6.5　工業控制系統安全測評擴展要求

6.5　工業控制系統安全測評擴展要求

6.5.1　安全物理環境

6.5.1.1　室外控制設備物理防護

6.5.1.1.1　測評單元（L1-PES5-01）

該測評單元包括以下要求：
a) 測評指標：室外控制設備應放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風、散熱、防盜、防雨和防火能力等；
b) 測評對象：室外控制設備；
c) 測評實施包括以下內容：
1) 應核查是否放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；
2) 應核查箱體或裝置是否具有透風、散熱、防盜、防雨和防火能力等。

6.5.1.1.2　測評單元（L1-PES5-02）

該測評單元包括以下要求：
a) 測評指標：室外控制設備放置應遠離強電磁干擾、強熱源等環境，如無法避免應及時做好應急處置及檢修，保證設備正常運行；
b) 測評對象：室外控制設備；
c) 測評實施包括以下內容：
1) 應核查放置位置是否遠離強電磁干擾和熱源等環境；
2) 應核查是否有應急處置及檢修維護記錄。

6.5.2　安全通信網絡

6.5.2.1　網絡架構

6.5.2.1.1　測評單元（L1-CNS5-01）

該測評單元包括以下要求：
a) 測評指標：工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用技術隔離手段；
b) 測評對象：網閘、路由器、交換機和防火墻等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查工業控制系統和企業其他系統之間是否部署單向隔離設備；
2) 應核查是否采用了有效的單向隔離策略實施訪問控制；
3) 應核查使用無線通信的工業控制系統邊界是否采用與企業其他系統隔離強度相同的措施。

6.5.2.1.2　測評單元（L1-CNS5-02）

該測評單元包括以下要求：
a) 測評指標：工業控制系統內部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段；
b) 測評對象：路由器、交換機和防火墻等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查工業控制系統內部是否根據業務特點劃分了不同的安全域；
2) 應核查各安全域之間訪問控制設備是否配置了有效的訪問控制策略。

6.5.3　安全區域邊界

6.5.3.1　訪問控制

6.5.3.1.1　測評單元（L1-ABS5-01）

該測評單元包括以下要求：
a) 測評指標：應在工業控制系統與企業其他系統之間部署訪問控制設備，配置訪問控制策略，禁止任何穿越區域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務；
b) 測評對象：網閘、防火墻、路由器和交換機等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查在工業控制系統與企業其他系統之間的網絡邊界是否部署訪問控制設備，是否配置訪問控制策略；
2) 應核查設備安全策略，是否禁止E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務穿越邊界。

6.5.3.2　無線使用控制

6.5.3.2.1　測評單元（L1-ABS5-02）

該測評單元包括以下要求：
a) 測評指標：應對所有參與無線通信的用戶（人員、軟件進程或者設備）提供唯一性標識和鑒別；
b) 測評對象：無線通信網絡及設備；
c) 測評實施包括以下內容：
1) 應核查無線通信的用戶在登錄時是否采用了身份鑒別措施；
2) 應核查用戶身份標識是否具有唯一性。
d) 單元判定：如果1）-2）均為肯定，則符合本測評單元指標要求，否則不符合或部分符合本測評單元指標要求。
6.5.3.2.2　測評單元（L1-ABS5-03）
該測評單元包括以下要求：
a) 測評指標：應對無線連接的授權、監視以及執行使用進行限制；
b) 測評對象：無線通信網絡及設備；
c) 測評實施：應核查無線配置文件是否對連接的授權、監視及執行進行限制；

6.5.4　安全計算環境

6.5.4.1　控制設備安全

6.5.4.1.1　測評單元（L1-CES5-01）

該測評單元包括以下要求：
a) 測評指標：控制設備自身應實現相應級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設備無法實現上述要求，應由其上位控制或管理設備實現同等功能或通過管理手段控制；
b) 測評對象：控制設備；
c) 測評實施包括以下內容：
1) 應核查控制設備是否具有身份鑒別、訪問控制和安全審計等功能，如控制設備具備上述功能，則按照通用要求測評；
2) 如控制設備不具備上述功能，則核查是否由其上位控制或管理設備實現同等功能或通過管理手段控制。

6.5.4.1.2　測評單元（L1-CES5-02）

該測評單元包括以下要求：
a) 測評指標：應在經過充分測試評估后，在不影響系統安全穩定運行的情況下對控制設備進行補丁更新、固件更新等工作；
b) 測評對象：控制設備；
c) 測評實施包括以下內容：
1) 應核查是否有測試報告或測試評估記錄；
2) 應核查控制設備版本、補丁及固件是否經過測試后進行了更新。