下载文档原格式
电力物联网感知层设备安全认证技术要求1 规范性引用文件本标准规定了电力物联网中感知层设备的安全认证技术要求，包括非智能业务终端、智能业务终端、智能涉控涉敏业务终端的身份标记、安全认证、访问控制和安全审计技术要求。
本标准适用于电力物联网建设运维单位对感知层设备进行安全选型、部署、运行和维护。
本标准也适用于指导感知层设备设计和生产。
2 规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 4208 外壳防护等级(IP代码)GB/T 17799.1 电磁兼容通用标准居住、商业和轻工业环境中的抗扰度试验GB/T 17799.2 电磁兼容通用标准工业环境中的抗扰度试验GB/T 22239 信息安全技术网络安全等级保护基本要求GB/T 25069 信息安全技术术语GB/T 36951 信息安全技术物联网感知终端应用安全技术要求GB/T 37024 信息安全技术物联网感知层网关安全技术要求GB/T 37025 信息安全技术物联网数据传输安全技术要求GB/T 37044 信息安全技术物联网安全参考模型及通用要求GB/T 37093 信息安全技术物联网感知层接入通信网的安全要求3 术语和定义GB/T 4208、GB/T 17799.1、GB/T 17799.2、GB/T 22239、GB/T 25069、GB/T 36951、GB/T 37024、GB/T 37025、GB/T 37044、GB/T 37093界定的以及下列术语和定义适用于本文件。
3.1电力物联网electric internet of things（eIoT）围绕电力系统各环节，充分应用移动互联、人工智能等现代信息技术、先进通信技术，实现电力系统各个环节万物互联、人机交互，具有状态全面感知、信息高效处理、应用便捷灵活特征的智能化服务系统。
信息安全技术网络安全等级保护安全设计技术要求第4部分：物联网安全要求1范围本标准依据《网络安全等级保护安全设计技术要求第1部分：安全通用要求》和《网络安全等级保护基本要求第4部分：物联网安全扩展要求》，规范了信息系统等级保护安全设计要求对物联网系统的扩展设计要求，包括第一级至第四级物联网系统安全保护环境的安全计算环境、安全区域边界、安全通信网络和安全管理中心等方面的设计技术要求。
本标准适用于指导信息系统等级保护物联网系统安全技术方案的设计和实施，也可作为信息安全职能部门对物联网系统进行监督、检查和指导的依据。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 25069-2010信息安全技术术语GB17859-1999计算机信息系统安全保护等级划分准则GB/T 22240-2008信息安全技术信息系统安全等级保护定级指南GB/T 25070-2010网络安全等级保护安全设计技术要求第1部分：安全通用要求GB/T 22239.4-XXXX网络安全等级保护基本要求第4部分：物联网安全扩展要求GB/T XXXX物联网第2部分：术语GB/T XXXX物联网第3部分：参考体系结构与通用技术要求3术语和定义下列术语和定义适用于本标准。
3.1定级系统classified system按照已确定安全保护等级的物联网系统。
定级系统分为第一级、第二级、第三级和第四级物联网系统。
3.2定级系统安全保护环境security environment of classified system由安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心构成的对定级系统进行安全保护的环境。
定级系统安全保护环境包括第一级物联网系统安全保护环境、第二级物联网系统安全保护环境、第三级物联网系统安全保护环境、第四级物联网系统安全保护环境以及定级系统的安全互联。
《信息安全技术物联网感知终端应用安全技术要求》编制说明一、任务来源、起草单位，协作单位，主要起草人2009年8月7日，温家宝总理在无锡考察时提出“感知中国”的概念.北京、江苏等地纷纷提出智慧城市的规划,物联网应用广泛开展，物联网安全成为焦点问题.北京信息安全测评中心自2011年就开展物联网安全研究，包括《物联网及其应用安全防护方法研究》、《北京市政务物联数据专网安全测试研究》、《北京市政务物联数据专网安全性测试》、《物联网安全测试方法和测试平台》等.在上述工作的基础上，北京信息安全测评中心在2013年11月向市质监局申报了《物联网感知设备安全通用技术要求》并得到批准。
