發(fā)文機(jī)關(guān)國家原子能機(jī)構(gòu)
發(fā)文日期2020年09月07日
時(shí)效性現(xiàn)行有效
發(fā)文字號國原發(fā)〔2020〕3號
施行日期2020年09月07日
效力級別部門規(guī)范性文件
1. 引言
1.1 目的
本導(dǎo)則對核設(shè)施營運(yùn)單位制定、運(yùn)行和維護(hù)《網(wǎng)絡(luò)安全實(shí)施計(jì)劃》采取必要的技術(shù)類控制措施提供指導(dǎo), 使得能夠?qū)崿F(xiàn)核設(shè)施網(wǎng)絡(luò)安全的總體目的，確保關(guān)鍵系統(tǒng)免受設(shè)計(jì)基準(zhǔn)威脅所規(guī)定的網(wǎng)絡(luò)攻擊損壞而造成下述后果:
1) 對數(shù)據(jù)和軟件完整性或機(jī)密性產(chǎn)生不利影響；
2) 拒絕訪問系統(tǒng)、服務(wù)或數(shù)據(jù)產(chǎn)生的不利影響；
3) 對系統(tǒng)、網(wǎng)絡(luò)和相關(guān)設(shè)備運(yùn)行的不利影響。
1.2 依據(jù)
依據(jù)《中華人民共和國國家安全法》《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國密碼法》《中華人民共和國保守國家秘密法》《中華人民共和國核材料管制條例》制定本導(dǎo)則。
1.3 范圍
本導(dǎo)則適用于我國核動(dòng)力廠（核電廠、核熱電廠、核供汽供熱廠等）和研究堆、實(shí)驗(yàn)堆、臨界裝置等；核燃料生產(chǎn)、加工、貯存和后處理設(shè)施；放射性廢物的儲(chǔ)存、處理和處置設(shè)施營運(yùn)單位的核設(shè)施網(wǎng)絡(luò)安全管理。
2. 訪問控制
2.1 訪問控制方針和規(guī)程
核設(shè)施營運(yùn)單位應(yīng)制定、分發(fā)和[每年]進(jìn)行審核與更新文檔化的關(guān)鍵系統(tǒng)訪問控制方針，包括目的、適用范圍、角色、職責(zé)和內(nèi)部協(xié)調(diào)。核設(shè)施營運(yùn)單位同時(shí)也應(yīng)制定文檔化的促進(jìn)執(zhí)行訪問控制方針及相關(guān)安全訪問控制的規(guī)程。
訪問控制方針的目的是確保僅經(jīng)授權(quán)的個(gè)人或代表他們的進(jìn)程可以訪問關(guān)鍵系統(tǒng)并執(zhí)行經(jīng)授權(quán)的操作。訪問控制方針包含以下系統(tǒng)特定要求：賬戶管理、強(qiáng)制訪問控制、強(qiáng)制數(shù)據(jù)流控制、功能分離、最小權(quán)限、登錄失敗處理、系統(tǒng)使用通告、系統(tǒng)登錄歷史通告、會(huì)話鎖定、監(jiān)督和檢查/訪問控制、準(zhǔn)許未經(jīng)身份認(rèn)證或授權(quán)的行為、自動(dòng)標(biāo)識、自動(dòng)標(biāo)簽、網(wǎng)絡(luò)接入控制、開放/非安全協(xié)議限制、無線接入限制、非安全和惡意連接、便攜式和可移動(dòng)設(shè)備接入控制、專用協(xié)議透明度、第三方產(chǎn)品使用及控制和外部系統(tǒng)的使用。
訪問控制方針具有以下幾點(diǎn)要素：
1) 訪問權(quán)控制（即何人和何種進(jìn)程可以訪問何種資源）與訪問權(quán)限控制（即這些人和進(jìn)程對可訪問的資源執(zhí)行何種操作）；
2) 關(guān)鍵系統(tǒng)管理（即創(chuàng)建、激活、修改、檢查、禁用和刪除賬戶）；
3) 保護(hù)密碼/密鑰數(shù)據(jù)庫以防止未授權(quán)訪問高級用戶和密碼列表；
4) 關(guān)鍵系統(tǒng)[每年]定期審計(jì)或當(dāng)人員角色、職責(zé)變動(dòng)或系統(tǒng)的配置或功能的重大變更時(shí)立即進(jìn)行審計(jì)；
5) 職責(zé)分離（即，通過指定的訪問授權(quán)）。
2.2 賬戶管理
核設(shè)施營運(yùn)單位應(yīng)：
1) 管理并記錄關(guān)鍵系統(tǒng)賬戶，包括賬戶的授權(quán)、創(chuàng)建、激活、修改、檢查、禁用和刪除；
2) 依照與[設(shè)計(jì)控制方案、訪問控制計(jì)劃及其他相關(guān)網(wǎng)絡(luò)安全規(guī)程]提供的訪問控制列表要求一致的方式檢查關(guān)鍵系統(tǒng)賬戶及[至少每30天一次]對關(guān)鍵系統(tǒng)賬戶采取所需行動(dòng)；
3) 要求訪問控制權(quán)基于崗位職責(zé)；
4) 當(dāng)個(gè)人職責(zé)變更后進(jìn)行審核，確保其訪問權(quán)依舊與其職責(zé)功能相符；
5) 定期檢查關(guān)鍵系統(tǒng)賬戶并記錄檢查結(jié)果；
6) 采用支持關(guān)鍵系統(tǒng)賬戶管理的自動(dòng)化機(jī)制并使得關(guān)鍵系統(tǒng)可自動(dòng)地啟用以下控制：
(1) 刪除臨時(shí)賬戶、訪客賬戶和應(yīng)急賬戶（至少每30天進(jìn)行一次）；
(2) 停用不活躍賬戶（至少每30天進(jìn)行一次）；
(3) 創(chuàng)建并保護(hù)賬戶創(chuàng)建、刪除和修改的審計(jì)記錄；
(4) 記錄并向系統(tǒng)管理員通報(bào)賬戶的創(chuàng)建、刪除和修改行為，以便于系統(tǒng)管理員知曉任何賬戶的變動(dòng)，及時(shí)調(diào)查研究潛在的網(wǎng)絡(luò)攻擊。
2.3 強(qiáng)制訪問控制
核設(shè)施營運(yùn)單位應(yīng)：
1) 依照已制定的方針及規(guī)程，對關(guān)鍵系統(tǒng)的訪問控制進(jìn)行授權(quán)；
2) 依照用戶的授權(quán)范圍為其分配對關(guān)鍵系統(tǒng)訪問權(quán)和訪問權(quán)限；
3) 規(guī)定并記錄關(guān)鍵系統(tǒng)的權(quán)限功能和網(wǎng)絡(luò)安全相關(guān)信息；
4) 依照已制定的方針及規(guī)程，授權(quán)個(gè)人訪問權(quán)限功能和網(wǎng)絡(luò)安全相關(guān)信息；
5) 將(植入硬件、軟件和固件)權(quán)限功能和網(wǎng)絡(luò)安全相關(guān)信息的訪問限制到經(jīng)授權(quán)的個(gè)人（如網(wǎng)絡(luò)安全實(shí)施計(jì)劃負(fù)責(zé)人）；
6) 對關(guān)鍵權(quán)限功能和創(chuàng)建用戶任何訪問權(quán)限進(jìn)行雙重授權(quán)；
7) 確保強(qiáng)制訪問控制機(jī)制不對關(guān)鍵系統(tǒng)的運(yùn)行性能產(chǎn)生不利影響，并在不能使用強(qiáng)制訪問控制時(shí)采取替代補(bǔ)充的訪問控制措施，并予以文檔說明。
2.4 強(qiáng)制數(shù)據(jù)流控制
核設(shè)施營運(yùn)單位應(yīng)：
1) 按照已制定的防護(hù)策略，以近實(shí)時(shí)的方式，執(zhí)行并記錄關(guān)鍵系統(tǒng)內(nèi)部及互連系統(tǒng)之間的數(shù)據(jù)流控制的授權(quán)分配；
2) 維護(hù)文檔以證明核設(shè)施營運(yùn)單位已經(jīng)分析和處理了關(guān)鍵系統(tǒng)、安全邊界設(shè)備、邊界之間各類準(zhǔn)許與禁止的數(shù)據(jù)流，以及所需的數(shù)據(jù)流的授權(quán)級別是根據(jù)防護(hù)策略確定的；
3) 采用受保護(hù)進(jìn)程級別（如域型（domain type）強(qiáng)制機(jī)制）作為數(shù)據(jù)流控制決策基礎(chǔ)，實(shí)施并記錄強(qiáng)制數(shù)據(jù)流控制機(jī)制；
4) 實(shí)現(xiàn)近實(shí)時(shí)地檢測、威懾、預(yù)防和響應(yīng)非法或未授權(quán)的數(shù)據(jù)流；
5) 防止加密數(shù)據(jù)繞過內(nèi)容檢查機(jī)制；
6) 使用硬件機(jī)制實(shí)現(xiàn)數(shù)據(jù)的單向傳輸；
