【儀表網 行業標準】近日，由哈爾濱電工儀表研究所有限公司 、廣西電網有限責任公司計量中心等單位起草， TC104(全國電工儀器儀表標準化技術委員會)歸口的國家標準計劃《用于電量測量和監測、電能質量監測、數據采集和分析的裝置的網絡安全》征求意見稿已編制完成，現公開征求意見。
隨著監測裝置(IEC 61557-12 中定義的電量測量和監測裝置以及 IEC 62586-1 中定義的電能質量監測裝置)和數據采集和分析裝置(IEC 62974-1 中定義的能源網關、能源服務器和數據記錄器)的使用范圍和數量的不斷增加，也就自動增加了網絡安全風險。隨著越來越多的互聯設備在電氣裝置中的使用，網絡安全風險也就更加明顯。因此，應考慮保持裝置及其環境的可接受信息水平的最低要求，以限制此類風險的發生。
為了保持最大的創新自由度，在設計產品以在其整個生命周期中抵御安全威脅時，切實可行的方法是基于風險評估方法。所以，有必要制定用于電量測量和監測、電能質量監測、數據采集和分析的裝置的網絡安全標準。
本文件涉及擬安裝在訪問受限區域的測量裝置(根據GB/T 18216.12的PMD和根據GB/T 39853.1的PQI)和數據采集裝置(根據IEC 62974-1的裝置)相關的網絡安全。
本文件涉及用于電量測量和監測裝置、電能質量監測裝置、數據采集裝置的網絡安全方面(例如裝置強化或裝置恢復)，但不包括組織的網絡安全要求(例如終端用戶安全策略)。(注：組織的網絡安全對于裝置的可靠運行至關重要。)
本文件旨在提高制造商和其他利益相關方對網絡安全方面的認識，并針對安全威脅漏洞的防護，為合理降低安全風險，提供基本指導：
——本文件與 IEC 62443(所有部分)和 ISO/IEC 27001 等相關標準中描述的裝置/系統方法保持一致；
——本文件基于通用系統用例。
本文件不包括IEC 62053—2X系列標準涵蓋的結算表。
安全目標：
對于配電系統中的裝置，總體安全目標是確保它們按設計可靠運行，提供值得信賴的組件操作，并避免發生可能導致意外操作的系統入侵。
對于可靠運行，應考慮的主要安全方面應詳細說明需要保護的內容以及如何實現這一點：
——資產應受到適當保護，以抵御相關威脅(見表 A.3 中的通用示例)；
——應適當保護資產免受相關威脅(見表 A.4 中的通用示例)。
風險評估：
一般來說，通用網絡安全風險評估是基于裝置對其預期環境的評估。應考慮潛在威脅和已知漏洞，以確定其潛在影響和相關對策，以實現總體安全目標。(注：通常由系統集成商和/或設施管理者對其運行環境進行具體的網絡安全風險評估。見附錄B。)
可能影響裝置可靠運行的所有相關威脅和已識別的漏洞，應該給予考慮并記錄。需要考慮的安全方面的例子有：
——數據存儲和保護；
——交互外部實體；
——在裝置中實現的內部和外部通信協議；
——接口，例如可訪問的物理端口，包括調試端口；
——電路板連接，如 JTAG 連接或調試接口，這些接口可能會被用于攻擊硬件；
——潛在的攻擊向量，包括對硬件的攻擊(如適用)；
——潛在威脅，其可能性，其嚴重程度和等級；
——針對每個考慮到的威脅采取的對策；
——已確認與安全有關的問題；
——以驅動程序或第三方應用程序(非供應商開發的代碼)形式鏈接到應用程序的外部依賴關系。風險評估的結果應是以下描述：
——被評估的裝置；
——已確認的漏洞，這些漏洞可能被威脅利用，從而導致安全風險(包括由人為錯誤引起的攻擊和意外事件)；
——安全風險可能造成的后果；
——為減少或管理整個生命周期每個階段的威脅而采取的對策。
測試要求：
為驗證所有安全功能均已實現，測試應遵循明確定義和管理良好的流程，例如IEC 62443-4-2或ISO IEC 27402或類似標準。(注：在一些國家，也使用其他標準，如歐洲的ETSI EN 303 645。)
生命周期安全管理要求：
在裝置的設計、供應鏈、制造、交付、調試、維護和處置過程中，宜根據風險評估的結果確定針對安全攻擊的保護措施。
附錄B描述了應用于PMD、PQI、ESE、EDL和DGW的通用對策示例。
使用說明的要求：
制造商應提供安裝和配置裝置的所有相關信息，以滿足和保持預期的安全需求。如果功能未在裝置內實現，則應記錄可能需要采取額外的組織對策(如有的話)，以便將網絡安全集成到預定系統中(安裝、配置或運行過程中的對策)。這同樣適用于軟件升級和更新。也可以建議制造商進行培訓。
更多內容詳情請見附件。
所有評論僅代表網友意見，與本站立場無關。