根据《关于印发2014年北京市地方标准制修订项目计划的通知》(京质监标发〔2014〕36号），《物联网感知设备安全通用技术要求》列入了2014年北京市地方标准制修订项目计划，是一类项目(即标准制定项目）,是一项推荐性标准。
在地方标准工作基础上，北京信息安全测评中心联合其他单位2014年底申报制定《信息安全技术物联网感知设备安全技术要求》国家标准（《关于通报全国信息安全标准化技术委员会2014年信息安全标准项目的通知》信安秘字［2015]003号，隶属于WG5/WG6工作组），标准制定单位为：北京信息安全测评中心、工业和信息化部电信研究院、北京时代凌宇科技股份有限公司、大唐移动通信设备有限公司、中国科学院信息工程研究所、威海北洋光电信息技术股份公司。
由于本标准不仅关注感知类产品的功能和性能安全，而且更关注该类产品的部署和应用安全,而用“感知设备”容易让读者误以为仅仅关注产品的功能和性能安全，并且感知设备容易与传感器概念混淆，根据标准制定过程中的专家意见，把标准名称调整为《信息安全技术物联网感知终端应用安全技术要求》.二、制定标准的必要性、意义、研究目标和内容随着物联网在感知中国和智慧城市中的广泛应用，安全保障越来越迫切。
国家专门成立了国家物联网基础标准工作组。
编号：ISCCC-IR-001:2011IT产品信息安全认证实施规则通用规则2011-07-01发布2011-07-01实施中国信息安全认证中心发布目录1．适用范围 (1)2．认证模式 (1)3．认证的基本环节 (1)3.1认证申请及受理 (1)3.2文档审核 (1)3.3型式试验委托及实施 (1)3.4初始工厂检查（如适用） (1)3.5认证结果评价与批准 (1)3.6获证后监督 (1)4．认证实施 (1)4.1认证流程 (1)4.2认证申请及受理 (1)4.3文档审核 (2)4.4型式试验委托及实施 (3)4.5初始工厂检查（如适用） (3)4.6认证结果评价与批准 (4)4.7获证后监督 (4)5．认证时限 (5)6．认证证书 (5)6.1认证证书的保持 (5)6.2认证证书的变更 (6)6.3认证证书覆盖产品的扩展 (6)6.4认证证书的暂停、注销和撤销 (6)7认证标志的使用 (6)7.1认证标志的样式 (6)7.2认证标志的使用 (7)7.3加施方式 (7)7.4标志位置 (7)8收费 (7)附件1： (7)附件2： (9)1．适用范围本规则适用于中国信息安全认证中心（ISCCC）针对信息技术产品开展的信息安全认证，对已有特定实施规则的产品应遵循相应实施规则。
2．认证模式型式试验 + 初始工厂检查（如适用）+ 获证后监督3．认证的基本环节3.1认证申请及受理3.2文档审核3.3型式试验委托及实施3.4初始工厂检查（如适用）3.5认证结果评价与批准3.6获证后监督4．认证实施4.1认证流程申请方向认证机构申请认证，认证机构在接收到申请方的认证申请后，审查申请资料，确认合格后向申请方选择的实验室安排检测任务，并通知申请方根据要求送样。
实验室依据相关标准和/或技术规范进行检测，并在完成检测后向认证机构提交检测报告。
认证机构对检测报告审查合格后，需要时由认证机构组织进行初始工厂检查。
认证机构对型式试验、初始工厂检查结果（如适用）进行综合评价，并在认证决定评价合格后向申请方颁发认证证书。
物联网安全技术国家标准物联网安全技术国家标准1.引言1.1 背景1.2 目的1.3 适用范围2.术语和定义2.1 物联网2.2 安全技术2.3 国家标准3.物联网安全基本框架3.1 总体安全要求3.2 风险评估3.3 安全管理体系3.4 安全通信4.物联网设备安全4.1 设备标识和身份验证 4.2 设备固件安全4.3 设备访问控制4.4 设备数据隐私保护4.5 设备远程管理安全5.物联网数据安全5.1 数据收集与传输安全 5.2 数据存储与处理安全 5.3 数据隐私保护5.4 数据备份与恢复6.物联网网络安全6.1 网络架构安全6.2 网络通信协议安全 6.3 网络接入安全管理6.4 网络入侵检测与防御7.物联网应用安全7.1 应用访问控制7.2 应用数据安全7.3 应用安全漏洞防御7.4 应用能力细分安全8.附件8.3 附件3、物联网数据安全管理指南9.法律名词及注释9.1 信息安全法9.2 网络安全法9.3 数据隐私保护法9.4 关键信息基础设施保护法10.附录本文档涉及附件：附件3、物联网数据安全管理指南本文所涉及的法律名词及注释：9.1 信息安全法：指年月日颁布的《中华人民共和国信息安全法》。
