2)操作控制

操作控制是用于主要由人而非系統(tǒng)執(zhí)行和操控的ICS的安全措施。NISTSP 800-53在操作控制類下定義了以下九個控制族。

人員安全：有關(guān)人員職位分類、篩選、調(diào)動、處罰和解雇的策略和規(guī)程，同時還涉及第三方人員安全。

物理和環(huán)境保護(hù)：有關(guān)物理、傳輸和顯示器訪問控制以及調(diào)節(jié)（如溫度、濕度等）和應(yīng)急供應(yīng)（如關(guān)機(jī)、電源、照明、防火等）的策略。

意外防范計劃：涉及保持或恢復(fù)業(yè)務(wù)運行的策略，其中，包括發(fā)生緊急情況、系統(tǒng)故障或災(zāi)害時計算機(jī)在可能的備用場地的運行。

配置管理：有關(guān)控制硬件、固件、軟件和文檔被人改動的策略和規(guī)程，以確保信息系統(tǒng)在運行之前、期間和之后受到保護(hù)，不被不當(dāng)改動。

維護(hù)：管理信息系統(tǒng)的所有方面維護(hù)工作的策略和規(guī)程。

系統(tǒng)和信息完整性：有關(guān)通過功能驗證、數(shù)據(jù)完整性檢查、入侵檢測、惡意代碼檢測、 安全預(yù)警和咨詢控制來保護(hù)信息系統(tǒng)及其數(shù)據(jù)免受設(shè)計缺陷和數(shù)據(jù)篡改困擾的策略和規(guī)程。

媒體保護(hù)：確保安全處理媒體的策略和規(guī)程，控制涉及訪問、標(biāo)簽、保存、傳送、清潔、處置和銷毀等多項內(nèi)容。

事件響應(yīng)：有關(guān)事件響應(yīng)培訓(xùn)、檢驗、處理、監(jiān)測、報告和支持服務(wù)的策略和規(guī)程。

意識和培訓(xùn)：確保所有信息系統(tǒng)用戶都受過與其系統(tǒng)使用相關(guān)的適當(dāng)安全培訓(xùn)，以及妥善保存準(zhǔn)確培訓(xùn)記錄的策略和規(guī)程。