犐犆犛２５．０４０

犖１０

中華人民共和國國家標(biāo)準(zhǔn)

犌犅／犜２６３３３—２０１０

工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估規(guī)范

犈狏犪犾狌犪狋犻狅狀狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉狊犲犮狌狉犻狋狔犻狀犻狀犱狌狊狋狉犻犪犾犮狅狀狋狉狅犾狀犲狋狑狅狉犽

２０１１０１１４發(fā)布２０１１０６０１實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會(huì)

書

犌犅／犜２６３３３—２０１０

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４符號(hào)和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５風(fēng)險(xiǎn)評(píng)估要點(diǎn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６特性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

７確定評(píng)估目的!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

８評(píng)估設(shè)計(jì)和規(guī)劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

９制定評(píng)估計(jì)劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１０評(píng)定技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１１評(píng)估的實(shí)施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

１２編寫評(píng)估報(bào)告!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

附錄Ａ（規(guī)范性附錄）工業(yè)控制網(wǎng)絡(luò)安全網(wǎng)關(guān)的安全風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!１３

附錄Ｂ（規(guī)范性附錄）工業(yè)控制網(wǎng)絡(luò)現(xiàn)場(chǎng)設(shè)備層安全風(fēng)險(xiǎn)評(píng)估!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犜２６３３３—２０１０

前言

本標(biāo)準(zhǔn)按照ＧＢ／Ｔ１．１—２００９給出的規(guī)則起草。

本標(biāo)準(zhǔn)中的一些內(nèi)容可能涉及某些專利，本標(biāo)準(zhǔn)對(duì)任何這樣的專利權(quán)均不負(fù)有鑒別責(zé)任。

本標(biāo)準(zhǔn)由中國機(jī)械工業(yè)聯(lián)合會(huì)提出。

本標(biāo)準(zhǔn)由全國工業(yè)過程測(cè)量和控制標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。

本標(biāo)準(zhǔn)起草單位：重慶郵電大學(xué)、浙江大學(xué)、浙江中控技術(shù)股份有限公司、機(jī)械工業(yè)儀器儀表綜合技

術(shù)經(jīng)濟(jì)研究所、中國科學(xué)院沈陽自動(dòng)化研究所、大連理工大學(xué)、上海工業(yè)自動(dòng)化儀表研究所、上海自動(dòng)化

儀表股份有限公司、中國四聯(lián)儀器儀表集團(tuán)有限公司、西南大學(xué)、天津天儀集團(tuán)儀表有限公司、北京華控

技術(shù)有限公司。

本標(biāo)準(zhǔn)起草人：王浩、王平、金建祥、馮冬芹、歐陽勁松、梅恪、徐皚冬、仲崇權(quán)、繆學(xué)勤、包偉華、劉進(jìn)、

張慶軍、秘明睿、劉杰、劉楓、楊彬、周勇。

Ⅲ

犌犅／犜２６３３３—２０１０

引言

隨著各種通信技術(shù)在工業(yè)控制網(wǎng)絡(luò)中的廣泛應(yīng)用，在實(shí)現(xiàn)更多功能的同時(shí)，工業(yè)控制網(wǎng)絡(luò)的安全問

題日益凸顯。

本評(píng)估標(biāo)準(zhǔn)是一種針對(duì)工業(yè)控制網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)評(píng)估方法。通過對(duì)工業(yè)控制網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)評(píng)估

可以發(fā)現(xiàn)網(wǎng)絡(luò)的安全隱患，通過采用相應(yīng)的安全措施彌補(bǔ)安全漏洞，從而增強(qiáng)工業(yè)控制網(wǎng)絡(luò)的安全。

本標(biāo)準(zhǔn)規(guī)定了工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的一般方法和準(zhǔn)則，描述了工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估

的一般步驟，側(cè)重于評(píng)估對(duì)象的分析和評(píng)估計(jì)劃的設(shè)計(jì)。

Ⅳ

犌犅／犜２６３３３—２０１０

工業(yè)控制網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估規(guī)范

１范圍

本標(biāo)準(zhǔn)規(guī)定了評(píng)估的步驟，對(duì)評(píng)估方法給出了建議。

本標(biāo)準(zhǔn)適用于工業(yè)控制網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)評(píng)估，定義了評(píng)估的要點(diǎn)。

本標(biāo)準(zhǔn)討論工業(yè)控制網(wǎng)絡(luò)的通信安全，它主要取決于系統(tǒng)所采用的防護(hù)措施。

２規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文

件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

ＧＢ／Ｔ９３６１—１９８８計(jì)算機(jī)場(chǎng)地安全要求

ＧＢ／Ｔ９３８７．２—１９９５信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型第２部分：安全體系結(jié)構(gòu)

ＧＢ１７８５９—１９９９計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則

ＧＢ／Ｔ１７９０３．１—２００８信息技術(shù)安全技術(shù)抗抵賴第１部分：概述

ＧＢ／Ｔ１７９６５—２０００信息技術(shù)開放系統(tǒng)互連高層安全模型（ｉｄｔＩＳＯ／ＩＥＣ１０７４５：１９９５）

ＧＢ／Ｔ１８２７２．１—２０００工業(yè)過程測(cè)量和控制系統(tǒng)評(píng)估中系統(tǒng)特性的評(píng)定第１部分：總則和方

法學(xué)

ＧＢ／Ｔ１８２７２．２—２０００工業(yè)過程測(cè)量和控制系統(tǒng)評(píng)估中系統(tǒng)特性的評(píng)定第２部分：評(píng)估方

法學(xué)

ＧＢ／Ｔ１８２７２．３—２０００工業(yè)過程測(cè)量和控制系統(tǒng)評(píng)估中系統(tǒng)特性的評(píng)定第３部分：系統(tǒng)功能

性評(píng)估

ＧＢ／Ｔ１８２７２．７—２００６工業(yè)過程測(cè)量和控制系統(tǒng)評(píng)估中系統(tǒng)特性的評(píng)定第７部分：系統(tǒng)安全

性評(píng)估

ＧＢ／Ｔ１８３３６．１—２００８信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第１部分：簡介和一般

模型（ＩＳＯ／ＩＥＣ１５４０８１