《信息安全技术工业控制系统信息安全分级规范》

《信息安全技术工业控制系统信息安全分级规范》（征求意见稿）编制说明任务来源根据工信部协函[2012]579号文件和全国信息安全标准化技术委员会秘书处下发的国家信息安全战略研究与标准制定工作专项项目任务书，国家标准《信息安全技术工业控制系统信息安全分级规范》由北京江南天安科技有限公司负责主办，标准计划号未下发（全国信息安全标准化技术委员会2012年信息安全专项）。编制原则本标准的编写原则本标准属于工业控制系统信息安全方面的标准，以自主编写的方式完成。标准编制组贯彻落实国家关于切实加强工业控制系统信息安全管理的精神，实现对工业控制系统信息安全应采取分等级管理的要求，提出工业控制系统信息安全级别划分规则和定级方法，为工业控制系统信息安全定级提供技术依据和工作指导，为选择工业控制系统信息安全各个级别的技术措施和管理措施提供参考。由于目前我国工业控制系统信息安全标准尚不健全，尚在发展初期，因此在学习和领会工信部协[2011]451号《关于加强工业控制系统信息安全管理的通知》、国发〔2012〕23号《关于大力推进信息化发展和切实保障信息安全的若干意见》精神，熟悉和了解国外工业控制系统信息安全标准的基础上，确定了本标准的编制原则是：根据工业控制系统在国家安全、经济建设、社会生活中的重要程度，以及工业控制系统信息安全受到破坏后对工业生产运行造成的损失程度，以及对国家安全、环境安全、人员生命、社会秩序、公共利益以及公民、企业和其他组织的合法权益及重要财产的危害程度，确定划分工业控制系统信息安全级别的规则和定级方法。同时，为使标准能够满足科学、规范地开展工业控制系统信息安全管理的需要，客观反映我国信息系统安全管理评估水平，规范工业控制系统信息安全级别划分，提高标准的可操作性，在标准制定过程中，还力求做到符合国家的有关政策法规要求；与已颁布实施的相关标准相协调；与信息安全等级保护的等级划分要求相适应；并适度考虑目前处于发展成熟过程中的技术，保持一定的前瞻性。本标准的编制目标本标准的编制目标是：根据国家关于切实加强工业控制系统信息安全管理的精神，实现对工业控制系统信息安全应采取分等级管理的要求，提出工业控制系统信息安全级别划分规则和定级方法，为工业控制系统信息安全定级提供技术依据和工作指导，为选择工业控制系统信息安全各个级别的技术和管理措施提供参考。本标准根据工业控制系统在国家安全、经济建设、社会生活中的重要程度，以及工业控制系统信息安全受到破坏后对工业生产运行造成的损失程度，以及对国家安全、环境安全、人员生命、社会秩序、公共利益以及公民、企业和其他组织的合法权益及重要财产的危害程度，由低到高划分为工业控制系统信息安全的第一级至第四级等四个级别。规定了工业控制系统信息安全级别的划分规则和定级方法，为工业控制系统信息安全级别划分提供了依据；适用于工业控制系统信息安全管理部门和企业，为工业控制系统信息安全级别的定级工作提供指导，工业控制系统信息安全的建设、运维以及安全检查工作均可参考使用。主要工作过程标准制定的主要工作过程如下：2012年8月成立了以公司资深咨询顾问陈冠直为负责人和主笔的《信息安全技术工业控制系统信息安全分级规范》标准编写组。2012年9月4日，参加安标委秘书处在北京应用物理会议中心召开的工业控制系统信息安全标准会，参加会议的有崔书昆、蔡野（协调司处长）、杨建军、冯冬芹（浙大）、彭勇、宫亚锋、高昆仑、陈冠直等，讨论了包括本标准在内的5个工控标准的分工及立项问题。2012年12月，提交了《信息安全技术工业控制系统信息安全分级规范》标准草案（第一稿）；2012年12月27日，安标委秘书处在北京应用物理会议中心组织了专家讨论会，参加会议的有杨建军、梅恪（TC124秘书长）、王立福、高昆仑、张建军、彭勇、闵京华、唐一鸿、许东阳、陈冠直等，提出了修改意见（见意见汇总表）。2013年5月，提交了《信息安全技术工业控制系统信息安全分级规范》标准草案（第二稿）；2013年5月7日，安标委秘书处在电子4院亦庄园区组织了初步讨论会，参加会议的有唐一鸿、许东阳、程鹏、陈冠直等，决定先提交杨建军、蔡野（协调司处长）等有关领导审阅，然后组织了专家讨论会。