GB/T 42456-2023工業(yè)自動(dòng)化和控制系統(tǒng)信息安全I(xiàn)ACS組件的安全技術(shù)要求

ICS25040

CCSN.10

中華人民共和國國家標(biāo)準(zhǔn)

GB/T42456—2023/IEC62443-4-22019

:

工業(yè)自動(dòng)化和控制系統(tǒng)信息安全

IACS組件的安全技術(shù)要求

Securityforindustrialautomationandcontrolsystems—

TechnicalsecurityrequirementsforIACScomponents

IEC62443-4-22019Securitforindustrialautomationandcontrol

(:,y

sstems—Part4-2TechnicalsecuritreuirementsforIACScomonentsIDT

y:yqp,)

2023-03-17發(fā)布2023-10-01實(shí)施

國家市場監(jiān)督管理總局發(fā)布

國家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T42456—2023/IEC62443-4-22019

:

目次

前言

…………………………Ⅴ

引言

…………………………Ⅵ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語定義縮略語和慣例

3、、………………2

術(shù)語和定義

3.1…………………………2

縮略語

3.2………………7

慣例

3.3…………………9

通用原則

4…………………10

概述

4.1…………………10

基本功能的支持

4.2CCSC1:…………10

補(bǔ)償性對(duì)抗措施

4.3CCSC2:…………10

最小權(quán)限

4.4CCSC3:…………………10

軟件開發(fā)過程

4.5CCSC4:……………10

標(biāo)識(shí)和鑒別控制

5FR1———………………10

目的和描述

5.1SL-C(IAC)…………10

原由

5.2…………………11

人員標(biāo)識(shí)和鑒別

5.3CR1.1———………………………11

軟件進(jìn)程以及設(shè)備標(biāo)識(shí)和鑒別

5.4CR1.2———………12

賬戶管理

5.5CR1.3———………………12

標(biāo)識(shí)符管理

5.6CR1.4———……………13

鑒別器管理

5.7CR1.5———……………14

無線訪問管理

5.8CR1.6———…………15

基于口令的鑒別強(qiáng)度

5.9CR1.7———…………………15

公鑰基礎(chǔ)設(shè)施證書

5.10CR1.8———(PKI)…………15

基于公鑰鑒別的強(qiáng)度

5.11CR1.9———………………16

鑒別器反饋

5.12CR1.10———…………17

失敗的登錄嘗試

5.13CR1.11———……………………17

系統(tǒng)使用提示

5.14CR1.12———………………………18

通過不受信任網(wǎng)絡(luò)的訪問

5.15CR1.13———…………19

基于對(duì)稱密鑰鑒別的強(qiáng)度

5.16CR1.14———…………19

使用控制

6FR2———………………………20

目的和描述

6.1SL-C(UC)……………20

Ⅰ

GB/T42456—2023/IEC62443-4-22019

:

原由和附加指南

6.2……………………20

授權(quán)執(zhí)行

6.3CR2.1———………………20

無線使用控制

6.4CR2.2———…………21

便攜式和移動(dòng)設(shè)備使用控制

6.5CR2.3———…………22

移動(dòng)代碼

6.6CR2.4———………………22

會(huì)話鎖定

6.7CR2.5———………………22

遠(yuǎn)程會(huì)話終止

6.8CR2.6———…………22

并發(fā)會(huì)話控制

6.9CR2.7———…………23

審計(jì)事件

6.10CR2.8———……………23

審計(jì)存儲(chǔ)容量

6.11CR2.9———………………………24

審計(jì)處理失敗的響應(yīng)

6.12CR2.10———………………25

時(shí)間戳

6.13CR2.11———………………25

抗抵賴性

6.14CR2.12———……………26

物理診斷和測試接口的使用

6.15CR2.13———………26

系統(tǒng)完整性

7FR3———…………………26

目的和的描述

7.1SL-C(SI)…………26

基本原理

7.2……………27

通信完整性

7.3CR3.1———……………27

惡意代碼防護(hù)

7.4CR3.2———…………28

信息安全功能驗(yàn)證

7.5CR3.3———……………………28

軟件和信息完整性

7.6CR3.4———……………………29

輸入檢驗(yàn)

7.7CR3.5———………………29

確定性輸出

7.8CR3.6———……………30

出錯(cuò)處理

7.9CR3.7———………………30

會(huì)話完整性

7.10CR3.8———…………31

審計(jì)信息保護(hù)

