GB/T 26333-2010 工业控制网络安全风险评估规范

　　ICS 25 . 040 N 10

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 26333—2010

　　工业控制网络安全风险评估规范

　　Evaluation specification forsecurityin industrialcontrolnetwork

　　201 1-01-14 发布 201 1-06-01 实施

　　中华人民共和国国家质量监督检验检疫总局中 国 国 家 标 准 化 管 理 委 员 会

　　

　　发

　　

　　布

　　GB/T 26333—2010

　　目 次

　　前言 Ⅲ

　　引言 Ⅳ

　　1 范围 1

　　2 规范性引用文件 1

　　3 术语和定义 2

　　4 符号和缩略语 3

　　5 风险评估要点 3

　　6 特性 6

　　7 确定评估目的 8

　　8 评估设计和规划 8

　　9 制定评估计划 11

　　10 评定技术 1 1

　　11 评估的实施 12

　　12 编写评估报告 12

　　附录 A(规范性附录) 工业控制网络安全网关的安全风险评估 13

　　附录 B(规范性附录) 工业控制网络现场设备层安全风险评估 15

　　Ⅰ

　　GB/T 26333—2010

　　前 言

　　本标准按照 GB/T 1 . 1—2009 给出的规则起草 。

　　本标准中的一些内容可能涉及某些专利，本标准对任何这样的专利权均不负有鉴别责任 。

　　本标准由中国机械工业联合会提出 。

　　本标准由全国工业过程测量和控制标准化技术委员会归 口 。

　　本标准起草单位：重庆邮电大学 、浙江大学 、浙江中控技术股份有限公司 、机械工业仪器仪表综合技术经济研究所 、中国科学院沈阳 自动化研究所 、大连理工大学 、上海工业自动化仪表研究所 、上海自动化仪表股份有限公司 、中国四联仪器仪表集团有限公司 、西南大学 、天津天仪集团仪表有限公司 、北京华控技术有限公司 。

　　本标准起草人：王浩 、王平 、金建祥 、冯冬芹 、欧阳劲松 、梅恪 、徐皑冬 、仲崇权 、缪学勤 、包伟华 、刘进 、张庆军 、秘明睿 、刘杰 、刘枫 、杨彬 、周勇 。

　　Ⅲ

　　GB/T 26333—2010

　　Ⅳ

　　引

　　

　　言

　　随着各种通信技术在工业控制网络中的广泛应用，在实现更多功能的同时，工业控制网络的安全问题日益凸显 。

　　本评估标准是一种针对工业控制网络的安全风险评估方法 。通过对工业控制网络的安全风险评估可以发现网络的安全隐患，通过采用相应的安全措施弥补安全漏洞，从而增强工业控制网络的安全 。

　　本标准规定了工业控制网络安全风险评估的一般方法和准则，描述了工业控制网络安全风险评估的一般步骤，侧重于评估对象的分析和评估计划的设计 。

　　GB/T 26333—2010

　　工业控制网络安全风险评估规范

　　1 范围

　　本标准规定了评估的步骤，对评估方法给出了建议 。

　　本标准适用于工业控制网络的安全风险评估，定义了评估的要点 。

　　本标准讨论工业控制网络的通信安全，它主要取决于系统所采用的防护措施 。

　　2 规范性引用文件

　　下列文件对于本文件的应用是必不可少的 。凡是注 日期的引用文件，仅注 日期的版本适用于本文件 。凡是不注 日期的引用文件，其最新版本(包括所有的修改单)适用于本文件 。

　　GB/T 9361—1988 计算机场地安全要求

　　GB/T 9387 . 2—1995 信息处理系统 开放系统互连 基本参考模型 第 2 部分：安全体系结构GB 17859—1999 计算机信息系统 安全保护等级划分准则

　　GB/T 17903 . 1—2008 信息技术 安全技术 抗抵赖 第 1 部分：概述

　　GB/T 17965—2000 信息技术 开放系统互连 高层安全模型(idt ISO/IEC 10745:1995)