7) 按照變化的條件或運(yùn)行考慮決定數(shù)據(jù)流控制方針，并基于該方針實(shí)行動(dòng)態(tài)數(shù)據(jù)流控制；
8) 配置關(guān)鍵系統(tǒng)，禁止明文傳輸用戶證書，并在訪問控制方針中記錄該要求。
2.5 功能分離
核設(shè)施營運(yùn)單位應(yīng)：
1) 按照消除利益沖突以及確保個(gè)人角色與職責(zé)的獨(dú)立性的需要，建立劃分職責(zé)與分離功能的機(jī)制并文檔化；
2) 通過分配的訪問權(quán)限執(zhí)行關(guān)鍵系統(tǒng)功能分離機(jī)制；
3) 對關(guān)鍵系統(tǒng)不能支持角色劃分要求，個(gè)人需要承擔(dān)關(guān)鍵系統(tǒng)中全部角色的情況，為加強(qiáng)審計(jì)，選擇替代控制措施并記錄選擇這些替代控制措施與對策的理由；
4) 將網(wǎng)絡(luò)安全功能限制于必要的最小數(shù)量用戶，以確保關(guān)鍵系統(tǒng)的安全。
2.6 最小權(quán)限
核設(shè)施營運(yùn)單位應(yīng)：
1) 為執(zhí)行特定任務(wù)分配給用戶一組所需的最具約束性的權(quán)利和權(quán)限或訪問；
2) 配置關(guān)鍵系統(tǒng)以強(qiáng)制分配給用戶一組所需的最具約束性的權(quán)利和權(quán)限或訪問；
3) 對關(guān)鍵系統(tǒng)不能支持區(qū)分權(quán)限的要求，個(gè)人需要承擔(dān)關(guān)鍵系統(tǒng)中全部角色的情況，為加強(qiáng)審計(jì)，選擇替代控制措施并記錄選擇這些替代控制措施與對策的理由。
2.7 登錄失敗處理
核設(shè)施營運(yùn)單位應(yīng)確保：
1) 執(zhí)行了網(wǎng)絡(luò)安全控制，實(shí)現(xiàn)對用戶無效訪問嘗試次數(shù)的限制。訪問控制方針文件應(yīng)包括此項(xiàng)要求。在特定時(shí)間段內(nèi)，關(guān)鍵系統(tǒng)對無效訪問嘗試次數(shù)的要求可能會(huì)不同，例如：在一小時(shí)內(nèi)超過三次無效登錄嘗試時(shí)，該賬戶被自動(dòng)鎖定。核設(shè)施營運(yùn)單位的系統(tǒng)自動(dòng)執(zhí)行鎖定模式；
2) 訪問控制方針要求，達(dá)到最大登錄失敗次數(shù)的賬戶僅可由非用戶本人的授權(quán)個(gè)人解鎖，另外，可采用包含身份鑒別的其他認(rèn)證技術(shù)或機(jī)制的替代方案；
3) 對關(guān)鍵系統(tǒng)不能支持賬戶/節(jié)點(diǎn)鎖定或延遲登錄功能時(shí)，應(yīng)選擇替代控制措施或?qū)Σ?，并在訪問控制方針中記錄選擇該替代控制措施與對策的理由和詳細(xì)說明。如果由于會(huì)對性能、安全性或可靠性產(chǎn)生重大的不利影響，關(guān)鍵系統(tǒng)不能支持賬戶/節(jié)點(diǎn)鎖定或延遲登錄功能時(shí)，核設(shè)施營運(yùn)單位可以采用包含以下要點(diǎn)的控制措施或?qū)Σ撸?/p>
(1) 對登錄失敗的實(shí)時(shí)日志和記錄；
(2) 當(dāng)?shù)卿浭〈螖?shù)達(dá)到上限時(shí)，向?qū)﹃P(guān)鍵系統(tǒng)具有網(wǎng)絡(luò)安全專業(yè)知識的指定人員實(shí)時(shí)報(bào)警。
2.8 系統(tǒng)使用通告
核設(shè)施營運(yùn)單位應(yīng)確保：
1) 在允許訪問系統(tǒng)前顯示“系統(tǒng)使用通告”的信息，用于通知潛在用戶以下幾點(diǎn)：
(1) 用戶正在訪問一個(gè)限制訪問的系統(tǒng)；
(2) 對系統(tǒng)的使用過程將接受監(jiān)控、記錄以及審計(jì)；
(3) 禁止對關(guān)鍵系統(tǒng)未經(jīng)授權(quán)的使用，如果違反將追究相關(guān)責(zé)任。使用關(guān)鍵系統(tǒng)即表示認(rèn)可對相關(guān)操作進(jìn)行監(jiān)控和記錄。
2) 關(guān)鍵系統(tǒng)使用通告信息應(yīng)在使用前得到批準(zhǔn)；
3) 在用戶明確采取登錄行為前，應(yīng)持續(xù)在屏幕上顯示關(guān)鍵系統(tǒng)使用通告信息；
4) 對不支持系統(tǒng)使用通告功能的關(guān)鍵系統(tǒng)，使用實(shí)物警示。
2.9 登錄歷史通告
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng)使得在成功登錄系統(tǒng)后，顯示上一次登錄的時(shí)間和日期以及在此期間發(fā)生的登錄失敗嘗試次數(shù)；
2) 要求所有終端用戶向網(wǎng)絡(luò)安全實(shí)施計(jì)劃負(fù)責(zé)人報(bào)告任何可疑活動(dòng)。
2.10 會(huì)話鎖定
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)：
1) 啟用會(huì)話鎖定[在會(huì)話休止30分鐘內(nèi)]；
2) 為用戶提供直接啟用會(huì)話鎖定的機(jī)制；
3) 保持關(guān)鍵系統(tǒng)的會(huì)話鎖定狀態(tài)，直至用戶通過身份識別和認(rèn)證過程重新建立訪問；
4) 對關(guān)鍵系統(tǒng)不能支持會(huì)話鎖定時(shí)，應(yīng)選擇替代控制措施或?qū)Σ?，并記錄選擇該替代控制措施與對策的理由，提供以下功能：
(1) 物理限制對關(guān)鍵系統(tǒng)的訪問；
(2) 通過監(jiān)視和記錄對關(guān)鍵系統(tǒng)的物理訪問以及時(shí)探測和響應(yīng)入侵行為；
(3) 啟用審計(jì)和確認(rèn)措施（如保衛(wèi)人員巡視、定期監(jiān)測篡改指示封記），發(fā)現(xiàn)對關(guān)鍵系統(tǒng)的未授權(quán)訪問及修改；
(4) 確保每一個(gè)訪問關(guān)鍵系統(tǒng)的個(gè)人都是有資質(zhì)的；
(5) 確保這些個(gè)人都是可信賴和可靠的。
2.11 監(jiān)督和檢查/訪問控制
核設(shè)施營運(yùn)單位應(yīng)：
1) 記錄、監(jiān)督和檢查與訪問控制執(zhí)行和使用相關(guān)的用戶活動(dòng)；
2) 在關(guān)鍵系統(tǒng)內(nèi)采用自動(dòng)化機(jī)制來支持和促進(jìn)對用戶行為的檢查。
2.12 準(zhǔn)許未經(jīng)身份認(rèn)證或授權(quán)的行為
核設(shè)施營運(yùn)單位應(yīng)：
1) 識別并記錄在正常和緊急情況下未經(jīng)身份認(rèn)證或授權(quán)的特定用戶可能對關(guān)鍵系統(tǒng)執(zhí)行的行為；
2) 準(zhǔn)許未經(jīng)身份認(rèn)證或授權(quán)行為僅限于采用與法規(guī)要求一致的方式，對核設(shè)施運(yùn)行安全、核安保和核應(yīng)急準(zhǔn)備（SSEP）功能無不利影響的，用于完成任務(wù)目的所必要范圍內(nèi)。
2.13 自動(dòng)標(biāo)識
核設(shè)施營運(yùn)單位應(yīng)：
1) 為防止泄露敏感信息，參照相關(guān)方針和規(guī)程確定和執(zhí)行標(biāo)準(zhǔn)命名規(guī)范；
2) 確保配置了關(guān)鍵系統(tǒng)，采用標(biāo)準(zhǔn)的命名標(biāo)識電子文件和紙質(zhì)文件。
2.14 自動(dòng)標(biāo)簽
核設(shè)施營運(yùn)單位應(yīng)對存儲(chǔ)中、進(jìn)程中和傳輸中的電子文件和紙質(zhì)文件添加標(biāo)簽。
2.15 網(wǎng)絡(luò)接入控制
核設(shè)施營運(yùn)單位應(yīng)通過采用介質(zhì)訪問控制地址綁定、物理或電氣隔離、靜態(tài)表單、加密或監(jiān)控等后果減輕技術(shù)保護(hù)關(guān)鍵系統(tǒng)，并記錄。
2.16 開放/非安全協(xié)議限制
核設(shè)施營運(yùn)單位應(yīng)：
1) 當(dāng)采用的通信協(xié)議缺乏網(wǎng)絡(luò)安全控制時(shí)，應(yīng)實(shí)施額外的保護(hù)網(wǎng)絡(luò)與總線通信免受非授權(quán)訪問的保護(hù)措施，并記錄；