2013年6月6日，收到安标委秘书处转来的信息通信安全研究所宁华同志的意见，根据意见对标准进行了修改（见意见汇总表）。2013年7月23日,安标委秘书处组织中期检查，评审专家有崔书昆、赵战生、王立福、宫亚峰、肖京华、张翀斌、顾健、罗锋盈等，工信部协调司蔡处长、秘书处许玉娜和上官晓丽也参加了评审，并提出了修改意见（见意见汇总表）。2013年8月1日-8月2日，安标委秘书处组织的有关工控标准编制单位开会，协调和讨论几个工业控制系统信息安全标准的关系。2013年8月，提交了《信息安全技术工业控制系统信息安全分级规范》标准草案（第三稿），准备进行相应的评审。2014年6月，经安标委秘书处同意，由公安部11局陆磊处长召集在公安部第一研究所开会，听取本标准草案的介绍，公安部等保评估中心任卫红等、公安部一所李秋香等参加会议并提出意见，安标委秘书处上官晓丽也参加了会议。2015年8月，电子4院信息安全中心范科峰主任召集开会，讨论有关工控信息安全标准问题，协调几个标准之间的关系。2015年11月，电子4院信息安全中心范科峰主任召集开会，讨论有关工控信息安全标准问题，鉴于《工业控制系统安全控制应用指南》分为三级，以及专家意见，确定本标准要改成三级。2015年12月，应中国信息安全测评中心张翀斌处长要求，讨论讨论有关工控信息安全标准问题，协调两个标准之间的关系，建议还是四级为好。2016年3月3日，秘书处组织《工业控制系统安全管理基本要求》评审，本标准也做了介绍，专家意见认为本标准不要改成三级，恢复为四级为好。2016年3月18日，电子4院信息安全中心组织开会，讨论《工业控制系统安全管理基本要求》及本标准接受评审当的准备工作，并提出修改意见。2016年3月29日，全国信息安全标准化技术委员会WG5工作组在北京组织召开了本标准草案审查会。评审专家：王立福、宫亚峰、肖京华、张翀斌、刘海峰、张立武、兰天、郑伟、闵京华，组长王立福。评审意见如下：2016年3月29日，全国信息安全标准化技术委员会WG5工作组在北京组织召开了《信息安全技术工业控制系统信息安全分级规范》标准草案审查会。专家组听取了编制组的工作汇报，审阅了标准文本、编制说明、意见汇总处理表等材料，经质询和讨论，形成如下意见：2016年3月29日，全国信息安全标准化技术委员会WG5工作组在北京组织召开了《信息安全技术工业控制系统信息安全分级规范》标准草案审查会。专家组听取了编制组的工作汇报，审阅了标准文本、编制说明、意见汇总处理表等材料，经质询和讨论，形成如下意见：1.该标准草案基于风险评估给出了工业控制系统风险等级，提出了等级划分模型和定级要素，包括工业控制系统重要性程度、存在的潜在风险影响程度、需抵御的信息安全威胁程度等特征。2.该标准草案内容充实、结构合理，为工业控制系统信息安全的规划、设计、运维以及评估和管理提供指导。3.该标准草案格式基本符合GB/T1.1-2009的要求。专家组同意该标准草案通过审查，建议标准编制组根据专家意见修改完善。2016年4月，根据全国信息安全标准化技术委员会WG5工作组在北京组织召开的本标准草案审查会，以及各位评审专家的具体意见对标准文稿进行修改，并将标准文稿发给秘书处；信安标委WG5工作组于2016年4月18日至2016年4月25日面向各成员单位对本标准进行了投票；2016年5月，根据秘书处转来的意见，对标准文稿进行修改，并将标准文稿发给秘书处。标准征求意见的落实情况如下：《标准草案稿》共汇集反馈意见51条，其中未采纳的意见1条已作说明，部分采纳的意见2条已作说明，其余意见为采纳，具体参见意见汇总处理表。标准的主要内容及确定内容的依据本标准中工业控制系统信息安全定级的技术思路工业控制系统信息安全级别划分的目的本标准对工业控制系统信息安全等级划分的目的是，便于加强对工业控制系统信息安全的管理，便于工业控制系统信息安全保护能力的规划、设计、实现和运维，便于对工业控制系统信息安全现状的评估。