1 范圍

      本標(biāo)準(zhǔn)定義了在自動化解決方案的集成和維護(hù)活動中IACS服務(wù)提供商可以向資產(chǎn)所有者提供的安全能力的一系列綜合要求。因?yàn)椴⒉皇撬械囊蠖歼m用于所有的工業(yè)門類和組織，所以4.1.4為行規(guī)制定提供了這些要求的子集。行規(guī)用于將本標(biāo)準(zhǔn)適用于特定環(huán)境，也包括不基于IACS的環(huán)境。

      注1：術(shù)語“自動化解決方案”在本標(biāo)準(zhǔn)中用作專有名詞，防止與這一術(shù)語的其他用法混淆。本標(biāo)準(zhǔn)中的“安全”指“網(wǎng)絡(luò)安全”。

      總之，IACS服務(wù)提供商提供的安全能力，被稱為安全程序。在相關(guān)規(guī)范中，IEC 62443-2-1描述了對資產(chǎn)所有者安全管理系統(tǒng)的要求。

      注2：這些安全能力通常指的是策略、規(guī)程、實(shí)踐和相關(guān)人員。

      圖1說明了集成和維護(hù)能力是如何與IACS以及集成到自動化解決方案中的控制系統(tǒng)產(chǎn)品相關(guān)的。某些能力參考了IEC 62443-3-3里定義的安全措施，服務(wù)提供商必須確保在自動化解決方案中（包含在控制系統(tǒng)產(chǎn)品中或單獨(dú)添加到自動化解決方案中）支持這些措施。

圖1 服務(wù)提供商的能力范圍

      在圖1中，自動化解決方案的圖示包括一個基本過程控制系統(tǒng)（BPCS），可選的安全儀表系統(tǒng)（SIS）和可選的支持應(yīng)用程序，例如先進(jìn)控制。虛線框表示這些組件是“可選的”。

      注3：在BPCS中術(shù)語“過程”可用于多種工業(yè)過程，包括連續(xù)過程和（離散）制造流程。

      注4：4.1.4描述了概述文件（profile）以及工業(yè)集團(tuán)和其他組織可以如何使用它，從而使本標(biāo)準(zhǔn)適應(yīng)其特定環(huán)境，包括不基于IACS的環(huán)境。

      注5：自動化解決方案通常有一個單獨(dú)的控制系統(tǒng)（產(chǎn)品），但并不僅限于此。通常，自動化解決方案是硬件和軟件的集合，與產(chǎn)品組合無關(guān)，用于控制資產(chǎn)所有者定義的（例如連續(xù)的或制造的）物理過程。

2 規(guī)范性引用文件

      無。

3 術(shù)語、定義和縮略語

3.1 術(shù)語和定義

      下列術(shù)語和定義適用于本文件。

3.1.1

      資產(chǎn)所有者 asset owner

      負(fù)責(zé)一個或者多個IACS的個人或者組織。

      注1：用于代替常說的最終用戶以示區(qū)別。

      注2：定義包括了構(gòu)成IACS的組件。

      注3：本標(biāo)準(zhǔn)中，資產(chǎn)所有者也包括IACS的運(yùn)營者。

3.1.2

      攻擊面 attack surface

      能夠訪問系統(tǒng)的物理的和功能的接口，并且通過該接口可以潛在利用該系統(tǒng)。

      注1：對于軟件接口，攻擊面的大小與接口定義的方法和參數(shù)數(shù)量成正比。因此，與復(fù)雜接口比較，簡單接口的攻擊面比較小。

      注2：攻擊面的大小與脆弱性的數(shù)量之間沒有必然聯(lián)系。

3.1.3

      自動化解決方案 automation solution

      在IACS中已安裝、組態(tài)并運(yùn)行的控制系統(tǒng)及其他額外的硬件和軟件組件。

      注1：在本標(biāo)準(zhǔn)中，自動化解決方案被用作專有名詞。

      注2：控制系統(tǒng)和自動化解決方案的區(qū)別在于控制系統(tǒng)包含在自動化解決方案設(shè)計中（例如，以特定方式配置的一定數(shù)量的工作站、控制器和設(shè)備），然后被實(shí)現(xiàn)。該最終的配置被稱為自動化解決方案。

      注3：自動化解決方案可以由來自多個供應(yīng)商的組件構(gòu)成，供應(yīng)商也包括控制系統(tǒng)的產(chǎn)品供應(yīng)商。

3.1.4

      基本過程控制系統(tǒng) basic process control system

      響應(yīng)來自過程及其相關(guān)設(shè)備、其他可編程系統(tǒng)和/或操作人員的輸入信號，同時產(chǎn)生輸出信號使得過程及其相關(guān)設(shè)備以要求的方式運(yùn)行，但不執(zhí)行任何安全完整性功能（SIF）的系統(tǒng)。

