近日，ISO、IEC制定發布了多項新的國際標準。認證君將最新標準動態整理如下：

     ISO發布首項關于客梯的國際標準

在任一特定時刻，全世界都有成千上萬的貨梯和客梯運營，由于出臺了一些相當嚴格的標準，這些電梯才得以安全地送我們上下樓。但適用于電梯的國家或地區規則和法規反映在不同的標準中，從而給國際貿易帶來問題。剛剛發布的ISO國際標準首次將這些標準協調一致起來，從而實現安全性的提高和技術的發展。

電梯起源于數千年前的手動滑輪，例如羅馬競技場中奴隸操作的滑輪。現在有些裝置是令人驚嘆的工程技術，例如密蘇里州的拱門。然而，大多數電梯都不那么有魅力，只是為了把我們從一個樓層運送到另一個樓層。

世界上主要有三種標準用于概述電梯機械特征和操作特性，這三種標準都達到了類似的安全與質量水準。但是，這三種標準都有不同的要求，并且與其運作的經濟領域有關聯，這就意味著這些標準并不總能被世界其他地區所接受。

ISO 8100人員和貨物運輸用升降梯—第1部分：客梯及貨梯和第2部分：升降梯部件的設計規則、計算、檢查和檢驗通過在所有經濟領域提供符合當地法規的國際通用標準來克服這些難題。

制定標準的ISO技術委員會主席吉羅？克施文德納（Gero Gschwendtner）博士表示，現行標準的協調消除了國際貿易壁壘，并確保了世界所有利益相關方的安全水平。

“這不僅會減少該領域許多企業的管理業務，還將為安全、創新和新技術的發展提供平臺。”

ISO 8100-1和ISO 8100-2是由ISO/TC 178 升降梯、自動扶梯和自動人行道技術委員會制定，其秘書處是由AFNOR（ISO的法國成員）承擔。

   ISO發布衡量城市“智能”表現的新國際

標準ISO 37122《可持續城市與社區–智能城市指標》

城市生活水平不斷提高，從1950年世界人口的7.51億增加到2018年的42億，預計到2050年將達到67億。城市如何適應和準備以確保提供充足的資源和可持續的未來？他們無法改善不能衡量的事物。ISO智能城市系列的最新標準目的就是為其提供幫助。

ISO 37100系列國際標準可幫助社區采取更具可持續性和彈性的戰略。剛剛發布的該系列最新版本的ISO 37122《可持續城市與社區–智能城市指標》，為城市提供了一套指標，用于衡量其在多個領域的績效，使各國家和城市能夠汲取世界上其他城市發展的經驗教訓,找到創新的解決方案。

該標準是對ISO 37120《可持續城市和社區–城市服務和生活質量指標》的補充，其中概述了評估城市服務提供和生活質量的關鍵衡量標準。它們共同構成了一套標準化指標，為衡量什么以及如何進行衡量提供了可以在城市和國家之間進行比較的統一的測量方法。這些標準還指導各城市如何評估其在促進聯合國可持續發展目標、實現更可持續世界的全球路線圖方面的表現。

制定該標準的ISO技術委員會可持續城市和社區的ISO/TC268主席BernardGindroz說，ISO 37122定義了指標以及方法和做法，可以迅速顯著改善社會、經濟和環境可持續性。

他說：“當與定義了社區可持續發展管理系統ISO 37101和ISO 37120結合使用時，該標準可幫助城市在一系列領域實施智能城市項目。包括那些通過更好地與社會交往來應對人口增長、氣候變化以及政治和經濟不穩定等城市化問題的國家。它提供了有效的領導方法、最新技術和做法，幫助其提高公民的生活質量，實現其環境目標，同時促進創新和增長。”

IEC制定針對關鍵基礎設施網絡攻擊的國際標準

關鍵基礎設施，無論是發電廠、國家鐵路和地方地下交通系統，還是其他形式的公共交通，都日益成為網絡攻擊的目標。網絡攻擊可能會切斷醫院、家庭、學校和工廠的電力供應。我們非常依賴高效的電力供應，斷電也將對其他重要服務產生重大影響。近年來發生的一些事件不僅證明了威脅是切實存在的，而且還表明，我們不止一次地從噩夢般的后果中死里逃生。

以下三個例子說明了網絡武器的演變，包括旨在破壞關鍵基礎設施運行的惡意軟件。網絡化傳感器和其他連接設備在工業環境中的使用日益增加，雖然這提高了我們的效率，但它也增加了攻擊面。

