權(quán)重表-工業(yè)控制系統(tǒng)安全擴(kuò)展要求-V3

序號,安全類或?qū)用?安全控制點,第一級,第一級權(quán)重,第二級,第二級權(quán)重,第三級,第三級權(quán)重,第四級,第四級權(quán)重,,第一級權(quán)重,第二級權(quán)重,第三級權(quán)重,第四級權(quán)重

1,安全物理環(huán)境,室外控制設(shè)備物理防護(hù),a)室外控制設(shè)備應(yīng)放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風(fēng)、散熱、防盜、防雨和防火能力等；,0.4,a)室外控制設(shè)備應(yīng)放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風(fēng)、散熱、防盜、防雨和防火能力等；,0.4,a)室外控制設(shè)備應(yīng)放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風(fēng)、散熱、防盜、防雨和防火能力等；,0.4,a)室外控制設(shè)備應(yīng)放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風(fēng)、散熱、防盜、防雨和防火能力等；,0.4,,0.4,0.4,0.4,0.4

2,,,b)室外控制設(shè)備放置應(yīng)遠(yuǎn)離強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，如無法避免應(yīng)及時做好應(yīng)急處置及檢修，保證設(shè)備正常運(yùn)行。,0.4,b)室外控制設(shè)備放置應(yīng)遠(yuǎn)離強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，如無法避免應(yīng)及時做好應(yīng)急處置及檢修，保證設(shè)備正常運(yùn)行。,0.4,b)室外控制設(shè)備放置應(yīng)遠(yuǎn)離強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，如無法避免應(yīng)及時做好應(yīng)急處置及檢修，保證設(shè)備正常運(yùn)行。,0.4,b)室外控制設(shè)備放置應(yīng)遠(yuǎn)離強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，如無法避免應(yīng)及時做好應(yīng)急處置及檢修，保證設(shè)備正常運(yùn)行。,0.4,,0.4,0.4,0.4,0.4

3,安全通信網(wǎng)絡(luò),網(wǎng)絡(luò)架構(gòu),a)工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個區(qū)域，區(qū)域間應(yīng)采用技術(shù)隔離手段；,1,a)工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個區(qū)域，區(qū)域間應(yīng)采用技術(shù)隔離手段；,1,a)工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個區(qū)域，區(qū)域間應(yīng)采用單向的技術(shù)隔離手段；,1,a)工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個區(qū)域，區(qū)域間應(yīng)采用符合國家或行業(yè)規(guī)定的專用產(chǎn)品實現(xiàn)單向安全隔離；,1,,1,1,1,1

4,,,b)工業(yè)控制系統(tǒng)內(nèi)部應(yīng)根據(jù)業(yè)務(wù)特點劃分為不同的安全域，安全域之間應(yīng)采用技術(shù)隔離手段。,1,b)工業(yè)控制系統(tǒng)內(nèi)部應(yīng)根據(jù)業(yè)務(wù)特點劃分為不同的安全域，安全域之間應(yīng)采用技術(shù)隔離手段；,1,b)工業(yè)控制系統(tǒng)內(nèi)部應(yīng)根據(jù)業(yè)務(wù)特點劃分為不同的安全域，安全域之間應(yīng)采用技術(shù)隔離手段；,1,b)工業(yè)控制系統(tǒng)內(nèi)部應(yīng)根據(jù)業(yè)務(wù)特點劃分為不同的安全域，安全域之間應(yīng)采用技術(shù)隔離手段；,1,,1,1,1,1

5,,,,,c)涉及實時控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)，應(yīng)使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實現(xiàn)與其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。,1,c)涉及實時控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)，應(yīng)使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實現(xiàn)與其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。,1,c)涉及實時控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)，應(yīng)使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實現(xiàn)與其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離。,1,,,1,1,1

6,,通信傳輸,,,在工業(yè)控制系統(tǒng)內(nèi)使用廣域網(wǎng)進(jìn)行控制指令或相關(guān)數(shù)據(jù)交換的應(yīng)采用加密認(rèn)證技術(shù)手段實現(xiàn)身份認(rèn)證、訪問控制和數(shù)據(jù)加密傳輸。,1,在工業(yè)控制系統(tǒng)內(nèi)使用廣域網(wǎng)進(jìn)行控制指令或相關(guān)數(shù)據(jù)交換的應(yīng)采用加密認(rèn)證技術(shù)手段實現(xiàn)身份認(rèn)證、訪問控制和數(shù)據(jù)加密傳輸。,1,在工業(yè)控制系統(tǒng)內(nèi)使用廣域網(wǎng)進(jìn)行控制指令或相關(guān)數(shù)據(jù)交換的應(yīng)采用加密認(rèn)證技術(shù)手段實現(xiàn)身份認(rèn)證、訪問控制和數(shù)據(jù)加密傳輸。,1,,,1,1,1

