网络安全生产控制系统对照核查表.docx

《网络安全生产控制系统对照核查表.docx》由会员分享，可在线阅读，更多相关《网络安全生产控制系统对照核查表.docx（39页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网络安全生产控制系统对照核查表检查项检查细则是否排查是否整改一、安全软件选择与管理(-)在工控主机上采用 经过离线环境中充分验证 测试的防病毒软件或应用 程序白名单软件，只允许 经过自身授权和安全评估 的软件运行。a)工控主机上安装防病毒软 件或应用程序白名单软件，确 保有效防护病毒、木马等恶意 软件及未授权应用程序和服务工控主机安装防病毒软件或应用程序白名单软件是是防病毒软件或应用程序白名单软件的来源合理正规是是病毒库或白名单规则及时更新确认是是b)工控主机上安装防病毒软 件或应用程序白名单软件，应 在离线环境中充分测试验证， 确保其不会对工控控制系统防病毒软件或应用程序白名单软件实施安装前

2、在离线环境应已充分测试是是a ）应自行基于重要工程师站、是是（一）对重要工程师站、数据库、服务器等核心工控控明确划分重点物理安全防护区域数据库、服务器等核心工制软硬件明确重点物理安全是是控控制软硬件所在区域采防护区域四、物理取访问控制、视频监控、b）应对重点物理安全防护区建立物理安全防护措施是是专人值守等物理安全防护域采取物理隔离、访问控制、物理安全防护措施满足安全需求是是和环境措施。视频监控、专人值守等物理安安全防护全防护措施提供物理安全防护措施落实的记录是是（二）拆除或封闭工控主a）应拆除或封闭工控主机上拆除或封闭工控主机上不必要的USB、光是是机上不必要的USB、光不必要的USB、光驱、

3、无线驱、无线等接口驱、无线等接口。若确需等接口，以防止病毒、木马、使用，通过主机外设安全蠕虫等恶意代码入侵，并避免有未授权的外设终端或设备接入记录是是管理技术手段实施严格访数据泄露问控制。b）在确需使用工控主机外设 接口时，应建立主机外设接口 管理制度，并通过主机外设安 全管理技术手段实施访问控 制，以避免未授权的外设终端 接入C）严格管控企业无线网络未建立工控主机外设接口管理制度是是(1)生产控制大区中，除安全接入区外， 禁止使用具有无线通信功能的设备接入控 制系统；(2)信息内网严禁布设任何无线网络，信 息外网无线网络必须采取接入授权与认证 措施；(3)排查并关闭外部存储器、打印机等外是是

4、是是是是设无线功能；(4 )警惕冒充企业无线网络的可疑SSID , 一旦发现可疑SSID立即处理并上报；是是五、身份认证(-)在工控主机登录、 应用服务资源访问、工控 管理系统平台访问等过程 中使用身份认证管理。对 于关键设备、系统和平台 的访问采用多因素认证。a )应在工控主机登录、应用 服务资源访问、工控辅助平台 访问等过程中使用身份认证 管理技术(如口令密码、 USB-key等)，以确保访问过 程安全可控建立工控主机登录、应用服务资源访问、工控辅助系统访问等身份认证管理制度是是具备身份认证管理制度是是b)根据自身实际情况，明确 重要核心关键设备、系统和平 台，并在访问过程中，采用两 种或

5、两种以上因素认证方式，建立关键设备、系统和平台清单是是重要核心系统应采用多因素认证方式，对关键设备、系统和平台进行身份认证是是以避免非法登录等安全隐患（二）合理分类设置账户 权限，以最小特权原则分 配账户权限。a）应根据不同业务需求、岗位职责等，合理分类设置账户根据不同业务需求和岗位职责分类设置账户是是b）应以满足工作要求的最小特权原则来进行系统账户权限分配，降低因事故、错误、篡改等原因造成损失的可能性执行工控控制系统账户分配规则是是工控控制系统未按照最小特权原则进行权限分配是是C）审计分配的账户权限是否超出工作需要，确保超出工作 需要的账户权限及时调整有工控控制系统账户权限分配情况的定期审计

