B.9 配置管理（CM）

B.9 配置管理（CM）

A.1.1　應急計劃策略和規程（CP-1）
控制：
組織應：
a） 制定并發布正式的應急計劃策略，內容包括目的、范圍、角色、責任、管理承諾、組織實體之間的協調關系以及依從關系等。
b） 制定并發布正式的應急計劃章程，以推進應急計劃策略及相關安全控制的實施；
c） 按【賦值：組織定義的時間間隔】，對應急計劃策略及規程進行評審和更新。
補充指導：
a） 應急計劃策略和章程應與相關的法律、法規、政策、制度及標準相一致。
b） 應急計劃策略可以包含在組織的通用信息安全策略中，需要時，可以為一般的安全程序或特殊ICS制定應急計劃章程。
控制增強：無
A.1.2　應急計劃（CP-2）
控制：
組織應：
a) 制定ICS應急計劃并獲得管理層批準。計劃中應識別ICS業務應急需求、規定系統恢復優先級與目標、明確責任人；
b) 制定ICS災難恢復計劃并獲得管理層批準。災難恢復計劃應包含：啟動災難恢復計劃的事件；由自動運行變更手動運行規程；由遠程控制變更為就地控制規程；響應者的角色和職責；備份及存儲的規程；邏輯網絡圖；授權對ICS進行物理和邏輯訪問的人員清單；聯系信息（包括ICS廠商、網絡管理員、ICS支持人員等）；當前配置信息；部件更換要求；
c) 把計劃發布到【賦值：組織定義的、由名字和角色所標識的關鍵持續性人員和組織單位】；
d) 按【賦值：組織定義的時間間隔】，組織評審計劃。
補充指導：
a） 在系統內部或與操作設備通信過程中發生處理失敗時，應執行某些預置措施，如：
1) 向操作者發出失敗警告，不采取措施；
2) 向操作者發出失敗警告，并安全關閉處理進程；
3) 保留失敗前最后的操作設置。
b） 組織應為各類系統或設施，定義連續性計劃，在ICS內或運行設施的通訊內喪失處理的事件中，ICS執行預先確定的規程（例如，警示設施的操作員，然后空運行；警示設施的操作員，然后安全地停止工業過程；警示設施的操作員，然后在失效之前維護最后的運行設置）；
c） 考慮恢復系統狀態變量，作為恢復的一部分（例如，在破壞之前，把機閥恢復到它們原始的設置）。
d） 相關安全控制：CP-6、CP-7、CP-8、CP-9。
控制增強：
a) 組織應協調應急計劃與其他計劃間的一致性；
b) 組織應規劃應急處理時的信息處理、通信和環境等支撐能力；
c) 組織應維護應急計劃，保障基本業務功能在規定的時間內保持正常運行；
d) 組織應維護應急計劃，保障全部業務功能在規定的時間內保持正常運行；
e) 組織應維護硬件計劃，保障基本業務功能不受影響或很少影響地異地運行；
f) 組織應維護硬件計劃，保障全部業務功能不受影響或很少影響地異地運行。
A.1.3　應急計劃培訓（CP-3）
控制：
組織應：
a) 制定應急培訓計劃，并向具有相應角色和職責的工業控制系統用戶提供應急培訓；
b) 按【賦值：組織定義的時間間隔】或在工業控制系統變更時，對相應人員進行應急培訓。
補充指導：
a) 相關安全控制：AT-2、AT-3、CP-2.
控制增強：
a） 模擬事件以配合應急培訓，使得人員在危難時刻具備高效的應對能力。
b） 使用自動化機制提供更加全面、真實的培訓環境。
A.1.4　應急計劃測試和演練（CP-4）
控制：
組織應：
a) 測試和演練工業控制系統的應急計劃；有備用處理場所的應在備用處理場所進行測試和演練；盡量采用自動機制進行。
b) 測試和演練時，應與負責相關計劃的組織內各部門之間協調。
c) 測試和演練后，應將工業控制系統完整恢復和重建到已知狀態。
d) 評審應急計劃的測試結果；如有不合格項應啟動糾正措施。
e) 按【賦值：組織定義的時間間隔】或應急計劃變更時，進行【賦值：組織定義的測試和演練】。
補充指導：
a） 以多種方式測試、演練應急計劃并確定潛在的不足；
b） 應急計劃測試、演練的深度和精細度隨著ICS影響等級的增加而提高；
c） 應急計劃測試、演練中應對按照計劃所執行的緊急操作對系統運行、財產和人員的影響程度作出判斷；
d） 由于對性能、安全（safety）或可靠性具有重大影響而沒有在ICS上測試或演練該連續性計劃的情況下，組織應按裁減指導，使用合適的補償控制（例如，使用安排的或非安排的系統維護活動，包括對ICS部件和系統設施的響應，作為測試或演練連續性計劃的機會）。
e） 相關安全控制：CP-2, CP-3, IR-3。
控制增強：
a) 組織協調應急計劃與其它相關計劃相一致的測試和演練；
b) 組織可在備用系統上測試、演練應急計劃，并評估備用系統的應急處理能力；
c) 組織應采用自動化機制，更徹底、有效地測試和演練應急計劃；
d) 組織應設計一套完整的工業控制系統的恢復和再構造，以便了解持續性計劃測試部分的【選擇：安全（secure）／可靠（safe）】狀態。
增強補充指導：
1) 重新設立該ICS，涉及系統狀態變量的恢復（例如，恢復閥門應具有合適的設置）。
