ICS 35. 020 CCS M10 YD 中华人民共和国通信行业标准 YD/T XXXXX—XXXX 工业互联网平台安全风险评估方法 Risk evaluation Method for Industrial Internet platform (报批稿） XXXX - XX - XX 发布 XXXX - XX- XX 实施 发布 XX/T XXXXX—XXXX 目 次 前 TT 1 范围 2规范性引用文件 3术语和定义 4缩略语. 5概述. 5.1风险评估对象 5.2风险评估要素. 5.3风险评估流程 6风险评估实施 6.1风险评估准备 6.2资产识别与重要性赋值 6.3威胁识别与威胁程度赋值 6.4脆弱性识别与赋值... 6.5确认安全措施有效性， 6.6风险分析 6.7风险评估文档记录 附 A （资料性） 工业互联网平台资产分类方法. 11 附 （资料性）威胁来源及威胁种类分类方法。 13 附 c （资料性） 脆弱性识别内容 15 附 录 D （规范性） 风险的计算方法 17 参 考 文 XX/T XXXXX—XXXX 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、北京东方通网信科技有限公司、中国科学院信息工程研究 所、施耐德电气（中国）有限公司、卡奥斯物联科技股份有限公司、长扬科技（北京）股份有限公司、 北京天融信网络安全技术有限公司、江苏保旺达软件技术有限公司、奇安信科技集团股份有限公司、四 川长虹电子控股集团有限公司、国网河南省电力公司、北京航空航天大学 本文件主要起草人：张倩、赵爽、李诗婧、柯皓仁、李艺、马娟、于广琛、董耀聪、董悦、崔婷婷、 阎新华、张卫东、张新硕、张亚京、安高峰、谢江、刘畅、唐博、党芳芳、闫丽景、杨立群、杨健 II XX/T XXXXX—XXXX 工业互联网平台安全风险评估方法 1范围 本文件提供了工业互联网平台安全风险评估的方法，包括风险评估的对象、要素、流程，以及风险 评估实施方法。 本文件适用于工业互联网平台运营方、监管机构、第三方测评机构进行工业互联网平台的网络安全 风险评估活动。 2 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T25069信息安全技术术语 GB/T20984一2022信息安全技术信息安全风险评估方法 GB/T33132一2016信息安全技术信息安全风险处理实施指南 3术语和定义 GB/T25069、GB/T20984-2022界定的以及下列术语和定义适用于本文件。 3. 1 工业互联网平台industrial internet platform 面向制造业数字化、网络化、智能化需求，构建基于云平台的海量数据采集、汇聚和分析服务，支 撑制造资源广泛连接、弹性供给、高效配置的系统。 [来源：GB/T42569-2023，3.1] 3. 2 信息系统 information system 应用、服务、信息技术资产或其他信息处理组件的组合。 ［来源：GB/T25069-2022，3.696] 注：典型的工业互联网平台信息系统包括基础设施即服务（IaaS）、平台即服务（PaaS）、软件即服务（SaaS）三 种模式下的硬件系统（计算机硬件系统和网络硬件系统）、通信系统（移动无线通信、互联网通信、电话通信等）、系 统软件（计算机系统软件和网络系统软件）、应用软件（包括由其处理、存储的信息）。 3. 3 组织 organization 系统地运用相关信息来确认风险的来源，并对风险进行估计。 1 XX/TXXXXXXXXX 注：本文件专指工业互联网平台的建设或经营者， 3. 4 风险评估 security risk assessment 通过对组织各类资产的保密性、完整性和可用性等安全属性进行重要性判定，评估资产面临的不同 程度的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合资产价值来判断安全事件一旦发生可能 对组织造成的影响。 注：本文件专指工业互联网平台安全风险评估。 3. 5 风险分析 risk analysis 系统地运用相关信息来确认风险的来源，并对风险进行估计。 3. 6 风险处理 risk treatment 选择及实施风险应对措施的过程。 4缩略语 下列缩略语适用于本文件： API：应用程序编程接口（ApplicationProgrammingInterface） APP：应用程序（Application） APT：高级长期威胁（Advanced Persistent Threat） DDoS：分布式拒绝服务攻击（DistributedDenialof Service） IaaS：基础设施即服务（Infrastructure as a Service) NAT：网络地址转换（Network Address Translation） PaaS：平台即服务（Platform as a Service） SaaS：软件即服务（Software as a Service） UPS：不间断电源（Uninterruptible Power Supply） 5 5概述 5.1风险评估对象 对工业互联网平台进行安全风险评估，应按照工业互联网平台参考架构，在接入层、基础设施层、 平台层、应用层，评估其受影响的程度，如图1所示。 2 XX/T XXXXX—XXXX 应用层 工业APP 数据资源 办公应用 (工业Saas) 平台层 应用 微服务 工业大数据 工业机理 (工业Paas) 开发 组件库 容器 系统 模型 安全防护体系 基础设施层 (工业laas) 云基础设施（服务器、存储、网络、虚拟化） 接入层 设备接入 数据采集 边缘计算 图1 工业互联网平台参考架构 5.2风险评估要素 工业互联网平台安全风险评估中各要素及其关系如图2所示。 工业互联网平台资产 保障 影响 面临 安全措施 降低 降低 抵御 风险 增加 导致 脆弱性 利用 威胁性 图2工业互联网平台安全风险要素的关系 工业互联网平台安全风险评估的基本要素包括工业互联网平台资产、威胁、安全措施以及脆弱性。 风险评估围绕这些基本要素展开，并在评估过程中充分考虑与基本要素相关的属性。 5.3风险评估流程 工业互联网平台安全风险评估应贯穿工业互联网平台整个生命周期，具体而言，在规划阶段通过风 险评估确定工业互联网平台的安全目标，在建设验收阶段通过风险评估确定平台的安全目标达成与否， 在运行维护阶段实施风险评估以识别不断变化的威胁和脆弱性，确定安全措施的有效性。常规性的风险 评估实施流程如图3所示。 3 XX/T xxxxx—xxxx 工业互联网平台安全风险 评估准备 评估过程文档 资产识别方法 评估过程文档 威胁识别方法 脆弱性识别方法 安全措施的有效性确认 风险分析 风险计算 保持已有安全措施 风险是否接受 制定风险处理计划并评估 残余风险 风险评估文档记录 评估过程文档 残余风险是否接 实施风险管理 评估结果文档 图3工业互联网平台安全风险评估实施流程图 6 风险评估实施 6.1风险评估准备 6.1.1明确评估目的 需要明确开展工业互联网平台安全风险评估的目的，例如遵守法律法规的规定、满足平台业务持续 发展在安全方面的需要、符合监管方的要求、遵循相关标准要求等。 6.1.2确定评估范围和边界 工业互联网平台安全风险评估范围和边界的确定是开展风险评估的前提，决定了风险评估任务的大 小。评估范围涵盖工业互联网平台的资产，如边缘接入设备、服务器、应用平台、传输网络等。 6.1.3明确参与人员的角色和责任 组建工业互联网平台安全风险评估团队，明确各有关人员在风险评估中的任务，保证风险评估工作 的有效开展。 6.1.4制定评估行动计划 工业互联网平台安全风险评估行动计划用于指导风险评估工作的具体实施，一般包括评估团队成 员、组织结构、角色、责任、以及各阶段的工作内容、工作形式、进度安排、工作成果等。 6.1.5选择并确认风险评估工具