一、三次讓世界屏息的時刻

2010年對伊朗納坦茲核電站的襲擊在歷史上留下特殊的一筆。當時，所謂的Stuxnet惡意軟件首次公開亮相，并設法使核電站停止運轉。Stuxnet蠕蟲經過編程設計，讓電機失控從而損壞通常用于濃縮鈾離心機的電機。該軟件成功地讓1000臺離心機暫停運轉。

五年后，2015年12月，烏克蘭遭遇了前所未有的電網攻擊。這次襲擊導致大范圍停電。黑客侵入了三家能源公司，并暫時關閉了烏克蘭三個地區的發電。在隆冬時節，將近25萬人斷電長達6小時。攻擊者利用BlackEnergy3惡意軟件關閉了三個變電站。據信，該惡意軟件是通過spear phishing （網絡釣魚）電子郵件發送的，并隱藏在假冒的Microsoft Office附件中。

我們所知道的第三次也是最令人震驚的襲擊發生在2017年。網絡恐怖分子假定遠程控制一個廣為報道的位于沙特阿拉伯的工作站。他們使用一種稱為Triton的新型惡意軟件來接管核電站的安全儀表系統（emSIS）。同樣，惡意軟件是專門為工業控制系統配置的，該系統也稱為操作技術（OT）。

調查人員認為，這是一種蓄意破壞行為，旨在通過破壞防止災難性工業事故發生的安全系統來引發爆炸。以前的攻擊集中在破壞數據或關閉能源工廠。根據一些報告，只有編碼錯誤才能防止這種情況的發生。證據指向該事件源于另一個網絡釣魚或魚叉式網絡釣魚軟件的攻擊。

二、經驗教訓

這些事件向我們表明，至少在過去的十年中，黑客一直在創建針對操作技術的惡意代碼。三起事件都是由惡意軟件觸發的，這一事實也說明，我們需要對網絡安全采取一種綜合的方法，將過程、技術和人員結合起來。

網絡安全專家公司（Security in Depth）的首席執行官邁克爾？康納利（Michael Connory）最近告訴澳大利亞廣播公司（ABC），“全球90%的網絡攻擊都是從電子郵件開始的”。網絡的安全性取決于整個鏈條中最薄弱的環節，這是不言而喻的。

另一個關鍵問題是理解IT和OT之間區別的重要性。隨著威脅向量擴展到諸如智能恒溫器之類的基礎資產，操作技術變得越來越容易獲得。面臨的挑戰是，網絡安全計劃往往由IT路徑主導。事實上，能源等行業以及包括制造業、醫療保健和運輸業在內的許多其他行業的運營限制意味著我們需要一種網絡安全路徑，同時也保護OT。

IT的主要焦點是數據及其自由、安全流動的能力。IT存在于虛擬世界中，數據在虛擬世界中得以存儲、檢索、傳輸和操作。它是流動的，有許多移動部件和網關，這使其極其脆弱，并為各種不斷演變的攻擊提供了一個巨大的可攻擊表面。攻擊防御是指保護每一層結構，并不斷識別和糾正弱點以保持數據流動。

與此相反，OT屬于現實世界，它確保了所有指令動作的正確執行。雖然IT必須保護系統的每一層，但OT關乎維護系統的控制，這些系統可能是打開或關閉、封閉或開放的。OT系統是為特定的操作而設計的，例如確保打開或關閉發電機，或確保化學品罐充盈時溢流閥打開。OT屬于現實世界，確保過去通常是封閉系統的安全以及控制。OT中的一切都是為了物理移動、控制設備和流程，以保持系統按預期工作，主要關注安全性和效率提高。

隨著工業物聯網（IIOT）的出現，以及物理機器與聯網傳感器和軟件的集成，IT與OT之間的界限變得越來越模糊。隨著越來越多的對象相互連接、通信和交互，網絡罪犯獲取網絡和基礎設施系統的端點以及潛在途徑的數量激增。

消防隊撲滅了大火，但沒有解決根本原因。在初始設計和開發階段，就開始考慮安全威脅至關重要。在許多情況下，組織只關注實施后的安全性，而不是從開發生命周期開始構建網絡彈性。IEC/TC/57技術委員會的工作為最佳實踐的標準化提供了一個很好的例子。

三、設計安全性

IEC/TC 57成立了一個工作組（WG 15），通過設計確保電網安全。該工作組從技術角度評估要求，并定義了實現要求的標準方法，已經確定了設計安全電力系統所需的組件。其中包括端到端加密原則、所有用戶角色的定義和身份管理，以及對系統本身的普遍監控。

