DB15∕T 2078-2021 奶业加工智能化控制系统信息安全.pdf
《DB15∕T 2078-2021 奶业加工智能化控制系统信息安全.pdf》由会员分享,可在线阅读,更多相关《DB15∕T 2078-2021 奶业加工智能化控制系统信息安全.pdf(24页珍藏版)》请在咨信网上搜索。
1、 ICS 35.240.01 CCS L 00 15 内蒙古自治区地方标准 DB15/T 20782021 奶业加工智能化控制系统信息安全 技术要求 Technical requirements for information security of dairy processing intelligent control system 2021-01-25 发布 2021-02-25 实施 内蒙古自治区市场监督管理局 发 布 DB15/T 20782021 I 目次 前言 . II 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 缩略语 . 2 5 奶业加工智能化控
2、制系统信息安全概述 . 2 5.1 奶业加工智能化控制系统安全框架 . 2 5.2 奶业加工智能化控制系统安全目标 . 2 5.3 奶业加工智能化控制系统保护原则 . 2 6 信息安全技术要求 . 2 6.1 物理和环境防护 . 2 6.2 网络安全防护 . 5 6.3 工业网络边界安全防护 . 7 6.4 工业主机安全防护 . 8 6.5 控制设备安全防护 . 11 6.6 数据安全防护 . 13 6.7 防护产品安全 . 15 6.8 系统安全运维 . 16 6.9 系统集中监控 . 18 6.10 系统安全建设 . 19 参考文献 . 21 DB15/T 20782021 II 前言 本
3、文件按照GB/T 1.12020标准化工作导则 第1部分:标准化文件的结构和起草规则的规定起草。 本文件由内蒙古自治区工业和信息化厅归口。 本文件起草单位:内蒙古自治区电子信息产品质量检验院、蒙牛乳业(集团)股份有限公司。 本文件主要起草人:巴特尔、门嗣睿、王永翱、刘建华、王晓光、刘业斌、杨宏业、赵春霖、李应彤、王明鑫、王磊、武浩东、岳鑫。 DB15/T 20782021 1 奶业加工智能化控制系统信息安全技术要求 1 范围 本文件规定了奶业加工智能化控制系统中各个环节的信息安全技术方面的要求, 明确了奶业加工智能化控制系统信息安全的控制基线。 本文件适用于全区奶业加工智能化控制系统的设计、
4、建设, 也可作为奶业加工智能化控制系统安全性测试、评估的依据。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中, 注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。 GB/T 22239 信息安全技术 网络安全等级保护基本要求 GB/T 25069 信息安全技术 术语 GB 50016 建筑设计防火规范 GB 50174 数据中心设计规范 3 术语和定义 下列术语和定义适用于本文件。 3.1 奶业加工智能化控制系统 intelligent contorl system for dairy
5、 industray 由现代奶业加工机械、电气、电子、通信及系统管理与信息技术、计算机网络技术、行业技术、智能控制技术汇集而成的针对奶业加工生产应用的智能集合。 3.2 工业主机 industrial host 工业生产控制各业务环节涉及组态、工作流程和工艺管理、状态监控、运行数据采集以及重要信息存储等工作的设备载体。 3.3 工程师站 engineer station 供工业过程控制工程师使用的,对计算机系统进行组态、编程、修改等的工作站。 3.4 工业控制网络边界 industrial control network boundary DB15/T 20782021 2 工业控制系统的安全
6、计算环境边界, 以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件。 3.5 深度包检测 deep packet inspection 一种计算机网络数据包过滤技术, 用来检查通过检测点之数据包的数据部分 (亦可能包含其标头) ,以搜索不匹配规范之协议、病毒、垃圾邮件、入侵,或以预定之准则来决定数据包是否可通过或需被路由至其他不同目的地,亦或是为了收集统计数据之目的。 4 缩略语 下列缩略语适用于本文件。 DCS:集散控制系统(Distributed Control System) ICS:工业控制系统(Industrial Control System) ID:身份证标识号、