7,安全區(qū)域邊界,訪問控制,應(yīng)在工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間部署訪問控制設(shè)備，配置訪問控制策略，禁止任何穿越區(qū)域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)。,1,a)應(yīng)在工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間部署訪問控制設(shè)備，配置訪問控制策略，禁止任何穿越區(qū)域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)；,1,a)應(yīng)在工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間部署訪問控制設(shè)備，配置訪問控制策略，禁止任何穿越區(qū)域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)；,1,a)應(yīng)在工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間部署訪問控制設(shè)備，配置訪問控制策略，禁止任何穿越區(qū)域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)；,1,,1,1,1,1

8,,,,,b)應(yīng)在工業(yè)控制系統(tǒng)內(nèi)安全域和安全域之間的邊界防護(hù)機(jī)制失效時，及時進(jìn)行報警。,1,b)應(yīng)在工業(yè)控制系統(tǒng)內(nèi)安全域和安全域之間的邊界防護(hù)機(jī)制失效時，及時進(jìn)行報警。,0.4,b)應(yīng)在工業(yè)控制系統(tǒng)內(nèi)安全域和安全域之間的邊界防護(hù)機(jī)制失效時，及時進(jìn)行報警。,0.4,,,1,0.4,0.4

9,,撥號使用控制,,,工業(yè)控制系統(tǒng)確需使用撥號訪問服務(wù)的，應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量，并采取用戶身份鑒別和訪問控制等措施。,1,a)工業(yè)控制系統(tǒng)確需使用撥號訪問服務(wù)的，應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量，并采取用戶身份鑒別和訪問控制等措施；,0.4,a)工業(yè)控制系統(tǒng)確需使用撥號訪問服務(wù)的，應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量，并采取用戶身份鑒別和訪問控制等措施；,0.4,,,1,0.4,0.4

10,,,,,,,b)撥號服務(wù)器和客戶端均應(yīng)使用經(jīng)安全加固的操作系統(tǒng)，并采取數(shù)字證書認(rèn)證、傳輸加密和訪問控制等措施。,1,b)撥號服務(wù)器和客戶端均應(yīng)使用經(jīng)安全加固的操作系統(tǒng)，并采取數(shù)字證書認(rèn)證、傳輸加密和訪問控制等措施；,0.4,,,,1,0.4

11,,,,,,,,,c)涉及實時控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)禁止使用撥號訪問服務(wù)。,1,,,,,1

12,,無線使用控制,a)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）提供唯一性標(biāo)識和鑒別；,0.4,a)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）提供唯一性標(biāo)識和鑒別；,0.4,a)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）提供唯一性標(biāo)識和鑒別；,0.4,a)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）提供唯一性標(biāo)識和鑒別；,0.4,,0.4,0.4,0.4,0.4

13,,,b)應(yīng)對無線連接的授權(quán)、監(jiān)視以及執(zhí)行使用進(jìn)行限制。,0.4,b)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）進(jìn)行授權(quán)以及執(zhí)行使用進(jìn)行限制。,0.4,b)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）進(jìn)行授權(quán)以及執(zhí)行使用進(jìn)行限制；,0.4,b)應(yīng)對所有參與無線通信的用戶（人員、軟件進(jìn)程或者設(shè)備）進(jìn)行授權(quán)以及執(zhí)行使用進(jìn)行限制；,0.4,,0.4,0.4,0.4,0.4

14,,,,,,,c)應(yīng)對無線通信采取傳輸加密的安全措施，實現(xiàn)傳輸報文的機(jī)密性保護(hù)；,1,c)應(yīng)對無線通信采取傳輸加密的安全措施，實現(xiàn)傳輸報文的機(jī)密性保護(hù)；,0.4,,,,1,0.4

