者与另一个有合同约定且其直接或间接与集成或维护服
务提供商有合同约定的服务提供商。 3.1.21
系统 system 由相互作用的、相互关联的或者互相依赖的元素组成的复杂整体。 注1：系统可以打包为一个产品。 注2：实际中，其含义的理解通常根据所用的限定词来分类。例如，控制系统。在控制系统的上下文中，元素大部分
是指硬件和软件元素。
3.1.22
验证 verify 检查是否符合规定的要求。
4