7、账号(Identity document) PLC:可编程逻辑控制器(Programmable Logic Controller) SCADA:数据采集与监视控制系统(Supervisory Control And Data Acquisition) VPN: 虚拟专用网络(Virtual Private Network) 5 奶业加工智能化控制系统信息安全概述 5.1 奶业加工智能化控制系统安全框架 奶业加工智能化控制系统是几种类型的控制系统的总称,包括数据采集与视频监视控制系统(SCADA)、集散控制系统(DCS)和其他控制系统。奶业加工智能化控制系统的信息安全特性取决于其设计、管理、建设
8、和环境条件等各种因素。 5.2 奶业加工智能化控制系统安全目标 奶业加工智能化控制系统的安全以可用性、完整性、保密性为主要目标,其中保障生产系统的可用性尤其重要; 奶业加工智能化控制系统的安全威胁一般是利用Windows系统、 工业软件系统 (如SCADA、DCS)以及开放的标准工业通信协议的多个漏洞进行攻击;此外,由于专用的工业以太网通信协议(如 PROFINET、Ethernet/IP、Modbus等)在设计时并未考虑信息安全防护,存在安全漏洞。 5.3 奶业加工智能化控制系统保护原则 保护奶业加工智能化控制系统首先是保护现场系统(如 PLC、DCS 等),保护生产连续性,其次是保护中央服
9、务器等资产。 在实际生产环境中, 一些设备如果实现特定类型的安全措施可能会终止其连续运行,原则上所提出的安全防护技术要求不应对奶业加工智能化控制系统的功能安全产生不利影响。 6 信息安全技术要求 6.1 物理和环境防护 6.1.1 安全目标 DB15/T 20782021 3 建立完善的物理环境安全机制,优化物理环境下的操作管理,以保证数据的可用性、保密性和完整性,规范设备所处物理环境的安全性,防止对组织场所和信息的未授权物理访问、损坏和干扰。 6.1.2 技术要求 6.1.2.1 物理位置选择 本项要求包括: a) 机房应选择在具有防雷、防震、防风和防雨等能力的建筑内; b) 奶业企业应根据
10、程师站、数据库、服务器等工业控制软硬件的重要性,自行明确重点物理安全防护区域; c) 机房场地应避免设在建筑物的高层或地下室以及用水设备的下层或隔壁;如果不可避免,应采取有效防水和防潮、有效固定等措施; d) 如果机房周围有用水设备,应有防渗水和疏导措施; e) 机房外墙壁应没有对外的窗户;否则,应采用双层固定窗并作密封、防水处理。 6.1.2.2 物理访问控制 本项要求包括: a) 需进入机房的来访人员应经过申请和审批流程,记录带进带出的设备、进出时间、工作内容,并有专人陪同并限制和监控其活动范围;带入的设备使用前要进行系统扫描、使用过程中要进行行为监测,设备带出前要对工作日志等进行审计;
11、b) 机房出入口应安排专人值守或配置电子门禁系统,控制、鉴别和记录人员的进出情况,人员进出记录应至少保存 6 个月 ; c) 机房出入口应有视频监控,监控记录至少保存 3 个月 ; d) 重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施; e) 重要区域应配置第二道电子门禁系统,控制、鉴别和记录进入的人员。 6.1.2.3 防盗窃和防破坏 本项要求包括: a) 应把服务器、路由器、交换机等主要设备放置在机房内; b) 应把设备或主要部件进行固定,并设置明显的不易除去的标记,如粘贴标签或铭牌; c) 应把通信线缆铺设在隐蔽处,可铺设在地下
12、或管道中; d) 应设置冗余或并行的电力电缆线路为奶业加工智能化控制系统供电,输入电源应采用双回路自动切换供电方式。 6.1.2.4 防雷击 本项要求包括: a) 机房应设计并安装防雷击措施,并在机房所在大楼防雷措施基础上另外采取加强防护措施; b) 机房应设置交流电源地线,各类机柜、设施和设备等通过接地系统安全接地。 c) 机房防雷设计除应符合本规范外,应同时符合 GB 50174 的有关规定。 6.1.2.5 防火 本项要求包括: a) 机房应设置灭火设备; DB15/T 20782021 4 b) 机房及相关的工作房间和辅助房间应采用具有耐火等级的建筑材料; c) 机房应设置火灾自动消防
13、系统,能够自动检测火情、自动报警,并具有自动灭火功能; d) 机房防火设计除应符合本规范外,应同时符合 GB 50174 的有关规定。 6.1.2.6 防水和防潮 本项要求包括: a) 机房防水系统的设计、部署应充分考虑信息安全防护需求,防止成为信息安全的脆弱点; b) 与主机房无关的给排水管道不得穿过主机房,与主机房相关的给排水管道必须有可靠的防渗漏措施; c) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透到机房内; d) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗漏。 6.1.2.7 防静电 本项要求包括: a) 主要设备应采取必要的接地防静电措施; b) 机房应采用防静电地板或
