9.5　工業控制系統安全測評擴展要求

9.5　工業控制系統安全測評擴展要求

9.5.1　安全物理環境

9.5.1.1　室外控制設備物理防護

9.5.1.1.1　測評單元（L4-PES5-01）

該測評單元包括以下要求：
a) 測評指標：室外控制設備應放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風、散熱、防盜、防雨和防火能力等；
b) 測評對象：室外控制設備；
c) 測評實施包括以下內容：
1) 應核查是否放置于采用鐵板或其他防火材料制作的箱體或裝置中并緊固；
2) 應核查箱體或裝置是否具有透風、散熱、防盜、防雨和防火能力等。

9.5.1.1.2　測評單元（L4-PES5-02）

該測評單元包括以下要求：
a) 測評指標：室外控制設備放置應遠離強電磁干擾、強熱源等環境，如無法避免應及時做好應急處置及檢修，保證設備正常運行；
b) 測評對象：室外控制設備；
c) 測評實施包括以下內容：
1) 應核查放置位置是否遠離強電磁干擾和熱源等環境；
2) 應核查是否有應急處置及檢修維護記錄。

9.5.2　安全通信網絡

9.5.2.1　網絡架構

9.5.2.1.1　測評單元（L4-CNS5-01）

該測評單元包括以下要求：
a) 測評指標：應在工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用符合國家或行業規定的專用產品實現單向安全隔離；
b) 測評對象：網閘、防火墻和單向安全隔離裝置等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查工業控制系統和企業其他系統之間是否部署單向隔離設備；
2) 應核查是否采用了有效的單向隔離策略實施訪問控制；
3) 應核查使用無線通信的工業控制系統邊界是否采用與企業其他系統隔離強度相同的措施；
4) 應核查所使用的專用產品是否符合國家規定，如有行業特殊規定的是否符合行業規定。

9.5.2.1.2　測評單元（L4-CNS5-02）

該測評單元包括以下要求：
a) 測評指標：工業控制系統內部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段；
b) 測評對象：路由器、交換機和防火墻等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查工業控制系統內部是否根據業務特點劃分了不同的安全域；
2) 應核查各安全域之間訪問控制設備是否配置了有效的訪問控制策略。

9.5.2.1.3　測評單元（L4-CNS5-03）

該測評單元包括以下要求：
a) 測評指標：涉及實時控制和數據傳輸的工業控制系統，應使用獨立的網絡設備組網，在物理層面上實現與其它數據網及外部公共信息網的安全隔離；
b) 測評對象：工業控制系統網絡；
c) 測評實施：應核查涉及實時控制和數據傳輸的工業控制系統是否在物理層面上獨立組網；

9.5.2.2　通信傳輸

9.5.2.2.1　測評單元（L4-CNS5-04）

該測評單元包括以下要求：
a) 測評指標：在工業控制系統內使用廣域網進行控制指令或相關數據交換的應采用加密認證技術手段實現身份認證、訪問控制和數據加密傳輸；
b) 測評對象：加密認證設備、路由器、交換機和防火墻等提供訪問控制功能的設備；
c) 測評實施：應核查工業控制系統中使用廣域網傳輸的控制指令或相關數據是否采用加密認證技術實現身份認證、訪問控制和數據加密傳輸；

## 9.5.3　安全區域邊界

9.5.3.1　訪問控制

9.5.3.1.1　測評單元（L4-ABS5-01）

該測評單元包括以下要求：
a) 測評指標：工業控制系統與企業其他系統之間部署訪問控制設備，配置訪問控制策略，禁止任何穿越區域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務；
b) 測評對象：網閘、防火墻、路由器和交換機等提供訪問控制功能的設備；
c) 測評實施包括以下內容：
1) 應核查在工業控制系統與企業其他系統之間的網絡邊界是否部署訪問控制設備，是否配置訪問控制策略；
2) 應核查設備安全策略，是否禁止E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務穿越邊界。

9.5.3.1.2　測評單元（L4-ABS5-02）

該測評單元包括以下要求：
a) 測評指標：應在工業控制系統內安全域和安全域之間的邊界防護機制失效時，及時進行報警；
b) 測評對象：網閘、防火墻、路由器和交換機等提供訪問控制功能的設備，監控預警設備；
c) 測評實施包括以下內容：
1) 應核查設備是否可以在策略失效的時候進行告警；
2) 應核查是否部署監控預警系統或相關模塊，在邊界防護機制失效時可及時告警。

9.5.3.2　撥號使用控制

9.5.3.2.1　測評單元（L4-ABS5-03）

該測評單元包括以下要求：
a) 測評指標：工業控制系統確需使用撥號訪問服務的，應限制具有撥號訪問權限的用戶數量，并采取用戶身份鑒別和訪問控制等措施；
b) 測評對象：撥號服務類設備；
c) 測評實施：應核查撥號設備是否限制具有撥號訪問權限的用戶數量，撥號服務器和客戶端是否使用賬戶/口令等身份鑒別方式，是否采用控制賬戶權限等訪問控制措施；

9.5.3.2.2　測評單元（L4-ABS5-04）

該測評單元包括以下要求：
a) 測評指標：撥號服務器和客戶端均應使用經安全加固的操作系統，并采取數字證書認證、傳輸加密和訪問控制等措施；
b) 測評對象：撥號服務類設備；
c) 測評實施：應核查撥號服務器和客戶端是否使用經安全加固的操作系統，并采取加密、數字證書認證和訪問控制等安全防護措施；

9.5.3.2.3　測評單元（L4-ABS5-05）

該測評單元包括以下要求：
a) 測評指標：涉及實時控制和數據傳輸的工業控制系統禁止使用撥號訪問服務；
b) 測評對象：撥號服務類設備；
c) 測評實施：應核查涉及實時控制和數據傳輸的工業控制系統內是否禁止使用撥號訪問服務；

