下载

1下载券

加入VIP
  • 专属下载特权
  • 现金文档折扣购买
  • VIP免费专区
  • 千万文档免费下载

上传资料

关闭

关闭

关闭

封号提示

内容

首页 《工业控制系统信息安全防护指南》印发(附解读)

《工业控制系统信息安全防护指南》印发(附解读).docx

《工业控制系统信息安全防护指南》印发(附解读)

夏甜甜在唱歌
2017-06-06 0人阅读 举报 0 0 暂无简介

简介:本文档为《《工业控制系统信息安全防护指南》印发(附解读)docx》,可适用于领域

《工业控制系统信息安全防护指南》印发(附解读)工业和信息化部近日印发的《工业控制系统信息安全防护指南》指出工业控制系统应用企业应从安全软件选择与管理、配置和补丁管理、边界安全防护、物理和环境安全防护、身份认证、远程访问安全、安全监测和应急预案演练、资产安全、数据安全、供应链管理、落实责任个方面做好工控安全防护工作。关于印发《工业控制系统信息安全防护指南》的通知为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔〕号)保障工业企业工业控制系统信息安全制定《工业控制系统信息安全防护指南》现印发你们。工业和信息化部指导和管理全国工业企业工控安全防护和保障工作并根据实际情况对指南进行修订。地方工业和信息化主管部门根据工业和信息化部统筹安排指导本行政区域内的工业企业制定工控安全防护实施方案推动企业分期分批达到本指南相关要求。工业和信息化部年月日(联系电话:****)工业控制系统信息安全防护指南工业控制系统信息安全事关经济发展、社会稳定和国家安全。为提升工业企业工业控制系统信息安全(以下简称工控安全)防护水平保障工业控制系统安全制定本指南。工业控制系统应用企业以及从事工业控制系统规划、设计、建设、运维、评估的企事业单位适用本指南。工业控制系统应用企业应从以下十一个方面做好工控安全防护工作。(一)在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件只允许经过工业企业自身授权和安全评估的软件运行。(二)建立防病毒和恶意软件入侵管理机制对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。     (一)做好工业控制网络、工业主机和工业控制设备的安全配置建立工业控制系统配置清单定期进行配置审计。     (二)对重大配置变更制定变更计划并进行影响分析配置变更实施前进行严格安全测试。  (三)密切关注重大工控安全漏洞及其补丁发布及时采取补丁升级措施。在补丁安装前需对补丁进行严格的安全评估和测试验证。    (一)分离工业控制系统的开发、测试和生产环境。    (二)通过工业控制网络边界防护设备对工业控制网络与企业网或互联网之间的边界进行安全防护禁止没有防护的工业控制网络与互联网连接。    (三)通过工业防火墙、网闸等防护设备对工业控制网络安全区域之间进行逻辑隔离安全防护。    (一)对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。    (二)拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用通过主机外设安全管理技术手段实施严格访问控制。    (一)在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。对于关键设备、系统和平台的访问采用多因素认证。    (二)合理分类设置账户权限以最小特权原则分配账户权限。    (三)强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码避免使用默认口令或弱口令,定期更新口令。    (四)加强对身份认证证书信息保护力度禁止在不同系统和网络环境下共享。    (一)原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。    (二)确需远程访问的采用数据单向访问控制等策略进行安全加固对访问时限进行控制并采用加标锁定策略。    (三)确需远程维护的采用虚拟专用网络(VPN)等远程接入方式进行。    (四)保留工业控制系统的相关访问日志并对操作过程进行安全审计。    (一)在工业控制网络部署网络安全监测设备及时发现、报告并处理网络攻击或异常行为。    (二)在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备限制违法操作。    (三)制定工控安全事件应急响应预案当遭受安全威胁导致工业控制系统出现异常或故障时应立即采取紧急防护措施防止事态扩大并逐级报送直至属地省级工业和信息化主管部门同时注意保护现场以便进行调查取证。     (四)定期对工业控制系统的应急响应预案进行演练必要时对应急响应预案进行修订。    (一)建设工业控制系统资产清单明确资产责任人以及资产使用及处置规则。    (二)对关键主机设备、网络设备、控制组件等进行冗余配置。    (一)对静态存储和动态传输过程中的重要工业数据进行保护根据风险评估结果对数据信息进行分级分类管理。    (二)定期备份关键业务数据。    (三)对测试数据进行保护。    (一)在选择工业控制系统规划、设计、建设、运维或评估等服务商时优先考虑具备工控安全防护经验的企事业单位以合同等方式明确服务商应承担的信息安全责任和义务。    (二)以保密协议的方式要求服务商做好保密工作防范敏感信息外泄。   通过建立工控安全管理机制、成立信息安全协调小组等方式明确工控安全管理责任人落实工控安全责任制部署工控安全防护措施。工业控制系统信息安全(以下简称“工控安全”)是国家网络和信息安全的重要组成部分是推动中国制造、制造业与互联网融合发展的基础保障。年月工业和信息化部印发《工业控制系统信息安全防护指南》(以下简称《指南》)指导工业企业开展工控安全防护工作。工控安全事关经济发展、社会稳定和国家安全。近年来随着信息化和工业化融合的不断深入工业控制系统从单机走向互联从封闭走向开放从自动化走向智能化。在生产力显著提高的同时工业控制系统面临着日益严峻的信息安全威胁。为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》(国发〔〕号)文件精神应对新时期工控安全形势提升工业企业工控安全防护水平编制本《指南》。《指南》坚持“安全是发展的前提发展是安全的保障”以当前我国工业控制系统面临的安全问题为出发点注重防护要求的可执行性从管理、技术两方面明确工业企业工控安全防护要求。编制思路如下:(一)落实《国家网络安全法》要求《指南》所列项要求充分体现了《国家网络安全法》中网络安全支持与促进、网络运行安全、网络信息安全、监测预警与应急处置等法规在工控安全领域的要求是《国家网络安全法》在工业领域的具体应用。(二)突出工业企业主体责任  《指南》根据我国工控安全管理工作实践经验面向工业企业提出工控安全防护要求确立企业作为工控安全责任主体要求企业明确工控安全管理责任人落实工控安全责任制。(三)考虑我国工控安全现状《指南》编制以近五年我部工控安全检查工作掌握的有关情况为基础充分考虑当前工控安全防护意识不到位、管理责任不明晰、访问控制策略不完善等问题明确了《指南》的各项要求。(四)借鉴发达国家工控安全防护经验《指南》参考了美国、欧盟、日本等发达国家工控安全相关政策、标准和最佳实践做法对安全软件选择与管理、配置与补丁管理、边界安全防护等措施进行了论证提高了《指南》的科学性、合理性和可操作性。(五)强调工业控制系统全生命周期安全防护 《指南》涵盖工业控制系统设计、选型、建设、测试、运行、检修、废弃各阶段防护工作要求从安全软件选型、访问控制策略构建、数据安全保护、资产配置管理等方面提出了具体实施细则。《指南》坚持企业的主体责任及政府的监管、服务职责聚焦系统防护、安全管理等安全保障重点提出了项防护要求具体解读如下:(一)安全软件选择与管理 在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件只允许经过工业企业自身授权和安全评估的软件运行。解读:工业控制系统对系统可用性、实时性要求较高工业主机如MES服务器、OPC服务器、数据库服务器、工程师站、操作员站等应用的安全软件应事先在离线环境中进行测试与验证其中离线环境指的是与生产环境物理隔离的环境。验证和测试内容包括安全软件的功能性、兼容性及安全性等。 建立防病毒和恶意软件入侵管理机制对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。解读:工业企业需要建立工业控制系统防病毒和恶意软件入侵管理机制对工业控制系统及临时接入的设备采用必要的安全预防措施。安全预防措施包括定期扫描病毒和恶意软件、定期更新病毒库、查杀临时接入设备(如临时接入U盘、移动终端等外设)等。(二)配置和补丁管理做好工业控制网络、工业主机和工业控制设备的安全配置建立工业控制系统配置清单定期进行配置审计。解读:工业企业应做好虚拟局域网隔离、端口禁用等工业控制网络安全配置远程控制管理、默认账户管理等工业主机安全配置口令策略合规性等工业控制设备安全配置建立相应的配置清单制定责任人定期进行管理和维护并定期进行配置核查审计。对重大配置变更制定变更计划并进行影响分析配置变更实施前进行严格安全测试。解读:当发生重大配置变更时工业企业应及时制定变更计划明确变更时间、变更内容、变更责任人、变更审批、变更验证等事项。其中重大配置变更是指重大漏洞补丁更新、安全设备的新增或减少、安全域的重新划分等。