2) 除非傳輸雙方在共同的區(qū)域邊界內(nèi)，否則禁止啟用通信協(xié)議；
3) 禁止上述協(xié)議發(fā)出可將關(guān)鍵系統(tǒng)從一個(gè)較高網(wǎng)絡(luò)安全狀態(tài)改變到較低網(wǎng)絡(luò)安全狀態(tài)的指令。
2.17 無線接入限制
核設(shè)施營運(yùn)單位應(yīng)：
1) 僅允許通過邊界網(wǎng)絡(luò)安全設(shè)備進(jìn)行無線接入，并將無線接入視作為網(wǎng)絡(luò)安全邊界以外的連接方式；
2) 對于安全相關(guān)功能及對安全重要功能的關(guān)鍵系統(tǒng)，禁止使用無線技術(shù)；
3) 關(guān)閉不使用的無線功能；
4) 建立無線技術(shù)的使用限制和執(zhí)行導(dǎo)則；
5) 記錄、認(rèn)證、授權(quán)、監(jiān)視和控制對關(guān)鍵系統(tǒng)的無線接入，并確保這些無線接入限制符合國家對無線網(wǎng)絡(luò)使用的防御策略和防御模型；
6)對非授權(quán)無線接入點(diǎn)進(jìn)行掃描[至少每周進(jìn)行一次]，并禁用發(fā)現(xiàn)的非授權(quán)無線接入點(diǎn)。
2.18 非安全與惡意連接
核設(shè)施營運(yùn)單位應(yīng)在部署關(guān)鍵系統(tǒng)期間與關(guān)鍵系統(tǒng)發(fā)生變更或修改時(shí)，和[每月至少一次],確保關(guān)鍵系統(tǒng)不存在非安全與惡意連接（如與供應(yīng)商連接和調(diào)制解調(diào)器）。
2.19 便攜式和可移動(dòng)設(shè)備接入控制
核設(shè)施營運(yùn)單位應(yīng)：
1） 建立便攜式和可移動(dòng)設(shè)備的使用限制方法和執(zhí)行導(dǎo)則并文檔化；
2） 對接入關(guān)鍵系統(tǒng)的便攜式和可移動(dòng)設(shè)備進(jìn)行授權(quán)、監(jiān)視和控制；
3） 確保與所支持的關(guān)鍵系統(tǒng)在同一級別上維護(hù)便攜式和可移動(dòng)設(shè)備的安全性和完整性，并文檔化；
4） 確保便攜式和可移動(dòng)設(shè)備僅用于單一網(wǎng)絡(luò)安全等級，不在不同網(wǎng)絡(luò)安全等級之間共用，并文檔化。
2.20 專用協(xié)議透明度
在專用協(xié)議缺乏透明度時(shí)（如由于協(xié)議是專用的，系統(tǒng)無法檢測攻擊），核設(shè)施營運(yùn)單位應(yīng)確保執(zhí)行替代控制措施或?qū)Σ?，保護(hù)關(guān)鍵系統(tǒng)免受設(shè)計(jì)基準(zhǔn)威脅所規(guī)定的網(wǎng)絡(luò)攻擊。
2.21 第三方產(chǎn)品使用及控制
核設(shè)施營運(yùn)單位應(yīng)確保對下述情況采取替代控制措施或?qū)Σ撸瑧?yīng)對由于缺乏第三方產(chǎn)品提供的安全功能而引入風(fēng)險(xiǎn)的脆弱性：
(1) 由于供應(yīng)商許可證和服務(wù)協(xié)議的原因不允許第三方網(wǎng)絡(luò)安全方案；
(2) 未經(jīng)供應(yīng)商認(rèn)可或允許安裝第三方應(yīng)用程序，發(fā)生缺少服務(wù)支持的情況。
2.22 外部系統(tǒng)的使用
核設(shè)施營運(yùn)單位應(yīng)：
1) 確保不能從較高的網(wǎng)絡(luò)安全等級，例如三級與四級，訪問外部系統(tǒng)；
2) 禁止外部系統(tǒng)訪問網(wǎng)絡(luò)安全等級為三級與四級的關(guān)鍵系統(tǒng)；
3) 除非核設(shè)施營運(yùn)單位核實(shí)了外部系統(tǒng)采取了等同的網(wǎng)絡(luò)安全措施，否則禁止用戶使用外部系統(tǒng)訪問關(guān)鍵系統(tǒng)或處理、存儲(chǔ)及傳輸受控的信息。
2.23 公開信息
核設(shè)施營運(yùn)單位應(yīng)：
1) 指定被授權(quán)的個(gè)人負(fù)責(zé)在核設(shè)施營運(yùn)單位專供公眾訪問的系統(tǒng)中發(fā)布信息；
2) 對被授權(quán)的個(gè)人進(jìn)行培訓(xùn)，以確保發(fā)布的公開信息不包含會(huì)對SSEP功能產(chǎn)生不利影響或有助于一個(gè)敵手發(fā)起一次攻擊的內(nèi)容；
3) 確保不對外發(fā)布會(huì)對SSEP功能產(chǎn)生不利影響或有助于一個(gè)敵手發(fā)起一次攻擊的信息。
3. 審計(jì)和問責(zé)
3.1 審計(jì)和問責(zé)方針和規(guī)程
核設(shè)施營運(yùn)單位應(yīng)通過一個(gè)獨(dú)立部門制定、分發(fā)和[每年]進(jìn)行審核與更新以下幾項(xiàng)：
1)一項(xiàng)文檔化的方針，包括目的、適用范圍、角色、職責(zé)和內(nèi)部協(xié)調(diào)的審計(jì)和問責(zé)；
2) 一份文檔化的規(guī)程，促進(jìn)執(zhí)行審計(jì)和問責(zé)方針及相關(guān)審計(jì)和問責(zé)網(wǎng)絡(luò)安全控制。
3.2 審計(jì)事項(xiàng)
核設(shè)施營運(yùn)單位應(yīng)：
1) 確定并文檔化需要審計(jì)的SSEP功能相關(guān)的關(guān)鍵系統(tǒng)事項(xiàng)；
2) 確定可審計(jì)事件清單和每個(gè)識別到的可審計(jì)事件的審計(jì)頻度；
3) 至少審計(jì)所有關(guān)鍵系統(tǒng)鏈接、用戶登錄/退出、配置/軟件/固件的變更、審計(jì)設(shè)置變更、訪問權(quán)限、權(quán)限指令以及任何關(guān)鍵系統(tǒng)的網(wǎng)絡(luò)安全功能修改；
4) 當(dāng)關(guān)鍵系統(tǒng)不能支持審計(jì)記錄自動(dòng)生成機(jī)制或采用非自動(dòng)審計(jì)機(jī)制和規(guī)程時(shí)，選擇替代控制措施或?qū)Σ卟⒂涗涍x擇這些替代控制措施與對策的理由；
5) 檢查并更新已確定的可審計(jì)事件清單 [每年至少一次]；
6) 在關(guān)鍵系統(tǒng)的可審計(jì)事件清單中包含特權(quán)功能的執(zhí)行；
7) 防止關(guān)鍵系統(tǒng)重啟時(shí)清空審計(jì)事件記錄；
8) 協(xié)調(diào)各部門間的網(wǎng)絡(luò)安全審計(jì)職能，做好可審計(jì)事件的選取工作；
9) 配置所有關(guān)鍵系統(tǒng)，保證可審計(jì)事件足以支持網(wǎng)絡(luò)安全事故的事后調(diào)查；
10) 基于當(dāng)前的威脅信息和核安保導(dǎo)則 HABD-004/01第10.1.2節(jié)中描述的有效性分析結(jié)果調(diào)整關(guān)鍵系統(tǒng)的待審計(jì)事件。
3.3 審計(jì)記錄內(nèi)容
核設(shè)施營運(yùn)單位應(yīng)：
1) 確保關(guān)鍵系統(tǒng)產(chǎn)生的審計(jì)記錄包含充分的信息以確定：發(fā)生了什么事件、發(fā)生在什么時(shí)間、發(fā)生在什么地點(diǎn)、事件發(fā)生原因及事件結(jié)果；
2) 確保關(guān)鍵系統(tǒng)在其審計(jì)記錄中對不同類型、位置和科目的審計(jì)事件提供附加的、更具體的信息的能力；
3) 對整個(gè)關(guān)鍵系統(tǒng)的單一部件產(chǎn)生的審計(jì)記錄內(nèi)容實(shí)施集中結(jié)構(gòu)化管理，以防止關(guān)鍵系統(tǒng)的審計(jì)記錄被修改或銷毀。
3.4 審計(jì)記錄存儲(chǔ)容量
核設(shè)施營運(yùn)單位應(yīng)合理分配審計(jì)記錄存儲(chǔ)容量，滿足網(wǎng)絡(luò)安全法對審計(jì)記錄保存的要求，并配置審計(jì)功能，降低發(fā)生存儲(chǔ)空間不足的可能性。
3.5 審計(jì)過程失敗響應(yīng)
核設(shè)施營運(yùn)單位應(yīng)確保：