　　GB/T

　　18272 . 1—2000

　　工业过程测量和控制

　　系统评估中系统特性的评定 第 1 部分：总则和方

　　法学

　　GB/T

　　18272 . 2—2000

　　工业过程测量和控制

　　系 统 评 估 中 系 统 特 性 的 评 定 第 2 部 分：评 估 方

　　法学

　　GB/T

　　18272 . 3—2000

　　工业过程测量和控制

　　系统评估中系统特性的评定 第 3 部分：系统功能

　　性评估

　　GB/T

　　18272 . 7—2006

　　工业过程测量和控制

　　系统评估中系统特性的评定 第 7 部分：系统安全

　　性评估

　　GB/T

　　18336 . 1—2008

　　信息技术 安全技术

　　信息技术安全性评估准则 第 1 部分：简介和一般

　　模型(ISO/IEC 15408-1:2005 , IDT)

　　GB/T 18336 . 2—2008 信息技术 安全技术 信息技术安全性评估准则 第 2 部分：安全功能要求(ISO/IEC 15408-2:2005 , IDT)

　　GB/T 18336 . 3—2008 信息技术 安全技术 信息技术安全性评估准则 第 3 部分：安全保证要求(ISO/IEC 15408-3:2005 , IDT)

　　GB/T 19715 . 1—2005 信息技术 信息技术安全管理指南 第 1 部分：信息技术安全概念和模型GB/T 20000 . 4—2003 标准化工作指南 第 4 部分：标准中涉及安全的内容

　　GB/T 20269—2006

　　信息安全技术

　　信息系统安全管理要求

　　GB/T 20270—2006

　　信息安全技术

　　网络基础安全技术要求

　　GB/T 20271—2006

　　信息安全技术

　　信息系统通用安全技术要求

　　GB/T 20275—2006

　　信息安全技术

　　入侵检测系统技术要求和测试评价方法

　　GB/T 20278—2006

　　信息安全技术

　　网络脆弱性扫描产品技术要求

　　GB/T 20281—2006

　　信息安全技术

　　防火墙技术要求和测试评价方法

　　GB/T 20945—2007

　　信息安全技术

　　信息系统安全审计产品技术要求和测试评价方法

　　1

　　GB/T 26333—2010

　　GB/T 21052—2007

　　信息安全技术 信息系统物理安全技术要求

　　GB/T 22081—2008

　　信息技术 安全技术 信息安全管理实用规则

　　GB/T 22239—2008

　　信息安全技术 信息系统安全等级保护基本要求

　　ISO/IEC TR 13335

　　Guidelines for the Management of IT Security(IT安全管理指南)

　　ISO/IEC TR 13335 . 1 Information technology—Guidelines for the management of IT Security— Part 1 : Concept s and models of IT Security

　　ISO/IEC 15408 Evaluation Criteria for IT Security(IT安全评估准则)

　　ISO/IEC 17799 : 2000 Information technology—Part 1 : Code of practice for information security management

　　ISO/IEC 17799 : 2005 信息技术 安全技术 信息安全管理实践规范

　　3 术语和定义

　　下列术语和定义适用于本文件 。

　　3 . 1

　　安全 safety

　　不存在不可接受的风险 。

　　3 . 2

　　安全状态 safestate

　　不存在不可接受风险的状态 。

　　3 . 3

　　资产 asset

　　对组织具有价值的信息资源，是工业安全策略保护的对象(参见 ISO/IEC 13335-1 :2004) 。

　　3 . 4

　　信息安全 information security

　　保护信 息 的 机 密 性 、完 整 性 和 可 用 性 及 其 他 属 性，如 防 抵 赖 性 、可 靠 性 等(参 见 ISO/IEC 17799 : 2005) 。

　　3 . 5

　　工业控制网络安全风险评估 security risk assessmentin industrialcontrolnetwork

　　依据有关信息安全技术与管理标准，考虑工业控制网络的特殊性，对工业控制网络及由其处理 、传输和存储的信息的机密性 、完整性和可用性等安全属性进行评价的过程 。 它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合资产价值来判断安全事件一旦发生对工业企业造成的影响 。