“我們今天所做的一切都將在今后繼續，但我們需要改變我們的重點，” IEC/TC 57/WG 15成員莫雷諾？卡魯洛（Moreno Carullo）說。“我們需要從尋找壞人轉向設計安全。”

目前，IEC 62351系列標準（參見IEC 62351-1：詳細概述簡介）描述了安全電力系統的架構，并對其協議和組件進行了標準化。一篇有趣的文章對其進行了更好的概述，它是IEC 62351-10:TC57系統的安全架構指南。

四、標準及合格評定

IEC認為，全面、基于風險的方法是建立網絡彈性的最佳途徑。基于風險的方法可能非常有效，尤其是在評估現有或潛在的內部脆弱性并確定或可能的外部威脅的基礎上。這是將標準與測試和認證（也稱為合格評定）結合在一起的整體方法的一部分，而不是將它們視為不同的領域，因此效果最好。

這種方法不僅展示了基于最佳實踐的安全措施的使用，而且表明組織已經有效地實施了這些措施，從而增強了利益相關者的信心。系統方法通過將風險優先化和降低到可接受的水平來工作，這需要一種中立的方法，根據不同的風險水平，適應從自我評估到獨立的第三方測試等不同類型的符合性評估。

許多組織將其網絡安全戰略建立在遵守強制性規則和法規的基礎上。這雖然可能會提高安全性，但卻無法全面滿足各個組織的需求。最堅固的防御系統同時依賴于“水平”和“垂直”標準。水平標準具有通用性和靈活性，而垂直標準則滿足非常特殊的需求。其中兩個水平標準的例子尤其突出。

五、水平和垂直標準

ISO/IEC 27000系列標準有助于保護純信息系統（IT），并確保虛擬世界中的數據自由流動。它提供了一個強大的橫向框架，用于在控制措施的實施、維護和持續改進中對照最佳規范進行基準測試。

IEC 62443是另一個橫向標準系列，旨在保持OT系統在現實世界中運行。它可以應用于任何工業環境，包括關鍵的基礎設施，如電力設施或核電站，以及衛生和運輸部門。IECEE是電工設備和元件的IEC合格評定體系，該體系已建立了基于IEC 62443系列標準的全球認證服務。

補充橫向標準是為滿足特定行業的需求而設計的定制解決方案。縱向標準涵蓋了核部門、工業通信網絡、工業自動化和海事行業等的特定安全需求。

六、彈性構建

任何網絡安全戰略的目標都是盡可能多地保護資產，當然也包括最重要的資產。由于以平等的方式保護每件事是不可行的，因此重要的是要確定哪些東西是有價值的，哪些東西需要最大力度的保護，識別漏洞、然后確定優先級，并建立確保業務連續性的縱深防御體系結構。

實現彈性在很大程度上要理解和減輕風險，以便在系統的適當點上應用正確的保護。至關重要的是，這一過程與組織目標密切相關，因為緩解決策可能會對運營產生嚴重影響。理想情況下，它應該基于一種涉及整個組織利益相關者的系統方法。

縱深防御的一個關鍵概念是，安全需要一套協調的措施。在應對網絡攻擊的風險和后果時，有四個步驟是必須實現的：1.了解系統，明確什么是有價值的，什么是最需要防護的。2.通過威脅建模和風險評估了解已知威脅。3.在國際標準的幫助下，基于全球最佳規范，解決風險并實施保護。4.根據要求采用適當水平的合格評定-測試和認證。

另一種方式是將其視為網絡安全的ABC：A是評估、B是解決風險的最佳規范、C是用于檢測和維護的合格評定。

基于風險的系統方法不僅展示了基于最佳規范的安全措施使用，還證明一個組織已有效地實施了這一系列措施，這增強了所有利益相關者的信心。也就是說要將正確的標準與適當的合格評定水平相結合，而不是將其視為不同的領域。

合格評定的目的是評定體系的組成部分、人員設計、操作和維護人員的能力，以及用于運行該體系的過程和程序。這可能意味著使用不同類型的合格評定——從企業自我評定或完全依賴供應商的聲明到獨立的第三方評定和測試——并根據不同的風險等級選擇最合適的。

在網絡威脅日益普遍的世界中，能夠應用一套特定的國際標準，并結合專門的全球認證計劃，是建立長期網絡彈性的一種行之有效的方法。然而，標準和合格評定只能在根據威脅和漏洞的整體評估的基于風險的方法中發揮最大作用。這種方法不僅整合了技術和過程，還整合了人員，認識到培訓的重要作用。