周黎辉 周滨 张远志 蔡蕙敏

基于工业控制系统信息安全评估规范的评估研究及安全问题对策

周黎辉1周滨2张远志3蔡蕙敏4

根据《工业控制系统信息安全第1部分评估规范》（GB/T 30976.1-2014）的基本要求开展工业控制系统信息安全风险评估工作，能帮助我们进一步掌握被检查单位重要网络与信息系统基本情况，查找突出问题和薄弱环节，分析面临的安全威胁和风险，评估安全防护水平，提出针对性地防范对策和改进措施，促进安全防护能力和水平提升，预防和减少重大信息安全事件的发生，切实保障工业控制网络的信息安全，研究符合评估规范的风险评估方法并针对安全问题提出安全策略与建议。

结合目前工业控制系统与网络安全形势与现状，并针对历年来重要工业控制系统信息安全检查过程中发现的薄弱环节，以某工业企业重要工控系统的信息安全风险评估工作为案例研究符合评估规范的风险评估方法。重点评估：网络安全管理情况、技术防护情况、应急工作情况 、宣传教育培训情况、信息安全风险评估工作落实情况、商用密码使用情况、安全问题整改情况。重点研究上一年度各类网络安全检查（包括：重要基础设施检查、重要信息系统检查、等级保护测评、信息安全风险评估、密码设备检查等方面）和本年度安全检查所发现问题的整改情况及整改效果。

实施流程

调研内容主要包括以下几点：评估单位信息系统的基本情况（主要包括：硬件资产、软件资产、文档和数据、人力资源、业务应用、物理环境、组织管理；……