5.3.1摆渡式数据安全交换

产品应支持摆渡式数据安全交换，在主体执行数据拷贝操作时，应通过身份鉴别，利用移动存 和安全防护装置进行数据摆渡操作，

5. 3. 2数据封裂

林业标准产品应支持对拷入移动存储介质中的数据进行数据封装操作。

5.3.3恶意代码防御

5.4信息显示与数据分析

5.4.1前端信息显示

产品应支持实时显示当前访问人员的登录信息，包括登录时间、登录用户、

5.4.2数据分析与评价

5. 6. 1属性定义

5. 6. 2属性初始化

品应提供使用默认值对创建的每个管理角色的属性进行初始化的能力。

应提供使用默认值对创建的每个管理角色的属性

5. 6. 3唯一性标识

GA/T XXXXXXXX

产品应保证任何用户都具备唯一的标识，用户标识与产品自身审计相关联，并在产品的生命周期内 唯一。

5. 7. 1 基本鉴别

产品应在执行任何与管理员相关功能之前鉴别用户的身份。

5. 7. 2 多鉴别

产品应支持采用两种或两种以上的用户身份组合！

5.7.3鉴别数据初始化

产品应根据规定的鉴别机制，提供授权管理员鉴别数据的初始化功能，并确保仅允许授权管理员使 用这些功能。

5.7.4鉴别失败处理

当管理员鉴别尝试失败连续达到指定次数后，产品应阻止管理员进一步的鉴别请求，并将有关信 审计事件。最多失败次数仅由授权管理员设定。

5.7.5鉴别数据保护

5.8.1自身审计数据生成

产品应对下列可审计事件生成一个审计记录： a) 管理员的登录和退出； b) 对安全策略进行更改的操作； c 对管理员进行增加、删除和属性修改的操作； d) 因鉴别尝试不成功的次数超出了设定的限值，导致的会话连接终止； e) 安全防护装置与安全防护平台状态日志； f）对其他安全功能配置参数的修改（设置和更新），无论成功与否。 对于每一个审计记录，产品应至少记录以下信息：事件发生的日期和时间、事件类型、主体身份和 件结果（成功或失败）等。

5. 8. 2 审计记录管理

品应允许授权管理员创建、存档、删除和清空审

应使存储于永久性审计记录中的所有审计数据可

5.8.4限制审计记录访问

GA/T XXXXXXXX

安全防护装置应提供硬件失效处理机制，如在断电或防护装置系统资源不足的情况提供硬件 能。

产品接入工业控制系统网络后，不能影响工业控制系统原有网络设备和主机的功能，并且不能对原 网络系统产生明显的影响。

6. 1.1 安全架构

开发者应提供产品安全功能的安全架构描述，安全架构描述应满足以下要求： a) 与产品设计文档中对安全功能实施抽象描述的级别一致； b) 描述与安全功能要求一致的产品安全功能的安全域； c 描述产品安全功能初始化过程为何是安全的； 证实产品安全功能能够防止被破坏； e）证实产品安全功能能够防止安全特性被旁路

开发者应提供完备的功能规范说明，功能规范说明应满足以下要求： a）完全描述产品的安全功能； 描述所有安全功能接口的目的与使用方法； C） 标识和描述每个安全功能接口相关的所有参数； d) 描述安全功能接口相关的安全功能实施行为； C 描述由安全功能实施行为处理而引起的直接错误消息； 证实安全功能要求到安全功能接口的追溯： 描述安全功能实施过程中，与安全功能接口相关的所有行为； h) 描述可能由安全功能接口的调用而引起的所有直接错误消息，

6. 1.3 实现表示

开发者应提供全部安全功能的实现表示，实现表示应满足以下要求： a）提供产品设计描述与实现表示实例之间的映射，并证明其一致性； b 按详细级别定义产品安全功能，详细程度达到无须进一步设计就能生成安全功能的程度； C）以开发人员使用的形式提供。