1) 當(dāng)分配給審計(jì)記錄的存儲(chǔ)量達(dá)到最大存儲(chǔ)容量的預(yù)定百分比時(shí)[基于存儲(chǔ)空間消耗速率、單位的資源狀況及響應(yīng)時(shí)間]，關(guān)鍵系統(tǒng)應(yīng)發(fā)出警告并記錄；
2) 在關(guān)鍵系統(tǒng)不支持審計(jì)過程失敗響應(yīng)的情況下，記錄執(zhí)行替代網(wǎng)絡(luò)安全控制措施的合理性和細(xì)節(jié)；
3) 核設(shè)施營運(yùn)單位應(yīng)對審計(jì)失敗作出響應(yīng)，包括使用外部系統(tǒng)提供上述能力；
4) 當(dāng)對關(guān)鍵系統(tǒng)或網(wǎng)絡(luò)安全邊界設(shè)備的審計(jì)處理能力失效時(shí)，應(yīng)采取以下措施：
(1) 在發(fā)生審計(jì)處理失敗事件時(shí)，向核設(shè)施營運(yùn)單位指定的負(fù)責(zé)人發(fā)送警告；
(2) 審計(jì)失敗被認(rèn)定為一種關(guān)鍵系統(tǒng)或網(wǎng)絡(luò)安全邊界設(shè)備的故障，核設(shè)施營運(yùn)單位應(yīng)依據(jù)技術(shù)規(guī)范采取處理措施；
(3) 關(guān)鍵系統(tǒng)審計(jì)失敗時(shí)采用以下措施：
a)關(guān)閉關(guān)鍵系統(tǒng)；
b)為防止對SSEP功能產(chǎn)生不利影響，必要時(shí)轉(zhuǎn)換采用冗余關(guān)鍵系統(tǒng)；
c)只重寫最陳舊的審計(jì)記錄；
d)停止產(chǎn)生審計(jì)記錄。
3.6 審計(jì)記錄的檢查、分析和報(bào)告
核設(shè)施營運(yùn)單位應(yīng)：
1) 檢查并分析關(guān)鍵系統(tǒng)的審計(jì)記錄[每30天至少進(jìn)行一次]，找出不恰當(dāng)或不尋常的活動(dòng)，并就發(fā)現(xiàn)的問題向核設(shè)施營運(yùn)單位指定的負(fù)責(zé)人進(jìn)行報(bào)告；
2) 當(dāng)根據(jù)核設(shè)施營運(yùn)單位指定的可靠信息源提供的針對核設(shè)施營運(yùn)單位SSEP功能的威脅或風(fēng)險(xiǎn)發(fā)生變化時(shí)，應(yīng)調(diào)整關(guān)鍵系統(tǒng)中的審計(jì)檢查、分析和報(bào)告級別；
3) 采用關(guān)鍵系統(tǒng)的自動(dòng)機(jī)制將審計(jì)記錄的審查、分析和報(bào)告整合到核設(shè)施營運(yùn)單位對可疑活動(dòng)調(diào)查和應(yīng)對過程中。
3.7 審計(jì)記錄精簡和報(bào)告生成
核設(shè)施營運(yùn)單位應(yīng)配置和部署所有的關(guān)鍵系統(tǒng)，實(shí)現(xiàn)：
1) 提供關(guān)鍵系統(tǒng)審計(jì)記錄的精簡和報(bào)告生成能力；
2) 根據(jù)事件選擇準(zhǔn)則，提供對重要事件自動(dòng)處理審計(jì)記錄的功能。
對關(guān)鍵系統(tǒng)不支持提供審計(jì)記錄精簡和報(bào)告生成能力的情況，核設(shè)施營運(yùn)單位應(yīng)記錄通過其他系統(tǒng)提供上述能力的替代補(bǔ)充網(wǎng)絡(luò)安全控制措施的理由和細(xì)節(jié)。
3.8 時(shí)間戳
核設(shè)施營運(yùn)單位的關(guān)鍵系統(tǒng)應(yīng)使用與關(guān)鍵系統(tǒng)同等級或更高保護(hù)等級的時(shí)鐘源或一個(gè)內(nèi)部系統(tǒng)的時(shí)鐘，為審計(jì)記錄提供時(shí)間戳，核設(shè)施營運(yùn)單位應(yīng)同步所有關(guān)鍵系統(tǒng)的時(shí)鐘。
核設(shè)施營運(yùn)單位應(yīng)通過實(shí)物保護(hù)網(wǎng)絡(luò)中存在的與關(guān)鍵系統(tǒng)同等或更高網(wǎng)絡(luò)安全等級的專用時(shí)鐘源，同步所有關(guān)鍵系統(tǒng)的時(shí)間。這個(gè)專用時(shí)鐘源可以直接或通過簡單網(wǎng)絡(luò)時(shí)間協(xié)議(SNTP)與可信賴的密鑰管理進(jìn)程連接。
當(dāng)關(guān)鍵系統(tǒng)不支持時(shí)間同步時(shí)，核設(shè)施營運(yùn)單位只能采用不引入網(wǎng)絡(luò)攻擊脆弱性或共模故障的時(shí)間同步方法，實(shí)行替代控制，管理潛在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
3.9 審計(jì)信息保護(hù)
核設(shè)施營運(yùn)單位應(yīng)：
1) 依照符合產(chǎn)生審計(jì)信息關(guān)鍵系統(tǒng)的要求，防止審計(jì)信息與審計(jì)工具受到未經(jīng)授權(quán)的訪問、修改和刪除；
2) 確保審計(jì)信息的保護(hù)等級與產(chǎn)生審計(jì)信息的設(shè)備處于同一等級。
3.10 抗抵賴性
核設(shè)施營運(yùn)單位應(yīng)保護(hù)關(guān)鍵系統(tǒng)及審計(jì)記錄，防止個(gè)人否認(rèn)其執(zhí)行過的特定行為。
3.11 審計(jì)記錄保存
為支持網(wǎng)絡(luò)安全事故后調(diào)查，滿足監(jiān)管部門以及核設(shè)施營運(yùn)單位的記錄保存要求，核設(shè)施營運(yùn)單位應(yīng)依照訪問授權(quán)程序?qū)τ涗洷４娴囊蟊４鎸徲?jì)記錄。
3.12 審計(jì)記錄生成
核設(shè)施營運(yùn)單位的網(wǎng)絡(luò)安全架構(gòu)應(yīng)提供：
1) 對關(guān)鍵系統(tǒng)可審計(jì)事件的審計(jì)記錄生成能力；
2) 授權(quán)用戶對關(guān)鍵系統(tǒng)特定部件選擇可審計(jì)事件并生成審計(jì)記錄的能力；
3) 對關(guān)鍵系統(tǒng)選擇的可審計(jì)事件清單的審計(jì)記錄；
4) 將關(guān)鍵系統(tǒng)內(nèi)多部件的審計(jì)記錄匯編到的整個(gè)場址（邏輯或物理）審計(jì)跟蹤的能力。該場址審計(jì)跟蹤中各記錄時(shí)間戳之間的關(guān)聯(lián)性應(yīng)在核設(shè)施運(yùn)營單位規(guī)定的可容忍范圍內(nèi)。
4. 關(guān)鍵系統(tǒng)及通信保護(hù)
4.1 關(guān)鍵系統(tǒng)及通信保護(hù)方針和規(guī)程:
核設(shè)施營運(yùn)單位應(yīng)制定、分發(fā)和[每年]檢查與更新：
1) 一項(xiàng)文檔化的方針，包括目的、適用范圍、角色、職責(zé)和內(nèi)部協(xié)調(diào)的關(guān)鍵系統(tǒng)和通信保護(hù)；
2) 一份文檔化的網(wǎng)絡(luò)安全控制規(guī)程，促進(jìn)執(zhí)行關(guān)鍵系統(tǒng)和通信保護(hù)方針及相關(guān)關(guān)鍵系統(tǒng)和通信保護(hù)。
4.2 應(yīng)用分區(qū)和網(wǎng)絡(luò)安全功能隔離
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng)，將應(yīng)用分為用戶功能（包括用戶界面服務(wù)）和關(guān)鍵系統(tǒng)管理功能；
2) 配置關(guān)鍵系統(tǒng)，通過[分區(qū)、分域等]包括訪問控制以及執(zhí)行網(wǎng)絡(luò)安全功能的硬件、軟件及固件的集成等手段，完成將網(wǎng)絡(luò)安全功能與非網(wǎng)絡(luò)安全功能的隔離；
3) 配置關(guān)鍵系統(tǒng)，采用底層硬件劃分機(jī)制來促進(jìn)網(wǎng)絡(luò)安全功能的隔離；
4) 配置關(guān)鍵系統(tǒng)，將重要的網(wǎng)絡(luò)安全功能（如強(qiáng)制訪問控制功能和數(shù)據(jù)流控制功能）與非網(wǎng)絡(luò)安全功能和其他網(wǎng)絡(luò)安全功能隔離；
5) 配置關(guān)鍵系統(tǒng)，使得網(wǎng)絡(luò)安全功能隔離邊界內(nèi)的非網(wǎng)絡(luò)安全功能的數(shù)量最小化；
