1 范圍
本文件規(guī)定了奶業(yè)加工智能化控制系統(tǒng)中各個(gè)環(huán)節(jié)的信息安全技術(shù)方面的要求，明確了奶業(yè)加工智能化控制系統(tǒng)信息安全的控制基線。
本文件適用于全區(qū)奶業(yè)加工智能化控制系統(tǒng)的設(shè)計(jì)、建設(shè)，也可作為奶業(yè)加工智能化控制系統(tǒng)安全性測(cè)試、評(píng)估的依據(jù)。
2 規(guī)范性引用文件
下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。
GB/T 22239 信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求
GB/T 25069 信息安全技術(shù) 術(shù)語
GB 50016 建筑設(shè)計(jì)防火規(guī)范
GB 50174 數(shù)據(jù)中心設(shè)計(jì)規(guī)范
3 術(shù)語和定義
下列術(shù)語和定義適用于本文件。
3.1
奶業(yè)加工智能化控制系統(tǒng) intelligent contorl system for dairy industray
由現(xiàn)代奶業(yè)加工機(jī)械、電氣、電子、通信及系統(tǒng)管理與信息技術(shù)、計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)、行業(yè)技術(shù)、智能控制技術(shù)匯集而成的針對(duì)奶業(yè)加工生產(chǎn)應(yīng)用的智能集合。
3.2
工業(yè)主機(jī) industrial host
工業(yè)生產(chǎn)控制各業(yè)務(wù)環(huán)節(jié)涉及組態(tài)、工作流程和工藝管理、狀態(tài)監(jiān)控、運(yùn)行數(shù)據(jù)采集以及重要信息存儲(chǔ)等工作的設(shè)備載體。
3.3
工程師站 engineer station
供工業(yè)過程控制工程師使用的，對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行組態(tài)、編程、修改等的工作站。
3.4
工業(yè)控制網(wǎng)絡(luò)邊界 industrial control network boundary
工業(yè)控制系統(tǒng)的安全計(jì)算環(huán)境邊界， 以及安全計(jì)算環(huán)境與安全通信網(wǎng)絡(luò)之間實(shí)現(xiàn)連接并實(shí)施安全策略的相關(guān)部件。
3.5
深度包檢測(cè) deep packet inspection
一種計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)包過濾技術(shù)，用來檢查通過檢測(cè)點(diǎn)之?dāng)?shù)據(jù)包的數(shù)據(jù)部分（亦可能包含其標(biāo)頭），以搜索不匹配規(guī)范之協(xié)議、病毒、垃圾郵件、入侵，或以預(yù)定之準(zhǔn)則來決定數(shù)據(jù)包是否可通過或需被路由至其他不同目的地，亦或是為了收集統(tǒng)計(jì)數(shù)據(jù)之目的。
4 縮略語
下列縮略語適用于本文件。
DCS：集散控制系統(tǒng)（Distributed Control System）
ICS：工業(yè)控制系統(tǒng)（Industrial Control System）
ID：身份證標(biāo)識(shí)號(hào)、賬號(hào)（Identity document）
PLC：可編程邏輯控制器（Programmable Logic Controller）
SCADA：數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(Supervisory Control And Data Acquisition）
VPN: 虛擬專用網(wǎng)絡(luò)（Virtual Private Network）
5 奶業(yè)加工智能化控制系統(tǒng)信息安全概述
5.1 奶業(yè)加工智能化控制系統(tǒng)安全框架
奶業(yè)加工智能化控制系統(tǒng)是幾種類型的控制系統(tǒng)的總稱，包括數(shù)據(jù)采集與視頻監(jiān)視控制系統(tǒng)（SCADA）、集散控制系統(tǒng)（DCS）和其他控制系統(tǒng)。奶業(yè)加工智能化控制系統(tǒng)的信息安全特性取決于其設(shè)計(jì)、管理、建設(shè)和環(huán)境條件等各種因素。
5.2 奶業(yè)加工智能化控制系統(tǒng)安全目標(biāo)
奶業(yè)加工智能化控制系統(tǒng)的安全以可用性、完整性、保密性為主要目標(biāo)，其中保障生產(chǎn)系統(tǒng)的可用性尤其重要；奶業(yè)加工智能化控制系統(tǒng)的安全威脅一般是利用Windows系統(tǒng)、工業(yè)軟件系統(tǒng)（如SCADA、DCS）以及開放的標(biāo)準(zhǔn)工業(yè)通信協(xié)議的多個(gè)漏洞進(jìn)行攻擊；此外，由于專用的工業(yè)以太網(wǎng)通信協(xié)議（如PROFINET、Ethernet/IP、Modbus等）在設(shè)計(jì)時(shí)并未考慮信息安全防護(hù)，存在安全漏洞。