　　3 . 6

　　机密性 confidentiality

　　使控制信息不泄露给未授权的个人 、实体 、过程或不使信息为其利用的特性 。

　　3 . 7

　　完整性 integrality

　　保证控制信息及控制系统不会被有意地或无意地更改或破坏的特性 。

　　3 . 8

　　可用性 availability

　　数据或资源的特性，被授权实体按要求能访问和使用数据或资源(参见 ISO/IEC 13335-1 :2004) 。

　　2

　　GB/T 26333—2010

　　3 . 9

　　安全事件 security event

　　指系统 、服务或网络的一种可识别状态的发生，它可能是对信息安全策略的违反或防护措施的失效，或未预知的不安全状况 。

　　3 . 10

　　安全需求 security requirement

　　为保证组织业务战略的正常运作而在安全措施方面提出的要求 。

　　3 . 1 1

　　安全措施 security measure

　　保护资产 、抵御威胁 、减少脆弱性 、降低安全事件的影响，以及打击信息犯罪而实施的各种实践 、规程和机制的总称 。

　　3 . 12

　　证书 certificate

　　用于证明相关威胁 、漏洞针对于特定网络的相对安全性 。

　　3 . 13

　　威胁 threat

　　可能对资产或组织造成损害的潜在原因 。威胁可以通过威胁主体 、资源 、动机 、途径等多种属性来刻画 。

　　3 . 14

　　工业以太网 ethernetforplantautomation

　　EPA

　　我国第一个拥 有 自 主 知 识 产 权 的 现 场 总 线 国 家 标 准 。 同 时，该 标 准 被 列 入 现 场 总 线 国 际 标 准IEC 61158(第四版)中的第 十 四 类 型，并 列 为 与 IEC 61158 相 配 套 的 实 时 以 太 网 应 用 行 规 国 际 标 准IEC 61784-2 中的第十四应用行规簇(Common Profile Family 14 , CPF14) 。

　　4 符号和缩略语

　　ICS 工业控制系统(Industrial Control Systems)

　　PLC 可编程逻辑控制器(Programmable logic Controller)

　　SCADA 监控和数据采集(Supervisory Control and Data Acquisition)

　　DCS 分布式控制系统(Distributed Control System)

　　RTOS 实时操作系统(Real-time operating system)

　　5 风险评估要点

　　工业控制网络安全风险评估的目的是定性和(或)定量地确定其完成某一特定使命的能力 。

　　评估一个工业控制网络就是根据各种数据判断其是否适用于某一特定的使命或者某一类使命 。

　　要想获取全部数据，就需要在各种影响条件下，评定与工业控制网络的特定使命或一类使命相关的各种网络性能，但实施难度极大 。 因此，工业控制网络评估的基本原理是：

　　— 确定与完成网络使命有关的网络的临界状态;

　　— 通过研究评定各种特性的成本效益制定评定有关工业控制网络特性的计划 。

　　工业控制网络安全风险评估的关键是必须考虑以允许的经费和时间，尽可能地提高工业控制网络适用性的置信度 。

　　3

　　GB/T 26333—2010

　　5 . 1 评估范围

　　对工业控制网络的安全风险评估必须是一个整体考虑 、充分规划 、持续运作的过程，从系统结构方面，评估范围包括了工业控制网络的各个逻辑层(现场设备层 、过程监控层 、企业管理层);从评估要素方面，评估范围包括技术 、管理 、运行等各层面;从系统生命周期方面，工业控制网络的安全评估过程必须贯穿于整个网络设计 、开发 、建设和维护的各个阶段 。

　　工业控制网络中比 较 有 代 表 性 的 EPA 网 络，结 构 一 般 如 图 1 所 示(参 照 GB/T 20171—2006 中6 . 3 . 1的定义)。

　　图 1 EPA 网络结构

　　在定义评估范围时，要对控制系统边界和机构责任进行分析，可以通过一组进程 、通信 、存储 、资源等来确定 。

　　在控制系统的边界范围内的每个要素必须满足：

　　— 处于相同的直接管理控制下;

　　— 具有相同的功能或使命目标;

　　— 有本质上相同的运行特性和安全需求;

　　— 位于相同的通用运行环境中 。

　　5 . 2 评估对象

　　工业控制网络的安全风险评估，是为了保护控制系统的硬件 、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏 、更改及泄露，保证控制网络系统能够连续 、正常 、可靠的运行 。 因此，工业控制网络的安全风险评估对象，包括了网络中的各种关键信息资产 、应用系统 、实物资产 、设施和环境，以及