6) 配置關(guān)鍵系統(tǒng)的各網(wǎng)絡(luò)安全功能為獨(dú)立模塊，避免各模塊之間的不必要交互；
7) 以分層結(jié)構(gòu)配置關(guān)鍵系統(tǒng)的網(wǎng)絡(luò)安全功能，使設(shè)計(jì)的各層間的交互最小化，避免低層對高層的功能或正確性的依賴；
8) 當(dāng)關(guān)鍵系統(tǒng)不支持網(wǎng)絡(luò)安全功能隔離時(shí)，核設(shè)施營運(yùn)單位應(yīng)采取替代網(wǎng)絡(luò)安全控制，記錄選擇替代控制或?qū)Σ叩睦碛桑⒉捎靡韵麓胧?/p>
(1) 物理手段限制對關(guān)鍵系統(tǒng)的訪問；
(2) 監(jiān)測并記錄關(guān)鍵系統(tǒng)的物理訪問，及時(shí)發(fā)現(xiàn)和響應(yīng)入侵行為；
(3) 啟用審計(jì)/確認(rèn)措施（如保衛(wèi)人員巡視、防篡改封記的定期監(jiān)視），檢測對關(guān)鍵系統(tǒng)的未授權(quán)訪問和修改；
(4) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人具備資質(zhì)；
(5) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人是可信賴和可靠的。
4.3 資源共享
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng)，防止通過共享系統(tǒng)資源發(fā)生非授權(quán)或無意識的信息傳輸；
2) 使用物理隔離網(wǎng)絡(luò)設(shè)備，實(shí)現(xiàn)并維護(hù)第三級和第四級之間的邏輯的隔離以及與其他各級之間的邏輯隔離。
4.4 拒絕服務(wù)防護(hù)
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng)，防止或限制拒絕服務(wù)攻擊造成的影響；
2) 配置關(guān)鍵系統(tǒng)，限制用戶對其他關(guān)鍵系統(tǒng)或網(wǎng)絡(luò)發(fā)起拒絕服務(wù)攻擊的能力；
3) 配置關(guān)鍵系統(tǒng)，管理超額容量、帶寬或其他冗余性，限制泛洪攻擊和飽和拒絕服務(wù)攻擊造成的影響。
4.5 資源優(yōu)先級
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)通過優(yōu)先級限制資源的使用，防止低優(yōu)先級進(jìn)程推遲或干擾高優(yōu)先級服務(wù)進(jìn)程。
4.6 傳輸完整性
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng)，保護(hù)傳輸信息的完整性；
2) 除非采用了替代物理措施，否則應(yīng)啟用加密機(jī)制，識別傳輸和接收過程中發(fā)生的信息篡改；
3) 采取以下方法執(zhí)行防止中間人（MITM）攻擊的機(jī)制：
(1) 介質(zhì)訪問控制地址綁定——核設(shè)施營運(yùn)單位應(yīng)通過地址綁定設(shè)備和端口，防范MITM攻擊和惡意設(shè)備連接到網(wǎng)絡(luò)中；
(2) 網(wǎng)絡(luò)接入控制——核設(shè)施營運(yùn)單位應(yīng)通過網(wǎng)絡(luò)接入控制，防護(hù)MITM攻擊和惡意設(shè)備連接到網(wǎng)絡(luò)中。
4) 實(shí)施監(jiān)控，檢測MITM和地址解析協(xié)議中毒；
5) 當(dāng)關(guān)鍵系統(tǒng)不支持實(shí)現(xiàn)傳輸信息完整性時(shí)，核設(shè)施營運(yùn)單位應(yīng)執(zhí)行替代控制，記錄該替代控制或?qū)Σ叩睦碛?，并采用以下措施?/p>
(1) 物理手段限制對關(guān)鍵系統(tǒng)的訪問；
(2) 監(jiān)測并記錄關(guān)鍵系統(tǒng)的物理訪問，及時(shí)發(fā)現(xiàn)和響應(yīng)入侵行為；
(3) 啟用審計(jì)/確認(rèn)措施（如保衛(wèi)人員巡視、防篡改封記的定期監(jiān)視），檢測對關(guān)鍵系統(tǒng)的未授權(quán)訪問和修改；
(4) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人具備資質(zhì)；
(5) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人是可信賴和可靠的。
4.7 傳輸機(jī)密性
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng),保護(hù)傳輸信息的機(jī)密性；
2) 除非采用了替代物理措施，否則應(yīng)啟用加密機(jī)制，識別傳輸和接收過程中發(fā)生未經(jīng)授權(quán)的信息披露；
3) 當(dāng)關(guān)鍵系統(tǒng)不能支持內(nèi)部傳輸信息機(jī)密性能力時(shí)，核設(shè)施營運(yùn)單位應(yīng)執(zhí)行替代控制，包括虛擬專用網(wǎng)（VPN）,并記錄替代控制和對策的理由，或采用全部以下措施：
(1) 物理手段限制對關(guān)鍵系統(tǒng)的訪問；
(2) 監(jiān)測并記錄關(guān)鍵系統(tǒng)的物理訪問，及時(shí)發(fā)現(xiàn)和響應(yīng)入侵行為；
(3) 啟用審計(jì)/確認(rèn)措施（如保衛(wèi)人員巡視、防篡改封記的定期監(jiān)視），檢測對關(guān)鍵系統(tǒng)的未授權(quán)訪問和修改；
(4) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人具備資質(zhì)；
(5) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人是可信賴和可靠的。
4.8 可信任路徑
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)，在用戶與關(guān)鍵系統(tǒng)網(wǎng)絡(luò)安全功能之間使用可信通信路徑，至少包含驗(yàn)證和再驗(yàn)證。
4.9 密鑰建立和管理
當(dāng)需要和依照國家密碼主管部門關(guān)于密碼管理的相關(guān)規(guī)定，在關(guān)鍵系統(tǒng)中使用密碼時(shí)，核設(shè)施營運(yùn)單位應(yīng)盡可能使用有支持程序的自動(dòng)化機(jī)制或手動(dòng)程序?qū)γ艽a算法和密鑰進(jìn)行管理。
4.10 啟用加密
核設(shè)施營運(yùn)單位應(yīng)遵照國家密碼主管部門關(guān)于密碼管理的相關(guān)規(guī)定配置關(guān)鍵系統(tǒng)，執(zhí)行加密機(jī)制。
4.11 非授權(quán)遠(yuǎn)程激活服務(wù)
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置關(guān)鍵系統(tǒng)，禁止協(xié)作計(jì)算機(jī)制的遠(yuǎn)程激活，并為本地用戶提供明確的警示；
2) 配置關(guān)鍵系統(tǒng)，采用支持易于使用的模式，提供對攝像頭和麥克風(fēng)的物理隔斷，除非這些技術(shù)是為了網(wǎng)絡(luò)安全目的用于控制和監(jiān)視關(guān)鍵系統(tǒng)。
4.12 網(wǎng)絡(luò)安全參數(shù)傳輸
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)，使網(wǎng)絡(luò)安全參數(shù)與在關(guān)鍵系統(tǒng)之間交換的信息相關(guān)聯(lián)。
4.13 公鑰基礎(chǔ)設(shè)施證書
核設(shè)施營運(yùn)單位在證書方針的指導(dǎo)下發(fā)布公鑰證書，或在核設(shè)施營運(yùn)單位批準(zhǔn)的供應(yīng)商提供的證書方針下獲取公鑰證書。
4.14 移動(dòng)代碼
核設(shè)施營運(yùn)單位應(yīng)：
1) 基于惡意地使用移動(dòng)代碼可能對關(guān)鍵系統(tǒng)引起危害，建立對移動(dòng)代碼技術(shù)的使用限制和執(zhí)行導(dǎo)則；
