B.2 安全評估與授權（CA）

B.2 安全評估與授權（CA）

B.2.1　安全評估與授權策略和規程（CA-1）

控制：
組織應：
a) 制定并發布安全評估與授權策略及規程方針策略，內容至少應包括：目的、范圍、角色、責任、管理層承諾、相關部門間的協調和合規性；
b) 制定并發布安全評估與授權方針策略及規程，以推動安全評估與授權策略及與相關安全控制的實現；
c) 按【賦值：組織定義的時間間隔】，對安全評估與授權策略和規程進行評審和更新。
補充指導：
a） 通過該控制來有效實現安全評估與授權族中安全控制和安全增強的策略和規程；
b） 這些策略和規程要與相關法律、法規、政策和標準保持一致；
c） 安全評估與授權策略可作為組織信息安全策略的一部分；
d） 安全評估與授權規程一般可針對安全程序予以開發，當需要時也可針對特殊的ICS予以開發；
e） 在開發安全評估與授權策略中，組織風險管理戰略是一個重要的因素。

B.2.2　安全評估（CA-2）

控制：
組織應：
a） 按【賦值：組織定義的時間間隔】評估ICS安全控制，以確定這些控制正確實現程度，按預期運行的程度，產生期望結果的程度，是否滿足系統的安全需求；
b） 產生評估報告，記錄評估結果。
補充指導：
a） 組織應評估ICS安全控制，作為滿足安全需求年度評估的一部分，作為持續監視的一部分，作為ICS開發生存周期中系統測試和評估的一部分；
b） 評估報告按【賦值：組織要求的詳細程度】來記錄評估結果，以便確定該報告的準確性和完備性；
c） 按安全需求，在【賦值：組織定義的時間間隔】內進行一次安全評估，最少一年進行一次安全評估；
d） 為了滿足年度評估要求，組織可持續監視或作為系統開發生存周期過程一部分的ICS測試和評估，勾畫出信息安全評估結果；
e） 現有的安全評估結果，只要仍然有效，可在一定程度上予以復用，并在需要時與附加的評估互補；
f） 安全評估活動絕對不能影響ICS正常運行；
g） 如果必須離線評估ICS，應將評估活動安排在計劃好的ICS停機階段；
h） 某些情況下，組織認為ICS在線測試不可取或不適用或可能產生負面影響，應按裁剪指導，使用合適的補償控制（例如，提供一個替代的系統進行評估），并在安全計劃中記錄原因。
i） 相關安全控制：CA-4、CA-6、CA-7。
控制增強：
a） 組織應使用獨立的評估人員和評估組織，進行ICS中的安全評估；
b） 作為安全評估的一部分，組織應【賦值：組織定義的時間間隔】開展【選擇：深度監視、惡意用戶測試、滲透測試或組織定義的其它形式的安全測試】。
增強補充指導：
1) 滲透測試演練物理方面和技術方面的安全控制。滲透測試的標準方法包括：測試前分析，基于目標系統的整個了解；測試前潛在脆弱性的標識，基于測試前分析；對于所標識脆弱性，確定其可利用性所設計的測試。
2) 在任一滲透測試場景開始前，各方應就詳細的測試規則達成一致意見；這些規則與實施攻擊中的威脅源所使用的工具、技術和規程是相互聯系的。
3) 進行滲透測試的滲透代理或滲透小組，其獨立程度可由組織的風險評估予以指導，做出相應的決策。
4) 進行紅色小組演練，作為模擬的敵對方，嘗試破壞組織使命和業務過程，以便提供一個綜合詳細的ICS和組織的安全能力評估。
5) 滲透測試可以是以實驗室為基礎的測試，但一般期望是更綜合性的，并反映實際條件的測試。
6) 進行ICS監視、惡意用戶測試、滲透測試、紅色小組演練以及其它形式的安全測試，其目的是為了通過演練，來改善組織的實際現狀，作為關注組織改進系統和組織安全狀態的行為的一種手段。
7) 依據相關法律、法規、政策、制度和標準的要求進行測試。
8) 測試方法要得到授權官員的批準，其中應與組織風險管治功能部門協調。
9) 在紅色小組演練期間，覆蓋的脆弱性應編入到脆弱性修補過程中。
c） 組織應開發并使用安全評估計劃，描述ICS要予評估的可用的安全控制和控制增強，描述評估環境，評估范圍，評估組以及評估角色和責任；
d） 組織應開發并使用評估規程文檔，其中包含實現的安全控制和控制增強的詳細描述，以及該實現如何在評估期間得以驗證；

B.2.3　ICS連接管理（CA-3）

控制：
組織應：
a） 制定ICS與其它ICS互聯安全規定，授權ICS與外部其它系統進行連接；
b） 對ICS與外部其他工業控制系統連接的接口特征、安全要求、通信信息特性等內容進行記錄；
c） 在【賦值：組織定義的時間間隔】評審ICS與外部的連接情況，以驗證ICS連接是否符合規定要求。
補充指導：
a） 組織應評估ICS中的安全控制，作為滿足安全需求年度評估的一部分，作為持續監視的一部分，作為ICS開發生存周期過程中系統測試與評估一部分；
b） 評估報告應按組織要求的詳細程度來記錄評估結果，以便確定該報告的準確性和完備性；
c） 按安全需求，按【賦值：組織定義的時間間隔】進行安全控制評估；
d） 為了滿足年度評估需求，組織可持續監視或作為系統開發生存周期過程一部分的ICS測試和評估，勾畫出信息安全評估結果；
e） 現有的安全評估結果，只要仍然有效，可在一定程度上予以復用，并當需要時與附加的評估互補。
f） 相關安全控制：AC-2、AC-4
控制增強：
a） 組織應阻止把未分保密等級的國家安全系統直接連接到外部網絡。
增強補充指導：
1) 不直接連接，意指在沒有使用得到批準的邊界保護設備（例如防火墻）的情況下，不能連接到外部網絡。
b） 組織應阻止把具有保密等級的國家安全系統直接連接到外部網絡。
增強補充指導：
1) 不直接連接，意指在沒有使用得到批準的邊界保護設備（例如防火墻）的情況下，不能連接到外部網絡；