9.2 网络安全法：指年月日颁布的《中华人民共和国网络安全法》。
9.3 数据隐私保护法：指年月日颁布的《中华人民共和国个人信息保护法》。
9.4 关键信息基础设施保护法：指年月日颁布的《中华人民共和国关键信息基础设施保护法》。
信息安全技术物联网安全参考模型及通用要求-全国信息安全标准化国家标准《信息安全技术物联网安全参考模型及通用要求》编制说明一、工作简况1.1任务来源为促进我国物联网技术健康发展，确保物联网系统安全可靠，全国信息安全标准化技术委员会于2014年下发了委托开展物联网安全参考模型及通用要求标准制定工作的相关文件，名称为“信息安全技术物联网安全参考模型及通用要求”，国标计划号为20151593-T-469，信安标委计划号为2014bzzd-WG5-010。
该标准由中国电子技术标准化研究院牵头承担研制工作，参与单位包括北京工业大学、国家信息技术安全研究中心、国家网络与信息系统安全产品质量监督检验中心、无锡物联网产业研究院等单位。
1.2主要工作过程主要工作过程如下：1)2014年6月，成立项目组，联系各个参与单位，进行任务分工和任务组织；研究现有国内外物联网技术及安全相关标准，分析各自特点，学习借鉴，包括《信息技术传感器网络第1部分：参考体系结构和通用技术要求》（GB/T 30269.1-2015 ）、《信息技术传感器网络第601部分：信息安全:通用技术规范》（GB/T 30269.601-2016 ），《推荐的联邦信息系统和组织的安全控制措施》（NIST SP 800-53）等标准。
2)2014年7-9月，项目组先后到网神信息技术(北京)股份有限公司、中国信息通信研究院、北京信息安全测评中心、大唐移动通信设备有限公司等多个单位进行了实地调研，并与物联网相关技术人员进行了座谈，掌握了物联网安全的基本需求。
3)2014年10-12月，项目组形成了标准草案框架，明确了标准初步研制思路，形成了标准初步草案。
4)2015年3月，项目组组织召开了行业专家讨论会，听取了来自启明星辰、北京神州绿盟信息安全科技股份有限公司等行业专家对标准草案的意见。
5)2015年4月，组织了标准草案研讨会，进一步对标准制定内容进行讨论，项目组根据专家意见对标准内容进行了完善，根据已有标准《物联网总体框架与技术要求》，研制物联网安全参考模型。
编号：CCRC-IR-042:2019IT产品信息安全认证实施规则物联网感知层网关2019-04-26发布 2019-04-30实施中国网络安全审查技术与认证中心发布目录1．适用范围 (1)2．认证模式 (1)3．认证的基本环节 (1)3.1认证申请及受理 (1)3.2文档审核 (1)3.3型式试验委托及实施 (1)3.4认证结果评价与批准 (1)3.5获证后监督 (1)4．认证实施 (1)4.1认证流程 (1)4.2认证申请及受理 (1)4.3文档审核 (2)4.4型式试验委托及实施 (2)4.5认证结果评价与批准 (3)4.6获证后监督 (3)5．认证时限 (5)6．认证证书 (5)6.1认证证书的保持 (5)6.2认证证书的变更 (5)6.3认证证书覆盖产品的扩展 (5)6.4认证证书的暂停、注销和撤销 (6)6.5获证产品名录的发布 (6)7认证标志的使用 (6)7.1认证标志的样式 (6)7.2认证标志的使用 (6)7.3加施位置 (6)8收费 (7)附件1： (8)附件2： (10)1．适用范围本规则适用于中国网络安全审查技术与认证中心（CCRC）针对物联网感知层网关开展的信息安全认证。
感知层网关是指实现感知网络与通信网络、不同类型感知网络之间的协议转换和互联，部署于物联网感知层的网络连接设备。
2．认证模式型式试验 + 获证后监督3．认证的基本环节3.1认证申请及受理3.2文档审核3.3型式试验委托及实施3.4认证结果评价与批准3.5获证后监督4．认证实施4.1认证流程申请方向认证机构申请认证，认证机构在接收到申请方的认证申请后，审查申请资料，确认合格后向申请方选择的实验室安排检测任务，并通知申请方根据要求送样。
实验室依据相关标准和/或技术规范进行检测，并在完成检测后向认证机构提交检测报告。
