IEC EC 62443-2-1 版本2.02024-08 国际的 标准 工业自动化和控制系统的安全 第2-1部分:IACS资产所有者的安全计划要求 8843-2-1:2024-08 - 2 - IEC62443-2-1:2024@IEC2024 内容 前言. .6 引信. .8 1范围. 10 2规范性引用文件 11 3术语、定义、缩写术语和惯例 3.1术语和定义 3.2 缩写术语和首字母缩略词， 15 3.3约定. 16 4概念 17 4.1 本文档的使用， 4.1.1 适用角色. 17 4.1.2 资产所有者对本文件的使用， .17 4.1.3 服务提供商和产品供应商对本文件的使用 19 4.2 成熟度级别(ML)定义 4.3 安全级别(SL). 21 4.4 需求定义， 21 4.4.1 要求组织.. 21 4.4.2 要求交叉引用 .22 4.4.3 要求约定， 22 5一致性和评估 22 5.1 概述 22 5.2 符合性证据， .23 5.3 需求评估和概况， 24 5.3.1 概述 24 5.3.2 需求风险评估 24 5.3.3 简介. 24 5.3.4 资产所有者角色的合规评估 25 6SPE1-组织安全措施， 25 6.1 目的. 25 6.2ORG1-安全相关组织和政策. 25 6.2.1ORG1.1信息安全管理体系（ISMS) 25 6.2.2ORG1.2:背景调查 6.2.3ORG1.3:安全角色和职责 .26 6.2.4ORG1.4：安全意识培训， .27 6.2.5ORG1.5:安全职责培训 27 6.2.6ORG1.6供应链安全. 6.3ORG2-安全评估和审查 28 6.3.1ORG2.1:安全风险缓解 .28 6.3.2ORG2.2:发现安全异常的流程 .29 6.3.3ORG2.3:安全开发和支持 .30 6.3.4ORG2.4:SP评审 30 6.4ORG3-物理访问的安全性 ..30 6.4.1ORG3.1:物理访问控制 7SPE2-配置管理， .31 7.1 目的... IEC 62443-2-1:2024 IEC 2024 -4 - 10.2.6DATA1.6:密钥管理 4710.2.7DATA1.7数据完整 性 4711SPE6-用户访问控制 48 11.1目的 4811.2用户1-识别和认 证 48 11.2.1用户1.1:用户身份分配 4811.2.2用户1.2:用户身份删 除 4911.2.3用户1.3:用户身份持久性 4911.2.4用户1.4:访问权限分配， 5011.2.5用户1.5最小特 权 .50 11.2.6USER1.6:软件服务认证 50 11.2.7USER1.7:软件服务交互式登录权限 5111.2.8USER1.8:人类用户身份验 证 51 11.2.9用户1.9:多因素身份验证(MFA) 5111.2.10用户1.10相互身份验 证 52 11.2.11USER1.11密码保护 5211.2.12USER1.12:共享和泄露/泄露的密 码 5311.2.13USER1.13:用户登录显示信息 53 11.2.14 USER1.14:用户登录失败显示 5311.2.15USER1.15连续登录失 败 5411.2.16USER1.16:会话完整性 54 11.2.17USER1.17并发会话 54 11.2.18用户1.18:屏幕锁定 55 11.2.19用户1.19组件身份验证 5511.3用户2-授权和访问控 制. 55 11.3.1用户2.1授权 55 11.3.2用户2.2职责分离 5611.3.3用户2.3多重批 准 5611.3.4用户2.4:手动提升权限 5712SPE7-事件和事故管理 5712.1目 的 5712.2事件1-事件和事故管 理 5712.2.1事件1.1事件检测 57 12.2.2事件1.2：事件报告 5812.2.3事件1.3:事件报告接 口 5812.2.4事件1.4:日志记录 5912.2.5事件1.5:日志条目， 5912.2.6事件1.6:日志访 问 5912.2.7事件1.7：事件分析 6012.2.8事件1.8:事故处理与响应 6012.2.9事件1.9漏洞处 理 .6013SPE8-系统完整性与可用性 6113.1目的 .6113.2AVAIL1-系统可用性和预期功 能 6113.2.1AVAIL1.1:连续性管理 61 13.2.2AVAIL1.2:资源可用性管理 6213.2.3AVAIL1.3故障状 态 62 13.3AVAIL2-备份/恢复/存档 6213.3.1AVAIL2.1备 份 62 IEC62443-2-1:2024 IEC2024 -5 - 13.3.2AVAIL2.2:备份不干扰 6313.3.3AVAIL2.3备份验 证 6313.3.4AVAIL2.4备份介质 6313.3.5AVAIL2.5:备份恢复 64附件A（资料性附录)与其他标准的交叉引 用 .65 A.1 与IEC62443-2-4的要求关系， 65A.2与IEC62443-3-3的要求关 系 68A.3与IEC62443-4-2的要求关系 70A.4与ISO/IEC27001:2013的要求关系 73A.5与NISTCSF的要求关 77附件B（资料性)建立和维护IACS SP. 81 B.1 一般信息. .81 B.2管理网络安全风险， 82了解网络安全风 B.2.1 险 82网络安全威胁的影 B.2.2 响 .82风险排 B.2.3 序、 82网络安全攻击暴露与可能 B.2.4 性， .83B.3网络安全风险评估/管理流程的要 素 84B.4网络安全风险评估/管理流程的要素 .85附 件C（资料性)评估ML .87C.1评估ML的方 法 .87C.2如何评估ML的示 例. 88参考书 目、 89 图1-IEC62443系列中的角色和职责 11图B.1-网络安全风险管理流程示 例 85图B.2-资产所需的保护级别 86 表1-ML级别和说明. 20表2－典型的符合性证据类 表A.1-IEC62443-2-4交叉引用 65 表A.2-IEC62443-2-1至IEC62443-2-4的交叉引用 .66 表A.3-IEC62443-3-3交叉引用， 68 表A.4-IEC62443-2-1至IEC62443-3-3的交叉引用， ..69 表A.5-IEC62443-4-2交叉引用， .70 表A.6-IEC62443-2-1与IEC62443-4-2的交叉引用， .72 表A.7-ISO/IEC27001:2013交叉用 表A.8-IEC62443-2-1与ISO/IEC27001:2013的交叉引用 75 表A.9-NISTCSF交叉引用 表A.10-IEC62443-2-1与NISTCSF的交叉引用 79 表B.1-风险等级示例 IEC62443-2-1:2024@IEC2024 -7- 本国际标准的文本基于以下文件： 草稿 表决报告 65/1044/FDIS 65/1053/RVD 有关其投票批准的完整信息可在上表所示的投票报告中找到。 制定本国际标准所使用的语言是英语。 本文件根据ISO/IEC指令第2部分起草，并根据ISO/IEC指令第1部分和ISO/IEC指令IEC补充件制定，可在WWW.iec.ch/ members_experts/refdocs上查阅。lIEC制定的主要文件类型在www.iec.ch/pubications中有更详细的描述。 在IEC网站上可以找到IEC62443系列中所有部件的列表，该系列以工业自动化和控制系统的安全为总标题发布。 本系列的未来标准将采用如上所述的新通用标题。本系列中现有标准的标题将在下一版发布时更新。 ·再次确认， ·撤回,或 ·修改。