工业互联网平台安全能力评价方法概述、计算方法

1、附录 A资料性附录工业互联网平台平安水平评估方法概述A.1 评估原那么第三方评估机构在评估时应遵循客观公正、可重用、可重复和可再现、最小影响及保密的原那么.客观公正是指第三方评估机构在评估活动中应充分收集证据,对工业互联网平台的平安性做出客观公正的判断.可重用是指在适用的情况下, 第三方评估机构对工业互联网平台中使用的系统、组件或效劳等采用或参考其已有的评估结果.可重复和可再现是指在相同的环境下,不同的评估人员依照同样的要求,使用同样的方法,对每个评估实施过程的重复执行都应得到同样的评估结果.最小影响是指第三方评估机构在评估时尽量小地影响工业互联网平台效劳提供商现有业务和系统的正常运行,最大程

2、度降低对工业互联网平台效劳提供商的风险.保密原那么是指第三方评估机构应对涉及工业互联网平台效劳提供商利益的商业信息以 及工业互联网平台效劳客户信息等严格保密.A.2 评估内容第三方评估机构依据国家相关规定以及本标准中提出的平安要求,主要从边缘层平安、 工业IaaS层平安、工业 PaaS层平安、工业 SaaS层平安和治理平安等方面对工业互联网平 台平安举措实施情况进行评估.第三方评估机构在开展平安评估工作中宜综合采用访谈、检查和测试等根本评估方法, 以核实工业互联网平台效劳提供商的工业互联网平台平安水平是否具备了本标准平安要求 细那么中提出的平安水平.访谈是指评估人员对工业互联网平台效劳提供商等

3、相关人员进行谈话的过程,对工业互联网平台平安举措实施情况进行了解、分析和取得证据.访谈的对象为个人或团体,例如： 信息平安的第一负责人、平台运维人员、人事治理相关人员、系统平安负责人、网络治理员、 系统治理员、账号治理员、平安治理员、平安审计员、维护人员、系统开发人员、物理平安 负责人和用户等.检查是指评估人员通过对治理制度、平安策略和机制、平安配置和设计文档、运行记录等进行观察、查验、分析以帮助评估人员理解、分析和取得证据的过程.检查的对象为标准、 机制和活动,例如：评审信息平安策略规划和程序；审查远程维护和诊断连接的策略与规程；查看风险评估的方针策略与风险评估方案；分析系统的设计文档和接口

4、标准；观测系统的备份操作；审查应急响应演练结果；观察事件处理活动；研究设计说明书等技术手册和用户/治理员文档；查看、研究或观察信息系统的硬件瞅件中信息技术机制的运行；查看、研究或观察信息系统运行相关的物理平安举措等.测试是指评估人员进行技术测试包括渗透测试,通过人工或自动化平安测试工具获得相关信息,并进行分析以帮助评估人员获取证据的过程.测试的对象为机制和活动,例如：访问限制、身份鉴别和验证、审计机制；测试平台平安功能模块；测试平安配置设置,测试 物理访问限制设备；进行信息系统的关键组成局部的渗透测试,测试信息系统的备份操作； 测试事件处理水平、应急响应演练水平等.A.3 评估证据评估证据是指

5、对评估结果起到佐证作用的任何实体,包括但不限于各种文档、图片、录音、录像、实物等,其载体可以是任何能够保存的形式,包括但不限于纸质的、电子的等.证据是在评估活动的过程中筛选或生成而来.所有评估活动产生的结果都应有相应的证据支持.证据应得到妥善保管,以预防篡改、泄密、损坏、丧失等有损证据的行为.A.4 评估流程工业互联网平台平安防护水平评估工作程序如图A.1所示.主要包括受理评估申请、组建评估队伍、制定评估方案、现场实施评估、形成评估反应报告、 开展复评估工作和形成评估结论七个局部.图A.1工业互联网平台平安防护水平评估工作程序A.4.1受理评估申请工业互联网平台运营商评估委托：企业可自行委托评