15,,,,,,,d)對采用無線通信技術(shù)進(jìn)行控制的工業(yè)控制系統(tǒng)，應(yīng)能識別其物理環(huán)境中發(fā)射的未經(jīng)授權(quán)的無線設(shè)備，報告未經(jīng)授權(quán)試圖接入或干擾控制系統(tǒng)的行為。,1,d)對采用無線通信技術(shù)進(jìn)行控制的工業(yè)控制系統(tǒng)，應(yīng)能識別其物理環(huán)境中發(fā)射的未經(jīng)授權(quán)的無線設(shè)備，報告未經(jīng)授權(quán)試圖接入或干擾控制系統(tǒng)的行為。,1,,,,1,1

16,安全計算環(huán)境,控制設(shè)備安全,a)控制設(shè)備自身應(yīng)實現(xiàn)相應(yīng)級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設(shè)備無法實現(xiàn)上述要求，應(yīng)由其上位控制或管理設(shè)備實現(xiàn)同等功能或通過管理手段控制；,1,a)控制設(shè)備自身應(yīng)實現(xiàn)相應(yīng)級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設(shè)備無法實現(xiàn)上述要求，應(yīng)由其上位控制或管理設(shè)備實現(xiàn)同等功能或通過管理手段控制；,1,a)控制設(shè)備自身應(yīng)實現(xiàn)相應(yīng)級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設(shè)備無法實現(xiàn)上述要求，應(yīng)由其上位控制或管理設(shè)備實現(xiàn)同等功能或通過管理手段控制；,1,a)控制設(shè)備自身應(yīng)實現(xiàn)相應(yīng)級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設(shè)備無法實現(xiàn)上述要求，應(yīng)由其上位控制或管理設(shè)備實現(xiàn)同等功能或通過管理手段控制；,1,,1,1,1,1

17,,,b)應(yīng)在經(jīng)過充分測試評估后，在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對控制設(shè)備進(jìn)行補(bǔ)丁更新、固件更新等工作。,1,b)應(yīng)在經(jīng)過充分測試評估后，在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對控制設(shè)備進(jìn)行補(bǔ)丁更新、固件更新等工作。,1,b)應(yīng)在經(jīng)過充分測試評估后，在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對控制設(shè)備進(jìn)行補(bǔ)丁更新、固件更新等工作；,1,b)應(yīng)在經(jīng)過充分測試評估后，在不影響系統(tǒng)安全穩(wěn)定運(yùn)行的情況下對控制設(shè)備進(jìn)行補(bǔ)丁更新、固件更新等工作；,1,,1,1,1,1

18,,,,,,,c)應(yīng)關(guān)閉或拆除控制設(shè)備的軟盤驅(qū)動、光盤驅(qū)動、USB接口、串行口或多余網(wǎng)口等，確需保留的應(yīng)通過相關(guān)的技術(shù)措施實施嚴(yán)格的監(jiān)控管理；,1,c)應(yīng)關(guān)閉或拆除控制設(shè)備的軟盤驅(qū)動、光盤驅(qū)動、USB接口、串行口或多余網(wǎng)口等，確需保留的應(yīng)通過相關(guān)的技術(shù)措施實施嚴(yán)格的監(jiān)控管理；,1,,,,1,1

19,,,,,,,d)應(yīng)使用專用設(shè)備和專用軟件對控制設(shè)備進(jìn)行更新；,1,d)應(yīng)使用專用設(shè)備和專用軟件對控制設(shè)備進(jìn)行更新；,1,,,,1,1

20,,,,,,,e)應(yīng)保證控制設(shè)備在上線前經(jīng)過安全性檢測，避免控制設(shè)備固件中存在惡意代碼程序。,1,e)應(yīng)保證控制設(shè)備在上線前經(jīng)過安全性檢測，避免控制設(shè)備固件中存在惡意代碼程序。,0.4,,,,1,0.4

21,安全建設(shè)管理,產(chǎn)品采購和使用,,,工業(yè)控制系統(tǒng)重要設(shè)備應(yīng)通過專業(yè)機(jī)構(gòu)的安全性檢測后方可采購使用。,1,工業(yè)控制系統(tǒng)重要設(shè)備應(yīng)通過專業(yè)機(jī)構(gòu)的安全性檢測后方可采購使用。,1,工業(yè)控制系統(tǒng)重要設(shè)備應(yīng)通過專業(yè)機(jī)構(gòu)的安全性檢測后方可采購使用。,1,,,1,1,1

22,,外包軟件開發(fā),,,應(yīng)在外包開發(fā)合同中