工业控制系统安全服务资质认证自评估表（注明行业）.docVIP

CCRC-QOT-0436-B/0 工业控制系统安全服务资质认证自评估表中国网络安全审查技术与认证中心 第 PAGE 1 页 共 NUMPAGES 15 页工业控制系统安全服务资质认证自评估表(注明行业)填表说明：每个行业单独填写自评估表。组织名称申报级别评估时间评估部门/人员序号要点条款需提供证明材料自评估结论证明材料清单符合不符合服务技术要求建立工业控制系统安全服务流程，并按照流程实施。按照相关标准建立的工业控制系统安全服务流程，流程图中应包括每个阶段对应的职责、输入输出等。制定工业控制系统安全服务规范标准，并按照规范实施。已制定的工控控制系统安全服务规范。服务规划阶段-调研客户需求H1.1.1 a) 编制业务情况和工业控制系统调研表，并按照调研表收集有效信息。已完成业务情况调研表，收集有效信息。 H1.1.1 b) 有效掌握工业企业的组织结构、了解对工业控制系统的管理机制。企业的组织结构、对生产控制系统管理的文字材料。H1.1.1 c) 采集客户对工业控制系统系统安全管理和技术服务的目标和需求。客户对工控系统安全管理和技术服务的目标和需求的文字材料。H2.1.1 a) 调研客户工业控制系统的业务逻辑、工作流程，工业控制系统系统的设备组成、网络架构等。已完成业务情况和生产控制系统调研表，包括客户控制系统的业务逻辑、工作流程，控制系统的设备组成、现场网络等。编制完整的客户调研报告，调研的内容包括组织架构、制度列表、业务流程、工业控制系统资产信息、工业控制系统相关的管理人员信息等。已完成客户调研报告，调研的内容包括组织架构、制度列表、业务流程、控制系统及设备、控制系统相关的管理人员信息等。调研客户企业愿景，对工业控制系统安全业务的发展规划和未来几年业务发展目标。 已完成客户调研报告，包括客户企业愿景，对工控安全业务的发展规划和未来几年业务发展目标。服务规划阶段-分析服务业务识别工业控制系统面临的潜在威胁，分析服务过程中可能生产的安全风险； 已完成项目的服务方案中有安全风险分析、识别法律及标准规范、客户业务需求的证明材料。识别影响工业控制系统服务的法律、政策、标准、外部影响和约束条件；分析客户业务需求，明确客户工业控制系统安全服务的目标与需求。仅二级/一级要求：了解所属行业主管部门对工业控制系统安全要求。已完成项目的服务方案中有识别行业主管部门的安全要求的证明材料。仅一级要求：对客户的安全生产和网络安全现状进行评估，调研行业安全防护的水平，明确薄弱环节。已完成项目的服务方案中有调研行业安全水平，分析薄弱环节的证明材料。服务规划阶段-编制服务方案结合调研的安全需求，与客户、工业控制系统系统开发单位及其他相关人员充分沟通，编制安全服务技术方案和服务预算。已完成项目的服务方案，包含安全需求、工作内容、服务方式、服务预算等内容证明材料。与客户签订服务协议，编制实施方案，明确服务范围、目标、进度、内容、金额、交付质量、沟通和风险等方面的要求。已完成项目的实施方案，包含服务范围、目标、进度、内容、金额、质量输出、沟通和风险等内容的证明材料。仅二级/一级要求：制定针对人员、设备、文档、系统的风险监控措施，有效保障工业控制系统的安全、稳定。已完成项目的实施方案，包含人员、设备、文档、系统的风险监控措施等内容的证明材料。仅二级/一级要求：对于在运工业控制系统，应考虑使用搭建临时模拟环境，模拟真实系统的运行情况、配置、数据、业务流程，验证方案的有效性。已完成项目的实施方案，包含对运控制系统搭建临时模拟环境验证方案的证明材料。仅二级/一级要求：安全服务技术方案和实施方案应经过评审，并与客户达成一致。已完成项目的实施方案经过客户评审的证明材料仅一级要求：确定实施过程的备份机制和应急处理方案，并与客户充分沟通，预测应急处理方案可能造成的影响。已完成项目有实施过程的备份机制和应急处理方案。服务规划阶段-组建服务团队应考虑服务项目的目标、内容、范围等组建团队。已完成项目的实施方案中对安全服务实施团队成员及团队构架的介绍。队成员应由管理层、相关业务骨干、IT技术人员、熟悉生产系统业务人员等角色组成。选择工业控制系统安全服务项目负责人应满足通用评价要求的人员能力要求，熟悉工业控制系统业务流程，能与工业控制系统运行人员进行有效沟通。仅二级/一级要求：团队成员必须包括所服务业务领