7.11CR3.9———………………………32

支持更新

7.12CR3.10———……………32

物理防破壞和檢測

7.13CR3.11———…………………32

提供產(chǎn)品供應(yīng)商的信任根

7.14CR3.12———…………32

提供資產(chǎn)所有者的信任根

7.15CR3.13———…………32

啟動(dòng)過程完整性

7.16CR3.14———……………………32

數(shù)據(jù)保密性

8FR4———…………………33

目的和描述

8.1SL-C(DC)……………33

基本原理

8.2……………33

信息保密性

8.3CR4.1———……………33

剩余信息

8.4CR4.2———………………34

加密的使用

8.5CR4.3———……………34

Ⅱ

GB/T42456—2023/IEC62443-4-22019

:

受限的數(shù)據(jù)流

9FR5———………………35

目的和描述

9.1SL-C(RDF)…………35

基本原理

9.2……………35

網(wǎng)絡(luò)分段

9.3CR5.1———………………35

區(qū)域邊界保護(hù)

9.4CR5.2———…………36

普通目的的個(gè)人間通信限制

9.5CR5.3———…………36

對(duì)事件的及時(shí)響應(yīng)

10FR6———…………36

目的和描述

10.1SL-C(TRE)…………36

原由和附加指南

10.2…………………37

審計(jì)日志可訪問性

10.3CR6.1———…………………37

連續(xù)監(jiān)控

10.4CR6.2———……………37

資源可用性

11FR7———…………………38

目的和描述

11.1SL-C(RA)…………38

原由

11.2………………38

拒絕服務(wù)保護(hù)

11.3CR7.1———………………………38

資源管理

11.4CR7.2———……………39

控制系統(tǒng)備份

11.5CR7.3———………………………39

控制系統(tǒng)恢復(fù)和重構(gòu)

11.6CR7.4———………………40

應(yīng)急電源

11.7CR7.5———……………40

網(wǎng)絡(luò)和安全配置設(shè)置

11.8CR7.6———………………40

最小功能

11.9CR7.7———……………41

控制系統(tǒng)組件詳細(xì)目錄

11.10CR7.8———……………41

軟件應(yīng)用要求

12…………………………42

目的

12.1………………42

移動(dòng)代碼

12.2SAR2.4———……………42

惡意代碼防護(hù)

12.3SAR3.2———………………………43

嵌入式設(shè)備要求

13………………………43

目的

13.1………………43

移動(dòng)代碼

13.2EDR2.4———……………43

使用物理診斷和測試接口

13.3EDR2.13———………44

惡意代碼防護(hù)

13.4EDR3.2———………………………45

支持更新

13.5EDR3.10———…………45

物理防破壞和檢測

13.6EDR3.11———………………46

置備產(chǎn)品供應(yīng)商信任根

13.7EDR3.12———…………46

置備資產(chǎn)所有者的信任根

13.8EDR3.13———………47

啟動(dòng)過程完整性

13.9EDR3.14———…………………48

主機(jī)設(shè)備要求

14…………………………48

Ⅲ

GB/T42456—2023/IEC62443-4-22019

:

目的

14.1………………48

移動(dòng)代碼

14.2HDR2.4———…………48

使用物理診斷和測試接口

14.3HDR2.13———………49

惡意代碼防護(hù)

14.4HDR3.2———……………………50

支持更新

14.5HDR3.10———…………50

物理防破壞和檢測

14.6HDR3.11———………………51

置備產(chǎn)品供應(yīng)商信任根

14.7HDR3.12———…………51

置備資產(chǎn)所有者的信任根

14.8HDR3.13———………52

啟動(dòng)過程完整性

14.9HDR3.14———…………………53

網(wǎng)絡(luò)設(shè)備要求

15…………………………53

目的

15.1………………53

無線訪問管理

15.2NDR1.6———……………………54

通過不受信任網(wǎng)絡(luò)的訪問

15.3NDR1.13———………54

移動(dòng)代碼

15.4NDR2.4———…………55

使用物理診斷和測試接口

15.5NDR2.13———………56

惡意代碼防護(hù)

15.6NDR3.2———……………………56

支持更新

15.7NDR3.10———…………57

物理防破壞和檢測

15.8NDR3.11———………………57

置備產(chǎn)品供應(yīng)商信任根

15.9NDR3.12———…………58

置備資產(chǎn)所有者的信任根

15.10NDR3.13———……………………58

啟動(dòng)過程完整性

15.11NDR3.14———………………59

區(qū)域邊界防護(hù)

