GB/T 42457-2023工業(yè)自動化和控制系統(tǒng)信息安全產(chǎn)品安全開發(fā)生命周期要求

ICS25040

CCSN.10

中華人民共和國國家標(biāo)準(zhǔn)

GB/T42457—2023/IEC62443-4-12018

:

工業(yè)自動化和控制系統(tǒng)信息安全

產(chǎn)品安全開發(fā)生命周期要求

Securityforindustrialautomationandcontrolsystems—

Secureproductdevelopmentlifecyclerequirements

IEC62443-4-12018Securitforindustrialautomationandcontrolsstems—

(:,yy

Part4-1SecureroductdevelomentlifecclereuirementsIDT

:ppyq,)

2023-03-17發(fā)布2023-10-01實施

國家市場監(jiān)督管理總局發(fā)布

國家標(biāo)準(zhǔn)化管理委員會

GB/T42457—2023/IEC62443-4-12018

:

目次

前言

…………………………Ⅴ

引言

…………………………Ⅵ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語定義縮略語和慣例

3、、………………1

術(shù)語和定義

3.1…………………………1

縮略語

3.2………………5

慣例

3.3…………………6

通用原則

4…………………6

概念

4.1…………………6

成熟度模型

4.2…………………………7

實踐安全管理

51———……………………9

目的

5.1…………………9

開發(fā)過程

5.2SM-1:……………………9

原由和附加指南

5.3……………………9

明確職責(zé)

5.4SM-2:……………………9

明確適用性

5.5SM-3:…………………10

安全專業(yè)知識

5.6SM-4………………10

過程范圍界定

5.7SM-5:………………10

文件完整性

5.8SM-6:…………………11

開發(fā)環(huán)境安全性

5.9SM-7:……………11

私鑰控制

5.10SM-8:…………………11

外部提供組件的安全需求

5.11SM-9:………………11

來自第三方供應(yīng)商定制開發(fā)的組件

5.12SM-10:……………………12

評估和解決與安全相關(guān)的問題

5.13SM-11:…………12

過程驗證

5.14SM-12:…………………13

持續(xù)改進

5.15SM-13:…………………13

實踐安全需求規(guī)范

62———………………14

目的

6.1…………………14

產(chǎn)品安全上下文

6.2SR-1:……………14

威脅模型

6.3SR-2:……………………15

產(chǎn)品安全需求

6.4SR-3:………………16

產(chǎn)品安全需求內(nèi)容

6.5SR-4:…………16

安全需求審查

6.6SR-5:………………16

實踐安全設(shè)計

73———……………………17

Ⅰ

GB/T42457—2023/IEC62443-4-12018

:

目的

7.1…………………17

安全設(shè)計原則

7.2SD-1:………………17

縱深防御設(shè)計

7.3SD-2:………………18

安全設(shè)計審查

7.4SD-3:………………19

安全設(shè)計最佳實踐

7.5SD-4:…………19

實踐安全實施

84———……………………20

目的

8.1…………………20

適用性

8.2………………20

安全實施審查

8.3SI-1:………………20

安全編碼標(biāo)準(zhǔn)

8.4SI-2:………………20

實踐安全驗證和確認(rèn)測試

95———………………………21

目的

9.1…………………21

安全需求測試

9.2SVV-1:……………21

威脅緩解措施測試

9.3SVV-2:………………………21

脆弱性測試

9.4SVV-3:………………22

滲透測試

9.5SVV-4:…………………22

測試人員的獨立性

9.6SVV-5:………………………23

實踐安全相關(guān)問題管理

106———………………………24

目的

10.1………………24

接收安全相關(guān)問題的通知

10.2DM-1:………………24

安全相關(guān)問題的審查

10.3DM-2:……………………24

評估安全相關(guān)問題

10.4DM-3:………………………25

解決安全相關(guān)的問題

10.5DM-4:……………………26

披露安全相關(guān)的問題

10.6DM-5:……………………27

定期審查安全缺陷管理實踐

10.7DM-6:……………27

實踐安全更新管理

117———……………27

目的

11.1………………27

安全更新合格條件

11.2SUM-1:………………………27

安全更新文檔

11.3SUM-2:……………28

依賴組件或操作系統(tǒng)安全更新文檔

11.4SUM-3:……………………28

安全更新交付

11.5SUM-4:……………29

安全補丁的及時交付

11.6SUM-5:……………………29

實踐安全導(dǎo)則

128———…………………29

目的

12.1………………29

產(chǎn)品縱深防御

12.2SG-1:………………30

環(huán)境中可預(yù)期的縱深防御措施

12.3SG-2:……………30

安全加固指南

12.4SG-3:………………30

安全廢棄指南

12.5SG-4:………………31

安全操作指南

12.6SG-5:………………31

賬戶管理指南

12.7SG-6:………………32

文檔審查

12.8SG-7:……………………32

Ⅱ

GB/T42457—2023/IEC62443-4-12018

:

附錄資料性可能的指標(biāo)

A()……………33

附錄資料性需求表

B()…………………35

參考文獻

……………………37

Ⅲ

GB/T42457—2023/IEC62443-4-12018

:

前言

本文件按照標(biāo)準(zhǔn)化工作導(dǎo)則第部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

本文件等同采用工業(yè)自動化和控制系統(tǒng)信息安全第部分產(chǎn)品安全開

IEC62443-4-1:2018《4-1:

發(fā)生命周期要求

》。

本文件做了下列最小限度的編輯性改動

:

為與現(xiàn)有標(biāo)準(zhǔn)協(xié)調(diào)將標(biāo)準(zhǔn)名稱改為工業(yè)自動化和控制系統(tǒng)信息安全產(chǎn)品安全開發(fā)生命周

———,《

期要求

》。

本文件由中國機械工業(yè)聯(lián)合會提出

。

本文件由全國工業(yè)過程測量控制和自動化標(biāo)準(zhǔn)化技術(shù)委員會歸口

(SAC/TC124)。

本文件起草單位北京威努特技術(shù)有限公司機械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟研究所電力規(guī)劃總

:、、

院有限公司施耐德電氣中國有限公司西門子中國有限公司北京四方繼保自動化股份有限公司

、()、()、、

北京國能智深控制技術(shù)有限公司華北電力大學(xué)重慶信安網(wǎng)絡(luò)安全等級測評有限公司重慶郵電大學(xué)

、、、、

西南大學(xué)華中科技大學(xué)中國電子科技集團公司第三十研究所北京廣利核系統(tǒng)工程有限公司遼寧大

、、、、

唐國際新能源有限公司國網(wǎng)遼寧省電力有限公司檢修分公司中車株洲電力機車研究所有限公司北

、、、

京西南交大盛陽科技股份有限公司交控科技股份有限公司杭州電子科技大學(xué)中國第一汽車集團有

、、、

限公司西安熱工研究院有限公司上海工業(yè)自動化儀表研究院有限公司工業(yè)和信息化部電子第五研

、、、

究所國家工業(yè)信息安全發(fā)展研究中心羅克韋爾上海有限公司上海電器科學(xué)研究所集團有限公

、、()、()

司和利時科技集團有限公司西安空間無線電技術(shù)研究所

、、。

本文件主要起草人黃敏王玉敏尚羽佳王春霞張晉賓楊建平龍國東張東旗王勇閆韜

:、、、、、、、、、、

杜振華朱鏡靈龔鋼軍周彥暉魏旻劉楓周純杰蘭昆莫昌瑜趙志鵬汪心明曾陽王錦唐軍

、、、、、、、、、、、、、、

鄒智榮楊濱茂楊雪濤楊清雯徐向華王然李雷張子佳楊淵劉慧芳劉杰趙冉高鏡媚任悅

、、、、、、、、、、、、、、

劉盈王愛鵬王英張焱徐進王佳胡博楊超

、、、、、、、。

Ⅴ

GB/T42457—2023/IEC62443-4-12018

:

引言

是應(yīng)用于工業(yè)自動化和控制系統(tǒng)安全的系列國際標(biāo)準(zhǔn)目前我國已采用該系列標(biāo)準(zhǔn)發(fā)

IEC62443。

布了工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全建立工業(yè)自動化和控制系統(tǒng)安全程序

GB/T33007—2016《》

工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全系統(tǒng)安全要求和

(IEC62443-2-1:2010,IDT)、GB/T35673—2017《

安全等級工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全術(shù)語

》(IEC62443-3-3:2013,IDT)、GB/T40211—2021《、

概述和模型工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全工業(yè)

》(IEC62443-1-1:2009,IDT)、GB/T40218—2021《

自動化和控制系統(tǒng)信息安全技術(shù)工業(yè)自動化和

》(IEC/TR62443-3-1:2009,IDT)、GB/T40682—2021《

控制系統(tǒng)網(wǎng)絡(luò)安全第部分服務(wù)提供商的安全程序要求和本

2-4:IACS》(IEC62443-2-4:2015,IDT)

文件這些標(biāo)準(zhǔn)共同構(gòu)成應(yīng)用于工業(yè)自動化和控制系統(tǒng)安全的系列國家標(biāo)準(zhǔn)