　　4

　　GB/T 26333—2010

　　人员 、管理规程等 。

　　对于一个具体的工业控制网络，安全风险评估主要涉及到该控制系统的关键和敏感部分 。 因此，根据实际控制系统不同，安全风险评估的对象也有所不同 。

　　5 . 3 评估目的

　　工业控制网络的拥有者在进行安全设备选型 、控制系统安全需求分析 、系统网络建设 、系统网络改造 、应用系统试运行 、内网与外网互联等业务之前，进行安全风险评估会帮助系统拥有者在一个安全状态下进行组织活动 。安全状态应包括机密性 、完整性和可用性，即在威胁产生安全事件的情况下，安全措施所能起到的相应保护作用 。

　　工业控制网络安全评估的 目 的通常包括以下几个方面：

　　— 确定可能对工业控制网络资产造成危害的威胁，包括入侵者 、罪犯 、不满员工 、恐怖分子和 自然灾害等;

　　— 通过对历史资料和专家的经验确定威胁实施的可能性;

　　— 对可能受到威胁影响的资产确定其价值 、敏感性和严重性，以及相应的级别，确定哪些资产是最重要的;

　　— 对最重要的 、最敏感的资产，确定一旦威胁发生其潜在的损失或破坏;

　　— 准确了解工业企业的网络和系统安全现状;

　　— 明晰工业企业网络的安全需求;

　　— 制定工业安全策略;

　　— 制定工业控制网络和系统的安全解决方案;

　　— 指导工业企业网络未来的建设和投入;

　　— 通过项目实施和培训，培养用户 自 己的安全队伍 。

　　根据实际控制系统不同，安全风险评估的 目标有所不同 。

　　5 . 4 影响条件

　　在评估工业控制网络之前有必要确定在安全风险评估执行期间所有的可能 。

　　工业控制网络的影响条件一般包含下列几种：

　　— 工业控制网络承担的任务;

　　— 相关的操作人员;

　　— 工业控制网络所连接的工业过程;

　　— 工业控制网络连接的外部系统;

　　— 为工业控制网络提供支持的公用设施气电等;

　　— 工业控制网络自身的一些特性 。

　　5 . 5 评估原则

　　工业控制网络安全评估原则包括以下内容：

　　5 . 5 . 1 可控性原则

　　包括人员可控性 、工具可控性和项目过程可控性 。

　　所有参与工业控制网络安全风险评估的人员均应进行严格的资格审查和备案，明确其职责分工，并对人员工作岗位的变更执行严格的审批手续，确保人员可控 。

　　相关评估人员必须持有国际 、国家认证注册的信息安全从业人员资质证书，确保具备可靠的职业 、道德素质 。

　　5

　　GB/T 26333—2010

　　如果根据项目的具体情况，需要进行人员调整时，必须经过项 目变更程序，得到双方的正式认可和签署 。

　　所有使用的安全风险评估工具均应通过多方综合性能对比 、挑选，并取得有关专家论证和相关部门的认证 。

　　5 . 5 . 2 完整性原则

　　严格按照委托单位的评估要求和指定的范围进行全面的评估服务 。

　　5 . 5 . 3 最小影响原则

　　从管理层面和工具技术层面，力求将风险评估对工业控制网络的正常运行的可能影响降低到最低限度 。一般评估采用分析法(和)或比较法，进行安全风险评估 。在采用试验法进行风险评估时，实施在备份网络上，或是分部门 、分段在非生产周期/生产低峰期进行实施 。

　　5 . 5 . 4 保密原则

　　与被评估单位签署保密协议和非侵害性协议 。

　　5 . 6 评估程序

　　工业控制网络的风险评估程序分为五个阶段：

　　— 第一阶段为准备阶段，确定评估目的;

　　— 第二阶段为评估设计和规划;

　　— 第三阶段为制定评估计划;

　　— 第四阶段为评估的实施;

