1 范圍

      本標(biāo)準(zhǔn)定義了在自動(dòng)化解決方案的集成和維護(hù)活動(dòng)中IACS服務(wù)提供商可以向資產(chǎn)所有者提供的安全能力的一系列綜合要求。因?yàn)椴⒉皇撬械囊蠖歼m用于所有的工業(yè)門(mén)類(lèi)和組織，所以4.1.4為行規(guī)制定提供了這些要求的子集。行規(guī)用于將本標(biāo)準(zhǔn)適用于特定環(huán)境，也包括不基于IACS的環(huán)境。

      注1：術(shù)語(yǔ)“自動(dòng)化解決方案”在本標(biāo)準(zhǔn)中用作專(zhuān)有名詞，防止與這一術(shù)語(yǔ)的其他用法混淆。本標(biāo)準(zhǔn)中的“安全”指“網(wǎng)絡(luò)安全”。

      總之，IACS服務(wù)提供商提供的安全能力，被稱(chēng)為安全程序。在相關(guān)規(guī)范中，IEC 62443-2-1描述了對(duì)資產(chǎn)所有者安全管理系統(tǒng)的要求。

      注2：這些安全能力通常指的是策略、規(guī)程、實(shí)踐和相關(guān)人員。

      圖1說(shuō)明了集成和維護(hù)能力是如何與IACS以及集成到自動(dòng)化解決方案中的控制系統(tǒng)產(chǎn)品相關(guān)的。某些能力參考了IEC 62443-3-3里定義的安全措施，服務(wù)提供商必須確保在自動(dòng)化解決方案中（包含在控制系統(tǒng)產(chǎn)品中或單獨(dú)添加到自動(dòng)化解決方案中）支持這些措施。

圖1 服務(wù)提供商的能力范圍

      在圖1中，自動(dòng)化解決方案的圖示包括一個(gè)基本過(guò)程控制系統(tǒng)（BPCS），可選的安全儀表系統(tǒng)（SIS）和可選的支持應(yīng)用程序，例如先進(jìn)控制。虛線框表示這些組件是“可選的”。

      注3：在BPCS中術(shù)語(yǔ)“過(guò)程”可用于多種工業(yè)過(guò)程，包括連續(xù)過(guò)程和（離散）制造流程。

      注4：4.1.4描述了概述文件（profile）以及工業(yè)集團(tuán)和其他組織可以如何使用它，從而使本標(biāo)準(zhǔn)適應(yīng)其特定環(huán)境，包括不基于IACS的環(huán)境。

      注5：自動(dòng)化解決方案通常有一個(gè)單獨(dú)的控制系統(tǒng)（產(chǎn)品），但并不僅限于此。通常，自動(dòng)化解決方案是硬件和軟件的集合，與產(chǎn)品組合無(wú)關(guān)，用于控制資產(chǎn)所有者定義的（例如連續(xù)的或制造的）物理過(guò)程。

2 規(guī)范性引用文件

      無(wú)。

3 術(shù)語(yǔ)、定義和縮略語(yǔ)

3.1 術(shù)語(yǔ)和定義

      下列術(shù)語(yǔ)和定義適用于本文件。

3.1.1

      資產(chǎn)所有者 asset owner

      負(fù)責(zé)一個(gè)或者多個(gè)IACS的個(gè)人或者組織。

      注1：用于代替常說(shuō)的最終用戶(hù)以示區(qū)別。

      注2：定義包括了構(gòu)成IACS的組件。

      注3：本標(biāo)準(zhǔn)中，資產(chǎn)所有者也包括IACS的運(yùn)營(yíng)者。

3.1.2

      攻擊面 attack surface

      能夠訪問(wèn)系統(tǒng)的物理的和功能的接口，并且通過(guò)該接口可以潛在利用該系統(tǒng)。

      注1：對(duì)于軟件接口，攻擊面的大小與接口定義的方法和參數(shù)數(shù)量成正比。因此，與復(fù)雜接口比較，簡(jiǎn)單接口的攻擊面比較小。

      注2：攻擊面的大小與脆弱性的數(shù)量之間沒(méi)有必然聯(lián)系。

3.1.3

      自動(dòng)化解決方案 automation solution

      在IACS中已安裝、組態(tài)并運(yùn)行的控制系統(tǒng)及其他額外的硬件和軟件組件。

      注1：在本標(biāo)準(zhǔn)中，自動(dòng)化解決方案被用作專(zhuān)有名詞。

      注2：控制系統(tǒng)和自動(dòng)化解決方案的區(qū)別在于控制系統(tǒng)包含在自動(dòng)化解決方案設(shè)計(jì)中（例如，以特定方式配置的一定數(shù)量的工作站、控制器和設(shè)備），然后被實(shí)現(xiàn)。該最終的配置被稱(chēng)為自動(dòng)化解決方案。

      注3：自動(dòng)化解決方案可以由來(lái)自多個(gè)供應(yīng)商的組件構(gòu)成，供應(yīng)商也包括控制系統(tǒng)的產(chǎn)品供應(yīng)商。

3.1.4

      基本過(guò)程控制系統(tǒng) basic process control system

      響應(yīng)來(lái)自過(guò)程及其相關(guān)設(shè)備、其他可編程系統(tǒng)和/或操作人員的輸入信號(hào)，同時(shí)產(chǎn)生輸出信號(hào)使得過(guò)程及其相關(guān)設(shè)備以要求的方式運(yùn)行，但不執(zhí)行任何安全完整性功能（SIF）的系統(tǒng)。