5.3 奶業(yè)加工智能化控制系統(tǒng)保護(hù)原則
保護(hù)奶業(yè)加工智能化控制系統(tǒng)首先是保護(hù)現(xiàn)場(chǎng)系統(tǒng)（如 PLC、DCS 等），保護(hù)生產(chǎn)連續(xù)性，其次是保護(hù)中央服務(wù)器等資產(chǎn)。在實(shí)際生產(chǎn)環(huán)境中，一些設(shè)備如果實(shí)現(xiàn)特定類型的安全措施可能會(huì)終止其連續(xù)運(yùn)行，原則上所提出的安全防護(hù)技術(shù)要求不應(yīng)對(duì)奶業(yè)加工智能化控制系統(tǒng)的功能安全產(chǎn)生不利影響。
6 信息安全技術(shù)要求
6.1 物理和環(huán)境防護(hù)
6.1.1 安全目標(biāo)
建立完善的物理環(huán)境安全機(jī)制，優(yōu)化物理環(huán)境下的操作管理，以保證數(shù)據(jù)的可用性、保密性和完整性，規(guī)范設(shè)備所處物理環(huán)境的安全性，防止對(duì)組織場(chǎng)所和信息的未授權(quán)物理訪問、損壞和干擾。
6.1.2 技術(shù)要求
6.1.2.1 物理位置選擇
本項(xiàng)要求包括：
a) 機(jī)房應(yīng)選擇在具有防雷、防震、防風(fēng)和防雨等能力的建筑內(nèi)；
b) 奶業(yè)企業(yè)應(yīng)根據(jù)程師站、數(shù)據(jù)庫、服務(wù)器等工業(yè)控制軟硬件的重要性，自行明確重點(diǎn)物理安全防護(hù)區(qū)域；
c) 機(jī)房場(chǎng)地應(yīng)避免設(shè)在建筑物的高層或地下室以及用水設(shè)備的下層或隔壁；如果不可避免，應(yīng)采取有效防水和防潮、有效固定等措施；
d) 如果機(jī)房周圍有用水設(shè)備，應(yīng)有防滲水和疏導(dǎo)措施；
e) 機(jī)房外墻壁應(yīng)沒有對(duì)外的窗戶；否則，應(yīng)采用雙層固定窗并作密封、防水處理。
6.1.2.2 物理訪問控制
本項(xiàng)要求包括：
a) 需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請(qǐng)和審批流程，記錄帶進(jìn)帶出的設(shè)備、進(jìn)出時(shí)間、工作內(nèi)容， 并有專人陪同并限制和監(jiān)控其活動(dòng)范圍；帶入的設(shè)備使用前要進(jìn)行系統(tǒng)掃描、使用過程中要進(jìn)行行為監(jiān)測(cè)，設(shè)備帶出前要對(duì)工作日志等進(jìn)行審計(jì)；
b) 機(jī)房出入口應(yīng)安排專人值守或配置電子門禁系統(tǒng)，控制、鑒別和記錄人員的進(jìn)出情況，人員進(jìn)出記錄應(yīng)至少保存 6 個(gè)月 ；
c) 機(jī)房出入口應(yīng)有視頻監(jiān)控，監(jiān)控記錄至少保存 3 個(gè)月 ；
d) 重要工程師站、數(shù)據(jù)庫、服務(wù)器等核心工業(yè)控制軟硬件所在區(qū)域采取訪問控制、視頻監(jiān)控、專人值守等物理安全防護(hù)措施；
e) 重要區(qū)域應(yīng)配置第二道電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。
6.1.2.3 防盜竊和防破壞
本項(xiàng)要求包括：
a) 應(yīng)把服務(wù)器、路由器、交換機(jī)等主要設(shè)備放置在機(jī)房?jī)?nèi)；
b) 應(yīng)把設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記，如粘貼標(biāo)簽或銘牌；
c) 應(yīng)把通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；
d) 應(yīng)設(shè)置冗余或并行的電力電纜線路為奶業(yè)加工智能化控制系統(tǒng)供電，輸入電源應(yīng)采用雙回路自動(dòng)切換供電方式。
6.1.2.4 防雷擊
本項(xiàng)要求包括：
a) 機(jī)房應(yīng)設(shè)計(jì)并安裝防雷擊措施，并在機(jī)房所在大樓防雷措施基礎(chǔ)上另外采取加強(qiáng)防護(hù)措施；
b) 機(jī)房應(yīng)設(shè)置交流電源地線，各類機(jī)柜、設(shè)施和設(shè)備等通過接地系統(tǒng)安全接地。
c) 機(jī)房防雷設(shè)計(jì)除應(yīng)符合本規(guī)范外，應(yīng)同時(shí)符合 GB 50174 的有關(guān)規(guī)定。
6.1.2.5 防火
本項(xiàng)要求包括：
a) 機(jī)房應(yīng)設(shè)置滅火設(shè)備；
以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購買標(biāo)準(zhǔn)正版。