　　— 第五阶段为编写评估报告 。

　　6 特性

　　本标准中的特性，特指与工业控制网络安全相关的特性，所讨论 、涉及的都是与工业控制网络安全直接或间接相关，对于工业控制网络安全是不容忽视的特性 。

　　安全风险评估时，应根据特性考虑采用合适的国家标准 、国际标准和有关法规 。

　　工业控制网络安全特性可以包含很多种类，但 6 . 1 所述特性必须包括 。

　　6 . 1 与安全相关特性

　　6 . 1 . 1 功能性

　　工业控制网络完成其既定使命的能力 。

　　功能性取决于：

　　— 提供功能的范围;

　　— 实时完成功能的能力;

　　— 必要时选择和完成所需功能的灵活性 。

　　6 . 1 . 2 性能

　　在规定的工作条件和环境条件下能够执行所提供功能的程度 。

　　对于每一种功能有必要规定对其性能进行物理测量，其中可包括精确度 、重复性 、响应速度 、分辨

　　6

　　GB/T 26333—2010

　　力等 。

　　6 . 1 . 3 机密性

　　工业控制网络上传输 、处理的数据所具有的特性，即表示数据所达到的未提供或未泄露给未授权的个人 、过程或其他实体的程度 。

　　6 . 1 . 4 完整性

　　保证工业控制网络上信息及信息系统不会被非授权更改或破坏的特性 。包括数据完整性和系统完整性 。

　　6 . 1 . 5 可用性

　　工业控制网络上数据或资源的特性，被授权实体按要求能访问和使用数据或资源 。

　　6 . 1 . 6 身份认证

　　认证 、鉴别设备或设备使用者的合法性 。

　　6 . 1 . 7 不可抵赖性

　　不可抵赖性包括行为的不可抵赖和行为发生时间的不可抵赖 。

　　6 . 1 . 8 授权

　　防止未授权用户访问或使用系统，即规定了用户对数据的访问权限 。

　　6 . 1 . 9 安全审计

　　对用户行为的合法性 、安全性进行审核和记录 。

　　6 . 1 . 10 第三方安全

　　单个服务或设备的失效不应引起对其他组件的损害 。

　　6 . 2 威胁的种类

　　威胁可能影响安全特性，甚至导致特性失效 。

　　工业控制网络可能受到入侵 、毁坏或重放攻击等威胁 。这些威胁可分为恶意和非恶意两类 。在工业控制网络中，至少应考虑下列安全威胁 。

　　6 . 2 . 1 非法设备的物理接入

　　非法设备的物理接入可能影响网络的可用性 、机密性 、第三方安全 。

　　6 . 2 . 2 访问授权的非法获取

　　访问授权的非法获取可能影响网络的可用性 、机密性 、身份认证 、不可抵赖性 、授权 、安全审计 。

　　6 . 2 . 3 控制信息的非法获取

　　控制信息的非法获取可能影响网络的机密性 、第三方安全 。

　　6 . 2 . 4 控制信息的篡改和破坏

　　控制信息的篡改和破坏可能影响网络的可用性 、完整性 、机密性 。

　　7

　　GB/T 26333—2010

　　6 . 2 . 5 未授权的网络连接

　　未授权的网络连接可能影响网络的可用性 、机密性 、授权 。

　　6 . 2 . 6 数据包重放攻击

　　数据包重放攻击可能影响网络的可用性 。

　　6 . 2 . 7 拒绝提供服务

　　拒绝提供服务可能影响网络的可用性 。

　　6 . 2 . 8 病毒感染，引起系统崩溃和数据损坏

　　病毒感染，引起系统崩溃和数据损坏可能影响网络的可用性 、第三方安全 。

　　6 . 2 . 9 抵赖

　　抵赖将影响不可抵赖性 。

　　7 确定评估目的

　　7 . 1 明确评估目的

　　在实施评估之前，应详细阐明评估的 目 的，以此作为编制评估计划的依据，评估 目 的对于评估的性质和深度具有很大的影响 。

　　一个工业控制网络可能是相当复杂的，以至于对其进行全面的评定，将是得不偿失甚至是不可能的 。通过仔细考虑评估目的 、网络结构 、体系结构 、影响条件 、评估申请方要求等，可以将评估项 目减少到只包括那些对工业控制网络应用最敏感的项 目上 。在制定评估计划之前，应该认真地将评估 目 的编制成文，并将其作为整个评估过程中的指导原则的依据 。