基于加强工业控制系统信息安全管理的目的，需要从需求的角度确定一个工业控制系统应达到的等级，相当于IEC62443中的目标安全级别（TargetSecurityLevels）；规定每个等级的工业控制系统应实现的信息安全目标，受到损害会造成哪些影响，需要能够抵御哪些威胁等方面的条件。基于工业控制系统信息安全保护能力的规划、设计、实现和运维，需要从信息安全保护能力水平的角度确定一个工业控制系统应达到的等级，相当于IEC62443中的能力安全级别（CapabilitySecurityLevels）；规定每个等级的工业控制系统应具有哪些信息安全控制措施，采取哪些准确配置，具备哪些保护能力，达到目标安全级别的条件。基于对工业控制系统信息安全现状进行评估或认定的角度，依据目标安全级别的条件和能力安全级别的条件，确认工业控制系统信息安全现状已达到的实际等级，相当于IEC62443中的实现安全级别（AchievedSecurityLevels）。这三个安全级别对于一个工业控制系统应该看作是工业控制系统信息安全等级实现的三个过程。本标准主要是从对工业控制系统加强管理的需要出发，提出一个工业控制系统应达到的等级的条件，也提出了为达到这个等级需具备的基本保护能力，可以满足工业控制系统信息安全等级实现的这三个过程的需要。工业控制系统信息安全定级对象对工业控制系统划分信息安全等级，其定级对象是一个具体的完整的工业控制系统，也可以是这个工业控制系统中相对独立的一部分。一个具体的完整的工业控制系统，应以企业工业自动化生产过程为基础，属于企业的一个自动化生产全过程或一个工业自动化生产装置（如聚苯乙烯生产装置）的工业控制系统。工业控制系统中相对独立的一部分，是以企业工业自动化生产过程的局部环节为基础，属于企业的一个自动化生产全过程或一个工业自动化生产装置的工业控制系统中的相对独立的且物理边界清晰的某个安全区域或通信网络。工业控制系统信息安全级别定义工业控制系统信息安全级别是依据风险影响等级来界定的，分为四级。第一级工业控制系统，应具有以下特征：第一级工业控制系统信息安全受到破坏后，会对一般领域的工业生产运行造成损害，或者对公民、企业和其他组织的合法权益及重要财产造成损害，但不会损害国家安全、国家经济安全、环境安全、社会秩序、公共利益和人员生命；第一级工业控制系统的信息安全保护，应能够使工业控制系统抵御来自个人的、拥有很少资源的故意的威胁源发起的恶意攻击，一般的环境威胁及自然灾难，一般的意外威胁，以及其他相当危害程度威胁所造成关键资产损失的信息安全风险；第一级工业控制系统应具有对系统资产、运行环境、安全风险的基本认识；采取基本的信息安全控制措施；检测系统异常和安全事件；应急响应的执行和维护等方面的能力；第一级工业控制系统信息安全应得到所属企业依据国家有关管理规范和技术标准的管理，以及国家主管部门和信息安全监管部门的指导。第二级工业控制系统，应具有以下特征：第二级工业控制系统信息安全受到破坏后，会对一般领域的工业生产运行造成重大损害，或者对重点领域的工业生产运行造成损失，或者对公民、企业和其他组织的合法权益及重要财产造成严重损害，或者对环境安全、社会秩序、公共利益和人员生命造成损害，但不会损害国家安全、国家经济安全；第二级工业控制系统的信息安全保护，应能够使工业控制系统抵御来自外部小型组织的、拥有少量资源的故意的威胁源发起的恶意攻击，一般的环境威胁及自然灾难，严重的意外威胁，以及其他相当危害程度威胁所造成重要资产损失的信息安全风险；第二级工业控制系统应具有对系统资产、运行环境、安全风险的比较全面认识，初步建立风险管理战略；采取比较全面的信息安全控制措施；及时检测系统异常和安全事件；应急响应的执行和维护，防止事件扩大和减轻影响；基本恢复受安全事件影响的工业控制系统运行等方面的能力；第二级工业控制系统信息安全应得到所属企业依据国家有关管理规范和技术标准的管理，以及国家主管部门和信息安全监管部门的监督、检查。