B.2.4　實施計劃（CA-4）

控制：
組織應：
a) 制定行動計劃，在其中記錄下擬采取的整改行動，以改正在安全控制評估中發現的弱點和不足，減少或消除系統中的已知漏洞；
b) 根據安全評估、后果分析和持續監控的情況，按【賦值：組織定義的時間間隔】更新現有的行動計劃。
補充指導：
a） 該計劃記錄了組織為糾正在安全評估期間所發現的弱點或不足所規劃的修補動作，目的是減少或消除系統中已知的脆弱性；
b） 行動計劃是安全授權包中的一個關鍵文檔；
c） 該計劃的調整是基于安全評估中、安全影響中的發現，并繼續進行監視活動。
d） 相關安全控制：CA-2、CA-7、CM-4。
控制增強：

B.2.5　安全授權（CA-5）

控制：
組織應：
a） 指定【賦值：高層管理人員】作為ICS的授權責任人；
b） 未經授權責任人正式授權，ICS不得投入運行；
c） 在【賦值：組織定義的時間間隔】或發生重大變更時，對ICS重新進行安全授權。
補充指導：
a） 授權責任人應具有ICS的預算能力，或負責系統所支持的組織使命或業務運行；
b） 通過安全授權過程，授權責任人應考慮與ICS運行相關聯的安全風險，相對應的，授權責任人應在與理解和接受ICS相關安全風險相稱的管理崗位；
c） 通過使用綜合持續的監視過程，持續地調整授權（如包含風險評估的安全計劃）中所包含的關鍵信息、安全評估報告以及行動計劃，向授權責任人和ICS擁有者提供及時的ICS安全狀態；
d） 為了減少管理安全再授權的成本，授權責任人應使用持續監視過程的結果，盡可能按那個基礎，做出再授權的決定。
e） 相關安全控制：CA-2、CA-7、PM-9。

B.2.6　持續監控（CA-6）

控制：
a) 組織應持續監視ICS中的安全控制。
補充指導：
a） 持續監視程序允許組織依據變化的威脅、脆弱性、技術、使命和業務過程，在高動態運行環境中及時維護ICS的安全授權；
b） 使用自動化支持工具來持續監視安全控制，進行實時的ICS風險管理；
c） 有效的持續監視程序包括：ICS構件的配置管理和控制、系統變更或其運行環境的變更的安全影響分析、持續評估安全控制和ICS狀態報告；
d） 該控制與監視配置變更中所需要的活動緊密相關并相互支持。有效的持續監視程序，導致不斷地調整安全計劃、安全評估報告、動作和里程碑計劃；
e） 嚴格和良好地執行持續監視程序，可充分地減少重新授權ICS所需要的工作量；
f） 組織應確保評估不干擾ICS的功能。
g） 相關安全控制：CA-2、CA-4、CA-5、CM-3、CM-4。
控制增強：
a） 組織應使用獨立評估人員或評估組織，在持續的基礎上來監視工業控制系統的安全控制。
增強補充指導：
1) 組織在持續監視期間，通過要求獨立評估人員或小組評估工業控制系統授權周期期間所有安全控制，可以擴大并最大化安全控制持續評估的價值。
b） 組織應【賦值：組織定義的時間間隔】規劃、安排并進行評估，宣布或不宣布【選擇：深度監視、惡意用戶測試、滲透測試、紅色小組演練或組織定義的其它形式的安全評估】，以便確保符合所有脆弱性緩解過程。
增強補充指導：
1) 脆弱性緩解規程的例子包含在信息保障脆弱性警告中，期望通過測試來確保工業控制系統的安全能力，持續提供準確的保障，以免不斷演化威脅和脆弱性。
2) 符合性測試還提供了獨立的確認。

B.2.7　滲透測試（CA-7）

控制：
a) 組織應按【賦值：組織定義的時間間隔】對ICS及組件執行滲透測試，以保障ICS能夠抵抗一定強度的攻擊。
補充指導：
a) 滲透測試通過模仿攻擊者攻擊的方式，來分析ICS系統或組件可能存在的脆弱性和漏洞；
b) 滲透測試是一種特殊的ICS系統或組件進行評估方式，以發現可能被攻擊者利用的漏洞；
c) 滲透測試用來驗證的漏洞被利用程度，以及可能遭受的損壞；
d) 滲透測試可以針對ICS硬件、軟件或固件組件進行。
e) 相關安全控制：CA-2。
控制增強：

B.2.8　內部連接（CA-8）

控制：
a) 組織應對連接ICS及組件的內部系統進行授權；
b) 應對每個內部連接的系統特性、安全性要求、通信方式、交互內容等進行歸檔登記。
補充指導：
a) 該控制適用于組織內與ICS連接的所有系統，包括移動設備、筆記本/臺式電腦、打印機、復印機、傳真機、掃描儀、傳感器和服務器等。
b) 相關安全控制：CA-3、CA-4。
控制增強：