　　7 . 2 生成系统要求文件

　　系统要求文件由第 5 章，第 6 章和 7 . 1 共同生成 。

　　是将评估对象所必须的性能 、功能等文档化 。

　　对评估对象使命的描述应该说明所要达到的 目标，而不必说明为什么和如何达到 。确定 目标所涉及的安全特性，并按一定的方法将其归类 。

　　对于目标进行分类 。如：基本目标，重要目标，期望目标等 。

　　必须考虑到影响条件 。

　　8 评估设计和规划

　　8 . 1 概述

　　在此阶段将评估目的转化成与 目标有关的观察和测量试验 。

　　为了有效地完成这一任务应考虑第 5 章至第 6 章所述的各个方面 。

　　8 . 2 评估对象

　　计划评估的一个重要步骤是确定被评估工业控制网络的评估对象 。 由于工业控制系统的类型很

　　8

　　GB/T 26333—2010

　　多，包括了集中式数字控制系统 、分布式控制系统(DCS) 、多种现场总线控制系统等，为了帮助评估者全面了解控制网络的特点 、业务 、结构等，在评估前期需要先进行对象识别与描述 。

　　对工业控制网络的概要描述，用来帮助评估者理解安全评估 目标 、安全需求是否准确合理，有利于评估者对开发者提交的报告进行评估，评估报告内容是否属实，与所提交的其他材料是否具有一致性 。

　　在对象识别和描述中，调查和统计组织的全部对象 。 明确其现有状况 、配置情况和管理情况 。

　　8 . 3 网络边界

　　应根据评估目标和申请 方 要 求，通 过 区 分 哪 些 属 于 、哪 些 不 属 于 被 评 估 的 网 络，认 真 确 定 网 络 的边界 。

　　一个工业控制网络具有若干截然不同的边界：

　　— 企业内网与外网;

　　— 现场设备层 、过程监控层与企业管理层;

　　— 控制系统与办公网络;

　　— 各个部门间的网络;

　　— 网段与虚拟局域网 。

　　每一个边界都应做出明确的选择 。

　　内网指评估申请方所拥有的能够完全进行管理 、控制的网络，包括工业控制网络和办公自动化网络等，外网指除内网之外的，评估申请方无力或不能完全进行管理 、控制的网络，如 Internet 。

　　8 . 4 评估项目

　　评估项目的分类，条目的生成不做任何硬性规定，参考标准亦只作为推荐之用 。评估者可根据实际情况自行选择，但是，国家 、国际规章制定机构要求进行的评估项 目必须按这些规章规定的规则进行评估和评定 。

　　以下罗列一些经常的评估项 目 。

　　8 . 4 . 1 物理安全评估

　　评估工业控制系统基础设施的物理安全对整个系统安全的影响 。具体从车间场地 、车间防火 、车间供配电 、车间防静电 、车间接地与防雷 、电磁防护 、环境与人身安全 、通信线路的保护 、设备本身安全 、设备管理 、监控系统等物理安全相关技术措施方面进行测试 。

　　具体测试要求 、方法 、条目等可参考以下标准：

　　GB/T 9361—1988 计算机场地安全要求

　　GB/T 18336 . 3—2008 信息技术 安全技术 信息技术安全性评估准则 第 3 部分：安全保证要求(idt ISO/IEC 15408-3 : 2005)

　　GB/T 20271—2006 信息安全技术 信息系统通用安全技术要求

　　GB/T 21052—2007 信息安全技术 信息安全等级保护 信息系统物理安全技术要求

　　8 . 4 . 2 体系结构安全评估

　　评估系统网络体系结构是否合理，是否符合安全目标的要求 。具体包括通讯协议 、操作系统 、网络隔离与边界控制策略 、网络层次结构等 。

　　具体测试要求 、方法 、条目等可参考以下标准：

　　GB/T 9387 . 2—1995 信息处理系统 开放系统互连 基本参考模型 第 2 部分：安全体系结构

　　GB/T 18272 . 7—2006 工业过程测量和控制 系统评估中系统特性的评定 第 7 部分：系统安全性评估

　　9

　　GB/T 26333—2010

　　GB/T 18336 . 2—2008 信息技术 安全技术 信息技术安全性评估准则 第 2 部分：安全功能要求(ISO/IEC 15408-2 : 2005 , IDT)

