《汽车制造工业控制系统信息安全技术规范》团标征求意见
- 2023/3/16 11:32:41 21022
- 来源：仪表网
工控信息安全事件波及范围广，涉及世界多个国家的多个领域。近年发生的工控信息安全事件影响范围不仅仅是某个国家或地区，也不仅仅是某个领域，它已波及全球，影响多领域多行业，工控信息安全威胁愈演愈烈。
工信部针对国内大型工业企业的核心管控系统开展检查，发现企业工业应用系统普遍存在安全漏洞，缺乏有效的安全配置策略，外网边界容易被突破。内网边界防护薄弱，工控设备普遍开启远程访问进行维护，工控主机安全防护措施较弱，控制权极易被远程获取；对工业控制系统的信息安全管理相对薄弱，严重滞后于工业互联网的发展。
汽车制造企业近年发生多次工控安全事件，导致生产业务中断，工控安全检查过程中发现工控的防病毒、补丁、备份等基本的管理要求均未全面覆盖，且在事件上报、应急响应等方面均无法及时有效开展，需统一去考虑整体的解决方案，形成覆盖全行业的制度标准。
本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。参考GB/T 30976.1 信息安全技术 工业控制系统信息安全 第1部分：评估规范；GB/T 32919 信息安全技术 工业控制系统安全控制应用指南；GB/T 36324 信息安全技术 工业控制系统信息安全分级规范；GB/T 40813 信息安全技术 工业控制系统安全防护技术要求和测试评价方法等文件中部分内容。
本文件规定了汽车制造业装备建设实施过程中涉及的工业控制系统信息安全防护技术要求和在装备安装调试验收阶段需要满足的信息安全验收要求。本文件适用于汽车制造企业工业控制系统的新建及已建项目。
基本构成：
按照 GB/T 36324 中根据工业控制系统(ICS)的功能特点和部署形式，企业的与工业控制系统(ICS)相关系统纵向划分为 5 个层级，如：第 1 层物理过程、生产装置，第 2 层安全和保护系统、基本控制系统，第 3 层监控系统，第 4 层运营管理系统，第 5 层业务规划和物流系统。其中第 1 层～第 3 层的相关系统、设备，可作为构成工业控制系统的范围。
安全防护的对象：
本文件涉及的防护对象为系统层级中第 1 层(物理过程、生产装置)、第 2 层(安全和保护系统、基本控制系统)和第 3 层(监控系统)的工业控制资产。
安全防护措施的约束条件：
按照 GB/T 40813 的安全防护技术要求，不应对 ICS 的功能安全产生不利影响；不能锁定用于基本功能的账户；不应因实施安全措施而显著增加延迟并影响系统的响应时间；不能因安全措施失效导致系统的基本功能中断等。
在符合本文件提出的技术要求时，经评估对可用性有较大影响而无法实施的，可调整要求并研究制定相应的补偿防护措施，但采取补偿防护措施后不应降低原有要求的整体安全防护强度。
安全防护的技术要求：
按照 GB/T 32919与工业和信息化部印发的《工业控制系统信息安全防护指南》，做好工业控制系统(ICS)信息安全防护工作。
安全监测和应急演练：
a) 在工业控制网络部署网络安全检测设备，及时发现、报告并处理网络攻击或异常行为。
b) 制定工控安全事件应急响应预案，内容至少应包括：目的、范围、角色、责任、管理层承诺、相关部门的协调、合规性。
c) 适用时，当 ICS 因信息安全威胁出现异常或故障时，应按应急响应预案做好应急响应工作，采取紧急防护措施，防止事态扩大，并逐级报送直至属地省级工业和信息化主管部门，同时注意保护现场，以便进行调查取证。
d) 定期对 ICS 的应急响应预案进行演练，必要时对应急响应预案进行修订。
更多详情请见附件。
全部评论