1 范圍

      本文件規(guī)定了奶業(yè)加工智能化控制系統(tǒng)中各個(gè)環(huán)節(jié)的信息安全技術(shù)方面的要求，明確了奶業(yè)加工智能化控制系統(tǒng)信息安全的控制基線(xiàn)。

      本文件適用于全區(qū)奶業(yè)加工智能化控制系統(tǒng)的設(shè)計(jì)、建設(shè)，也可作為奶業(yè)加工智能化控制系統(tǒng)安全性測(cè)試、評(píng)估的依據(jù)。

2 規(guī)范性引用文件

      下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 22239 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

      GB/T 25069 信息安全技術(shù) 術(shù)語(yǔ)

      GB 50016 建筑設(shè)計(jì)防火規(guī)范

      GB 50174 數(shù)據(jù)中心設(shè)計(jì)規(guī)范

3 術(shù)語(yǔ)和定義

      下列術(shù)語(yǔ)和定義適用于本文件。

3.1

      奶業(yè)加工智能化控制系統(tǒng) intelligent contorl system for dairy industray

      由現(xiàn)代奶業(yè)加工機(jī)械、電氣、電子、通信及系統(tǒng)管理與信息技術(shù)、計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)、行業(yè)技術(shù)、智能控制技術(shù)匯集而成的針對(duì)奶業(yè)加工生產(chǎn)應(yīng)用的智能集合。

3.2

      工業(yè)主機(jī) industrial host

      工業(yè)生產(chǎn)控制各業(yè)務(wù)環(huán)節(jié)涉及組態(tài)、工作流程和工藝管理、狀態(tài)監(jiān)控、運(yùn)行數(shù)據(jù)采集以及重要信息存儲(chǔ)等工作的設(shè)備載體。

3.3

      工程師站 engineer station

      供工業(yè)過(guò)程控制工程師使用的，對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行組態(tài)、編程、修改等的工作站。

3.4

      工業(yè)控制網(wǎng)絡(luò)邊界 industrial control network boundary

      工業(yè)控制系統(tǒng)的安全計(jì)算環(huán)境邊界， 以及安全計(jì)算環(huán)境與安全通信網(wǎng)絡(luò)之間實(shí)現(xiàn)連接并實(shí)施安全策略的相關(guān)部件。

3.5

      深度包檢測(cè) deep packet inspection

      一種計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)包過(guò)濾技術(shù)，用來(lái)檢查通過(guò)檢測(cè)點(diǎn)之?dāng)?shù)據(jù)包的數(shù)據(jù)部分（亦可能包含其標(biāo)頭），以搜索不匹配規(guī)范之協(xié)議、病毒、垃圾郵件、入侵，或以預(yù)定之準(zhǔn)則來(lái)決定數(shù)據(jù)包是否可通過(guò)或需被路由至其他不同目的地，亦或是為了收集統(tǒng)計(jì)數(shù)據(jù)之目的。

4 縮略語(yǔ)

      下列縮略語(yǔ)適用于本文件。

      DCS：集散控制系統(tǒng)（Distributed Control System）

      ICS：工業(yè)控制系統(tǒng)（Industrial Control System）

      ID：身份證標(biāo)識(shí)號(hào)、賬號(hào)（Identity document）

      PLC：可編程邏輯控制器（Programmable Logic Controller）

      SCADA：數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(Supervisory Control And Data Acquisition）

      VPN:  虛擬專(zhuān)用網(wǎng)絡(luò)（Virtual Private Network）

5 奶業(yè)加工智能化控制系統(tǒng)信息安全概述

5.1 奶業(yè)加工智能化控制系統(tǒng)安全框架

      奶業(yè)加工智能化控制系統(tǒng)是幾種類(lèi)型的控制系統(tǒng)的總稱(chēng)，包括數(shù)據(jù)采集與視頻監(jiān)視控制系統(tǒng)（SCADA）、集散控制系統(tǒng)（DCS）和其他控制系統(tǒng)。奶業(yè)加工智能化控制系統(tǒng)的信息安全特性取決于其設(shè)計(jì)、管理、建設(shè)和環(huán)境條件等各種因素。

5.2 奶業(yè)加工智能化控制系統(tǒng)安全目標(biāo)

      奶業(yè)加工智能化控制系統(tǒng)的安全以可用性、完整性、保密性為主要目標(biāo)，其中保障生產(chǎn)系統(tǒng)的可用性尤其重要；奶業(yè)加工智能化控制系統(tǒng)的安全威脅一般是利用Windows系統(tǒng)、工業(yè)軟件系統(tǒng)（如SCADA、DCS）以及開(kāi)放的標(biāo)準(zhǔn)工業(yè)通信協(xié)議的多個(gè)漏洞進(jìn)行攻擊；此外，由于專(zhuān)用的工業(yè)以太網(wǎng)通信協(xié)議（如PROFINET、Ethernet/IP、Modbus等）在設(shè)計(jì)時(shí)并未考慮信息安全防護(hù)，存在安全漏洞。

