|
工业自动化控制系统（IACS）组织已经开始在日常流程中使用为业务系统开发的商用现成技术（COTS），这使得IACS设备受到网络攻击的可能性随之增加。由于多方面的原因，在对抗网络攻击方面这些系统通常不如专为IACS环境设计的系统那么健壮。这些弱点可能导致健康、安全和环境方面（HSE）的后果。 在没有理解这些后果的情况下，组织可能会试图使用已有的信息技术和业务安全方案来解决IACS的安全问题。尽管许多解决方案可以应用到IACS，但是需要采取正确的方式以消除不良后果。面对一个具有挑战性的问题时，一个非常常见的工程方法是将问题分解成更小的子问题，按照分治方式解决每个子问题。这是解决IACS网络安全风险的合理途径。然而，在解决网络安全方面常犯的错误是，试图用一套系统一次解决所有的网络安全问题。网络安全是一个更大的挑战，需要考虑整个IACS以及环绕和利用IACS的政策、规程、实践和人员。实施这样大范围的管理系统可能需要组织内部的文化变革。在整个组织范围的基础上解决网络安全是一项艰巨的任务。但是对于安全来说，没有现成的解决方案。这很容易理解，因为没有适合所有情况的安全实践。理论上绝对的安全也许能实现，但是这很可能是不可取的，因为要达到这样近乎完美的状态必然要损失实用性。安全实际上是一个风险和成本的平衡。所有的情况有所不同。在某些情况下，风险可能与HSE因素有关而不是单纯的经济影响。风险可能带来不可恢复的后果而不是暂时性的财务挫折。因此一个强制性安全实践的解决方案集要么过于严格，费用昂贵无法遵循，要么不足以应对风险。本文件规定了如何在工业自动化和控制系统（IACS）中建立网络安全管理系统，并且提供了如何开发这些元素的指南。本文件与IEC 62443-1-1中描述的IACS相比，其定义和范围更广泛。本文件中描述的CSMS中的元素主要是政策、过程、规程以及与人员相关的内容，描述了在组织范围内最终的CSMS将要包括或应当包括哪些内容。建立工业自动化和控制系统安全程序 ▼ （全文略） 
|