6、估机构开展工业互联网平台平安防护水平评估工作,申请企业需向评估机构提交评估申请材料,各评估机构对申请企业提交的材料进行审理,并根据申请企业申请的评估范围、完成评估所需时间及其他影响评估活动的因素,综合确定是否受理评估申请.A.4.2组建评估队伍评估机构应根据工业互联网平台平安防护水平评估范围所覆盖的专业领域选择具备相 关水平的评估人员和技术专家,组建评估工程组.评估工程组原那么上应具备不少于5名专职评估人员,其中包括 1名评估工程组组长.评估工程组组长由评估机构指定经验丰富的骨干评估人员担任,负责统筹安排评估工作分工,推进评估工作开展,组织完成评估结论、编写评估报告.评估工程组成员由评估机构根

7、据该项评估的工作量及涉及的工业行业特征、专业需求等综合因素,确定成员数量和成员搭配.A.4.3制定评估工作方案评估工程组应与被评估企业的治理人员和技术人员充分沟通,明确被评估范围和评估对象,制定评估工作方案. 被评估企业和评估工程组共同确认上述工作方案后,再开展实施具体评估工作.A.4.3.1 建立评估工程文档在评估工作开展过程中,评估机构应对评估工作相关文件进行统一编号,并标准治理.A.4.3.2 梳理根本情况在被评估企业的配合下,评估工程组对企业工业互联网平台系统及相关信息进行梳理, 以便针对性地开展评估工作：a) 梳理企业根本信息.了解被评估企业的开展历程、主要业务范围、业务规模,分析企

8、业对于国家、社会、人民生命财产的重要性；b) 梳理企业生产资产根本信息.了解企业被评估工业互联网平台所涉及的资产类型、 规模、位置、重要程度、产品、数量、厂商、投产时间、责任人、网络拓扑及其运 营维护等情况；c) 梳理企业工业互联网平台防护根本情况.了解被评估企业的工业互联网平台平安管理机制建设情况,初步掌握企业已部署的工业互联网平台平安防护举措.A.4.3.3 确定评估方案评估机构在前期梳理工业互联网平台根本情况、确定评估范围的根底上,结合评估工作实际,制定该企业评估方案.评估方案涉及的评估方式至少包括：a)人员访谈.评估工程组对相关人员进行访谈,核实已落实防护举措情况；b)文档查阅.评估工

9、程组查阅已落实防护举措形成的相关文档等证实材料；d) 人工核查.评估工程组通过手动方式核查局部已落实防护举措情况；d)工具检测.评估工程组通过专用工具检测防护举措实际落实情况及其有效性.A.4.3.4 确定评估工作日程安排评估工程组与被评估企业充分沟通,梳理评估工作重要时间节点,合理设置评估时间, 确定评估工作日程安排.A.4.4现场实施评估为保证工业互联网平台平安防护水平评估工作标准全面开展,依据工业互联网平台平安评价方法主要内容,对工业互联网平台平安水平开展评估工作.A.4.5形成评估反应报告现场评估工作结束后,评估工程组应在1个工作日内对评估过程及评估记录进行梳理、汇总,针对现场评估工作

10、形成书面现场评估情况反应表,描述存在的平安问题及整改建议.企业在收到反应表后 30日内,可根据自身实际情况,根据反应表内容开展整改工作, 并根据整改情况向评估机构或评估工程组申请复评估.A.4.6开展复评估工作评估机构在收到企业复评估的请求后,根据需要对现场评估反应表中的问题进行确认. 必要时,采取现场复评估方式对整改企业所采取的整改举措进行有效性验证.A.4.7形成评估结论根据现场评估和复评估工作情况,评估工程组形成工业互联网平台平安防护水平评估结 论,并编制?工业互联网平台平安防护水平评估报告?.评估报告由评估机构盖章出具并由评估工程组组长、责任审核人等签字.评估报告应准确、清楚地描述评估活动的主要内容, 并附必要的证实相关事实的证据或记录.附录 B标准性附录工业互联网平台平安水平计算方法8.1 概述本局部依据正文内容,明确了具体的评分方式, 评价工业互联网平台效劳提供商的平安 防护举措是否得到落实,并给出量化的评分标准.本评分标准设置4个大项,18个小项,242个评分细项.8.2 评分及原方法那么8.2.1 评估标准总分在现场评估中,无论被评估工业互联网平台是否适用所有工程,评分标准总分为100分.8.2.2 评分方法评分采用百分比制, 评分细项的分值均为1分.假设不满足或局部满足本项要求,该项得分均为0分.