6、记录是是（三）强化工控控制设备、SCADA软件、工控通信a ）应为工控控制设备、SCADA软件、工控通信设备的工控控制设备、SCADA软件、工控通信设备等登录账户及密码强度不满足需求，或是是设备等的登录账户及密等的登录账户设定足够强度码，避免使用默认口令或的登录密码，并妥善管理，避弱口令，定期更新口令。免使用默认口令和弱口令，以降低对设备未授权登录和操作的可能性；b）应采定期更新口令（四）加强对身份认证证a ）确保其身份认证证书传输、书信息保护力度，禁止在存储的安全可靠，避免证书的不同系统和网络环境下共未授权使用享。六、远程（-）原则上严格禁止工a）应制定规章制度，原则上访问安控控制系统面向互

7、联网开严格禁止工控控制系统面向全通 HTTP、FTP、Telnet互联网开通HTTP、FTP、使用默认口令和弱口令未妥善管理密码是是是是身份认证证书传输、存储方式不满足安全要求是是是是等高风险通用网络服务。Telnet等高风险通用网络服务（二）确需远程访问的， 采用数据单向访问控制等 策略进行安全加固，对访 问时限进行控制，并采用 加标锁定策略。a ）应采用数据单向访问控制、VPN、堡垒机等策略对远程访 问进行安全加固，确保数据传 输安全，避免未授权操作是是采用数据单向访问控制、VPN、堡垒机等策略对远程访问进行安全加固是是安全加固措施满足安全和业务需要是是b）应对远程访问进行时限控制，并可管

8、理锁定客户端目标，确保组织对远程访问的可控性对远程访问控制采用时限控制，超时登出处理是是可管理和控制远程访问端是是（三）严禁采用虚拟专用网络（VPN）等远程接入工控系统a）严禁采用远程维护采用虚拟专用网络（VPN ）等远程接入方式工控系统内部是是七、安全监测和应急预案演练（一）在网络边界部署网 络安全监测设备，及时发 现、报告并处理网络攻击 或异常行为。a）部署网络进行状态监测、日志采集与事件管理、流量采 集与行为分析、异常告警及关 联分析等功能的网络安全监 测设备，及时发现、报告并处 理包括设备状态异常、恶意软 件传播、异常流量、异常诊断 日志、端口扫描、暴力破解等 网络攻击或异常行为部署通

9、过国家相关部门认证的网络安全监测设备是是部署网络安全监测设备具备发现、报告并处理网络攻击或异常行为功能是是网络安全监测设备进行恰当的配置是是（二）在重要工控控制设备前端部署具备工控协议a）应根据自身情况，明确重要工控控制设备清单形成重要工控控制设备清单是是重要工控控制设备清单完整、准确是是深度包检测功能的防护设备，限制违法操作。b）应在重要工控控制设备前 端部署可对所使用的工控控 制系统协议进行深度包分析 和检测过滤的防护设备，具备 阻断不符合协议标准结构的 数据包、不符合正常生产业务 范围的数据内容等功能，限制 违法操作可选项是是（三）制定工控安全事件a）专门制定工控安全事件应制定工控安全事

10、件应急响应预案是是应急响应预案，当遭受安全威胁导致工控控制系统急响应预案，确保正确应对安全事件制定的工控安全事件应急响应预案具有可执行性是是出现异常或故障时，应立b）适用时，当工控控制系统相关人员熟悉急响应措施流程是是即采取紧急防护措施，防因信息安全威胁出现异常或有采取紧急防护措施防止事态扩大的措施是是止事态扩大，并逐级报送， 同时注意保护现场，以便 进行调查取证。故障时，应按应急响应预案做 好应急响应工作，采取紧急防 护措施，防止事态扩大，并逐 级报送，同时注意保护现场， 以便进行调查取证保护现场和调查取证相关流程是是（四）对工控控制系统的 应急响应预案进行自行演 练，必要时对应急响应预 案

11、进行修订。a）组织工控控制系统相关人 员开展自行应急响应预案演 练，确保紧急事件发生时应急 预案被有效执行开展自行应急响应预案演练是是应急响应预案演练未覆盖应急预案的相关内容是是b）应根据实际情况对应急响应预案进行评审和修订，确保应急响应预案的适宜性对应急预案进行评审和修订是是八、资产（一）建设工控控制系统a）应建立工控控制系统资产建立工控控制系统资产清单是是安全资产清单，明确资产责任 人，以及资产使用及处置 规则。清单（包括软件资产、硬件资 产、数据资产等），确保工控 控制系统资产信息可核查、可 追溯工控控制系统资产清单完整、准确是是b）应明确资产责任人并建立资产使用处置规则，以在资产生命周