共产品设计文档，产品设计文档应满足以下要求

[GA/I XXXXXXXX

a) 根据子系统描述产品结构； b) 标识和描述产品安全功能的所有子系统； C) 描述安全功能所有子系统间的相互作用； d) 提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口； 根据模块描述安全功能； f) 提供安全功能子系统到模块间的映射关系； g) 描述所有安全功能实现模块，包括其目的及与其他模块间的相互作用； h) 描述所有实现模块的安全功能要求相关接口、其他接口的返回值、与其他模块间的相互作用及 调用的接口； 描述所有安全功能的支撑或相关模块，包括其目的及与其他模块间的相互作用

6. 2. 1 操作用户指南

开发者应提供明确和合理的操作用户指南，操作用户指南与为评估而提供的其他所有文档保持一 对每一种用户角色的描述应满足以下要求： 描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示信息； b) 描述如何以安全的方式使用产品提供的可用接口； c) 描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值； d) 明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控制 实体的安全特性； e) 标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全 运行之间的因果关系和联系； 充分实现安全目的所必须执行的安全策略

6. 2. 2 准备程序

开发者应提供产品及其准备程序，准备程序描述应满足以下要求： a）描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤； b）描述安全安装产品及其运行环境必需的所有步骤，

6.3.1配置管理能力

开发者的配置管理能力应满足以下要求： 为产品的不同版本提供唯一的标识； b) 使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识配置项； c) 提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法； d) 配置管理系统提供一种自动方式来支持产品的生成，通过该方式确保只能对产品的实现表示进 行已授权的改变； e) 配置管理文档包括一个配置管理计划，配置管理计划描述如何使用配置管理系统开发产品。实 施的配置管理与配置管理计划相一致； f) 配置管理计划描述用来接受修改过的或新建的作为产品组成部分的配置项的程序

6.3.2配置管理范围

GA/T XXXXXXXX

a）产品、安全保障要求的评估证据和产品的组成部分； b）实现表示、安全缺陷报告及其解决状态。

6. 3. 3 交付程序

开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版 付文档应描述为维护安全所必需的所有程序

发环境中，为保护产品设计和实现的 完整性所必需的所有物理的、程序的、 人员的和其他方面的安全措施

6.3.5生命周期定义

开发者应建立一个生命周期模型对产品的开发和维护进行的必要控制，并提供生命周期定义文档描 述用于开发和维护产品的模型

6. 3. 6工具和技术

开发者应明确定义用于开发产品的工具，并提供开发工具文档无歧义地定义实现中每个语句的含义 和所有依赖于实现的选项的含义

6. 4. 1测试覆盖

开发者应提供测试覆盖文档，测试覆盖描述应满足以下要求： a）表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性 b表明上述对应性是完备的，并证实功能 的所有安全功能接口都进行了测试。

6. 4. 2测试深度

开发者应提供测试深度的分析。测试深度分析描述应满足以下要求： a）证实测试文档中的测试与产品设计中的安全功能子系统和实现模块之间的一致性； b）证实产品设计中的所有安全功能子系统、实现模块都已经进行过测试。

6. 4. 3 功能测试

开发者应测试产品安全功能，将结果文档化并提供测试文档。测试文档应包括以下内容： a 测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其他测试结果 的任何顺序依赖性； b 预期的测试结果，表明测试成功后的预期输出； C）实际测试结果和预期的一致性

开发者应提供一组与其自测安全功能时使用的同等资源，以用于安全功能的抽样测试。

GA/I XXXXXXXX

基于已标识的潜在脆弱性，产品能够抵抗以下攻击行为： a）具有基本攻击潜力的攻击者的攻击； b）具有增强型基本攻击潜力的攻击者的攻击。

工业控制系统主机安全防护与审计监控 品的安全等级按照其安全功能要求和安全保障要求的强

吊环标准7. 2 安全功能要求

不同安全等级的工业控制系统主机安全防护与审计监控产品的安全功能要求如表1所示

表1不同安全等级的工业控制系统主机安全防护与审计监控产品的安全功能要求

锅炉标准GA/T XXXXXXXX

不同安全等级的的安全保障要求如表2所示。

全等级的工业控制系统主机安全防护与审计监控