第4章 工业控制系统信息安全风险评估

4.1 系统识别

工业企业应对本公司工业控制系统进行系统范围的明确定义，即需考虑工业控制系统信息安全的范围、边界、设备和所有控制系统的访问点。

需考虑的系统，是指公司工业控制系统与信息安全相关的部分，并非指整个工业控制系统，是与信息安全相关的设备和网络的总称。

如图4-1所示是系统识别的一个例子，供参考。

图4-1 系统识别—被测控制系统的范围界限举例

首先，在进行系统识别时，对需考虑的系统的所有设备要有区分，即哪些设备可以接受外部网络访问、哪些设备不可以接受外部网络访问，以及哪些设备需要建立外部网络访问、哪些设备不需要建立外部网络访问。

其次，在进行系统识别时，对需考虑的系统的所有网络要有区分，即哪些网络可以接受外部网络访问、哪些网络不可以接受外部网络访问，以及哪些网络需要建立外部网络访问、哪些网络不需要建立外部网络访问。

最后，在进行系统识别时，对需考虑系统需要的所有网络访问点应该明确定位。