      注1：安全儀表功能的定義見IEC 61508。

      注2：本定義中的術(shù)語“過程”適用于多種工業(yè)過程，包括連續(xù)過程和制造流程。

3.1.5

      咨詢方 consultant

      給集成或維護(hù)服務(wù)提供商提供專家意見或指導(dǎo)的分包方。

3.1.6

      控制系統(tǒng) control system

      IACS在設(shè)計和實(shí)現(xiàn)中使用的硬件和軟件組件。

      注1：如圖1所示，控制系統(tǒng)由現(xiàn)場設(shè)備、嵌入式控制設(shè)備、網(wǎng)絡(luò)設(shè)備和主機(jī)設(shè)備（包括工作站和服務(wù)器）組成。

      注2：如圖1所示，在自動化解決方案中控制系統(tǒng)指的是BPCS和可選的SIS。

3.1.7

      移交 handover

      將自動化解決方案交給資產(chǎn)所有者的行為。

      注：有效移交表示自動化解決方案中的操作和維護(hù)職責(zé)從集成服務(wù)提供商傳遞給了資產(chǎn)所有者，這一般發(fā)生在系統(tǒng)測試成功地完成后，通常指現(xiàn)場驗(yàn)收測試（SAT）之后。

3.1.8

      工業(yè)自動化和控制系統(tǒng) industrial automationand control system

      工業(yè)過程運(yùn)行中包括的人員、硬件、軟件、規(guī)程和策略的集合，并且能夠影響或改變其安全、穩(wěn)定和可靠運(yùn)行。

      注1：IACS可以包括沒有安裝在資產(chǎn)所有者現(xiàn)場的組件。

      注2：IACS的定義源自 IEC 62443-3-3，描述見圖1。IACS的示例包括分布式控制系統(tǒng)（DCS）、監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)。本標(biāo)準(zhǔn)也定義了專有名詞“解決方案”表示控制系統(tǒng)產(chǎn)品和可能涉及IACS中的附加組件的特定示例。因此，自動化解決方案與控制系統(tǒng)的區(qū)別在于它表示了特定資產(chǎn)所有者的控制系統(tǒng)硬件和軟件組件的特定實(shí)現(xiàn)（設(shè)計和組態(tài)）。

3.1.9

      集成服務(wù)提供商 integration service provider

      能夠提供用于自動化解決方案的包括設(shè)計、安裝、組態(tài)、測試、調(diào)試和移交在內(nèi)的集成活動的服務(wù)提供商。

      注：通常集成服務(wù)提供商是指集成商或主要自動化承包方（MAC）。

3.1.10

      維護(hù)服務(wù)提供商 maintenance service provider

      能夠在移交后為自動化解決方案提供支持活動的服務(wù)提供商。

      注：通常認(rèn)為維護(hù)與運(yùn)行是有區(qū)別的（例如，常用的口語中，通常假定自動化解決方案或者是運(yùn)行中，或者是維護(hù)中）。維護(hù)服務(wù)提供商能夠在運(yùn)行中執(zhí)行支持活動，如，管理用戶賬戶、安全監(jiān)視和安全評價。

3.1.11

      移動存儲介質(zhì) portable media

      具有數(shù)據(jù)存儲能力，用于從設(shè)備物理地復(fù)制數(shù)據(jù)，并將數(shù)據(jù)傳輸?shù)搅硪粋€設(shè)備的可攜帶設(shè)備。

      注：移動存儲介質(zhì)的類型包括但不限于：CD/DVD/BluRay介質(zhì)、USB存儲設(shè)備、智能手機(jī)、閃存、固體狀態(tài)磁盤、硬驅(qū)動、手持和便攜計算機(jī)。

3.1.12

      產(chǎn)品供應(yīng)商 product supplier

      硬件和/或軟件產(chǎn)品的生產(chǎn)商。

      注：用于代替常說的廠商以示區(qū)別。

3.1.13

      遠(yuǎn)程訪問 remote access

      通過控制系統(tǒng)的外部接口訪問控制系統(tǒng)。

      注1：支持遠(yuǎn)程訪問的應(yīng)用示例包括RDP、OPC和Syslog。

      注2：通常，資產(chǎn)所有者決定了遠(yuǎn)程訪問應(yīng)用和自動化解決方案屬于不同的安全區(qū)域。資產(chǎn)所有者在自動化解決方案中使用區(qū)域和管道的應(yīng)用見IEC 62443-3-2。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請到相關(guān)授權(quán)網(wǎng)站購買標(biāo)準(zhǔn)正版。