第三级工业控制系统，应具有以下特征：第三级工业控制系统信息安全受到破坏后，会对重点领域的工业生产运行造成重大损害，或者对关键领域的工业生产运行造成损失，或者对环境安全、社会秩序、公共利益和人员生命造成严重损害，或者会对国家安全、国家经济安全造成损害；第三级工业控制系统的信息安全保护，应能够使工业控制系统抵御来自外部有组织的团体、拥有较为丰富资源的故意的威胁源发起的恶意攻击，较为严重的环境威胁及自然灾难，特别严重的意外威胁，以及其他相当危害程度威胁所造成主要资产损失的信息安全风险；第三级工业控制系统应具有对系统资产、运行环境、安全风险的全面认识，建立风险管理战略，实施信息安全治理；采取全面的信息安全控制措施，确保与组织的风险管理战略相一致；及时和全面监测系统异常和安全事件；应急响应的执行和维护，防止事件扩大和减轻影响；恢复受安全事件影响的工业控制系统运行等方面的能力；第三级工业控制系统信息安全应得到所属企业依据国家有关管理规范和技术标准的管理，以及国家主管部门和信息安全监管部门的强制监督、检查。第四级工业控制系统，应具有以下特征：第四级工业控制系统信息安全受到破坏后，会对关键领域的工业生产运行造成重大损害，或者对环境安全、社会秩序、公共利益和人员生命造成特别严重损害，或者对国家安全、国家经济安全造成严重损害；第四级工业控制系统的信息安全保护，应能够使工业控制系统抵御来自国家级别的、敌对组织的、拥有丰富资源的故意的威胁源发起的恶意攻击，严重的环境威胁及自然灾难，特别严重的意外威胁，以及其他相当危害程度威胁所造成资产损失的信息安全风险；第四级工业控制系统应具有对系统资产、运行环境、安全风险的全面认识，建立全面风险管理战略，实施信息安全治理；采取全面的信息安全控制措施，确保与组织的风险管理战略相一致；连续和全面监测系统异常和安全事件，采取必要的应对措施；应急响应的执行和维护，防止事件扩大和减轻影响，采取改进措施；及时恢复受安全事件影响的工业控制系统运行等方面的能力；第四级工业控制系统信息安全应得到所属企业依据国家有关管理规范和技术标准的管理，以及国家主管部门和信息安全监管部门的专门监督、检查。另外对于直接用于维护国家安全的工业控制系统，以及需要抵御战争威胁（包括来自国家级别的网络战或暴力手段的威胁）或毁灭性自然灾难等意外威胁的工业控制系统，不在本标准的等级范围内，可在第四级基础上另行规定增强控制措施。工业控制系统信息安全定级要素工业控制系统信息安全定级要素及其之间的关系如下图所示：工业控制系统资产重要程度：反映了工业控制系统所在工业生产行业领域的重要性，工业控制系统在企业生产过程中业务使命的重要性，工业控制系统及其相关生产装置以及相关生产总值等资产综合价值；工业控制系统重要性程度特征值范围为1-5，5最高。如标准中表2所示。工业控制系统资产重要程度特征值工业控制系统资产重要程度工业控制系统行业领域一般领域重点领域关键领域工业控制系统业务使命及资产价值一般业务使命且资产价值一般123一般业务使命且资产价值很高234重要业务使命不考虑资产价值234关键业务使命不考虑资产价值345工业控制系统受侵害后潜在影响程度：反映了工业控制系统信息安全受到侵害后产生的直接损失和间接损失，包括对工业控制系统及其相关生产装置的影响，对工业生产运行安全的影响，以及对其他受侵害对象（如公民、企业、其他组织的合法权益及重要财产安全，环境安全、社会秩序、公共利益和人员生命安全，国家安全、国家经济安全）的影响；受侵害后的潜在影响程度特征值范围为1-5，5最高。如标准中表3所示。受侵害后潜在影响程度特征值受侵害后潜在影响程度受侵害的程度一般损害严重损害特别严重损害受侵害的对象工业控制系统及相关生产装置123工业生产运行安全和公民、企业、其他组织的合法权益及重要财产安全123环境安全、社会秩序、公共利益和人员生命安全234国家安全、国家经济安全345工业控制系统需抵御的信息安全威胁程度：反映了工业控制系统在面临客观存在的众多威胁中，依据工业控制系统、相关生产装置以及所属企业或行业共同固有脆弱性及其可利用性，信息安全事件发生的可能性，所确定的实际需要抵御的信息安全威胁；需要抵御的信息安全威胁等级范围为1-5，5最高。工业控制系统信息安全定级模型本标准规定的工业控制系统信息安全等级是基于工业控制系统存在信息安全风险划分的，由工业控制系统资产重要程度、受侵害后潜在影响程度、需抵御的信息安全威胁程度等三个定级要素决定。