2)授權(quán)、監(jiān)視和控制移動(dòng)代碼在關(guān)鍵系統(tǒng)內(nèi)的使用。
4.15 安全的名稱/地址解析服務(wù)（驗(yàn)證/可信源）
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置提供名稱/地址解析的系統(tǒng)，與所反饋的解析查詢驗(yàn)證數(shù)據(jù)一起提供附加數(shù)據(jù)源和數(shù)據(jù)完整性信息；
2) 配置為關(guān)鍵系統(tǒng)提供名稱/地址解析的系統(tǒng)，在該系統(tǒng)作為分布式層次化命名空間的一部分使用時(shí)，提供表明子空間安全狀態(tài)的手段，如果子空間支持安全解析服務(wù)，使得能夠核實(shí)父空間與子空間域之間的信任鏈。
4.16 安全的名稱/地址解析服務(wù)（遞歸方式或緩存解析）
核設(shè)施營運(yùn)單位應(yīng)：
1) 配置為關(guān)鍵系統(tǒng)提供名稱/地址解析服務(wù)的系統(tǒng)，當(dāng)收到來自驗(yàn)證源的信息反饋時(shí)，執(zhí)行數(shù)據(jù)源的驗(yàn)證和數(shù)據(jù)完整性的核實(shí)；
2) 配置關(guān)鍵系統(tǒng)，使得在收到數(shù)據(jù)時(shí)，無論關(guān)鍵系統(tǒng)是否明確請求此種服務(wù)，在解析反饋中執(zhí)行數(shù)據(jù)源驗(yàn)證和數(shù)據(jù)完整性核實(shí)。
4.17 架構(gòu)和提供名稱/地址解析服務(wù)
核設(shè)施營運(yùn)單位應(yīng)，為容錯(cuò)和分離服務(wù)（即執(zhí)行角色分離）的邏輯結(jié)構(gòu)，配置集中提供名稱/地址解析服務(wù)的系統(tǒng)。
4.18 會(huì)話真實(shí)性
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)，提供保護(hù)通信會(huì)話真實(shí)性的機(jī)制。
4.19 瘦節(jié)點(diǎn)
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)和控制設(shè)備，采用最少功能和數(shù)據(jù)存儲(chǔ)量的處理部件。
4.20 剩余信息機(jī)密性
核設(shè)施營運(yùn)單位應(yīng)配置關(guān)鍵系統(tǒng)以保護(hù)剩余信息的機(jī)密性。
4.21 多樣性/分散性
核設(shè)施營運(yùn)單位應(yīng)在關(guān)鍵系統(tǒng)的使用中，采用多樣性的技術(shù)。
4.22 已知狀態(tài)下的失效
核設(shè)施營運(yùn)單位應(yīng)：
1) 關(guān)鍵系統(tǒng)失效在已知狀況，確保SSEP功能不因關(guān)鍵系統(tǒng)失效受到不利影響；
2) 在關(guān)鍵系統(tǒng)或關(guān)鍵系統(tǒng)部件失效時(shí)，防止喪失機(jī)密性、完整性和可用性。
5. 身份識別和認(rèn)證
5.1 身份識別和認(rèn)證方針和規(guī)程
核設(shè)施營運(yùn)單位應(yīng)制定、分發(fā)和[每年]檢查與更新：
1) 一項(xiàng)文檔化的身份識別和認(rèn)證的方針，包括目的、適用范圍、角色、職責(zé)和內(nèi)部協(xié)調(diào)，使用識別因子的集合或證書，積極識別潛在的網(wǎng)絡(luò)用戶、主機(jī)、應(yīng)用程序、服務(wù)和資源；
2) 一份文檔化的規(guī)程，用以促進(jìn)執(zhí)行身份識別和認(rèn)證方針及相關(guān)的身份識別和認(rèn)證控制。
身份識別和認(rèn)證方針和規(guī)程為管理用戶身份識別和關(guān)鍵系統(tǒng)認(rèn)證提供指導(dǎo)。其中包含以下：
1) 為每一個(gè)用戶和代表用戶的進(jìn)程提供唯一標(biāo)識；
2) 核實(shí)每一個(gè)用戶和代表用戶的進(jìn)程的標(biāo)識；
3) 由適當(dāng)?shù)氖跈?quán)代表獲得向用戶分發(fā)標(biāo)識的授權(quán)；
4) 確保用戶標(biāo)識發(fā)放到預(yù)期的當(dāng)事人；
5) 禁用超過最大不活躍時(shí)限（30天）的用戶標(biāo)識；
6) 用戶訪問需求終止時(shí)，立即禁用用戶標(biāo)識；
7) 歸檔用戶標(biāo)識；
8) 規(guī)定初始認(rèn)證內(nèi)容；
9) 建立行政規(guī)程，管理初始認(rèn)證器的分發(fā)，丟失、失效或損壞的認(rèn)證器，以及注銷的認(rèn)證器；
10) 安裝控制系統(tǒng)后，立即更改默認(rèn)的認(rèn)證器；
11) 更改/更新認(rèn)證器[每年]。
5.2 用戶標(biāo)識和認(rèn)證
核設(shè)施營運(yùn)單位應(yīng)：
1) 實(shí)現(xiàn)身份識別和認(rèn)證技術(shù)，唯一地標(biāo)識和認(rèn)證個(gè)人或代表關(guān)鍵系統(tǒng)用戶的進(jìn)程，確保關(guān)鍵系統(tǒng)、網(wǎng)絡(luò)安全邊界設(shè)備、運(yùn)維環(huán)境的物理控制、用戶和關(guān)鍵系統(tǒng)的交互是可被唯一標(biāo)識和認(rèn)證的，同時(shí)代表用戶的進(jìn)程也可同樣被唯一認(rèn)證和識別；
2) 確保認(rèn)證技術(shù)使用了強(qiáng)多因子認(rèn)證方式，該方式采取保護(hù)進(jìn)程的級別；
3) 當(dāng)關(guān)鍵系統(tǒng)不支持用戶標(biāo)識和身份認(rèn)證時(shí)，應(yīng)選擇替代控制和記錄選擇該替代控制的理由，并采用以下措施：
(1) 物理手段限制對關(guān)鍵系統(tǒng)的訪問；
(2) 監(jiān)測并記錄關(guān)鍵系統(tǒng)的物理訪問，及時(shí)發(fā)現(xiàn)和響應(yīng)入侵行為；
(3) 啟用審計(jì)/確認(rèn)措施（如保衛(wèi)人員巡視、防篡改封記的定期監(jiān)視），檢測對關(guān)鍵系統(tǒng)的未授權(quán)訪問和修改；
(4) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人具備資質(zhì)；
(5) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人是可信賴和可靠的。
4) 執(zhí)行基于域的安全認(rèn)證，以及：
(1) 在計(jì)劃提供服務(wù)的網(wǎng)絡(luò)安全等級內(nèi)維護(hù)域控制器；
(2) 以物理和邏輯的方式保護(hù)域控制器，防止非授權(quán)訪問和篡改；
(3) 禁止處于不同網(wǎng)絡(luò)安全級別的域之間存在域信任關(guān)系；
(4) 禁止域認(rèn)證協(xié)議跨越域邊界傳輸；
(5) 執(zhí)行基于角色的訪問控制，盡可能將用戶權(quán)限限制于完成他們?nèi)蝿?wù)所需的范圍。
5) 未啟用基于域的認(rèn)證的情況下，核設(shè)施營運(yùn)單位應(yīng)：
(1) 記錄并證明未啟用基于域的安全認(rèn)證的理由；
(2) 條件可行的情況下執(zhí)行本地認(rèn)證；
(3) 在應(yīng)用支持的場景下，執(zhí)行最強(qiáng)可能的挑戰(zhàn)—應(yīng)答認(rèn)證機(jī)制；
(4) 執(zhí)行基于角色的訪問控制，盡可能將用戶權(quán)限限制于完成他們?nèi)蝿?wù)所需的范圍。
5.3 口令要求
核設(shè)施營運(yùn)單位應(yīng)確?？诹钍褂脮r(shí)滿足：
1) 在關(guān)鍵系統(tǒng)的能力內(nèi)，口令的長度、強(qiáng)度和復(fù)雜度，應(yīng)平衡網(wǎng)絡(luò)安全要求和訪問操作易用性；
2) 口令的長度和復(fù)雜度上應(yīng)與所需的網(wǎng)絡(luò)安全要求一致；
3) 定期更換口令[根據(jù)系統(tǒng)類型的時(shí)間要求，例如工作站每30天一次，要害區(qū)的關(guān)鍵系統(tǒng)每3個(gè)月一次]；
