亚洲建材网

　　由中国和平利用军工技术协会组织起草的《工业控制系统信息安全应急演练方法》、《工业数据安全事件应急预案编制指南》和《工业信息安全漏洞分类分级指南》3项团体标准现已完成征求意见稿，根据《中国和平利用军工技术协会团体标准工作管理办法(试行)》有关规定，为保证标准的科学性、严谨性和适用性，现公开征求意见。
 

　　《工业控制系统信息安全应急演练方法》
 

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。本文件规定了军工、制造、石油化工、钢铁、有色、电力、水务等典型行业的工业控制系统信息安全应急演练的目的、原则、形式、规划、准备、实施过程、评估总结和改进的要求。本文件适用于针对典型行业工业控制系统信息安全事件开展的应急演练活动。
 

　　应急演练目的包括下列内容：
 

　　a) 检验预案：发现应急预案中存在的问题，完善应急预案内容，提高应急预案的科学性、实用性和可操作性。
 

　　b) 完善准备：检查应对工业控制系统信息安全事件所需应急队伍、物资、装备、技术等方面的准备情况，发现不足并及时予以调整补充。
 

　　c) 磨合机制：明确行业管理部门、相关单位和人员的职责任务，理顺工作流程，完善各关联方之间的应急联动机制，提升协调配合能力。
 

　　d) 锻炼队伍：增强应急演练管理部门、指挥机构、参演机构和人员等对应急预案的熟悉程度，锻炼应急处置需要的技能，加强配合，提高其应急处置能力。
 

　　e) 宣传教育：普及应急知识，不断增强信息安全管理的专业化程度，提高全员工业控制系统信息安全风险防范意识。
 

　　《工业数据安全事件应急预案编制指南》
 

　　当前，工业数据日益成为经济社会发展的重要基础性资源和生产要素，工业数据驱动的创新正成为新发展阶段构建新发展格局和实现高质量发展的重要战略议题，工业数据进入合理开发、高效运用的历性机遇期。与此同时，工业数据跨境流动引发数据安全隐忧和国家安全风险，网络攻击导致工业数据失窃与泄露事件多发，工业数据面临的安全风险与日俱增，切实保护工业数据安全已成为关乎国家和企业安全与发展利益的重大挑战。
 

　　工业领域数据安全事件应急预案有助于科学规范工业领域数据安全事件应急处置工作，合理配置工业领域数据安全事件的应急资源，提高应急决策的科学性和及时性。制定本文件可为规范工业数据安全事件应急预案编制程序和内容、提高应急预案编制水平、优化应急工作机制、强化工业领域数据安全事件应对工作提供支撑，预防和减少工业数据安全事件造成的损失和危害。
 

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。参考了GB/T 20984 信息安全技术 信息安全风险评估方法；GB/T 24363—2009 信息安全技术 信息安全应急响应计划规范；GB/T 38645 信息安全技术 网络安全事件应急演练指南等技术文件中的部分内容。
 

　　本文件提出了工业数据安全事件应急预案的编制程序、应急预案主要内容以及附则信息。本文件适用于军工、机械制造、电力、石油石化、钢铁、有色、轨道交通等行业的工业企业、工业互联网平台企业工业数据安全事件总体应急预案的编制工作，其他行业、领域及与关键信息基础设施相关的工业数据安全事件总体应急预案编制工作可参照执行。
 

　　应急预案编制前宜开展资料收集，从中筛选出对预案编写工作具有价值的信息，作为预案编制的依据和参考。收集的资料包括：a) 与应急预案编制、工业数据保护工作相关的法律法规、部门规章、技术标准；b) 与本单位、本行业、本地区工业数据相关的规章制度、技术资料、应急资源等有关资料；c) 国内外工业数据安全事件及应对相关资料；d) 本行业、本地区工业数据安全相关的应急预案；e) 同类企业工业数据安全相关的应急预案。
 

　　《工业信息安全漏洞分类分级指南》
 

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。本文件提供了工业信息安全漏洞的分类方法、分级指标及可行的分级方法等建议。
 

　　本文件适用于工业领域的软硬件产品提供者、工业信息安全漏洞收集组织、工业信息安全漏洞应急组织在漏洞管理、技术研发等活动中的漏洞分类和分级评估，工业领域产品提供者、工业领域产品运营者的漏洞分类和漏洞分级可参照使用。
 

　　工业信息安全漏洞分级方法：
 

　　工业信息安全漏洞分级过程主要包括最初的指标赋值、指标分级、最终分级三个步骤，指标赋值是根据具体漏洞信息对其各类指标进行人工赋值；指标分级是根据指标赋值结果计算产生分级结果；最终分级是将指标分级计算生成通用分级和现场分级的结果，其中通用分级是选取基础指标、辅助因素指标两类指标计算产生，现场分级由基础指标、辅助因素指标和环境因素指标三类指标计算产生。
 

　　工业信息安全漏洞通用分级和现场分级均分为超危、高危、中危和低危四个等级，见附录E和附录F，具体内容如下：
 

　　a) 超危：工业信息安全漏洞可以非常容易地对受影响实体以及其关联的物理世界(国家、社会秩序、公共利益、人员安全、生产流程等)造成特别严重后果。
 

　　b) 高危：工业信息安全漏洞可以容易地对受影响实体以及其关联的物理世界(国家、社会秩序、公共利益、人员安全、生产流程等)造成严重后果。
 

　　c) 中危：工业信息安全漏洞可以对受影响实体造成一般后果，或者比较困难地对受影响实体以及其关联的物理世界(国家、社会秩序、公共利益、人员安全、生产流程等)造成严重后果。
 

　　d) 低危：工业信息安全漏洞可以对受影响实体以及其关联的物理世界(国家、社会秩序、公共利益、人员安全、生产流程等)造成轻微后果，或者比较困难地对受影响实体以及其关联的物理世界造成一般严重后果，或者非常困难地对受影响实体以及其关联的物理世界造成严重后果。
 

　　原标题：《工业控制系统信息安全应急演练方法》等3项团体标准征求意见