12、期和突发情况下内对其进行适当管理明确资产责任人是是资产责任人明确知晓其职责是是形成资产使用处置规则是是资产使用处置规则可得到有效是是九、数据安全（一）对静态存储和动态传输过程中的重要工控数据进行保护，根据风险评a）确识别重要工控数据清单（如OPC采集的生产数据、历史站存储的数据等）建立重要工控数据清单是是的正常运行造成影响（二）建立防病毒和恶意 软件入侵管理机制，对工 控控制系统及临时接入的 设备采取病毒查杀等安全 预防措施。a）建立工控控制系统防病毒 和恶意软件入侵管理机制，确 保该管理机制可有效规范防 病毒和恶意软件入侵管理工作建立工控控制系统防病毒和恶意软件管理制度是是防病毒和恶意软件管

13、理制度完善、合理是是人员制度充分了解是是制度应执行并归档存有执行记录是是b）针对工控控制系统及临时接入的设备开展查杀，并做详细查杀记录定期对工控控制系统进行查杀是是对临时接入工控控制系统的设备进行查杀，并有查杀记录是是二、配置和补丁（-）做好工控网络、工控主机和工控控制设备的a）做好工控控制网络、工控主机和工控控制设备的安全建立工控控制网络的安全策略配置是是工控控制网络的安全策略配置合理，根据实是是估结果对数据信息进行分级分类管理。b）应对静态存储的重要工控 数据进行加密存储或隔离保 护，设置访问控制功能，确保 静态存储的重要工控数据不被非法访问、删除、修改对静态存储的重要工控数据进行防护是是

14、c）应对动态传输重要工控数 据进行加密传输，确保动态传 输过程中重要工控数据的安全性是是d）应根据风险评估结果建立数据分级分类管理制度，确保工控数据的防护方式合理是是（二）定期备份关键业务a ）建立关键业务数据清单（如是是数据。生产工艺、生产计划、组态文件、调度管理等数据）是是b）应对关键业务数据进行定期备份，确保在工控控制系统关键业务数据丢失时可以及时恢复数据是是c）对所备份的关键业务数据进行恢复测试，确保备份数据的可用性是是（三）对当前测试数据进行保护。a）应对测试过程中产生的数 据进行保护，必要时护网期间 暂定敏感重要系统的改造等 活动是是是是十、供应链管理（-）在选择工控控制系 统规划

15、、设计、建设、运 维或评估等服务商时，优 先考虑具备工控安全防护 经验的企事业单位，以合 同等方式明确服务商应承 担的信息安全责任和义 务。a）应以合同等方式明确工控 控制系统产品和服务提供商 承担的信息安全责任和义务， 确保提供的产品和服务满足 信息安全要求与工控控制系统服务商签署的合同中未约定服务商在服务过程中应当承担的信息安全责任和义务是是（二）以保密协议的方式与服务商签订保密协议是是要求服务商做好保密工作，防范敏感信息外泄。a）业与月反分冏佥ij保留印仪,确保敏感信息不外泄保密协议中未明确保密内容、保密时限、违约责任等内容是是十一、落实责任通过建立工控安全管理机制、成立信息安全小组等a

16、）通过建立工控控制系统安全管理机制，确保工控安全管是是方式，明确工控安全管理 责任人，落实工控安全责 任制，部署工控安全防护 措施。理工作有序开展b）应成立由负责人牵头的， 信息化、生产管理、等相关部 门组成的信息安全协调小组， 负责统筹协调工控控制系统信息安全相关工作是是c）应在信息安全协调小组指 导下，按照管理机制，明确工 控安全管理责任人，落实工控 安全责任制，部署工控安全防 护措施是是管理安全配置，建立工控控制 系统配置清单，开启配置 审计。策略配置，确保工控控制系统相关安全配置的效性际运营场景进行动态调整建立工控主机的安全策略配置是是工控主机的安全策略配置不合理是是建立工控控制设备的

