B.10 維護（MA）

B.10 維護（MA）

B.10.1　維護策略和規程（MA-1）

控制：
組織應：
a) 制定并發布正式的ICS維護策略，其中應包含目的、范圍、角色、責任、管理承諾、各部門間的協調以及合規性；
b) 制定并發布正式的ICS維護規程，以推動系統維護策略及相關安全控制的實施；
c) 按【賦值：組織定義的時間間隔】，對維護策略和規程進行評審和調整。
補充指導：
a） 期望通過該控制，為有效實現該族中的安全控制和控制增強，編制所需要的策略和規程；
b） 該策略和規程應與相關法律、法規、制度、政策、標準和指南保持一致；
c） 維護策略可作為組織信息安全策略的一部分；
d） 維護規程可針對一般性的安全程序予以開發，當需要時，可針對特殊ICS予以開發；
e） 在開發配置管理策略中，組織的風險管理戰略是一個重要的因素。

B.10.2　受控維護（MA-2）

控制：
組織應：
a) 根據產品供應商的規格說明以及組織的要求，對ICS系統組件的維護和修理進行規劃、實施、記錄，并對維護和修理記錄進行評審；
b) 審批和監督所有的運維活動，無論是現場還是遠程維護，無論設備是工作狀態還是非工作狀態；
c) 按照【賦值：組織定義的角色或人員要求】，明確批準對ICS或組件等設施的異地維護或維修；
d) 按照組織要求，刪除異地維護或維修設施的存儲資料；
e) 檢查確認所有的安全控制在ICS或組件維護維修期間能夠正常工作；
f) 產品供應方或維護方應承諾未經用戶同意不得采集用戶相關信息、不得遠程控制用戶產品；
g) 如果采用遠程維護的方式，組織應根據產品的運維需求，為遠程控制端口設置控制權限和控制時間窗；
h) 按【賦值：組織定義的要求】登記記錄維護維修。
補充指導：
a) 創建有效的維護記錄所必要的信息，包括：維護日期和時間、維護人員或組織信息、維護描述、涉及的ICS或組件的拆除或替換。
b) 相關安全控制：CM-3、CM-4、MA-4、SI-2。
控制增強：
a） 采用自動化的機制按【賦值：組織定義的時間間隔】來組織、規劃、實施和記錄維護或維修；
b） 準確、完整地記錄所有的維護或維修的行動計劃、要求、過程和完成；

B.10.3　維護工具（MA-3）

控制：
a) 組織應批準、控制、監測ICS維護工具及其使用。
補充指導：
a） 維護工具通常包含硬件、軟件形式的診斷測試設備或固件程序；
b） 維護工具是惡意代碼的潛在傳播工具。
c） 相關安全控制：MA-2、MA-5。
控制增強：
a） 組織應檢查、監督維護人員可能的對ICS設備維護工具的不當使用或擅自修改；
b） 組織應檢查用于ICS設備維護的工具、診斷測試程序是否包含惡意代碼；
c） 組織應防止含組織信息的ICS設備或組件在維護或維修時的擅自拆除，確保替換下的設備或組件包含的信息被消除，從ICS拆除設備或組件應獲得【賦值：組織定義的個人或角色】的授權；
d） 維護工具應限制在授權人員內部使用；

B.10.4　遠程維護（MA-4）

控制：
組織應：
a） 批準、監督ICS的遠程維護或診斷行為；
b） 僅允許與組織安全策略和安全計劃一致的遠程維護診斷工具；
c） 在建立遠程維護診斷會話時應采用強認證方式；
d） 維護遠程維護診斷行為的記錄；
e） 遠程維護診斷行為結束時應關閉會話和網絡連接。
補充指導：
a） 遠程維護通常是通過外部網絡或內部網絡進行的維護診斷行為；
b） 為遠程維護診斷行為開放的會話，往往會影響安全設置。
c） 相關安全控制：AC-2、AC-3、MA-2、MA-5、PL-2、SC-7。
控制增強：
a） 組織應根據【賦值：組織定義的審計策略】對遠程維護診斷行為進行審計，并審查遠程維護診斷期間所有的行為；
b） 組織應在安全策略或安全計劃等文件中規范遠程維護診斷行為；
c） 組織應僅在遠程維護診斷期間開放ICS或設備的遠程維護服務功能；產品或系統供應商應在交付時告知組織如何關閉/開放遠程維護服務功能；
增強補充指導：
1) 在危機或緊急情況下，組織可能需要即可訪問非本地維護和診斷服務，以便恢復基本的ICS運行或服務；
2) 在組織不必訪問所需安全層上非本地維護和診斷服務的情況下，組織應按裁剪指導，使用合適的補償控制（例如，把該維護和診斷服務的范圍限制到最小的基本活動，認真監視并審計非本地維護和診斷服務）。
d） 組織應采用【賦值：組織定義的強認證機制】保護遠程維護會話，并將該類會話與系統其它會話通過物理或邏輯的方式進行隔離；
e） 組織應根據【賦值：組織定義的人員或角色】對每個遠程維護會話進行授權和確認；
f） 組織應采用一定的安全機制實現遠程維護會話的機密性和完整性保護；

B.10.5　維護人員（MA-5）

控制：
組織應：
a） 建立了維修人員授權過程，并維護授權人員或組織列表；
b） 確信維護人員具有訪問授權；
c） 指派具有訪問權限和技術能力的組織內部人員監督管理不具有訪問權限的維護人員。
補充指導：
a） 監督人員應具有訪問所維護的ICS的權限；
b） 監督人員應具有一定的專業技術能力，以保障對維護人員的監督需要；
c） 以前沒有授權的維修人員，如制造商、供應商、系統集成商、顧問，在進行維護診斷時，可能需要訪問ICS的授權，基于組織的風險評估策略，可以發放臨時授權憑據。
d） 相關安全控制：AC-2、IA-8、MP-2、PE-2。
控制增強：
a） 對維護人員實施必要的管理，包括組織內部人員的全程陪同；
b） 開發并實現必要的安全防護措施，確保對ICS的維護不會對正常運行造成影響；
c） 確保維護人員進行維護診斷活動對ICS處理、存儲和傳輸的信息不造成破壞性影響；

B.10.6　及時維護（MA-6）

控制：
a) 組織應確保獲得維護支持，并保障在【賦值：組織定義的ICS組件失效時間】內獲得配件支持。
補充指導：
a） 組織評估確定那些在其不能正常工作會給組織業務、人員和財產等造成重大影響的ICS組件；
b） 組織行為的獲得維護支持通常是指適當的合同保障。
c） 相關安全控制：CM-8、CP-2。
控制增強：
a） 組織應【賦值：按定義的時間間隔】對ICS及組件進行預防性的維護診斷；