认证机构对检测报告审查合格后，需要时由认证机构组织进行初始工厂检查。
认证机构对型式试验、相关安全保障能力文档进行综合评价，并在认证决定评价合格后向申请方颁发认证证书。
认证机构组织对获证后的产品进行定期的监督。
4.2认证申请及受理申请方向认证机构递交认证申请，并按要求提交相关资料，认证机构对资料进行初审，确定申请方提交资料满足要求后，受理该申请。
4.2.1认证的单元划分原则上按产品名称、型号/版本申请认证。
4.2.2申请资料要求申请方在申请产品认证时，应至少提交以下资料：1）申请基本信息：●认证申请书；●申请方声明；●相关法律地位证明材料（复印件）。
2）产品相关说明：●中文产品功能说明书和/或使用手册；●产品研制主要技术人员情况表；●产品测试技术人员情况表；●产品测试使用的主要设备表（如适用）；●中文铭牌和警告标记（如适用）；●产品密码检测合格证书（如适用）。
3）安全保障要求方面的文档：●生命周期支持；●开发；●指导性文档；●测试；●脆弱性评定。
4）安全目标（如适用）。
4.3文档审核对申请方提交的资料和文档，根据相关标准和/或该产品的技术规范进行审核。
4.4型式试验委托及实施4.4.1型式试验送样4.4.1.1送样原则送申请认证的型号/版本的样品。
申请方如果有特殊要求，需要提供相应的说明及辅助设备。
4.4.1.2送样要求和数量用于检测的样品由申请方负责按上述要求选送，并对选送样品负责。
一般每种产品送样2套，如果特殊需求可以增加送样数量。
4.4.1.3样品及相关资料的处置认证结束后，申请方可向实验室申请取回型式试验样品，相关申请资料由认证机构、实验室妥善处置。
4.4.2检测依据GB/T 37024《信息安全技术物联网感知层网关安全技术要求》，其中6.1和7.1的物理安全要求部分不适用。
4.4.3检测报告的提交检测完成后，检测实验室根据认证机构的要求出具检测报告并提交给认证机构。
4.5认证结果评价与批准认证机构负责对型式试验结果等进行综合评价，评价合格的，由认证机构对申请方颁发认证证书（每一个认证单元颁发一个认证证书）。
如认证决定过程中发现不符合认证要求项，允许限期（不超过3个月）整改，如期完成整改后，认证机构采取适当方式对整改结果进行确认，重新执行认证决定过程。
4.6获证后监督4.6.1监督的频次从获证后每12个月进行一次获证后监督。
必要时，认证机构可采取事先不通知的方式进行必要的监督。
如果发生下述情况之一可增加监督频次：1）认证机构有足够理由对认证过程中或获证产品与规定的标准要求的符合性提出质疑时；2）有足够信息表明工厂因组织机构、生产条件、质量管理体系等发生变更，从而可能影响产品质量时。
4.6.2监督的内容获证后监督采用工厂检查的方式进行，主要针对信息安全保障能力、认证产品一致性和质量保证能力进行检查。
4.6.2.1信息安全保障能力检查由认证机构派检查员对工厂按照附件2（信息安全保障能力评估项目）进行信息安全保障能力检查。
4.6.2.2质量保证能力检查由认证机构派检查员对工厂按照附件1（质量保证能力基本要求）及认证机构制定的补充检查要求（适用时）进行检查。
4.6.2.3产品一致性检查初始工厂检查时，应在生产现场对申请认证的产品进行一致性检查。
重点核实以下内容：1）认证产品的铭牌、包装上所标明的及运行时所显示的产品名称、型号/版本号与型式试验报告上所标明的内容是否一致；2）认证产品所用的软件、硬件应与型式试验合格的样品一致；3）非认证的产品是否违规标贴了认证标识。
必要时可以抽取样品送实验室检测，需要进行抽样检测时，抽样检测的样品应在工厂生产的产品中（包括生产线、仓库、市场）随机抽取。
产品抽样检测的数量为2套，如需要可以根据实际情况增加抽样的数量。
初次认证申请时的检测项目都可以作为监督时的检测项目，认证机构可根据具体情况进行部分或全部项目的检测。
样品的检测一般由认证机构指定的检测实验室在20个工作日内完成。
4.6.3获证后监督结果的评价监督复查合格后，可以继续保持认证证书、使用认证标志。
对监督复查时发现的不符合项应在3个月内完成纠正措施。
逾期将撤销认证证书、停止使用认证标志，并对外公告。
5．认证时限认证时限是指自申请被正式受理之日起至颁发认证证书时止所实际发生的工作日，一般在90个工作日内，最长不超过150个工作日。
整改时间不计算在内。
6．认证证书6.1认证证书的保持6.1.1证书的有效性证书有效期为3年。