同时应对变更过程中可能出现的风险进行分析形成分析报告并在离线环境中对配置变更进行安全性验证。密切关注重大工控安全漏洞及其补丁发布及时采取补丁升级措施。在补丁安装前需对补丁进行严格的安全评估和测试验证。解读:工业企业应密切关注CNVD、CNNVD等漏洞库及设备厂商发布的补丁。当重大漏洞及其补丁发布时根据企业自身情况及变更计划在离线环境中对补丁进行严格的安全评估和测试验证对通过安全评估和测试验证的补丁及时升级。(三)边界安全防护分离工业控制系统的开发、测试和生产环境。解读:工业控制系统的开发、测试和生产环境需执行不同的安全控制措施工业企业可采用物理隔离、网络逻辑隔离等方式进行隔离。通过工业控制网络边界防护设备对工业控制网络与企业网或互联网之间的边界进行安全防护禁止没有防护的工业控制网络与互联网连接。解读:工业控制网络边界安全防护设备包括工业防火墙、工业网闸、单向隔离设备及企业定制的边界安全防护网关等。工业企业应根据实际情况在不同网络边界之间部署边界安全防护设备实现安全访问控制阻断非法网络访问严格禁止没有防护的工业控制网络与互联网连接。通过工业防火墙、网闸等防护设备对工业控制网络安全区域之间进行逻辑隔离安全防护。解读:工业控制系统网络安全区域根据区域重要性和业务需求进行划分。区域之间的安全防护可采用工业防火墙、网闸等设备进行逻辑隔离安全防护。(四)物理和环境安全防护对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。解读:工业企业应对重要工业控制系统资产所在区域采用适当的物理安全防护措施。拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用通过主机外设安全管理技术手段实施严格访问控制。解读:USB、光驱、无线等工业主机外设的使用为病毒、木马、蠕虫等恶意代码入侵提供了途径拆除或封闭工业主机上不必要的外设接口可减少被感染的风险。确需使用时可采用主机外设统一管理设备、隔离存放有外设接口的工业主机等安全管理技术手段。(五)身份认证  在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。对于关键设备、系统和平台的访问采用多因素认证。解读:用户在登录工业主机、访问应用服务资源及工业云平台等过程中应使用口令密码、USBkey、智能卡、生物指纹、虹膜等身份认证管理手段必要时可同时采用多种认证手段。合理分类设置账户权限以最小特权原则分配账户权限。解读:工业企业应以满足工作要求的最小特权原则来进行系统账户权限分配确保因事故、错误、篡改等原因造成的损失最小化。工业企业需定期审计分配的账户权限是否超出工作需要。强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码避免使用默认口令或弱口令,定期更新口令。解读:工业企业可参考供应商推荐的设置规则并根据资产重要性为工业控制设备、SCADA软件、工业通信设备等设定不同强度的登录账户及密码并进行定期更新避免使用默认口令或弱口令。加强对身份认证证书信息保护力度禁止在不同系统和网络环境下共享。解读:工业企业可采用USBkey等安全介质存储身份认证证书信息建立相关制度对证书的申请、发放、使用、吊销等过程进行严格控制保证不同系统和网络环境下禁止使用相同的身份认证证书信息减小证书暴露后对系统和网络的影响。(六)远程访问安全原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。解读:工业控制系统面向互联网开通HTTP、FTP、Telnet等网络服务易导致工业控制系统被入侵、攻击、利用工业企业应原则上禁止工业控制系统开通高风险通用网络服务。确需远程访问的采用数据单向访问控制等策略进行安全加固对访问时限进行控制并采用加标锁定策略。解读:工业企业确需进行远程访问的可在网络边界使用单向隔离装置、VPN等方式实现数据单向访问并控制访问时限。采用加标锁定策略禁止访问方在远程访问期间实施非法操作。确需远程维护的采用虚拟专用网络(VPN)等远程接入方式进行。解读:工业企业确需远程维护的应通过对远程接入通道进行认证、加密等方式保证其安全性如采用虚拟专用网络(VPN)等方式对接入账户实行专人专号并定期审计接入账户操作记录。保留工业控制系统的相关访问日志并对操作过程进行安全审计。解读:工业企业应保留工业控制系统设备、应用等访问日志并定期进行备份通过审计人员账户、访问时间、操作内容等日志信息追踪定位非授权访问行为。(七)安全监测和应急预案演练在工业控制网络部署网络安全监测设备及时发现、报告并处理网络攻击或异常行为。解读:工业企业应在工业控制网络部署可对网络攻击和异常行为进行识别、报警、记录的网络安全监测设备及时发现、报告并处理包括病毒木马、端口扫描、暴力破解、异常流量、异常指令、工业控制系统协议包伪造等网络攻击或异常行为。