这三个定级要素之间既具有相对独立性，也具有一定的相互叠加效应。定级要素的相对独立性是指在一个侧面或一定程度上可表示工业控制系统的信息安全等级。定级要素的相互叠加效应是指，一个工业控制系统的资产重要程度越高，对受侵害后潜在影响程度的考虑会越多，对需抵御的信息安全威胁程度也会更敏感，反之亦然。基于信息安全风险的考虑，有必要对工业控制系统资产重要程度、受侵害后潜在影响程度、需抵御的信息安全威胁程度进行综合评价，得出工业控制系统信息安全等级。工业控制系统信息安全等级特征值NSL计算公式为：NSL=F((S,资产重要程度特征值)，(I，潜在影响程度特征值)，(T，信息安全威胁程度特征值))为便于计算，本标准根据工业控制系统资产重要程度特征值、受侵害后潜在影响程度特征值、需抵御的信息安全威胁程度特征值，可在表1中查出工业控制系统信息安全等级特征值，及其对应的工业控制系统信息安全等级。工业控制系统信息安全等级对照表资产重要程度特征值受侵害后潜在影响程度特征值需抵御的信息安全威胁程度特征值1234511第一级（1）第一级（2）第一级（3）第一级（4）第二级（5）21第一级（2）第一级（3）第一级（4）第二级（5）第二级（6）31第一级（3）第一级（4）第二级（5）第二级（6）第二级（7）41第一级（4）第二级（5）第二级（6）第二级（7）第三级（8）51第二级（5）第二级（6）第二级（7）第三级（8）第三级（9）12第一级（2）第一级（3）第一级（4）第二级（5）第二级（6）22第一级（3）第一级（4）第二级（5）第二级（6）第二级（7）32第一级（4）第二级（5）第二级（6）第二级（7）第三级（8）42第二级（5）第二级（6）第二级（7）第三级（8）第三级（9）52第二级（6）第二级（7）第三级（8）第三级（9）第三级（10）13第一级（3）第一级（4）第二级（5）第二级（6）第二级（7）23第一级（4）第二级（5）第二级（6）第二级（7）第三级（8）33第二级（5）第二级（6）第二级（7）第三级（8）第三级（9）43第二级（6）第二级（7）第三级（8）第三级（9）第三级（10）53第二级（7）第三级（8）第三级（9）第三级（10）第四级（11）14第一级（4）第二级（5）第二级（6）第二级（7）第三级（8）24第二级（5）第二级（6）第二级（7）第三级（8）第三级（9）34第二级（6）第二级（7）第三级（8）第三级（9）第三级（10）44第二级（7）第三级（8）第三级（9）第三级（10）第四级（11）54第三级（8）第三级（9）第三级（10）第四级（11）第四级（12）15第二级（5）第二级（6）第二级（7）第三级（8）第三级（9）25第二级（6）第二级（7）第三级（8）第三级（9）第三级（10）35第二级（7）第三级（8）第三级（9）第三级（10）第四级（11）45第三级（8）第三级（9）第三级（10）第四级（11）第四级（12）55第三级（9）第三级（10）第四级（11）第四级（12）第四级（13）表中括号内的数字是工业控制系统信息安全等级特征值。其中工业控制系统资产重要程度特征值、受侵害后潜在影响程度特征值、需抵御的信息安全威胁程度特征值的取值范围均为1-5。工业控制系统信息安全等级特征值的取值范围均为1-13，与等级的对应关系为：工业控制系统信息安全等级第一级对应特征值取值范围是1-4,第二级是5-7,第三级是8-10,第四级是11-13。工业控制系统信息安全级别与其他相关等级的关系本标准中工业控制系统信息安全级别具有工业控制系统的特殊性、专用性，又有与国内信息安全保护等级、国际标准IEC62443的兼容性，并且完全符合工信部451号文件要求。本标准中工业控制系统信息安全级别采用矢量方式表示，是由工业控制系统重要性程度、受侵害潜在影响程度、工业控制系统信息安全威胁作为三个维度形成的矢量，与原有国内信息安全保护等级有所不同，考虑了涉及工业控制系统相关的因素更全面了，更具有工业控制系统信息安全的特点。工业控制系统信息安全分为几个级别的问题关于工业控制系统信息安全分为3级、4级还是5级的问题，在评审和讨论时专家们有不同意见和反复过程。