。。

本文件是解決工業(yè)自動化和控制系統(tǒng)安全問題的系列標(biāo)準(zhǔn)的一部分本文件介紹工業(yè)自

(IACS)。

動化和控制系統(tǒng)環(huán)境中使用的產(chǎn)品的信息安全相關(guān)開發(fā)生命周期要求并就如何滿足每個要素描述的

,

要求提供指導(dǎo)

。

本文件大部分來自安全合規(guī)研究所的安全開發(fā)生命周期評估認(rèn)證要求

ISA(ISCI)(SDLA)[26]。

程序基于以下來源

SDLA:

通用標(biāo)準(zhǔn)

———ISO/IEC15408-3()[18];

開放式應(yīng)用程序安全項目全面輕量級應(yīng)用程序安全性過程

———Web(OWASP),(CLASP)[36];

邁克爾霍華德和史蒂夫利普納的安全開發(fā)生命周期

———··[43];

電氣電子可編程電子的安全相關(guān)系統(tǒng)的功能安全和

———IEC61508//[24];

機載系統(tǒng)和設(shè)備認(rèn)證中的軟件考慮

———RCTADO-178B[28]。

因此所有這些都可以被認(rèn)為是本文件的來源

,。

本文件包含的信息安全要求可以作為任何自動化和控制產(chǎn)品的開發(fā)人員考慮信息安全問題時的

,

指導(dǎo)

。

圖說明了不同部分之間的關(guān)系

1IEC62443。

圖1IEC62443系列各部分

Ⅵ

GB/T42457—2023/IEC62443-4-12018

:

圖說明了已開發(fā)的產(chǎn)品如何與中定義的維護和集成能力以及資產(chǎn)所有者的操作

2IEC62443-2-4

相關(guān)聯(lián)產(chǎn)品供應(yīng)商使用符合本文件的過程開發(fā)產(chǎn)品這些產(chǎn)品可能是單個組件例如嵌入式控制器

。。,,

或作為系統(tǒng)或子系統(tǒng)一起工作的一組組件系統(tǒng)集成商使用符合的過程將產(chǎn)品集成到

。IEC62443-2-4

一個自動化解決方案中自動化解決方案隨后被部署在特定的現(xiàn)場并成為的一部分其中一

。,IACS。

些功能參考了中定義的安全措施服務(wù)提供商確保在自動化解決方案作為產(chǎn)品特

IEC62443-3-3[10],(

性或補償機制中支持這些安全措施本文件僅涉及用于開發(fā)產(chǎn)品的過程它不涉及自動化解決方案或

)。;

的設(shè)計部署或操作

IACS、。

在圖中自動化解決方案包含一個或多個子系統(tǒng)和可選的支持組件如先進控制組件虛線框表

2,,。

示這些組件是可選的

“”。

自動化解決方案通常包含一個產(chǎn)品但不限于此在一些行業(yè)中可能存在分層次的產(chǎn)品結(jié)構(gòu)一

,。,。

般而言自動化解決方案是一套不依賴于產(chǎn)品包裝的硬件和軟件用于控制資產(chǎn)所有者定義的物理過程

,,

例如連續(xù)過程或制造過程

()。

如果服務(wù)提供商提供自動化解決方案中使用的產(chǎn)品則服務(wù)提供商在圖中履行產(chǎn)品供應(yīng)商的

,2

職責(zé)

。

圖2產(chǎn)品生命周期示例

Ⅶ

GB/T42457—2023/IEC62443-4-12018

:

工業(yè)自動化和控制系統(tǒng)信息安全

產(chǎn)品安全開發(fā)生命周期要求

1范圍

本文件規(guī)定了用于工業(yè)自動化和控制系統(tǒng)產(chǎn)品的信息安全開發(fā)的過程要求它定義了一個用于開

。

發(fā)和維護安全的產(chǎn)品的安全開發(fā)生命周期這個生命周期包括安全需求定義安全設(shè)計安全實

(SDL)。、、

現(xiàn)包括編碼準(zhǔn)則驗證和確認(rèn)缺陷管理補丁管理和產(chǎn)品退役這些需求可以應(yīng)用于新的或現(xiàn)有的

()、、、。

過程以開發(fā)維護和淘汰新的或現(xiàn)有的產(chǎn)品硬件軟件或固件這些需求適用于產(chǎn)品的開發(fā)人員和維

,、、。

護人員但不適用于產(chǎn)品的集成人員或用戶本文件的需求摘要清單見附錄

,。