14、地面。 6.1.2.8 温湿度控制 本项要求包括: a) 温度和湿度控制系统的设计、部署应充分考虑信息安全防护需求,防止成为信息安全的脆弱点; b) 应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行允许范围内,开机时主机房温度应控制在 18 28 ,相对湿度应控制在 35 %75 %;停机时主机房温度控制在5 35 ,相对湿度控制在 20 %80 %;对机房内的温、湿度应有监测记录。 6.1.2.9 电力供应 本项要求包括: a) 正常电源、应急电源以及电源控制管理系统的设计、部署应充分考虑信息安全防护需求,防止成为信息安全的脆弱点; b) 应在机房供电线路上配置稳压器和过电压防护设
15、备; c) 应提供短期的备用电力供应,电池容量应参考 GB 50174 的有关规定执行; d) 应设置冗余或并行的电力电缆线路为计算机系统供电,输入电源应采用双回路自动切换供电方式。 6.1.2.10 室外控制设备物理防护 本项要求包括: a) 应放置于采用铁板或其他防火绝缘材料制作且具有透风、散热、防盗、防雨、防火能力的箱体或装置中;应安装在金属或其它绝缘板上(非木质板),并紧固于箱体或装置中; b) 设备应就近接地,并应采取设置人工接地装置的方式; c) 应对设备电源、信号线路加装避雷器或浪涌保护器,并将金属管线就近接地; d) 应根据设备分布不同在设备集中位置设置等电位连接装置,如等电位
16、接地汇流排、均压环、均压网等,并确保所有设备、金属机架、外壳、管、槽等均就近接地,满足等电位连接要求; DB15/T 20782021 5 e) 应远离强电磁干扰、热源以及极端天气环境等,如无法避免,在遇到极端天气时应及时做好应急处置及检修以确保设备正常运行; f) 对奶业加工智能化控制系统传输线路实施配线间上锁等物理防护措施,防止被接触和被破坏。 6.1.2.11 电磁防护 本项要求包括: a) 电源线和通信线缆应隔离铺设,避免互相干扰; b) 集中存储、处理、传输敏感数据的设备,要考虑电磁信息泄露防护,并根据国家相关规定设置信息安全保护措施; c) 重要工艺控制环路所涉及设备, 应分析无线
17、注入攻击和干扰的风险, 并采取足够的防护措施; d) 电磁防护设计除应符合本规范外,应同时符合 GB 50174 的有关规定。 6.2 网络安全防护 6.2.1 安全目标 防止非法设备接入网络, 有效监控各种网络访问行为, 抵御因各种网络攻击和入侵行为对奶业加工智能化控制系统正常功能带来干扰和破坏。 6.2.2 技术要求 6.2.2.1 网络架构 本项要求包括: a) 应绘制与当期运行状况相符的网络拓扑结构图并整理设备清单及核心网络设备配置文件,定期备份更新,清单信息主要包括:设备名称、型号、IP 地址等信息,并提供网段划分、路由、安全策略配置等信息; b) 应对系统网络拓扑、网络连接及设备配
18、置信息进行定期检查维护,并把检查结果记录备案; c) 奶业加工智能化控制系统与企业其他系统之间应具有明确的网络边界划分,边界处应采用符合 GB/T 22239 规定的技术隔离手段; d) 奶业加工智能化控制系统内部应根据业务特点划分为不同的安全域,并按照方便管理和控制的原则为各安全域分配地址; e) 应避免将重要网络区域部署在网络边界处且缺乏边界防护措施; f) 涉及实时控制和数据传输的 ICS,应使用独立的网络设备组网,在物理层面上实现与其它数据网及外部公共信息网的安全隔离; g) 应根据企业内部的部门的职能分工、重要性和所涉及信息的重要程度等因素,划分不同的网络区域,并按照方便管理和控制的
19、原则为网络区域分配地址段; h) 应保证网络设备的业务处理能力满足业务高峰期需要,并具备冗余空间; i) 单个 ICS 可单独划分安全域,系统可由独立子网承载,每个安全域应有唯一的网络出口。 6.2.2.2 网络接入 本项要求包括: a) 对接入工业控制网络的设备进行识别和管控,只允许经过授权的设备接入网络; b) 应对临时接入的设备采取病毒查杀等安全预防措施; c) 对无线连接(WIFI、4G、5G 等)的授权、监视以及执行使用进行限制; d) 应对所有使用无线通信的终端设备提供唯一性标识和鉴别措施。 DB15/T 20782021 6 6.2.2.3 通信传输 本项要求包括: a) 当通信
