6.10 系統和信息完整性(SI)

6.10.1　系統和信息完整性方針策略和規程(SI-1)

本項要求包括：

a) 應制定并發布系統和信息完整性保護方針策略，內容至少應包括：目的、范圍、角色、責任、管理層承諾、相關部門的協調、合規性；

b) 應定期對系統和信息完整性保護方針策略及規程進行評審和更新。

6.10.2　漏洞修復(SI-2)

本項要求包括：

a）應對系統中存在的漏洞進行標識、報告并進行糾正；

b）漏洞相關的軟件和固件升級包在安裝前，應驗證其有效性并評估可能帶來的后果；

c）在軟件和固件升級包發布后，應在適當的時間進行升級并明確升級和維護頻率；

d）應將漏洞修復并入組織的配置管理過程之中；

e) 統一管理漏洞修補程序和自動化升級程序；

f) 根據定期采用自動化機制，根據ICS及組件的狀態實施漏洞修復；

g) 根據ICS確定的安全基準線來度量漏洞識別與漏洞修復間的關系；

h) 組織采用自動化的補丁管理工具，以方便漏洞修復；

i) 應明確升級軟件和固件升級包維護功能的責任人。

6.10.3　惡意代碼防護(SI-3)

本項要求包括：

a）應在ICS網絡出入口部署惡意代碼防護機制，并根據組織的配置管理策略和規程，在新的升級包發布后進行更新；

b）應在設備上線前或者檢修期間對ICS進行掃描，對于發現的問題要及時解決并上報；

c）應評估惡意代碼檢測發現的誤報，在處理過程中對系統所產生的影響；

d) 集中管理惡意代碼防護機制；

e) 自動升級惡意代碼防護機制；

f) 防止非特權用戶繞過惡意代碼保護功能；

g) 組織應限制便攜式設備在ICS中的使用；

h) 組織應定期檢測惡意代碼防護機制的有效性。

6.10.4　ICS監視(SI-4)

本項要求包括：

a）應對ICS進行監視，以檢測攻擊和攻擊跡象，檢測本地、網絡的和遠程的未授權連接；

b）應按照組織定義的技術和方法來發現對ICS的未授權使用；

c）應在ICS內部署監視設備，收集相關的重要信息，在特定位置部署臨時性地監視設備，對特性業務類型進行監視；

d）應對入侵監測工具收集的信息進行保護，防止對信息的未授權訪問、修改或刪除；

e）ICS的監視活動應符合適用的法律、法規、規章方面的要求；

f) 組織應采用自動化工具來支持事件的實時分析；

g) 系統應監控進出的非正常和未授權通信；

h) 系統應根據組織定義的顯示威脅進行實時報警；

i) 系統應具有防止非授權用戶繞開入侵檢測/防御系統的能力；

j) 組織應將獨立的入侵檢測工具通過通用協議整合到組織層面的IDS中；

k) 組織應將入侵檢測工具與訪問控制、流量控制等機制整合，以快速響應攻擊；

l）當組織運行、資產、人及與其他組織或國家有關ICS運行的信息安全風險趨勢增加時，應提高ICS監視活動的級別。

6.10.5　安全警報、建議和指示(SI-5)

本項要求包括：

a）應持續地從指定的外部組織接收安全警報、建議和指示；

b）應在必要時發布內部的安全警報、建議和指示；

c）應向承擔系統管理、監視或安全職責的相關人員傳達安全警報、建議和指示；

d）應按照時間計劃實施安全指示并通報完成情況；

e) 組織采用自動化機制及時獲取組織所需的這些安全報警和安全指令。

6.10.6　安全功能驗證(SI-6)

本項要求包括：

a）應驗證既定的安全功能是否正確運行；

b）應在系統啟動或重啟時實施安全驗證或者定期實施安全驗證；

c）應將失敗的測試情況通知相關人員；

d) 系統應提供自動安全驗證失敗通知功能；

e) 系統應提供自動安全驗證支持功能；

f) 應向組織相關負責人報告安全功能驗證結果。

6.10.7　軟件、固件和信息完整性(SI-7)

本項要求包括：

a) 應采用完整性驗證工具來檢測對軟件、固件或者ICS的未授權修改；

b) 組織應定期重新評估軟件和信息的完整性；

c) 組織應提供自動化機制，在軟件和信息完整性異常時通知相關負責人；

d) 組織應集中管理完整性驗證工具；

e) 在傳輸和使用過程中，組織應提供明顯的防篡改包。

6.10.8　信息輸入驗證(SI-8)

本項要求包括：

a）應檢驗輸入信息的有效性；

b) 提供手動重寫機制用于輸入驗證，確保該功能僅用于授權人員，并對該功能進行審計；

c) 確保定期對輸入驗證錯誤的審查；

d) 在收到無效輸入時，確保ICS按照預定的方式運行；

e) 對無效輸入的響應不應影響正常運行時序；

f) 按組織預定義的格式和內容限制系統輸入。

6.10.9　錯誤處理(SI-9)

本項要求包括：

a) 應生成錯誤信息，該信息中要包含修正錯誤所必須的信息，且同時不能泄露可能被惡意利用的信息。

b) 應僅向指定的人員通報相關錯誤信息。

6.10.10　信息處理和留存(SI-10)

本項要求包括：

a) 應根據可適用的法律、法規、規章、標準以及運行要求，對ICS內及ICS輸出的信息進行處理和留存。

6.10.11　防止可預計的故障(SI-11)

本項要求包括：

a) 應確定在特定運行環境中信息組件的平均故障間隔時間；

b) 應提供可替代的ICS組件、對組件進行激活和建立主備切換的機制；

c) 組織應在不遲于平均故障間隔時間內，或定期實現主備組件的切換；

d) 組織應禁止在無監督的情況下實施切換；

e) 組織應在定義的時間間隔內手動完成主備組件的切換；

f) 如果檢測到系統組件故障，組織應確保備用系統組件成功并透明地在定義的時間段內發揮作用。

6.10.12　信息的輸出過濾(SI-12)

本項要求包括：

a）應確認軟件和應用輸出的信息與期望的內容相吻合。

6.10.13　內存防護(SI-13)

本項要求包括：

a）應執行安全保護措施，以防代碼在內存中進行未授權的執行。

6.10.14　入侵檢測和防護(SI-14)

本項要求包括：

a）應在工業控制系統的安全建設方案中考慮部署入侵檢測系統。