5.3 奶業(yè)加工智能化控制系統(tǒng)保護(hù)原則

      保護(hù)奶業(yè)加工智能化控制系統(tǒng)首先是保護(hù)現(xiàn)場(chǎng)系統(tǒng)（如 PLC、DCS 等），保護(hù)生產(chǎn)連續(xù)性，其次是保護(hù)中央服務(wù)器等資產(chǎn)。在實(shí)際生產(chǎn)環(huán)境中，一些設(shè)備如果實(shí)現(xiàn)特定類(lèi)型的安全措施可能會(huì)終止其連續(xù)運(yùn)行，原則上所提出的安全防護(hù)技術(shù)要求不應(yīng)對(duì)奶業(yè)加工智能化控制系統(tǒng)的功能安全產(chǎn)生不利影響。

6 信息安全技術(shù)要求

6.1 物理和環(huán)境防護(hù)

6.1.1 安全目標(biāo)

      建立完善的物理環(huán)境安全機(jī)制，優(yōu)化物理環(huán)境下的操作管理，以保證數(shù)據(jù)的可用性、保密性和完整性，規(guī)范設(shè)備所處物理環(huán)境的安全性，防止對(duì)組織場(chǎng)所和信息的未授權(quán)物理訪(fǎng)問(wèn)、損壞和干擾。

6.1.2 技術(shù)要求

6.1.2.1 物理位置選擇

      本項(xiàng)要求包括：

      a) 機(jī)房應(yīng)選擇在具有防雷、防震、防風(fēng)和防雨等能力的建筑內(nèi)；

      b) 奶業(yè)企業(yè)應(yīng)根據(jù)程師站、數(shù)據(jù)庫(kù)、服務(wù)器等工業(yè)控制軟硬件的重要性，自行明確重點(diǎn)物理安全防護(hù)區(qū)域；

      c) 機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物的高層或地下室以及用水設(shè)備的下層或隔壁；如果不可避免，應(yīng)采取有效防水和防潮、有效固定等措施；

      d) 如果機(jī)房周?chē)杏盟O(shè)備，應(yīng)有防滲水和疏導(dǎo)措施；

      e) 機(jī)房外墻壁應(yīng)沒(méi)有對(duì)外的窗戶(hù)；否則，應(yīng)采用雙層固定窗并作密封、防水處理。

6.1.2.2 物理訪(fǎng)問(wèn)控制

      本項(xiàng)要求包括：

      a) 需進(jìn)入機(jī)房的來(lái)訪(fǎng)人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，記錄帶進(jìn)帶出的設(shè)備、進(jìn)出時(shí)間、工作內(nèi)容， 并有專(zhuān)人陪同并限制和監(jiān)控其活動(dòng)范圍；帶入的設(shè)備使用前要進(jìn)行系統(tǒng)掃描、使用過(guò)程中要進(jìn)行行為監(jiān)測(cè)，設(shè)備帶出前要對(duì)工作日志等進(jìn)行審計(jì)；

      b) 機(jī)房出入口應(yīng)安排專(zhuān)人值守或配置電子門(mén)禁系統(tǒng)，控制、鑒別和記錄人員的進(jìn)出情況，人員進(jìn)出記錄應(yīng)至少保存 6 個(gè)月 ；

      c) 機(jī)房出入口應(yīng)有視頻監(jiān)控，監(jiān)控記錄至少保存 3 個(gè)月 ；

      d) 重要工程師站、數(shù)據(jù)庫(kù)、服務(wù)器等核心工業(yè)控制軟硬件所在區(qū)域采取訪(fǎng)問(wèn)控制、視頻監(jiān)控、專(zhuān)人值守等物理安全防護(hù)措施；

      e) 重要區(qū)域應(yīng)配置第二道電子門(mén)禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。

6.1.2.3 防盜竊和防破壞

      本項(xiàng)要求包括：

      a) 應(yīng)把服務(wù)器、路由器、交換機(jī)等主要設(shè)備放置在機(jī)房?jī)?nèi)；

      b) 應(yīng)把設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記，如粘貼標(biāo)簽或銘牌；

      c) 應(yīng)把通信線(xiàn)纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；

      d) 應(yīng)設(shè)置冗余或并行的電力電纜線(xiàn)路為奶業(yè)加工智能化控制系統(tǒng)供電，輸入電源應(yīng)采用雙回路自動(dòng)切換供電方式。

6.1.2.4 防雷擊

      本項(xiàng)要求包括：

      a) 機(jī)房應(yīng)設(shè)計(jì)并安裝防雷擊措施，并在機(jī)房所在大樓防雷措施基礎(chǔ)上另外采取加強(qiáng)防護(hù)措施；

      b) 機(jī)房應(yīng)設(shè)置交流電源地線(xiàn)，各類(lèi)機(jī)柜、設(shè)施和設(shè)備等通過(guò)接地系統(tǒng)安全接地。

      c) 機(jī)房防雷設(shè)計(jì)除應(yīng)符合本規(guī)范外，應(yīng)同時(shí)符合 GB 50174 的有關(guān)規(guī)定。

6.1.2.5 防火

      本項(xiàng)要求包括：

      a) 機(jī)房應(yīng)設(shè)置滅火設(shè)備；

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購(gòu)買(mǎi)標(biāo)準(zhǔn)正版。