20、双方中的一方在一段时间内未作任何响应,另一方应能自动结束会话; b) 应采用校验技术或密码技术保证通信过程中数据的完整性; c) 应对无线通信采取加密传输的安全措施,实现传输报文的机密性保护。 6.2.2.4 访问控制 本项要求包括: a) 应根据访问控制策略在工业控制网络边界处设置访问控制规则,默认情况下受控接口只接受允许的通信传输; b) 应在工业控制网络内的不同区域边界采用防火墙等访问控制设备进行访问控制,在重要工业控制设备前端应部署具备工业协议深度包检测功能的防护设备,限制违规操作; c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查,以允许/拒绝数据包进出; d) 应删除多
21、余或无效的访问控制规则,优化访问控制列表,并保证访问控制规则数量最小化; e) 应对所有参与无线通信的用户(人员、软件进程或者设备)提供唯一性标识和鉴别; f) 应对所有参与无线通信的用户(人员、软件进程或者设备)进行授权及执行使用限制; g) 确需使用拨号访问服务的,应限制具有拨号访问权限的用户数量;并采取用户身份鉴别和访问控制等措施; h) 拨号服务器和客户端均应使用经安全加固的操作系统,并采取数字证书认证、传输加密和访问控制等措施。 6.2.2.5 入侵防范 本项要求包括: a) 定期扫描主机已经开放的网络端口,并对高危端口和异常开放端口进行预警;基于网络端口发现隐藏的网络通信,以防止数
22、据泄露和入侵渗透; b) 应在交换机、路由器等关键网络节点和电子邮件服务器等关键入口处采取入侵检测和防御技术来检测、防止或限制从外部或从内部发起的网络攻击行为。 6.2.2.6 恶意代码防范 应在交换机、 路由器等关键网络节点和电子邮件服务器等关键入口处采取恶意代码检测与防范手段,对网络中传输的恶意代码进行检测和清除,维护恶意代码防护机制的升级和更新,但不能影响正常的业务流量数据传输。 6.2.2.7 安全审计 本项要求包括: a) 应在工业控制网络边界、工业控制网络内部不同安全区域边界以及重要网络节点部署专用审计设备或启动网络设备(系统)的审计功能并进行安全审计,审计范围应覆盖到奶业加工智能
23、化控制系统的每个用户,审计内容应包括:设备运行状况、网络流量、用户行为、系统资源的异常使用、重要系统命令使用和重要安全事件等; b) 若审计测试会影响系统的可用性,则应在非业务时间进行; c) 应具备使用内部时钟为审计记录生成时间戳的功能,系统生成的时间戳包括日期和时间; d) 应定义审计阈值,当存储空间接近极限时,能采取必要的措施;当存储空间被耗尽时,终止可审计事件的发生; DB15/T 20782021 7 e) 当审计要求和活动涉及对运行系统验证时,应事先与合适的管理者商定访问系统和数据的审计要求并取得批准,以免造成业务过程中断; f) 应提供对审计事件选择的集中管理能力,现场设备审计事
24、件应包括:用户登录/退出事件、连接超时事件、配置变更、时间/日期变更、审计接入、ID/Password 创建和修改等,事件选择被单独的系统部件所审计; g) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 6.2.2.8 网络设备防护 本项要求包括: a) 应对登录工业网络设备的用户进行身份鉴别; b) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数、网络登录连接超时自动退出等措施; c) 身份鉴别信息应不易被冒用,口令复杂度应满足要求并定期更换;应修改默认用户和口令,不得使用默认口令;口令长度不得小于 8 位,且为字母、数字和特殊字符的组合,用户名和口
25、令不得相同,不得明文存储口令; d) 当对工业网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听; e) 应对工业网络设备的管理员登录地址进行限制; f) 应关闭工业网络设备不需要的网络端口和服务;如需使用 SNMP 服务,应采用安全性增强版本,并应设定复杂的 Community 控制字段,不得使用 Public、Private 等默认字段; g) 应实现设备特权用户的权限分离,系统不支持的应部署日志服务器以保证管理员的操作能够被审计,并且网络特权用户管理员无权对审计记录进行操作。 6.3 工业网络边界安全防护 6.3.1 安全目标 从生产业务系统特点、 重要性和安全性出
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- DB15T 2078-2021 奶业加工智能化控制系统信息安全 DB15 2078 2021 加工 智能化 控制系统 信息 安全
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【wo****nt】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【wo****nt】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。