A.1.5　備用存儲設備（CP-5）
控制：
組織應：
a) 建立備用存儲設備，包括可存儲和恢復ICS備份信息的必要協議；
b) 確保備用存儲設備的信息安全防護措施與主存儲場所相同。
補充指導：
a) 備份的頻率和將備份數據傳輸至備用存儲設備的速率要與恢復時間目標和恢復點目標相一致。
控制增強：
a） 備用存儲設備與主存儲設備實施物理隔離，以防止受到同樣災難的破壞；
b） 對備用存儲設備進行配置，保證其進行及時有效的恢復操作；
c） 明確當發生區域性破壞或災難時，備用存儲設備潛在的問題，并明確補救措施。
A.1.6　備用處理設備（CP-6）
控制：
組織應：
a) 建立備用處理設備，并規定ICS遷移至備用處理設備并重啟運行的時間要求；
b) 確保遷移和恢復運行所需要的設備和供給在備用設備可用；
c) 確保備用處理設備的信息安全防護措施與主處理設備相同。
補充指導：
a） 在規定的時間內恢復操作所需的設備和供給在備用設備上可用，或者可以通過規定途徑傳輸到備用設備上；
b） 恢復ICS操作的時間表要與系統建立的恢復時間目標相一致。
控制增強：
a） 備用處理設備應與主處理設備實施物理隔離，以防止受到同樣災難的破壞；
b） 組織應明確災難發生時的遷移行動，并保障災難發生時備用處理設備可用；
c） 組織應按業務可用性需求，開發備用設備的替代服務優先級；
d） 組織應配置備用設備為就緒狀態，準備支持基本的業務功能；
e） 組織應確認備用設備提供的安全功能與主設備一致。
A.1.7　通信服務（CP-7）
控制：
a) 組織應建立備用通信服務，當主通信服務中斷時，在【賦值：組織定義時間】內恢復組織基本業務運行。
補充指導：
相關控制：CP-2、CP-3、CP-6。
控制增強：
a) 組織應根據本組織的可用性要求，開發包含優先服務條款的主、備用電信服務協議；
b) 組織在選擇備用電信服務時，應考慮降低單點故障，盡可能選擇不同的服務商；
c) 組織應要求主、備電信服務商均提供應急響應計劃。
A.1.8　系統備份（CP-8）
控制：
組織應：
a) 制定ICS備份策略，備份策略應當包括：備份方式，備份頻率，備份內容，備份介質等；
b) 按照已制定的備份策略對用戶信息、系統信息及系統文檔進行備份；
c) 采取安全防護措施，保護備份信息的保密性、完整性和可用性。
補充指導：
a） 備份的頻率和將備份數據傳輸至備用存儲設備的速率要與恢復時間目標和恢復點目標相一致。
b） 完整性和可用性是系統備份信息主要關注的特性，保護備份信息以免非法泄露也非常重要。應根據存儲在備份介質上的信息的類型和重要程度，確定在完整性、可用性、機密性方面需要采取的安全保護措施。
c） 系統關鍵數據如業務數據、設備配置數據、性能數據、告警數據等應有本地數據備份，按【賦值：組織定義的周期】進行全備。
d） 相關安全控制：CP-2、CP-6、MP-4、SC-13。
控制增強：
a） 采用合適的機制（如數字簽名、加密散列）對ICS備份信息進行完整性保護；
b） 按預定的頻率對備份信息進行測試以確保介質的可靠性和信息的完整性，保證備份信息的可用性；
c） 作為應急計劃測試和演練的一部分，在恢復ICS功能時有選擇的使用備份信息；
d） 將操作系統和其他重要ICS軟件的備份副本存儲在隔離設備上或者沒有配置操作軟件的存儲器中。
e） 建立異地災備中心，利用通信網絡將信息實時備份到異地災備中心；
f） 建設備份系統，實現ICS數據的自動備份。
A.1.9　系統恢復與重建（CP-9）
控制：
組織應：
a) 支持ICS的恢復與重建，在破壞或故障后能夠恢復到系統原有狀態；
b) 按【賦值：組織定義的、與恢復時間和恢復點的目標一致的時間間隔】，進行ICS中用戶層信息的恢復；
c) 按【賦值：組織定義的、與恢復時間和恢復點的目標一致的時間間隔】，進行ICS中系統層信息的恢復。
補充指導：
a) 安全地將ICS恢復與重建到原有的狀態意味著所有系統參數（包括默認值或自定義值）都將被重新設置為安全值，補丁要重新安裝，安全相關的配置要重新設置，應用軟件和系統軟件要重裝，加載最近一次安全備份上的信息，系統需要進行全面測試。
b) 在某些情況下，ICS可能不合適或不適用該控制，組織應在安全計劃中記錄不采用該控制的原因，必要時選取合適的補償控制。
c) 重建ICS，涉及系統狀態變量的恢復（例如，恢復閥門應具有合適的設置）。
d) 相關安全控制：CA-2、CA-6、CA-7、CP-2、CP-6。
控制增強：
a） 應按【賦值：組織定義的時間間隔】，測試恢復信息，以驗證可靠性和信息完整性；
b） 組織提供一套補償的安全控制，在【賦值：組織定義的時間間隔】內，將系統恢復到確定的狀態；
c） 組織提供一套在【賦值：組織定義的時間間隔】內，將ICS組件恢復到安全和運行狀態；
d） 按【賦值：組織定義實時度】，配置實時或準實時的失敗恢復能力；