在有效期内，通过每年对获证后的产品进行监督确保认证证书的有效性。
6.2认证证书的变更6.2.1变更的申请获证后的产品，如果其生产厂、证书持有者等发生变化时，应向认证机构提出变更申请。
6.2.2变更申请的评价与批准认证机构根据变更的内容和提供的资料进行审核后予以变更。
6.2.3证书的有效期证书在进行变更后，其有效期与原证书一致。
6.3认证证书覆盖产品的扩展6.3.1认证证书覆盖产品扩展申请认证证书持有者需要增加已经获得认证产品的认证范围时，应向认证机构提出扩展申请，并提交扩展产品和原认证产品之间的差异说明。
6.3.2认证证书覆盖产品扩展的评价与批准认证机构应核查扩展产品与原认证产品的一致性，确认原认证结果对扩展产品的有效性，需要时应针对差异做补充检测，并根据认证证书持有者的要求单独颁发认证证书或换发认证证书。
6.3.3证书的有效期证书在进行扩展后，其有效期与原证书一致。
6.4认证证书的暂停、注销和撤销按认证机构的认证暂停、注销和撤销的相关规定执行。
6.5获证产品名录的发布认证机构按相关规定对外公布获证产品的信息，包括：●产品名称、型号、版本；●认证委托人名称、地址；●认证依据的标准、规范；●发证日期及证书状态。
7认证标志的使用7.1认证标志的样式7.2认证标志的使用认证标志在使用时可以等比例的放大或缩小。
但是，不允许变形或变色。
7.3加施位置应在产品本体的铭牌附近加施认证标志。
软件产品应在其软件包装/载体上加施认证标志，如该软件产品不使用包装/载体，则应在软件使用的《许可协议》中的显著位置明确该产品已获认证机构认证。
8收费认证费用依据国家有关规定收取。
附件1：质量保证能力基本要求为保证批量生产的认证产品与型式试验样品的一致性，工厂应满足本文件规定的质量保证能力基本要求。
1.职责和资源1.1职责工厂应规定与质量活动有关的各类人员职责及相互关系，且工厂应在组织内指定一名质量负责人，无论该成员在其他方面的职责如何，应具有以下方面的职责和权限：a）负责建立满足本文件要求的质量体系，并确保其实施和保持；b）确保加贴认证标志的产品符合认证标准的要求；c）建立文件化的程序，确保认证标志的妥善保管和使用；d）建立文件化的程序，确保不合格品和获证产品变更后未经认证机构确认，不加贴认证标志。
质量负责人应具有充分的能力胜任本职工作。
1.2资源工厂应配备必须的生产设备和检测设备以满足稳定生产符合本规则中规定的标准要求的产品；应配备相应的人力资源，确保从事对产品质量有影响工作的人员具备必要的能力；建立并保持适宜产品生产、试验、储存等必备的环境。
2.认证产品一致性a）工厂应对现场的产品与型式试验样品的一致性进行控制，以使认证产品持续符合规定的要求；b）工厂应建立产品变更控制程序，认证产品的变更在实施前应向认证机构申报并获得批准后方可执行。
3.认证产品外购部件或外包软件模块管理3.1外购部件供应商或软件模块的外包商的控制a）工厂应制定外购部件供应商或软件模块外包商的选择、评定和日常管理的程序，以确保供应商提供的部件或软件外包商提供的软件模块满足要求；b）工厂应保存对供应商或软件外包商的选择评价和日常管理记录。
3.2外购部件或外包软件模块的验证a）工厂应建立并保持对供应商提供的部件或软件外包商提供的软件模块的验证程序及定期确认程序，以确保部件或软件模块满足认证所规定的要求；b）工厂应保存部件或外包软件模块，或者它们的验证记录、确认记录及供应商或软件外包商提供的合格证明及有关数据等。
附件2：信息安全保障能力评估项目（加粗为增强级要求）1. 生命周期支持1.1 配置管理能力●受审核方为物联网感知层网关不同版本提供唯一的标识；●受审核方应使用配置管理系统对组成物联网感知层网关的所有配置项进行维护，并唯一标识配置项；●受审核方应提供配置管理文档，配置管理文档应描述用于唯一标识配置项的方法。
●配置管理系统提供一种自动方式来支持产品的生成,通过该方式确保只能对产品的实现表示进行已授权的改变;●配置管理文档包括一个配置管理计划,配置管理计划描述如何使用配置管理系统开发产品,实施的配置管理与配置管理计划相一致;●配置管理计划描述用来接受修改过的或新建的作为产品组成部分的配置项的程序。
1.2 配置管理范围●受审核方应提供物联网感知层网关配置项列表，并说明配置项的开发者；●配置项列表至少包括：物联网感知层网关、安全保障要求的评估证据和物联网感知层网关的组成部分；●配置项列表应唯一标识配置项。
