GB/T 40813-2021信息安全技术工业控制系统安全防护技术要求和测试评价方法

ICS35030

CCSL.80

中华人民共和国国家标准

GB/T40813—2021

信息安全技术工业控制系统

安全防护技术要求和测试评价方法

Informationsecuritytechnology—Securityprotectiontechnicalrequirementsand

testingevaluationmethodsofindustrialcontrolsystems

2021-10-11发布2022-05-01实施

国家市场监督管理总局发布

国家标准化管理委员会

GB/T40813—2021

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

缩略语

4……………………2

概述

5………………………3

基本构成

5.1ICS………………………3

安全防护对象和目的

5.2………………3

安全防护措施的约束条件

5.3…………4

安全防护技术要求

6………………………4

物理环境安全防护

6.1…………………4

网络通信安全防护

6.2…………………9

网络边界安全防护

6.3…………………12

工业主机安全防护

6.4…………………16

控制设备安全防护

6.5…………………22

数据安全防护

6.6………………………24

防护产品安全

6.7………………………27

系统集中管控

6.8………………………28

安全防护保障要求

7………………………29

软件开发安全防护

7.1…………………29

系统维护安全防护

7.2…………………31

测试评价方法

8……………32

物理环境安全防护

8.1…………………32

网络通信安全防护

8.2…………………35

网络边界安全防护

8.3…………………36

工业主机安全防护

8.4…………………38

控制设备安全防护

8.5…………………41

数据安全防护

8.6………………………42

防护产品安全

8.7………………………44

系统集中管控

8.8………………………45

软件开发安全防护

8.9…………………46

系统维护安全防护

8.10………………46

附录资料性网络边界安全防护典型应用参考场景

A()………………48

电力

A.1………………48

汽车制造

A.2…………………………49

Ⅰ

GB/T40813—2021

石油开采

A.3…………………………50

轨道交通

A.4…………………………51

化工

A.5………………52

市政

A.6………………53

水务

A.7………………54

附录资料性数据安全保护对象

B()……………………56

附录资料性系统集中管控典型部署方式

C()…………57

附录资料性安全防护测试评价流程

D()ICS…………58

参考文献

……………………61

图电力监控系统网络边界安全防护典型部署方式

A.1………………49

图汽车制造厂网络边界安全防护典型部署方式

A.2…………………49

图采油厂网络边界安全防护典型部署方式

A.3………50

图轨道交通网络安全防护典型部署方式

A.4…………52

图化工厂网络边界安全防护典型部署方式

A.5………53

图市政燃气网络边界安全防护典型部署方式

A.6……………………54

图自来水厂网络边界安全防护典型部署方式

A.7……………………55

图数据安全保护对象示意图

B.1………………………56

图系统集中管控典型部署方式

C.1……………………57

图安全防护测试评价流程图

D.1ICS…………………58

Ⅱ

GB/T40813—2021

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本文件起草单位上海三零卫士信息安全有限公司中国信息安全测评中心中国电子技术标准化

:、、

研究院中国网络安全审查技术与认证中心公安部第三研究所中国石化上海高桥石油化工有限公司

、、、、

上海工业自动化仪表研究院有限公司中移杭州信息技术有限公司国家信息技术安全研究中心

、()、、

上海核工程研究设计院有限公司北京天融信网络安全技术有限公司北京和利时系统工程有限公司

、、、

上海市信息安全测评认证中心北京圣博润高新技术股份有限公司陕西省网络与信息安全测评中心

、、、

北京威努特技术有限公司中国电子科技网络信息安全有限公司中国电子科技集团公司第十五研究

、、

所西南交通大学国家工业信息安全发展研究中心国家应用软件产品质量监督检验中心中国航空油

、、、、

料集团有限公司中国电子科技集团公司电子科学研究院成都卫士通信息产业股份有限公司北京奇

、、、

虎科技有限公司奇安信科技集团股份有限公司中国电力科学研究院有限公司江苏敏捷科技股份有

、、、

限公司卡斯柯信号有限公司上海申通地铁集团有限公司青岛地铁集团有限公司上海电气泰雷兹交

、、、、

通自动化系统有限公司北京交通大学智巡密码上海检测技术有限公司北京市地铁运营有限公司

、、()、

通信信号分公司全球能源互联网研究院有限公司吉林省电子信息产品检验研究院深信服科技股份

、、、

有限公司中国矿业大学北京国网新疆电力有限公司电力科学研究院中国华电集团有限公司中国

、()、、、

平安保险集团股份有限公司中科信息安全共性技术国家工程研究中心有限公司上海工业控制安全

()、、

创新科技有限公司华东师范大学北京和仲宁信息技术有限公司中国华能集团有限公司柳州市东科

、、、、

智慧城市投资开发有限公司中国石油天然气股份有限公司西北销售分公司中国石油天然气股份有限

、、

公司长庆石化分公司北京中油瑞飞信息技术有限责任公司

、。

本文件主要起草人张毅干露李绪国饶志宏李斌李嵩顾健高洋李琳申永波陆臻邹春明

:、、、、、、、、、、、、

徐国忠王英陆炜郭旭袁专毛磊安高峰刘盈徐佟海赵宇杨帆杨向东冯全宝唐林兰昆

、、、、、、、、、、、、、、、

董晶晶王丹琛陈雪鸿王坤赵振学司瑞彬李瑞张屹王弢李凌倪海燕崔科李建全王大庆

、、、、、、、、、、、、、、

左旭涛高翔唐涛郭筝郭一力梁潇华颜涛叶润国谭波李峰舒斐李辉于惊涛孟源胡建勋

、、、、、、、、、、、、、、、

蒲戈光刘虹陈铭松纪璐杨硕石永杰于慧超王飞张兴王小宏赵朋

、、、、、、、、、、。

Ⅲ

GB/T40813—2021

引言

本文件结合国家已发布的法律法规政策性文件和标准并重点根据信息安

、,GB/T22239—2019《

全技术网络安全等级保护基本要求增加和细化安全防护技术指标控制点和控制项为相关方开展

》、,

工业控制系统安全等级保护和日常安全防护工作提供更具操作性的依据

。

与本文件相关的标准化文件包括

:

信息安全技术网络安全等级保护基本要求

———GB/T22239—2019《》;

信息安全技术网络安全等级保护测评要求

———GB/T28448—2019《》;

信息安全技术工业控制系统安全管理基本要求

———GB/T36323—2018《》;

信息安全技术工业控制系统信息安全分级规范

———GB/T36324—2018《》;

信息安全技术工业控制系统信息安全检查指南

———GB/T37980—2019《》。

Ⅳ

GB/T40813—2021

信息安全技术工业控制系统

安全防护技术要求和测试评价方法

1范围

本文件规定了工业控制系统安全防护技术要求保障要求和测试评价方法

、。

本文件适用于工业控制系统建设运营维护等

、、。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

工业自动化仪表盘柜台箱

GB/T7353—1999、、、

信息安全技术网络安全等级保护基本要求

GB/T22239—2019

信息安全技术术语

GB/T25069—2010

信息安全技术工业控制系统信息安全分级规范

GB/T36324—2018