      注1：安全儀表功能的定義見(jiàn)IEC 61508。

      注2：本定義中的術(shù)語(yǔ)“過(guò)程”適用于多種工業(yè)過(guò)程，包括連續(xù)過(guò)程和制造流程。

3.1.5

      咨詢(xún)方 consultant

      給集成或維護(hù)服務(wù)提供商提供專(zhuān)家意見(jiàn)或指導(dǎo)的分包方。

3.1.6

      控制系統(tǒng) control system

      IACS在設(shè)計(jì)和實(shí)現(xiàn)中使用的硬件和軟件組件。

      注1：如圖1所示，控制系統(tǒng)由現(xiàn)場(chǎng)設(shè)備、嵌入式控制設(shè)備、網(wǎng)絡(luò)設(shè)備和主機(jī)設(shè)備（包括工作站和服務(wù)器）組成。

      注2：如圖1所示，在自動(dòng)化解決方案中控制系統(tǒng)指的是BPCS和可選的SIS。

3.1.7

      移交 handover

      將自動(dòng)化解決方案交給資產(chǎn)所有者的行為。

      注：有效移交表示自動(dòng)化解決方案中的操作和維護(hù)職責(zé)從集成服務(wù)提供商傳遞給了資產(chǎn)所有者，這一般發(fā)生在系統(tǒng)測(cè)試成功地完成后，通常指現(xiàn)場(chǎng)驗(yàn)收測(cè)試（SAT）之后。

3.1.8

      工業(yè)自動(dòng)化和控制系統(tǒng) industrial automationand control system

      工業(yè)過(guò)程運(yùn)行中包括的人員、硬件、軟件、規(guī)程和策略的集合，并且能夠影響或改變其安全、穩(wěn)定和可靠運(yùn)行。

      注1：IACS可以包括沒(méi)有安裝在資產(chǎn)所有者現(xiàn)場(chǎng)的組件。

      注2：IACS的定義源自 IEC 62443-3-3，描述見(jiàn)圖1。IACS的示例包括分布式控制系統(tǒng)（DCS）、監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)。本標(biāo)準(zhǔn)也定義了專(zhuān)有名詞“解決方案”表示控制系統(tǒng)產(chǎn)品和可能涉及IACS中的附加組件的特定示例。因此，自動(dòng)化解決方案與控制系統(tǒng)的區(qū)別在于它表示了特定資產(chǎn)所有者的控制系統(tǒng)硬件和軟件組件的特定實(shí)現(xiàn)（設(shè)計(jì)和組態(tài)）。

3.1.9

      集成服務(wù)提供商 integration service provider

      能夠提供用于自動(dòng)化解決方案的包括設(shè)計(jì)、安裝、組態(tài)、測(cè)試、調(diào)試和移交在內(nèi)的集成活動(dòng)的服務(wù)提供商。

      注：通常集成服務(wù)提供商是指集成商或主要自動(dòng)化承包方（MAC）。

3.1.10

      維護(hù)服務(wù)提供商 maintenance service provider

      能夠在移交后為自動(dòng)化解決方案提供支持活動(dòng)的服務(wù)提供商。

      注：通常認(rèn)為維護(hù)與運(yùn)行是有區(qū)別的（例如，常用的口語(yǔ)中，通常假定自動(dòng)化解決方案或者是運(yùn)行中，或者是維護(hù)中）。維護(hù)服務(wù)提供商能夠在運(yùn)行中執(zhí)行支持活動(dòng)，如，管理用戶(hù)賬戶(hù)、安全監(jiān)視和安全評(píng)價(jià)。

3.1.11

      移動(dòng)存儲(chǔ)介質(zhì) portable media

      具有數(shù)據(jù)存儲(chǔ)能力，用于從設(shè)備物理地復(fù)制數(shù)據(jù)，并將數(shù)據(jù)傳輸?shù)搅硪粋€(gè)設(shè)備的可攜帶設(shè)備。

      注：移動(dòng)存儲(chǔ)介質(zhì)的類(lèi)型包括但不限于：CD/DVD/BluRay介質(zhì)、USB存儲(chǔ)設(shè)備、智能手機(jī)、閃存、固體狀態(tài)磁盤(pán)、硬驅(qū)動(dòng)、手持和便攜計(jì)算機(jī)。

3.1.12

      產(chǎn)品供應(yīng)商 product supplier

      硬件和/或軟件產(chǎn)品的生產(chǎn)商。

      注：用于代替常說(shuō)的廠商以示區(qū)別。

3.1.13

      遠(yuǎn)程訪問(wèn) remote access

      通過(guò)控制系統(tǒng)的外部接口訪問(wèn)控制系統(tǒng)。

      注1：支持遠(yuǎn)程訪問(wèn)的應(yīng)用示例包括RDP、OPC和Syslog。

      注2：通常，資產(chǎn)所有者決定了遠(yuǎn)程訪問(wèn)應(yīng)用和自動(dòng)化解決方案屬于不同的安全區(qū)域。資產(chǎn)所有者在自動(dòng)化解決方案中使用區(qū)域和管道的應(yīng)用見(jiàn)IEC 62443-3-2。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購(gòu)買(mǎi)標(biāo)準(zhǔn)正版。