4) 口令不能在字典中找到，或包含可預(yù)測的數(shù)字或字母序列；
5) 主口令副本應(yīng)儲(chǔ)存在一個(gè)限制訪問的安全位置；
6) 僅授權(quán)人員可修改主口令。
5.4 非認(rèn)證的人機(jī)交互安全
核設(shè)施營運(yùn)單位應(yīng)：
1) 在由于操作需要不支持關(guān)鍵系統(tǒng)人機(jī)交互（HMI）認(rèn)證的情況，確保存在充分的物理安全控制，對操作者進(jìn)行認(rèn)證、適當(dāng)?shù)淖R別和監(jiān)視，使得能夠?qū)徲?jì)和記錄操作者的行為；
2) 在維護(hù)非授權(quán)的人機(jī)交互(NHMI)安全性的同時(shí)，控制NHMI的訪問，使得不妨害HMI，確保僅授權(quán)人員可訪問NHMI；
3) 驗(yàn)證SSEP功能未受到身份認(rèn)證、會(huì)話鎖定或會(huì)話終止控制的不利影響；
4) 對NHMI執(zhí)行審計(jì)，以確保經(jīng)授權(quán)和有資質(zhì)的人員記錄和監(jiān)視所有的操作者的活動(dòng)，并為滿足審計(jì)要求維護(hù)歷史記錄。
5.5 設(shè)備標(biāo)識和認(rèn)證
核設(shè)施營運(yùn)單位應(yīng)：
1) 建立設(shè)備與關(guān)鍵系統(tǒng)的連接前，執(zhí)行和記錄標(biāo)識和認(rèn)證該設(shè)備(測試器)的技術(shù)；
2) 當(dāng)關(guān)鍵系統(tǒng)不支持設(shè)備標(biāo)識和認(rèn)證時(shí)（如對串行設(shè)備），應(yīng)選擇替代控制和記錄選擇該替代控制的理由，并采用以下措施：
(1) 物理手段限制對關(guān)鍵系統(tǒng)的訪問；
(2) 監(jiān)測并記錄關(guān)鍵系統(tǒng)的物理訪問，及時(shí)發(fā)現(xiàn)和響應(yīng)入侵行為；
(3) 啟用審計(jì)/確認(rèn)措施（如保衛(wèi)人員巡視、防篡改封記的定期監(jiān)視），檢測對關(guān)鍵系統(tǒng)的未授權(quán)訪問和修改；
(4) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人具備資質(zhì)；
(5) 確保訪問關(guān)鍵系統(tǒng)的個(gè)人是可信賴和可靠的。
5.6 用戶標(biāo)識管理
核設(shè)施營運(yùn)單位應(yīng)實(shí)現(xiàn)以下幾點(diǎn)，以管理和記錄用戶標(biāo)識：
1) 為每一位用戶提供唯一標(biāo)識；
2) 核實(shí)每一位用戶的標(biāo)識；
3) 從單位官方獲得向用戶分發(fā)標(biāo)識的授權(quán)；
4) 確保用戶標(biāo)識發(fā)放到預(yù)期的當(dāng)事人；
5) 禁用超過最大不活躍時(shí)限（30天）的用戶標(biāo)識；
6) 依照訪問授權(quán)規(guī)程規(guī)定的記錄保存要求一致的方式，對用戶標(biāo)識進(jìn)行歸檔。
5.7 認(rèn)證器管理
核設(shè)施營運(yùn)單位應(yīng)采用下述所有方法，管理關(guān)鍵系統(tǒng)認(rèn)證器：
1) 規(guī)定初始認(rèn)證器內(nèi)容，如規(guī)定口令長度和復(fù)雜度要求、令牌、密鑰以及其他認(rèn)證手段；
2) 建立行政規(guī)程，管理初始認(rèn)證器的分發(fā)，丟失、失效或損壞的認(rèn)證器，以及吊銷的認(rèn)證器；
3) 安裝控制系統(tǒng)后，立即更改默認(rèn)的認(rèn)證器；
4) 更改/更新認(rèn)證器[每年]。
5.8 認(rèn)證器反饋
核設(shè)施營運(yùn)單位應(yīng)：
1) 確保關(guān)鍵系統(tǒng)隱藏認(rèn)證過程中的認(rèn)證反饋信息，防止可能被非授權(quán)用戶利用和使用；
2) 確保關(guān)鍵系統(tǒng)和關(guān)鍵系統(tǒng)的反饋不提供允許非授權(quán)用戶破壞認(rèn)證機(jī)制的信息。
5.9 加密模塊的認(rèn)證
核設(shè)施營運(yùn)單位應(yīng)確保關(guān)鍵系統(tǒng)的認(rèn)證加密模塊滿足(國家保密局對密碼模塊的)相關(guān)要求。
6. 系統(tǒng)加固
6.1 刪除不必要的服務(wù)和程序
核設(shè)施營運(yùn)單位應(yīng)為與關(guān)鍵系統(tǒng)相關(guān)聯(lián)的每一個(gè)計(jì)算機(jī)系統(tǒng)記錄所有必需的應(yīng)用程序、專用模塊、系統(tǒng)服務(wù)、腳本、配置文件、數(shù)據(jù)庫和其他軟件以及相應(yīng)配置，包括版本或補(bǔ)丁級別。
核設(shè)施營運(yùn)單位維護(hù)一份關(guān)鍵系統(tǒng)需要的服務(wù)列表。該列表包括正常和應(yīng)急操作所要求的所有必要的端口和服務(wù)。該列表還包括一份解釋或?qū)φ諜z索，以說明每個(gè)服務(wù)對操作的必要性。僅允許操作必需的服務(wù)和程序。
核設(shè)施營運(yùn)單位應(yīng)驗(yàn)證并記錄依照核安保導(dǎo)則 HABD-004/03第4.2節(jié)脆弱性修復(fù)網(wǎng)絡(luò)安全控制的要求對所有關(guān)鍵系統(tǒng)進(jìn)行的補(bǔ)丁修復(fù)或危害減輕操作。
為減輕與產(chǎn)品相關(guān)的所有脆弱性并維持已建立的網(wǎng)絡(luò)安全等級，核設(shè)施營運(yùn)單位應(yīng)記錄軟件和服務(wù)更新或替代方法相關(guān)的修復(fù)周期。
核設(shè)施營運(yùn)單位應(yīng)記錄關(guān)鍵系統(tǒng)進(jìn)化過程中操作系統(tǒng)和軟件補(bǔ)丁以便追溯，并核實(shí)未重新安裝或重新激活額外的服務(wù)。
在關(guān)鍵系統(tǒng)融合到生產(chǎn)環(huán)境前，核設(shè)施營運(yùn)單位應(yīng)刪除或禁用對運(yùn)行和維護(hù)關(guān)鍵系統(tǒng)不需要的軟件部件。
核設(shè)施營運(yùn)單位應(yīng)記錄刪除或禁用的部件。需要?jiǎng)h除或禁用的軟件包括，但不限于：
1) 未交付網(wǎng)絡(luò)設(shè)備的設(shè)備驅(qū)動(dòng)；
2) 未使用的外設(shè)的設(shè)備驅(qū)動(dòng)；
3) 消息服務(wù)（如MSN、AOLIM等）；
4) 未使用的服務(wù)的服務(wù)器端或客戶端；
5) 除開發(fā)用工作站和服務(wù)器外，全部用戶工作站和服務(wù)器的軟件編譯器；
6) 在控制系統(tǒng)中未使用的語言軟件編譯器；
7) 未使用的網(wǎng)絡(luò)和通信協(xié)議；
8) 未使用的管理工具、診斷工具、網(wǎng)絡(luò)管理和系統(tǒng)管理功能；
9) 文件備份、數(shù)據(jù)庫和僅系統(tǒng)開發(fā)中使用的應(yīng)用程序；
10) 所有未使用的數(shù)據(jù)和配置文件；
11) 例程和腳本；
12) 未使用的文件處理工具（如Microsoft Word、Excel、Power Point、Adobe Acrobat、OpenOffice等）；
13) 未使用的可移動(dòng)介質(zhì)支持；
14) 游戲。
6.2 主機(jī)入侵檢測系統(tǒng)
核設(shè)施營運(yùn)單位應(yīng)建立、實(shí)施和記錄下述要求：
1) 配置主機(jī)入侵檢測系統(tǒng)（HIDS）以使系統(tǒng)可以檢測設(shè)計(jì)基準(zhǔn)威脅所規(guī)定的網(wǎng)絡(luò)攻擊，包括：屬性（如靜態(tài)文件名稱、動(dòng)態(tài)文件名稱模板）系統(tǒng)和用戶賬戶、未授權(quán)代碼執(zhí)行、主機(jī)使用記錄和進(jìn)程許可；
2) 配置HIDS，記錄系統(tǒng)和用戶賬戶的連接，使得在發(fā)生異常情況會(huì)向用戶或網(wǎng)絡(luò)安全人員報(bào)警；
3) 配置HIDS，使其不會(huì)對關(guān)鍵系統(tǒng)的SSEP功能產(chǎn)生不利影響；
4) 配置安全日志存儲(chǔ)設(shè)備為追加模式，防止修改存儲(chǔ)設(shè)備中的記錄；