其实这主要不是技术实现的问题，而是如何便于管理和应用的问题，以及如何与目前我国信息系统安全保护等级、国际标准IEC62443中工业控制系统信息安全等级、美国NISTsp800-53中的等级、国标GB/T30976-2014等之间的衔接问题。其中，目前我国的信息系统安全保护等级划分为5级，实际使用的是1-4级；国际标准IEC62443中工业控制系统信息安全划分为4级；美国NISTsp800-53中对联邦信息系统和安全控制措施的等级划分为3级；刚刚发布的国标GB/T30976-2014中工业控制系统信息安全划分为4级。为了减少与上述情况发生的冲突，本标准对工业控制系统信息安全划分为4级，并且留有一定余地，标准中指出“对于直接用于维护国家安全的工业控制系统，以及需要抵御战争威胁（包括来自国家级别的网络战或暴力手段的威胁）或毁灭性自然灾难等意外威胁的工业控制系统，不在本标准的等级范围内，可在第四级基础上另行规定增强控制措施。”与我国信息系统安全保护等级的关系本标准中工业控制系统信息安全级别与国内信息安全保护等级的兼容性，原信息安全保护等级的定级因素（受侵害客体及对客体的侵害程度）包含在本标准中工业控制系统信息安全定级因素的一个维度（受侵害潜在影响程度）中。当忽略工业控制系统重要性程度、工业控制系统信息安全威胁两个维度时，得到的工业控制系统信息安全级别与国内信息安全保护等级基本一致。也就是说，如果一个工业控制系统信息安全级别已经按照原来国内信息安全等级保护方法进行定级，会存在考虑问题不完整，产生一定偏差，但不会产生大的冲突和错误，仍然存在一定的兼容性。不同之处是，信息安全等级保护分为五级，本标准分为四级，但本标准的第四级可包括信息安全等级保护的第四、第五级，其实到现在为止信息安全等级保护的第五级也没有实际使用，GB/T22239-2008（基本要求）也略去第五级。GB/T22240-2008《信息安全技术信息系统安全等级保护定级指南》是在GB17859基础上编写的，不必规范各级的条件。本标准与之不同，需要阐述各个等级工业控制系统的信息安全特征。与IEC62443中工业控制系统安全级别的关系本标准中工业控制系统信息安全级别与国际标准IEC62443的兼容性，IEC624433-3描述了系统的4个安全保障等级：SAL1：抵御某些具有偶然性或巧合性的威胁攻击；SAL2：抵御简单的故意性威胁攻击，该威胁攻击具有通用方法，使用低资源并具有低动因的特点；SAL3：抵御复杂的故意性威胁攻击，该威胁攻击采用系统性特定的方法，使用中等资源并具有中动因的特点；SAL4：抵御复杂的故意性威胁攻击，该威胁攻击采用系统性特定的方法，使用扩展性资源并具有高动因的特点。IEC62443各级的定义主要是依据可抵御的不同程度的威胁，包含在本标准中工业控制系统信息安全定级因素的一个维度（工业控制系统信息安全威胁）中。当忽略工业控制系统重要性程度、受侵害潜在影响程度两个维度时，得到的工业控制系统信息安全级别与IEC62443描述了系统的4个安全保障等级基本一致。与美国NISTsp800-53中信息系统级别的关系该标准依据FIPS199《联邦信息和信息系统安全分类标准》，将信息系统按照它们对保密性、完整性和可用性等安全目标的低影响、中影响或高影响分类，分为低影响信息系统、中影响信息系统、高影响信息系统。与国标GB/T30976-2014由TC124牵头编制的国标GB/T30976-2014中工业控制系统信息安全划分为4级，即信息安全等级为SL1、SL2、SL3、SL4等四个等级。其条件与IEC62443一致。比较结果本标准的等级划分分别可以与IEC62443、GB/T30976-2014、GB/T22240-2008有一定的兼容性，即不会产生冲突，但考虑的更全面。本标准中工业控制系统信息安全级别完全符合工信部451号文件要求，工信部451号文件中明确加强工业控制系统信息安全管理的重点领域，包含在本标准中工业控制系统信息安全定级因素的一个维度（工业控制系统重要性程度）中。