　　GB/T 19716—2005 信息技术 信息安全管理实用规则

　　GB/T 20271—2006 信息安全技术 信息系统通用安全技术要求

　　8 . 4 . 3 安全管理评估

　　从管理的角度，判断与信息控制 、处理相关的各种技术活动是否处于有效安全监控之下 。包括：安全方针 、人员安全 、安全组织 、接入控制 、系统管理 、运行维护管理 、业务连续性 、符合性等 。

　　具体测试要求 、方法 、条目等可参考以下标准：

　　GB/T 20269—2006

　　信息安全技术 信息系统安全管理要求

　　GB/T 20271—2006

　　信息安全技术 信息系统通用安全技术要求

　　GB/T 22081—2008

　　信息技术 安全技术 信息安全管理实用规则

　　ISO/IEC TR 13335 : Guidelines for the Management of IT Security(IT安全管理指南) ISO/IEC 17799 : 2005 信息技术 安全技术 信息安全管理实践规范

　　8 . 4 . 4 安全运行评估

　　基于控制系统的业务应用，对控制系统实际运行的安全性进行测试 。应具体有业务运行逻辑安全 、业务交往的不可抵赖性 、操作权限管理 、故障排除与恢复 、系统维护与变更 、网络流量监控与分析 、系统软件和协议栈软件 、应用软件安全 、数据库安全等 。

　　具体测试要求 、方法 、条目等可参考以下标准：

　　GB/T 20270—2006 信息安全技术 网络基础安全技术要求

　　GB/T 17903 . 1—2008 信息技术 安全技术 抗抵赖 第 1 部分：概述

　　GB/T 20271—2006 信息安全技术 信息系统通用安全技术要求

　　GB/T 22019—2008 信息安全技术 信息系统安全等级保护基本要求

　　ISO/IEC 17799 : 2000 Information security management - Part 1 : Code of practice for informa- tion security management

　　8 . 4 . 5 信息保护评估

　　基于工业控制网络业务信息流分析，对信息处理的功能 、性能和安全机制进行测试;具体有访问控制 、数据保护 、通信保密 、识别与鉴别 、网络和服务设置 、审计机制等测试内容 。

　　具体测试要求 、方法 、条目等可参考以下标准：

　　GB/T 18336 . 3—2008 信息技术安全性评估标准 第 3 部分：安全保证要求(ISO/IEC 15408-3 : 2005 , IDT)

　　GB/T 18336 . 2—2008 信 息 技 术 安 全 评 估 标 准 第 2 部 分：安 全 功 能 要 求 (ISO/IEC 15408-2 : 2005 , IDT)

　　GB/T 20000 . 4—2003 标准化工作指南 第 4 部分：标准中涉及安全的内容

　　GB/T 20271—2006 信息安全技术 信息系统通用安全技术要求

　　GB/T 20945—2007 信息安全技术 信息系统安全审计产品技术要求和测试评价方法

　　ISO/IEC 15408 Evaluation Criteria for IT Security(IT安全评估准则)

　　8 . 5 对评估计划的制约

　　规定了评估对象的评估范围、指定了先后顺序、确定了试验项目以后，应仔细审查每项试验，确定试验是否会妨碍或阻止其他试验项目的正确实施，以至于影响或降低工业控制网络的性能或威胁其安全性 。

　　10

　　GB/T 26333—2010

　　这些问题应编成文件，以指出其对评估工作顺序安排的制约作用 。

　　由于工业控制网络的特殊性，评估方式一般选择分析法评定技术 。 只有当分析法评定技术得出的结果不能保证工业控制网络的安全或是不能达到申请方的要求时，才采用试验法评定技术 。 而试验法评定技术一般也只在备份网络上使用 。任何在实际运行的工业控制网络上的测试，必须征得申请方及相关主管部门的许可，在制定完备的意外方案后方可实施 。

　　实施评估计划的周期 、经费都是必须考虑的重要因素 。

　　9 制定评估计划