5) 當(dāng)發(fā)現(xiàn)新的安全問題后，對HIDS進(jìn)行規(guī)則更新和補(bǔ)丁升級，維持已建立的系統(tǒng)網(wǎng)絡(luò)安全級別；
6) 核設(shè)施營運(yùn)單位應(yīng)保護(hù)HIDS配置文件，確保僅授權(quán)人員方可訪問。
6.3 文件系統(tǒng)和操作系統(tǒng)權(quán)限變更
核設(shè)施營運(yùn)單位應(yīng)建立、實(shí)施、記錄以下要求：
1) 配置關(guān)鍵系統(tǒng)為最小權(quán)限、數(shù)據(jù)、指令、文件以及賬戶訪問；
2) 配置系統(tǒng)服務(wù)，以最小可能權(quán)限執(zhí)行該服務(wù)，并記錄相應(yīng)配置；
3) 記錄對文件和功能訪問的變更或禁用；
4) 確認(rèn)在發(fā)生修復(fù)或升級后，基線許可和網(wǎng)絡(luò)安全設(shè)置未被修改。
6.4 硬件配置
核設(shè)施營運(yùn)單位應(yīng)建立、實(shí)施、記錄以下要求：
1) 通過軟件或物理阻斷，禁用不需要的網(wǎng)絡(luò)、無線和通信端口和可移動(dòng)介質(zhì)驅(qū)動(dòng)器或提供工程隔斷；
2) 通過口令保護(hù)BIOS免受未授權(quán)的修改；
3) 在對BIOS的口令保護(hù)在技術(shù)上不可行時(shí)，記錄緩解措施；
4) 記錄硬件配置；
5) 在合適的地方，使用網(wǎng)絡(luò)設(shè)備限制出入特定地點(diǎn)；
6) 如果設(shè)備被軟件禁用，允許系統(tǒng)管理員對設(shè)備進(jìn)行重新啟用，并記錄相應(yīng)配置；
7) 核實(shí)替代設(shè)備的配置等于或高于其原設(shè)備。
6.5 操作系統(tǒng)、應(yīng)用程序安裝和第三方軟件更新
核設(shè)施營運(yùn)單位應(yīng)建立、執(zhí)行和記錄以下要求：
1) 補(bǔ)丁管理程序、更新進(jìn)程以及負(fù)責(zé)安裝的個(gè)人；
2) [收到脆弱性信息的4小時(shí)內(nèi)]發(fā)出影響關(guān)鍵系統(tǒng)的脆弱性通告；
3) 向授權(quán)人員通告升級補(bǔ)丁對網(wǎng)絡(luò)安全的影響；
4) 在執(zhí)行基線更新或替代前，進(jìn)行授權(quán)；
5) 安裝后的關(guān)鍵系統(tǒng)補(bǔ)丁管理程序，包括：方針、規(guī)程和緩解策略相關(guān)的計(jì)劃（例如：關(guān)鍵系統(tǒng)供應(yīng)商通知核設(shè)施營運(yùn)單位不執(zhí)行發(fā)布的補(bǔ)?。?/p>
6) 測試補(bǔ)丁發(fā)布的支持等級。
核設(shè)施營運(yùn)單位應(yīng)建立、執(zhí)行并測試以下：
1) 在安裝到生產(chǎn)系統(tǒng)前，在非生產(chǎn)系統(tǒng)/設(shè)備上接收網(wǎng)絡(luò)安全更新，并予以測試和確認(rèn)；
2) 所有對網(wǎng)絡(luò)安全有影響的更新。
核設(shè)施營運(yùn)單位應(yīng)確保非生產(chǎn)系統(tǒng)/設(shè)備驗(yàn)證過的補(bǔ)丁準(zhǔn)確復(fù)制到生產(chǎn)線的關(guān)鍵系統(tǒng)中。
7. 術(shù)語
網(wǎng)絡(luò)攻擊：系指對計(jì)算機(jī)和通信系統(tǒng)與網(wǎng)絡(luò)的物理或邏輯(即電子或數(shù)字)威脅的一種表現(xiàn)形式。威脅可能來自核設(shè)施內(nèi)部或外部、或具有內(nèi)部或外部的成分、以及出自惡意的或非惡意目的; 威脅可能包含物理或邏輯的形式、直接或間接的性質(zhì); 以及威脅可能對一個(gè)關(guān)鍵系統(tǒng)造成直接或間接的不利影響或后果。網(wǎng)絡(luò)攻擊包括企圖未經(jīng)授權(quán)訪問一個(gè)關(guān)鍵系統(tǒng)的服務(wù)、資源或信息; 企圖損害一個(gè)關(guān)鍵系統(tǒng)的完整性、可用性和機(jī)密性, 或企圖對一個(gè)核設(shè)施運(yùn)行安全、核安?；驊?yīng)急準(zhǔn)備功能造成不利影響。網(wǎng)絡(luò)攻擊可能以單一攻擊或任何組合攻擊的形式出現(xiàn)。
損壞：系指喪失數(shù)據(jù)或系統(tǒng)功能的保密性、完整性或可用性。
設(shè)計(jì)基準(zhǔn)威脅：系指對可能試圖對核設(shè)施關(guān)鍵系統(tǒng)實(shí)施網(wǎng)絡(luò)攻擊惡意行為的潛在內(nèi)部敵手和外部敵手的屬性和特征的描述。
關(guān)鍵系統(tǒng)：系指一個(gè)核設(shè)施內(nèi)或核設(shè)施外基于數(shù)字技術(shù)的，執(zhí)行核設(shè)施運(yùn)行安全，對核設(shè)施運(yùn)行安全、核安保、核應(yīng)急準(zhǔn)備功能重要的系統(tǒng)或與其相關(guān)系統(tǒng)。關(guān)鍵系統(tǒng)包括但不限于工控系統(tǒng)、通信系統(tǒng)、網(wǎng)絡(luò)、場外通信，或支持系統(tǒng)；或者系統(tǒng)的一個(gè)子項(xiàng)或一個(gè)組成部分，可能包括或含有一個(gè)數(shù)字設(shè)備、通信設(shè)備，或支持設(shè)備等。
支持設(shè)備: 直接或間接支持核設(shè)施運(yùn)行安全、對核設(shè)施運(yùn)行安全、核安保或應(yīng)急準(zhǔn)備功能重要的設(shè)備, 以及如果受到損害, 該設(shè)備可能對上述功能造成不利影響。支持設(shè)備的例子包括, 但不限于用以操作、測試和維修的支持設(shè)備和部件。
支持系統(tǒng): 直接或間接支持核設(shè)施運(yùn)行安全、對核設(shè)施運(yùn)行安全、核安保或應(yīng)急準(zhǔn)備功能重要的系統(tǒng),以及如果受到損害, 該系統(tǒng)可能對上述功能造成不利影響。支持系統(tǒng)的例子包括, 但不限于供電、供暖、通風(fēng)和空調(diào)、通訊、消防系統(tǒng)等。
縱深防御: 系指部署了多層網(wǎng)絡(luò)安全措施或方法的網(wǎng)絡(luò)安全方案, 用以防止一個(gè)部件或多個(gè)保護(hù)層的同時(shí)失效?？v深防御可以用多種方式實(shí)現(xiàn)。從網(wǎng)絡(luò)安全架構(gòu)觀點(diǎn)出發(fā), 一種方式可以設(shè)置多層邊界保護(hù)關(guān)鍵系統(tǒng)免受到網(wǎng)絡(luò)攻擊。在采用此種方式后, 只有多種機(jī)理的保護(hù)層同時(shí)失效, 網(wǎng)絡(luò)攻擊才能進(jìn)入并影響一個(gè)關(guān)鍵系統(tǒng)。因此, 縱深防御不僅使用多層邊界, 也執(zhí)行和維護(hù)一個(gè)有效的網(wǎng)絡(luò)安全實(shí)施計(jì)劃, 用于評估、保護(hù)、響應(yīng)、防范、檢測和減輕對關(guān)鍵系統(tǒng)的攻擊, 并及時(shí)恢復(fù)功能。
安全域： 是為管理和實(shí)施保護(hù)措施的目的將關(guān)鍵系統(tǒng)進(jìn)行分組的一種邏輯和物理管理模式。安全域的設(shè)置應(yīng)：
1) 每個(gè)安全域均由對核設(shè)施的核設(shè)施運(yùn)行安全、核安保和應(yīng)急準(zhǔn)備功能具有同樣或類似重要性的系統(tǒng)組成；
2) 同屬于一個(gè)安全域的關(guān)鍵系統(tǒng)對保護(hù)措施具有類似的要求，在確保安全的前提下，可建立 安全域內(nèi)部通信可信區(qū)；
3) 安全域應(yīng)建立邊界，設(shè)置滿足網(wǎng)絡(luò)安全要求的數(shù)據(jù)流控制設(shè)備和措施；
4) 安全域可為改進(jìn)配置的目的劃分為分安全域；
每個(gè)安全域都可以按照域內(nèi)關(guān)鍵系統(tǒng)的最高網(wǎng)絡(luò)安全要求指定一個(gè)網(wǎng)絡(luò)安全等級。如果核設(shè)施內(nèi)存在多個(gè)安全域，需要同等程度保護(hù)時(shí)，可指定為同一個(gè)網(wǎng)絡(luò)安全等級。