9.5.3.3　無線使用控制

9.5.3.3.1　測評單元（L4-ABS5-06）

該測評單元包括以下要求：
a) 測評指標：應對所有參與無線通信的用戶（人員、軟件進程或者設備）提供唯一性標識和鑒別；
b) 測評對象：無線通信網絡及設備；
c) 測評實施包括以下內容：
1) 應核查無線通信的用戶在登錄時是否采用了身份鑒別措施；
2) 應核查用戶身份標識是否具有唯一性。

9.5.3.3.2　測評單元（L4-ABS5-07）

該測評單元包括以下要求：
a) 測評指標：應對所有參與無線通信的用戶（人員、軟件進程或者設備）進行授權以及執行使用進行限制；
b) 測評對象：無線通信網絡及設備；
c) 測評實施：應核查無線通信過程中是否對用戶進行授權，核查具體權限是否合理，核查未授權的使用是否可以被發現及告警；

9.5.3.3.3　測評單元（L4-ABS5-08）

該測評單元包括以下要求：
a) 測評指標：應對無線通信采取傳輸加密的安全措施，實現傳輸報文的機密性保護；
b) 測評對象：無線通信網絡及設備；
c) 測評實施：應核查無線通信傳輸中是否采用加密措施保證傳輸報文的機密性；

9.5.3.3.4　測評單元（L4-ABS5-09）

該測評單元包括以下要求：
a) 測評指標：對采用無線通信技術進行控制的工業控制系統，應能識別其物理環境中發射的未經授權的無線設備，報告未經授權試圖接入或干擾控制系統行為；
b) 測評對象：無線通信網絡及設備、監測設備；
c) 測評實施：應核查工業控制系統是否可以實時監測其物理環境中發射的未經授權的無線設備；監測設備應及時發出告警并可以對試圖接入的無線設備進行屏蔽；

9.5.4　安全計算環境

9.5.4.1　控制設備安全

9.5.4.1.1　測評單元（L4-CES5-01）

該測評單元包括以下要求：
a) 測評指標：控制設備自身應實現相應級別安全通用要求提出的身份鑒別、訪問控制和安全審計等安全要求，如受條件限制控制設備無法實現上述要求，應由其上位控制或管理設備實現同等功能或通過管理手段控制；
b) 測評對象：控制設備；
c) 測評實施包括以下內容：
1) 應核查控制設備是否具有身份鑒別、訪問控制和安全審計等功能，如控制設備具備上述功能，則按照通用要求測評；
2) 如控制設備不具備上述功能，則核查是否由其上位控制或管理設備實現同等功能或通過管理手段控制。

9.5.4.1.2　測評單元（L4-CES5-02）

該測評單元包括以下要求：
a) 測評指標：應在經過充分測試評估后，在不影響系統安全穩定運行的情況下對控制設備進行補丁更新、固件更新等工作；
b) 測評對象：控制設備；
c) 測評實施包括以下內容：
1) 應核查是否有測試報告或測試評估記錄；
2) 應核查控制設備版本、補丁及固件是否經過充分測試后進行了更新。

9.5.4.1.3　測評單元（L4-CES5-03）

該測評單元包括以下要求：
a) 測評指標：應關閉或拆除控制設備的軟盤驅動、光盤驅動、USB接口、串行口或多余網口等，確需保留的必須通過相關的技術措施實施嚴格的監控管理；
b) 測評對象：控制設備；
c) 測評實施包括以下內容：
1) 應核查控制設備是否關閉或拆除設備的軟盤驅動、光盤驅動、USB接口、串行口或多余網口等；
2) 應核查保留的軟盤驅動、光盤驅動、USB接口、串行口或多余網口等是否通過相關的措施實施嚴格的監控管理。

9.5.4.1.4　測評單元（L4-CES5-04）

該測評單元包括以下要求：
a) 測評指標：應使用專用設備和專用軟件對控制設備進行更新；
b) 測評對象：控制設備；
c) 測評實施：應核查是否使用專用設備和專用軟件對控制設備進行更新；

9.5.4.1.5　測評單元（L4-CES5-05）

該測評單元包括以下要求：
a) 測評指標：應保證控制設備在上線前經過安全性檢測，避免控制設備固件中存在惡意代碼程序；
b) 測評對象：控制設備；
c) 測評實施：應核查由相關部門出具或認可的控制設備的檢測報告，明確控制設備固件中是否不存在惡意代碼程序；

9.5.5　安全建設管理

9.5.5.1　產品采購和使用

9.5.5.1.1　測評單元（L4-CMS5-01）

該測評單元包括以下要求：
a) 測評指標：工業控制系統重要設備應通過專業機構的安全性檢測后方可采購使用；
b) 測評對象：安全管理員和檢測報告類文檔；
c) 測評實施包括以下內容：
1) 應訪談安全管理員系統使用的工業控制系統重要設備及網絡安全專用產品是否通過專業機構的安全性檢測；
2) 應核查工業控制系統是否有通過專業機構出具的安全性檢測報告。

9.5.5.2　外包軟件開發

9.5.5.2.1　測評單元（L4-CMS5-02）

該測評單元包括以下要求：
a) 測評指標：應在外包開發合同中規定針對開發單位、供應商的約束條款，包括設備及系統在生命周期內有關保密、禁止關鍵技術擴散和設備行業專用等方面的內容；
b) 測評對象：外包合同；
c) 測評實施：應核查是否在外包開發合同中規定針對開發單位、供應商的約束條款，包括設備及系統在生命周期內有關保密、禁止關鍵技術擴散和設備行業專用等方面的內容；