17、安全策略配置是是工控控制设备的安全策略配置合理是是b）应建立工控控制系统安全策略配置清单，确保该清单满足工控控制系统安全可靠运行的需要建立工控控制系统安全策略配置清单是是工控控制系统安全策略配置清单全面、合理是是c）自行对工控控制系统安全 配置进行核查审计，避免因调 试或其它操作导致配置变更 后，未及时更新配置清单对配置清单进行更新和维护是是定期审计配置清单是是（二）密切关注重大工控 安全漏洞及其补丁发布， 及时采取补丁升级措施。 在补丁安装前，需对补丁 进行严格的安全评估和测a）密切关注重大工控安全相 关漏洞和可能影响工控安全 的主机软硬件漏洞，及时跟踪 补丁发布，并一定时间内（原 则上不超

18、过180天）及时开展 补丁升级或消减措施，确保工 控控制系统及时针对已知安 全漏洞采取安全防护措施印发或传达重大工控安全相关漏洞和可能影响工控安全的主机软硬件漏洞及补丁升级通知是是及时对重大工控安全相关漏洞和可能影响工控安全的主机软硬件漏洞进行补丁升级是是试验证。b）应在补丁安装前，针对补补丁安装前，对补丁进行安全评估测试是是丁进行安全评估测试，必要时进行离线评估，确保补丁安装制定详细的安全评估测试方案及报告是是后工控控制系统的正常运行三、边界安全防护（一）分离工控控制系统的开发、测试和生产环境。a）对工控控制系统的开发、 测试和生产分别提供独立环 境，避免开发、测试环境中的 安全风险引入生产

19、系统工控控制系统的生产环境未与开发、测试环境分离是是（二）遵循“安全专区、网 络专用、横向隔离、纵向 认证、综合防护”相关要求a）严格落实安全专区要求根据影响程度将生产控制大区划分为控制区（安全区1）及非控制区（安全区II）,重点 保护生产控制以及直接影响电力生产（机组 运行）的系统。是是b）严格落实网络专用要求为生产控制大区服务的专用数据网络应配置专用网络是是C）严格落实横向隔离要求在生产控制大区与管理信息大区之问必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应当接近是是或达到物理隔离。生产控制大区内部的安全区之间应当采用 具有访问控制功能的网络设备、防火墙或者 相当

20、功能的设施，实现逻辑隔离。是是d）严格落实纵向认证要求采用认证、加密、访问控制等技术措施实现 数据的远方安全传输以及纵向边界的安全 防护。是是对处于外部网络边界的其他通信网关，应当 进行操作系统的安全加固，对于新上的系统 应当支持加密认证的功能。是是e）严格落实综合防护要求物理安全防护:配置电子门禁系统以加强物理访问控制，加强重点区域的巡查检查是是（三）确保边界防护严格控制网络边界防护备用与容灾：对关键业务的数据与系统进行备份，建立历史归档数据备份制度是是入侵检测：生产控制大区部署网络入侵检测 系统，合理设置检测规则，及时捕获网络异 常行为，分析潜在威胁、进行安全审计是是主机加固：生产控制大区

21、主机操作系统应当进行安全加固是是（1）确保生产控制大区（安全II区）与管 理信息大区（安全III区）边界防护设备（正、 反向隔离装置）及其防护策略已按有关配置 要求投运，严禁跨区域直连，隔离设备须使 用国家指定部门检测认证的电力专用横向 单向安全隔离装置；是是（2 ）确保生产控制大区（安全1区）与（安 全II区）边界防护设备（正、反向隔离装置 或硬件防火墙）及其防护策略已投运，没有 被人为旁路或发生直连的现象，相关设备使 用了国家指定部门检测认证的装置；是是（3 ）确认安全1区、II区内的工控系统没有直连安全III区、企业内网或互联网；是是（4）确认发电厂端的电力调度数据网已独 立组网，在物理层面确保与电厂其它数据网 络及外部公共信息网络安全隔离；发电厂端 的电力调度数据网已划分逻辑隔离的实时 子网和非实时子网，分别连接生产控制大区 （安全1区与安全II区），有条件的单位应是是在边界部署安全防护措施(如：入侵检测、 审计、网络安全监测装置等)；(5)同一安全区内系统间的边界如采用网 络通讯方式，断开非必要的业务连接，如需 要，应部署一定强度的逻辑访问控制措施， 如防火墙、VLAN等；(6 )禁止设备生产厂商或其他外部企业(单 位)原厂直接连接发电厂生产控制大区中的 业务系统及设备。是是是是应对边界访问控制策略配置文件进行备份和归档是是