工控安全保障建设框架.docx

工控安全保障建设框架 工控安全保障建设框架 （ 1.0 版) 工业信息安全产业发展联盟（ NISIA） 二〇一九年十二月 工控安全保障建设框架（ 工控安全保障建设框架（ V1.0） 前 言 工业控制系统被广泛应用于电力、 钢铁、 石油石化、 轨道交通、智能制造、国防军工、市政水务等多个行业，是重 点领域关键信息基础设施的“神经中枢” 。随着两化融合的深入推进和工业互联网的迅猛发展， 工业控制系统信息安全 （简称 “工控安全 ”）的重要性和现实紧迫性日益凸显， 已成为网络空间安全的重要组成部分， 是实施制造强国和网络强 国战略的重要前提和保障。 当前国际上的工控安全形势仍然十分严峻。 作为网络攻击的高价值战略目标， 暴露在互联网上的工业控制系统及生 产设备数量显著增加， 工控系统相关高危漏洞持续居高不下， 网络攻击和网络犯罪活动日益猖獗， 重大工控安全事件不断发生，全球工控安全总体风险处于持续攀升的高危状态。 为应对当前严峻的工控安全形势， 党中央、 国务院高度 重视，对保障工控安全做出战略性、 前瞻性的部署。 近年来， 在国务院主管部门的领导组织下， 我国工控安全领域快速发 展， 政策体系初步形成， 技术产业快速发展， 用户意识显著提升。与此同时， 随着工业企业用户工控安全建设的逐步深 入，政策标准缺乏有效的落地实施指导、 厂商间同质化产品 和服务竞争激烈、 技术水平市场认可度不高、 建设能力滞后于形势发展等现象仍屡见不鲜； 工业企业安全意识虽有所提 升， 但机制建立、 制度建设、 人员技能水平等方面仍亟待加强。 在此背景下，工业信息安全产业发展联盟组织编写了 《工控安全保障建设框架（ 1.0 版）》（简称《框架》 ），旨在加强工控安全产业各方协同合作， 发挥联盟在工控安全领域 的技术优势和资源优势， 共同为工业企业用户提供全生命周 期的工控安全保障， 切实提高工业企业用户的安全防护能力和保障水平， 提高国家工业领域关键信息基础设施安全保障 能力。 由于时间关系，成稿仓促， 《框架》中尚有疏漏和不足之处，恳请批评指正。 工控安全保障建设框架编写组 2019 年 12 月 适用范围 适用范围 本《框架》 旨在为工业企业的工控安全保障提供切实可 参照的建设路径， 为相关工作的开展、 实施、管理提供建议、 指导与方法。 本《框架》 适用于工业企业工控安全管理人员、 规划设 计人员、 安全运维人员等开展安全策略制定、 安全评估、 方 案设计、 工程实施、 运行管理、 应急响应、 安全教育等工作； 同时可作为有关主管部门指导本行政区内企业开展工控安 全保障建设工作的参考。 目录 前 言2... 适用范围 4... 一、工控安全建设概述 9.. （一）工控安全形势概况 9 全球工控安全事件频发 10 工控安全漏洞持续居高不下 10 暴露的联网系统和设备风险加剧 10 （二）工控安全建设发展概述 11 1. 萌芽阶段 11 2. 成长阶段 12 3. 高速发展阶段 13 （三）工控安全建设困境 14 技术措施与管理体系尚未有机融合 14 重建设、轻运维的现象仍普遍存在 15 应急响应机制及事件处置能力缺失 15 工控安全建设人才保障存较大缺口 16 二、工控安全保障建设框架概述 1 7 （一）工控安全保障建设框架内涵 17 （二）工控安全保障建设框架结构 18 1. 策略制定阶段 19 2. 评估分析阶段 19 3. 方案设计阶段 20 4. 工程实施阶段 20 5. 运行管理阶段 20 6. 应急响应阶段 21 7. 安全教育阶段 21 三、策略制定 2 2. （一）外部工控安全因素分析 22 监管机构要求分析 22 技术发展趋势分析 23 外部威胁来源分析 23 行业优秀实践分析 24 （二）内部工控安全因素分析 24 1. 业务重要程度分析 24 2. 业务影响性分析 25 3. 内部威胁分析 26 （三）制定工控安全策略目标 26 （四）工控安全策略专家评审 27 （五）形成并发布安全方针策略文件 27 （六）工控安全策略实施与执行 29 （七）工控安全策略维护与改进 29 四、评估分析 3 1. （一）合规性审计 31 1. 合规性审计步骤 31 2. 合规性审计方法 32 （二）全面风险评估 33 1. 风险评估步骤 33 2. 风险评估方法 35 （三）渗透测试 37 渗透测试工作步骤 37 渗透测试阶段及方法说明 37 五、方案设计 4 0. （一）需求分析 40 （二）确定安全建设内容 41 （三）安全措施选择 41 1. 技术安全措施 42 2. 管理安全措施 43 3. 人员安全措施 44 （四）建设方案分期规