15.12NDR5.2———……………………60

普通目的個(gè)人間通信限制

15.13NDR5.3———………60

附錄資料性設(shè)備分類

A()………………62

概述

A.1………………62

設(shè)備分類嵌入式設(shè)備

A.2:……………62

設(shè)備分類網(wǎng)絡(luò)設(shè)備

A.3:………………63

設(shè)備分類主機(jī)設(shè)備應(yīng)用

A.4:/………………………63

附錄資料性和與的映射

B()CRREFRSL1~4……………………64

概述

B.1…………………64

映射表

B.2SL…………………………64

參考文獻(xiàn)

……………………70

Ⅳ

GB/T42456—2023/IEC62443-4-22019

:

前言

本文件按照標(biāo)準(zhǔn)化工作導(dǎo)則第部分標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則的規(guī)定

GB/T1.1—2020《1:》

起草

。

本文件等同采用工業(yè)自動(dòng)化和控制系統(tǒng)信息安全第部分組件

IEC62443-4-2:2019《4-2:IACS

的安全技術(shù)要求

》。

本文件做了下列最小限度的編輯性改動(dòng)

:

為與現(xiàn)有標(biāo)準(zhǔn)協(xié)調(diào)將標(biāo)準(zhǔn)名稱改為工業(yè)自動(dòng)化和控制系統(tǒng)信息安全組件的安全技

———,《IACS

術(shù)要求

》。

請注意本文件的某些內(nèi)容可能涉及專利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任

。。

本文件由中國機(jī)械工業(yè)聯(lián)合會(huì)提出

。

本文件由全國工業(yè)過程測量控制和自動(dòng)化標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口

(SAC/TC124)。

本文件起草單位東方電氣集團(tuán)科學(xué)技術(shù)研究院有限公司機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究

:、

所電力規(guī)劃總院有限公司施耐德電氣中國有限公司西門子中國有限公司北京四方繼保自動(dòng)化

、、()、()、

股份有限公司北京國能智深控制技術(shù)有限公司華北電力大學(xué)重慶信安網(wǎng)絡(luò)安全等級(jí)測評(píng)有限公司

、、、、

成都啟明星辰信息安全技術(shù)有限公司中國石油天然氣股份有限公司塔里木油田分公司重慶郵電大

、、

學(xué)西南大學(xué)中國科學(xué)院沈陽自動(dòng)化研究所華中科技大學(xué)中國電子科技集團(tuán)公司第三十研究所上

、、、、、

海工業(yè)自動(dòng)化儀表研究院有限公司工業(yè)和信息化部電子第五研究所國家工業(yè)信息安全發(fā)展研究中

、、

心羅克韋爾上海有限公司上海電器科學(xué)研究所集團(tuán)有限公司和利時(shí)科技集團(tuán)有限公司中國軟

、()、()、、

件測評(píng)中心工業(yè)和信息化部軟件與集成電路促進(jìn)中心菲尼克斯亞太電氣南京有限公司

()、()。

本文件主要起草人袁曉舒王玉敏尚羽佳張晉賓王勇閆韜杜振華朱鏡靈龔鋼軍周彥暉

:、、、、、、、、、、

王銳楊金華魏旻劉楓趙劍明周純杰蘭昆劉慧芳劉杰趙冉高鏡媚任悅劉盈郭永振

、、、、、、、、、、、、、、

王愛鵬桑梓王英翟婉波楊小倩張焱潘學(xué)龍

、、、、、、。

Ⅴ

GB/T42456—2023/IEC62443-4-22019

:

引言

01概述

.

是應(yīng)用于工業(yè)自動(dòng)化和控制系統(tǒng)安全的系列標(biāo)準(zhǔn)目前我國已采用該系列標(biāo)準(zhǔn)發(fā)布了

IEC62443,

工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全建立工業(yè)自動(dòng)化和控制系統(tǒng)安全程序

GB/T33007—2016《》

工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全系統(tǒng)安全要求和

(IEC62443-2-1:2010,IDT)、GB/T35673—2017《

安全等級(jí)工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全術(shù)語

》(IEC62443-3-3:2013,IDT)、GB/T40211—2021《、

概述和模型工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全

》(IEC/TS62443-1-1:2009,IDT)、GB/T40218—2021《

工業(yè)自動(dòng)化和控制系統(tǒng)信息安全技術(shù)工業(yè)自動(dòng)

》(IEC/TR62443-3-1:2009,IDT)、GB/T40682—2021《

化和控制系統(tǒng)網(wǎng)絡(luò)安全第部分服務(wù)提供商的安全程序要求

2-4:IACS》(IEC62443-2-4:2015,IDT)、

工業(yè)自動(dòng)化和控制系統(tǒng)安全環(huán)境下的補(bǔ)丁管理

GB/T42445—2023《IACS》(IEC/TR62443-2-3:

工業(yè)自動(dòng)化和控制系統(tǒng)信息安全產(chǎn)品安全開發(fā)生命周期要求

2015,IDT)、GB/T42457—2023《》

和本文件這些標(biāo)準(zhǔn)共同構(gòu)成應(yīng)用于工業(yè)自動(dòng)化和控制系統(tǒng)安全的系列國

(IEC62443-4-1:2018,IDT)。

家標(biāo)準(zhǔn)

。

工業(yè)自動(dòng)化和控制系統(tǒng)組織越來越多地使用便宜高效和高度自動(dòng)化的商用現(xiàn)成

(IACS)、(COTS)

網(wǎng)絡(luò)設(shè)備出于合理的商業(yè)原因控制系統(tǒng)也越來越多地與非網(wǎng)絡(luò)相互連接這些設(shè)備開放的

。,IACS。、

網(wǎng)絡(luò)技術(shù)以及增加的連通性都給控制系統(tǒng)的軟硬件提供了日益增加的遭受網(wǎng)絡(luò)攻擊的機(jī)會(huì)該弱點(diǎn)可

。

能導(dǎo)致部署的控制系統(tǒng)中的健康安全和環(huán)境財(cái)務(wù)和或聲譽(yù)的系列后果

、(HSE)、/。

利用商業(yè)信息技術(shù)網(wǎng)絡(luò)安全解決方案來解決安全問題的組織可能尚未完全理解這一

(IT)IACS,

決定的結(jié)果同時(shí)許多商業(yè)應(yīng)用和安全解決方案可以應(yīng)用于因此需要以適當(dāng)?shù)姆绞綉?yīng)用

。,ITIACS,

這些解決方案以消除無意的后果出于這個(gè)原因定義系統(tǒng)要求的方法綜合考慮功能要求和風(fēng)險(xiǎn)評(píng)

。,

估通常也包括對(duì)操作問題的認(rèn)識(shí)

,。

安全對(duì)策包括應(yīng)急程序宜避免造成必要的服務(wù)和功能缺失的可能性通常利用的安全

IACS,(IT

對(duì)策確實(shí)有這個(gè)潛在可能性安全目標(biāo)集中在控制系統(tǒng)的可用性工廠保護(hù)工廠操作即使在

)。IACS、、(

降級(jí)模式下和對(duì)時(shí)間要求嚴(yán)格的系統(tǒng)響應(yīng)安全目標(biāo)通常并不同等重視這些因素他們可能更關(guān)

)。IT;

心保護(hù)信息而不是物理資產(chǎn)不管工廠集成的程度如何這些不同的目標(biāo)都需要明確地表述為安全目

。,

標(biāo)根據(jù)的要求風(fēng)險(xiǎn)評(píng)估的一個(gè)關(guān)鍵步驟宜是確定哪些服務(wù)和功能對(duì)于運(yùn)營是真正

。IEC62443-2-1,

必要的例如在某些設(shè)施中工程支持可能被確定為非基本服務(wù)或功能與必要服務(wù)或功能不宜受到

(,,)。

不利影響不同在某些情況下信息安全措施可能會(huì)導(dǎo)致的暫時(shí)丟失非必要服務(wù)或功能是可以接受的

,,。

本文件為組成的組件提供網(wǎng)絡(luò)安全要求特別是嵌入式設(shè)備網(wǎng)絡(luò)組件主機(jī)組件和軟件應(yīng)

IACS,、、

用附錄描述了常用設(shè)備的分類本文件的要求參考描述的系統(tǒng)安全

。AIACS。IEC62443-3-3IACS

要求本文件的目的是指定安全功能使組件能夠在給定的安全等級(jí)下集成到系統(tǒng)環(huán)境中附錄

。,(SL)。

中的表格匯總了本文件定義的要求和增強(qiáng)要求的

BSL。

系列標(biāo)準(zhǔn)的主要目標(biāo)是提供一個(gè)靈活的框架有助于解決當(dāng)前和未來的脆弱

IEC62443,IACS

性并以系統(tǒng)的可防御的方式應(yīng)用必要的緩解措施的目的是構(gòu)建適應(yīng)企業(yè)系統(tǒng)需求

,、。IEC62443IT

的企業(yè)安全擴(kuò)展并將其與所需的高完整性和可用性的獨(dú)特要求相結(jié)合這點(diǎn)十分重要

,IACS,。

02