在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备限制违法操作。解读:在工业企业生产核心控制单元前端部署可对Modbus、S、EthernetIP、OPC等主流工业控制系统协议进行深度分析和过滤的防护设备阻断不符合协议标准结构的数据包、不符合业务要求的数据内容。制定工控安全事件应急响应预案当遭受安全威胁导致工业控制系统出现异常或故障时应立即采取紧急防护措施防止事态扩大并逐级报送直至属地省级工业和信息化主管部门同时注意保护现场以便进行调查取证。解读:工业企业需要自主或委托第三方工控安全服务单位制定工控安全事件应急响应预案。预案应包括应急计划的策略和规程、应急计划培训、应急计划测试与演练、应急处理流程、事件监控措施、应急事件报告流程、应急支持资源、应急响应计划等内容。定期对工业控制系统的应急响应预案进行演练必要时对应急响应预案进行修订。解读:工业企业应定期组织工业控制系统操作、维护、管理等相关人员开展应急响应预案演练演练形式包括桌面演练、单项演练、综合演练等。必要时企业应根据实际情况对预案进行修订。(八)资产安全建设工业控制系统资产清单明确资产责任人以及资产使用及处置规则。解读:工业企业应建设工业控制系统资产清单包括信息资产、软件资产、硬件资产等。明确资产责任人建立资产使用及处置规则定期对资产进行安全巡检审计资产使用记录并检查资产运行状态及时发现风险。对关键主机设备、网络设备、控制组件等进行冗余配置。解读:工业企业应根据业务需要针对关键主机设备、网络设备、控制组件等配置冗余电源、冗余设备、冗余网络等。(九)数据安全对静态存储和动态传输过程中的重要工业数据进行保护根据风险评估结果对数据信息进行分级分类管理。解读:工业企业应对静态存储的重要工业数据进行加密存储设置访问控制功能对动态传输的重要工业数据进行加密传输使用VPN等方式进行隔离保护并根据风险评估结果建立和完善数据信息的分级分类管理制度。定期备份关键业务数据。解读:工业企业应对关键业务数据如工艺参数、配置文件、设备运行数据、生产数据、控制指令等进行定期备份。对测试数据进行保护。解读:工业企业应对测试数据包括安全评估数据、现场组态开发数据、系统联调数据、现场变更测试数据、应急演练数据等进行保护如签订保密协议、回收测试数据等。(十)供应链管理在选择工业控制系统规划、设计、建设、运维或评估等服务商时优先考虑具备工控安全防护经验的企事业单位以合同等方式明确服务商应承担的信息安全责任和义务。解读:工业企业在选择工业控制系统规划、设计、建设、运维或评估服务商时应优先考虑有工控安全防护经验的服务商并核查其提供的工控安全合同、案例、验收报告等证明材料。在合同中应以明文条款的方式约定服务商在服务过程中应当承担的信息安全责任和义务。以保密协议的方式要求服务商做好保密工作防范敏感信息外泄。解读:工业企业应与服务商签订保密协议协议中应约定保密内容、保密时限、违约责任等内容。防范工艺参数、配置文件、设备运行数据、生产数据、控制指令等敏感信息外泄。(十一)落实责任通过建立工控安全管理机制、成立信息安全协调小组等方式明确工控安全管理责任人落实工控安全责任制部署工控安全防护措施。解读:工业企业应建立健全工控安全管理机制明确工控安全主体责任成立由企业负责人牵头的由信息化、生产管理、设备管理等相关部门组成的工业控制系统信息安全协调小组负责工业控制系统全生命周期的安全防护体系建设和管理制定工业控制系统安全管理制度部署工控安全防护措施。一是面向地方工业和信息化主管部门、**企业等开展《指南》宣贯依据《指南》要求组织培训指导工业企业进一步优化工控安全管理与技术防护手段。二是选择工业聚集发展城市及地区设立工控安全防护试点区组织区内工业企业开展工控安全防护应用试点遴选优秀试点企业分享工控安全防护经验总结提炼工业控制系统防护示范案例。三是将《指南》要求纳入年度工业行业网络安全检查项目强化责任落实到位管理、技术落实到位。通过自查、抽查、深度检查等方式促进工业企业深入贯彻并落实《指南》。地方工信主管部门负责对本地区内的工控安全防护工作进行监督管理并配合工业和信息化部做好工控安全相关工作。工业企业应按照《指南》各项要求开展和完善工控安全防护工作改善自身安全防护能力的同时为全面提升我国工业信息安全防护水平提供支撑。(信息来源:工信微报)

用户评价(0)

关闭

新课改视野下建构高中语文教学实验成果报告(32KB)

抱歉,积分不足下载失败,请稍后再试!

提示

试读已结束,如需要继续阅读或者下载,敬请购买!

文档小程序码

使用微信“扫一扫”扫码寻找文档

1

打开微信

2

扫描小程序码

3

发布寻找信息

4

等待寻找结果

我知道了
评分:

/10

《工业控制系统信息安全防护指南》印发(附解读)

VIP

在线
客服

免费
邮箱

爱问共享资料服务号

扫描关注领取更多福利