威努特工控安全---等保2.0 向目标更进一步.doc

《威努特工控安全---等保2.0 向目标更进一步.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、等保2.0向目标更进一步2014年全国安标委秘书处下达对《信息安全技术信息系统等级保护基本要求》（GB/T22239—2008）进行修订的任务，修订工作由公安部第三研究所（公安部信息安全等级保护评估中心）主要承担，从此拉开了等保2.0的序幕。经过三次专家评审和多次意见修改，形成了最新版本的标准送审稿。2017年10月16日，全国信息安全标准化技术委员会2017年第二次会议周在厦门召开期间，威努特作为WG5工作组成员单位，深度参与了公安部三所马力老师对《信息安全技术网络安全等级保护基本要求》（GB

2、/T22239—XXXX代替GB/T22239-2008）送审稿的解读。本次解读的送审稿与2016年9月的征求意见稿比较发生了哪些变化，这些变化对工业控制系统网络安全规划、设计、建设、运维和评估产生哪些影响，接下来小威和您一起探究新标准的新变化。1.标准整体变化：分册合五为一2017年8月，公安部评估中心根据网信办和安标委的意见将等级保护在编的5个基本要求分册进行整合编写，形成《信息安全网络安全等级保护基本要求》1个标准文档。《第一部分：安全通用要求》《第二部分：云计算安全扩展要求》《第三部分：

3、移动互联安全扩展要求》《第四部分：物联网安全扩展要求》《第五部分：工业控制系统安全扩展要求》《信息安全网络安全等级保护基本要求》同样，针对设计要求（GB/T25070）与测评要求（GB/T28448）也由5个分册分别整合成一册。由于业务目标的不同、使用技术的不同、应用场景的不同等因素，不同的等级保护对象会以不同的形态出现，为了便于实现对不同级别和不同形态的等级保护对象的共性化和个性化保护，等级保护要求分为安全通用要求和安全扩展要求。u安全通用要求：牵头单位公安部信息安全等级保护评估中心u云计算安

4、全扩展要求：牵头单位公安部信息安全等级保护评估中心u移动互联安全扩展要求：牵头单位北京鼎普科技股份有限公司u物联网安全扩展要求：牵头单位公安部第一研究所u工业控制系统安全扩展要求：牵头单位浙江大学1.工业控制系统安全扩展要求变化2.1内容结构调整工业控制系统安全扩展要求之前的版本是以工业控制系统为主线，再按照安全等级划分技术要求和管理要求进行阐述，技术要求由物理和环境安全、边界防护、集中管控以及各业务层（生产管理层、过程监控层、现场控制层和现场设备层）的安全要求组成，新版本以安全等级为主线分别以

5、不同业务场景的安全扩展进行阐述，工业控制系统安全扩展不再按业务层次划分，而是在安全通用要求的基础上，扩展相应的安全要求。以第三级基本安全要求为例，对比新旧版本针对工业控制系统安全扩展要求的描述结构变化。7　第三级基本要求7.1　技术要求7.1.1　物理和环境安全7.1.2　边界防护7.1.3　集中管控7.1.4　生产管理层安全要求7.1.5　过程监控层安全要求7.1.6　现场控制层安全要求7.1.7　现场设备层安全要求7.2　管理要求8　第三级安全要求8.1　安全通用要求8.2　云计算安全扩展要

6、求8.3　移动互联安全扩展要求8.4　物联网安全扩展要求8.5　工业控制系统安全扩展要求8.5.1物理和环境安全8.5.2网络和通信安全8.5.3设备和计算安全8.5.4安全建设管理8.5.5安全运维管理旧版本工控扩展要求目录新版本工控扩展要求目录2.2物理和环境安全变化增加室外控制设备物理防护，之前的版本仅参考安全通用要求，没有体现工业控制系统的特殊性，由于工业控制系统网络设备的应用环境与具体业务应用场景相关，所以室外环境安装控制设备、网络设备和安全设备的场景较多，新版本充分考虑工业环境的特殊

7、性，专门针对室外设备的物理环境安全做扩展要求和说明。2.3网络和通信安全变化明确单向技术隔离手段：在网络架构方面，旧版本标准要求在控制区域边界进行监视和控制通信，而新版本则具体要求工业控制系统与企业其他系统之间采用单向技术隔离手段，明确了技术手段，使得企业在参考该标准进行网络安全建设和整改时技术措施更明确。增加拨号使用控制：旧版本未体现拨号服务如何进行控制和保护，新版本中充分考虑了部分工业控制系统使用拨号服务的现实情况，将拨号使用控制作为专门的控制点进行要求描述，包括限制用户数量、身份鉴别、访问

8、控制、操作系统加固、传输加密等技术要求。细化无线使用控制：旧版本中已经提出针对无线通信用户提供唯一性标识和鉴别，提供授权、监视以及执行使用进行限制，新版本在此基础上继续细化了传输报文的机密性保护、识别物理环境中发射的未经授权的无线设备、报告未经授权试图接入或干扰控制系统行为等技术要求，不仅从软件逻辑上进行技术保护，更考虑了物理环境方面需要提供技术防护措施的要求，使得无线使用对于工业控制系统变得更安全可靠。2.4设备和计算安全变化控制设备安全扩展：旧版本的描述内容是基于安全通用要求的主机安全方面在