ANSI/API STD780:2013(2022)
石油和石化行業(yè)的安全風(fēng)險(xiǎn)評(píng)估方法
Security Risk Assessment Methodology for the Petroleum and Petrochemical Industries
- 標(biāo)準(zhǔn)號(hào)
- ANSI/API STD780:2013(2022)
- 發(fā)布
- 2022年
- 總頁數(shù)
- 123頁
- 發(fā)布單位
- 美國國家標(biāo)準(zhǔn)學(xué)會(huì)
- 本體
- 威脅 安全風(fēng)險(xiǎn)評(píng)估
- 適用范圍
- 本標(biāo)準(zhǔn)由API的安全風(fēng)險(xiǎn)評(píng)估（SRA）委員會(huì)制定，旨在幫助石油和石化行業(yè)理解和進(jìn)行安全風(fēng)險(xiǎn)評(píng)估。標(biāo)準(zhǔn)描述了適用于該行業(yè)運(yùn)營的各類設(shè)施及其面臨的安全問題的推薦風(fēng)險(xiǎn)評(píng)估方法。本標(biāo)準(zhǔn)適用于負(fù)責(zé)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估和管理這些設(shè)施安全的人員。本標(biāo)準(zhǔn)所述方法廣泛適用于從盜竊到內(nèi)部破壞再到恐怖主義等各種安全問題。 API SRA方法是為石油和石化行業(yè)開發(fā)的，適用于各種固定和移動(dòng)應(yīng)用。本標(biāo)準(zhǔn)描述了一種單一的方法，而不是SRA的一般框架，但該方法靈活且適應(yīng)用戶需求。該方法構(gòu)成評(píng)估石油和石化行業(yè)設(shè)施安全漏洞的一種方法。然而，行業(yè)還有其他風(fēng)險(xiǎn)評(píng)估技術(shù)和方法可用，所有這些都共享共同的風(fēng)險(xiǎn)評(píng)估要素。 最終，用戶有責(zé)任選擇最適合特定操作需求的SRA方法和分析深度。地理位置、操作類型、評(píng)估者的經(jīng)驗(yàn)和偏好以及現(xiàn)場(chǎng)危險(xiǎn)物質(zhì)的數(shù)量等差異是決定所需SRA級(jí)別的眾多因素中的幾個(gè)。本標(biāo)準(zhǔn)還應(yīng)結(jié)合適用的法律和法規(guī)進(jìn)行考慮。 概述 用戶應(yīng)通過進(jìn)行正式的SRA來管理安全風(fēng)險(xiǎn)，首先識(shí)別和分析設(shè)施或操作面臨的威脅、后果和漏洞。SRA是一個(gè)系統(tǒng)過程，評(píng)估給定威脅因素（如激進(jìn)分子、犯罪分子、不滿的內(nèi)部人員、恐怖分子）成功對(duì)資產(chǎn)實(shí)施故意行為（如損壞、盜竊）導(dǎo)致負(fù)面后果（如生命損失、經(jīng)濟(jì)損失或運(yùn)營連續(xù)性損失）的可能性。它可以考慮對(duì)設(shè)施或公司本身、周邊社區(qū)和供應(yīng)鏈的潛在后果和影響的嚴(yán)重程度。 進(jìn)行SRA的目的是評(píng)估安全風(fēng)險(xiǎn)，以幫助管理層理解組織面臨的風(fēng)險(xiǎn)，并就現(xiàn)有或需要額外對(duì)策的充分性做出更明智的決定。 API SRA方法是一種基于團(tuán)隊(duì)的標(biāo)準(zhǔn)化方法，結(jié)合了各種參與者的多種技能和知識(shí)，以提供更完整的設(shè)施或操作SRA。根據(jù)設(shè)施的類型和規(guī)模或研究的范圍，SRA團(tuán)隊(duì)可能包括具有物理和網(wǎng)絡(luò)安全、設(shè)施和流程設(shè)計(jì)與操作、安全、物流、應(yīng)急響應(yīng)、管理和其他必要學(xué)科知識(shí)的個(gè)人。 順序活動(dòng) API SRA方法包括以下五個(gè)順序步驟。 1) 特征化—特征化設(shè)施或操作，以了解需要保護(hù)的關(guān)鍵資產(chǎn)、其重要性及其基礎(chǔ)設(shè)施的依賴性和相互依賴性； 2) 威脅評(píng)估—識(shí)別和特征化針對(duì)這些資產(chǎn)的威脅，并根據(jù)目標(biāo)對(duì)每種威脅的吸引力和如果資產(chǎn)損壞、泄露或被盜的后果來評(píng)估資產(chǎn)； 3) 漏洞評(píng)估—識(shí)別潛在的安全漏洞，這些漏洞增加了威脅成功完成行為的概率； 4) 風(fēng)險(xiǎn)評(píng)估—通過確定成功事件的可能性和事件發(fā)生的最大可信后果來確定這些事件或條件所代表的風(fēng)險(xiǎn)；對(duì)事件發(fā)生的風(fēng)險(xiǎn)進(jìn)行排序，如果確定風(fēng)險(xiǎn)超過指南，則提出降低風(fēng)險(xiǎn)的建議； 5) 風(fēng)險(xiǎn)處理—識(shí)別和評(píng)估風(fēng)險(xiǎn)緩解選項(xiàng)（包括凈風(fēng)險(xiǎn)降低和效益/成本分析），并重新評(píng)估風(fēng)險(xiǎn)以確保應(yīng)用適當(dāng)?shù)膶?duì)策。評(píng)估安全事件的適當(dāng)響應(yīng)能力以及操作或設(shè)施調(diào)整其操作以滿足從事件中恢復(fù)的目標(biāo)的能力。
| 術(shù)語 | 描述 |
|---|---|
| 行為 act | 研究中假設(shè)的惡意場(chǎng)景。 |
| 資產(chǎn) asset | 任何對(duì)所有者具有正價(jià)值的人、環(huán)境、設(shè)施、材料、信息、商業(yè)聲譽(yù)或活動(dòng)。資產(chǎn)可能對(duì)威脅也有價(jià)值，盡管這些價(jià)值的性質(zhì)和大小可能不同。 |
| 資產(chǎn)類別 asset category | 資產(chǎn)可以以多種方式分類，包括人員、危險(xiǎn)材料（使用或生產(chǎn)）、信息、環(huán)境、設(shè)備、設(shè)施、活動(dòng)/操作、公司聲譽(yù)等。 |
| 攻擊方法 attack method | 威脅可能用于對(duì)目標(biāo)造成傷害的方式和手段，包括武器和交付方法。 |
| 攻擊路徑 attack path | 威脅為計(jì)劃、準(zhǔn)備和執(zhí)行攻擊所采取的或可能采取的步驟。 |