因此，本标准中工业控制系统信息安全定级依据是充分的，既符合我国工业控制系统信息安全的专门要求，也与现行的信息安全保护等级和国际标准IEC62443兼容。工业控制系统信息安全定级流程本标准基于风险评估过程规定工业控制系统信息安全定级流程。在风险评估前需要建立语境。风险评估由风险分析和风险评价活动组成，其中风险分析可包括风险识别及风险估算活动。这与本标准中工业控制系统信息安全定级流程是一致的。定级流程的确定工业控制系统定级对象，是在建立风险评估的语境；定级流程的确定工业控制系统资产重要程度、确定受侵害后的潜在影响程度、确定需抵御的信息安全威胁程度，属于风险分析的风险识别及风险估算活动；定级流程的确定工业控制系统信息安全等级，属于风险评价活动。本标准的主要内容工业控制系统信息安全事关工业生产运行、国家经济安全和人民生命财产安全，为加强工业控制系统信息安全管理，对工业控制系统信息安全采取等级化管理。本标准规定了基于风险分析的工业控制系统信息安全等级划分规则和定级方法,提出了等级划分模型和定级要素，包括工业控制系统资产重要程度、存在的潜在风险影响程度、需抵御的信息安全威胁程度，以及对工业控制系统信息安全划分四个等级的特征。本标准第4章工业控制系统概述，描述了工业控制系统基本构成，工业控制系统定级对象；第5章工业控制系统信息安全等级划分规则,规定了工业控制系统信息安全等级划分模型，工业控制系统信息安全定级要素，工业控制系统信息安全等级特征；第6章工业控制系统信息安全定级方法，提出了工业控制系统信息安全定级流程，陈述了确定工业控制系统定级对象、确定工业控制系统资产重要程度、确定受侵害后的潜在影响程度、确定需抵御的信息安全威胁程度、确定工业控制系统信息安全等级；附录A说明了有关生产安全事故和突发环境事件分级。本标准规定了以工业控制系统风险影响为基准对工业控制系统信息安等级全划规则和定级方法，提出了等级模型和定级要素，明确了各个等级工业控制系统所具备的潜在风险影响、信息安全威胁、信息安全能力和信息安全管理方面的特征。适用于工业自动化生产企业以及相关行政管理部门，为工业控制系统信息安全等级的划分提供指导，为工业控制系统信息安全的规划、设计、实现、运维以及评估和管理提供依据。本标准主要框架如下：第一部分：常规内容前言、引言、1范围、2规范性引用文件、3术语和定义第二部分：信息安全级别划分4工业控制系统概述4.1工业控制系统基本构成4.2工业控制系统定级对象5工业控制系统信息安全等级划分规则5.1工业控制系统信息安全等级划分模型5.2工业控制系统信息安全定级要素5.2.1工业控制系统资产重要性5.2.2受侵害后的潜在影响5.2.3需抵御的信息安全威胁5.3工业控制系统信息安全等级特征5.3.1第一级工业控制系统5.3.2第二级工业控制系统5.3.3第三级工业控制系统5.3.4第四级工业控制系统6工业控制系统信息安全等级定级方法6.1工业控制系统信息安全定级流程6.2确定工业控制系统定级对象6.2.1定级对象的确认条件6.2.2定级对象的系统描述6.3确定工业控制系统资产重要程度6.3.1评价工业控制系统安全领域和业务使命6.3.2评价工业控制系统资产重要程度6.4确定受侵害后的潜在影响程度6.4.1确认工业控制系统信息安全受到破坏6.4.2依据侵害的客观方面进行分析6.4.3评价受侵害的对象6.4.4评价受侵害的程度6.4.5评价受侵害后的潜在影响程度6.5确定需抵御的信息安全威胁程度6.5.1评价面临的信息安全威胁6.5.2评价信息安全事件可能性6.5.3评价需抵御的信息安全威胁6.6确定工业控制系统信息安全等级第三部分：附录及参考文献附录A（规范性附录）有关生产安全事故和突发环境事件分级参考文献与相关法律法规及国家有关规定、国内相关标准的关系与相关法律法规及国家有关规定的关系2011年9月工信部协[2011]451号《关于加强工业控制系统信息安全管理的通知》要求各省、自治区、直辖市人民政府，国务院有关部门，有关国有大型企业，要充分认识加强工业控制系统信息安全管理的重要性和紧迫性，明确重点领域工业控制系统信息安全管理要求，建立工业控制系统安全测评检查和