GB/T-英文版信息安全技术工业控制系统信息安全防护能力成熟度模型
提供更多标准英文版。
1范围
本文件给出了工业控制系统信息安全防护能力成熟度模型,规定了核心保护对象安全和通用安全的成熟度等级要求,提出了能力成熟度等级核验方法。
本文件适用于工业控制系统设计,建设、运维等相关方进行工业控制系统信息安全防护能力建设，以及对组织工业控制系统信息安全防护能力成熟度等级进行核验。
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件.
GB/T信息安全技术术语
GB/T—信息安全技术工业控制系统安全控制应用指南
3术语和定义
GB/T,GB/T—界定的以及下列术语和定义适用于本文件。
3.1
工业控制系统industrialcontrolsystem
由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件共同构成的确保工业基础设施自动化运行,过程控制与监控的业务流程管控系统。
注。工业控制系统包括监控和数据采集(SCADA)系统,分布式控制系统(IXCS)和其他较小的控制系统﹐如可编程逻
辑控制器(PLC》等。
[来源:GB/T——.3.1,有修
3.2
工业控制系统信息安全防护能力informationsecurityprotectioncapabilityofindustrialcontrolsystem组织为避免工业控制系统遭到非授权或意外的访问,篡改,破坏及损失﹐在机构建设﹑制度流程﹑技术工具和人员能力等方面对工业控制系统的安全保障。
3.3
能力成熟度capabilitymaturity
对一个组织有条理的持续改进能力以及实现特定过程的连续性,可持续性,有效性和可信度的水平。
[来源;GB/T——.3
3.4
能力成熟度模型capabilitymaturitymodel
4缩略语
下列缩略语适用于本文件。
5工业控制系统信息安全防护能力成熟度模型
5.1能力成熟度模型架构
工业控制系统信息安全防护能力成熟度模型的架构(见图1)由以下三个维度构成。
a)安全能力要素组织工业控制系统信息安全防护能力要素包括机构建设,制度流程,技术工具和人员能力。
b）能力成熟度等级
组织工业控制系统信息安全防护能力成熟度等级划分为五级,具体包括:1级是基础建设级，2级是规范防护级,3级是集成管控级,4级是综合协同级,5级是智能优化级。
c)能力建设过程
组织工业控制系统信息安全防护能力建设过程包括核心保护对象安全和通用安全:
l)核心保护对象安全包括:工业设备安全、工业主机安全、工业网络边界安全、工业控制软件安全、工业数据安全5个过程类;
2〉通用安全包括:安全规划与架构、人员管理与培训,物理与环境安全、监测预警与应急响应﹑供应链安全保障5个过程类。
5.2能力要素维度5.2.1能力构成
通过对组织工业控制系统信息安全防护过程应具备安全能力的量化,进而核验每项安全过程的实现能力。组织工业控制系统信息安全防护能力要素包括:
a)机构建设:工业控制系统信息安全机构的设立,职责分配和沟通协作;b)制度流程;组织在工业控制系统信息安全领域的制度和流程执行;
c)技术工具:通过技术手段和产品工具落实安全要求或自动化实现安全工作;
d)人员能力:执行工业控制系统信息安全防护工作的人员的安全意识及相关专业能力。
5.2.2机构建设
从承担工业控制系统信息安全防护工作的组织应具备的机构建设能力角度,根据以下方面进行能力等级区分:
a)工业控制系统信息安全架构对组织业务的适用性:b工业控制系统信息安全机构承担的工作职责的明确性﹔c)工业控制系统信息安全机构运作﹑沟通协调的有效性。
5.2.3制度流程
从组织工业控制系统信息安全防护制度流程的建设以及执行情况角度,根据以下方面进行能力等级区分:
a)工业控制系统核心保护对象关键控制节点授权审批流程的明确性:b)相关制度流程的制定.发布.修订的规范性;
c)制度流程实施的一致性和有效性。
5.2.4技术工具
从组织用于开展工业控制系统信息安全防护工作的安全技术,应用系统和工具角度,根据以下方面进行能力等级区分:
a)工业控制系统信息安全防护技术在系统核心保护对象中的利用情况,针对系统安全风险的应对能力﹔
b)利用技术工具对工业控制系统信息安全防护工作的自动化支持能力,对工业控制系统信息安全防护制度流程固化执行的实现能力。
5.2.5人员能力
从组织承担工业控制系统信息安全防护工作的人员应具备的能力角度,根据以下方面进行能力等级区分:
a)工业控制系统信息安全人员所具备的安全技能是否能够满足复合型能力要求(对工业控制系统相关业务的理解程度以及工业控制系统信息安全专业能力):
b)工业控制系统信息安全人员的信息安全意识以及对关键工业控制系统信息安全岗位员工信息安全能力的培养。
5.3能力成熟度等级维度
组织工业控制系统信息安全防护能力成熟度等级共分为5级﹐见图2。
GB/T-英文版bzfyw.转载请注明：http://www.0431gb208.com/sjszjzl/5913.html
