工业控制系统的信息安全等级保护工作
解读《工业控制系统信息安全防护指南》
解读《工业控制系统信息安全防备指南》拟订《指南》的背景通知中明确“为贯彻落实《国务院对于深入制造业与互联网交融发展的指导建议》（国发〔 2016 〕28 号），保障工业公司工业控制系统信息安全，工业和信息化部拟订《工业控制系统信息安全防备指南》。
”能够看出，《工业控制系统信息安全防备指南》是依据《建议》拟订的。
《建议》中有关要求《建议》“七大任务”中特意有一条“提高工业信息系统安全水平”。
工信部依据《十三五规划大纲》、《中国制造 2025 》和《建议》等要求编制的《工业和信息化部对于印发信息化和工业化交融发展规划（2016-2020 年）》中进一步明确，在十三五时期，我国两化交融面对的机会和挑战第四条就是“工业领域信息安全局势日趋严重，对两化交融发展提出新要求” ，其“七大任务”中也提到要“逐渐完美工业信息安全保障系统”，“六大要点工程”中之一就是“工业信息安全保障工程”。
以上这些，就是政策层面的指导思想和要求。
《指南》条款详尽解读《指南》整体思路借鉴了等级保护的思想，详细提出了十一条三十款要求，贴近实质工业公司真切状况，求实可落地。
我们从《指南》要求的主体、客体和方法将十一条分为三大类：a、针对主体目标（法人或人）的要求，包含第十条供给链管理、第十一条人员责任：1.10供给链管理（一）在选择工业控制系统规划、设计、建设、运维或评估等服务商时，优先考虑具备工控安全防备经验的企事业单位，以合同样方式明确服务商应肩负的信息安全责任和义务。
解读：工业控制系统的全生产周期的安全管理过程中，采纳合适于工业控制环境的管理和服务方式，要求服务商拥有丰富的安全服务经验、熟习工业控制系统工作流程和特色，且对安全防备系统和工业控制系统安全防备的有关法律法例要有深入的理解和解读，保证相应法律法例的有效落实，并以合同的方式商定服务商在服务过程中应该肩负的责任和义务。
（二）以保密协议的方式要求服务商做好保密工作，防备敏感信息外泄。
石油和化学工业信息安全等级保护实施指南
石油和化学工业信息安全等级保护实施指南下载温馨提示:该文档是我店铺精心编制而成，希望大家下载以后，能够帮助大家解决实际的问题。
文档下载后可定制随意修改，请根据实际需要进行相应的调整和使用，谢谢!并且，本店铺为大家提供各种各样类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，如想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by theeditor.I hope that after you download them,they can help yousolve practical problems. The document can be customized andmodified after downloading,please adjust and use it according toactual needs, thank you!In addition, our shop provides you with various types ofpractical materials,such as educational essays, diaryappreciation,sentence excerpts,ancient poems,classic articles,topic composition,work summary,word parsing,copy excerpts,other materials and so on,want to know different data formats andwriting methods,please pay attention!石油和化学工业信息安全等级保护实施指南一、引言在信息化高度发展的今天，石油和化学工业作为我国的重要产业，其信息安全的重要性不言而喻。
信息安全等级保护整改工作方案
国家高度重视信息安全
国家先后出台了一系列信息安全文件和举措
2012年国务院以国发〔2012〕23号文件：《国务院关于大力推进信息化发展 和 切实保障信息安全的若干意见》，涉及安全提到提升网络与信息安全保障水 平等六个方面的任务：
健全安全防护和管理，保障重点领域信息安全 一、确保重要信息系统和基础信息网络安全。 二、加强政府和涉密信息系统安全管理。 三、保障工业控制系统安全。 四、强化信息资源和个人信息保护。 加快能力建设，提升网络与信息安全保障水平 一、夯实网络与信息安全基础。 二、加强网络信任体系建设和密码保障。 三、提升网络与信息安全监管能力。 四、加快技术攻关和产业发展。 五、加强宣传教育和人才培养。 六、加快法规制度和标准建设。
• 等级保护的定位和作用： – 是信息安全工作的基本制度、基本国策，是国家意志的体现。 – 是开展信息安全工作的基本方法。 – 是促进信息化、维护国家信息安全的根本保障。 • 五个规定动作：信息系统定级、备案、安全建设整改、等级测评、监督 检查。 • 各单位要按照“准确定级、严格审批、及时备案、认真整改、科学测评” 的要求开展等级保护的定级、备案、整改、测评等工作。
（摘自“《关于信息安全等级保护工作的实施意见》 （公通字[2004]66号 ）文件）
信息系统安全保护等级
第五级
信息系统受到破坏后，会对国家安全造成特别 严重损害。 信息系统受到破坏后，会对社会秩序和公共利 益造成特别严重损害，或者对国家安全造成严 重损害。 信息系统受到破坏后，会对社会秩序和公共利 益造成严重损害，或者对国家安全造成损害。
信息系统安全等级保护定级指南 信息系统安全等级保护行业定级细则 信 息 系 统 安 全 等 级 保 护 实 施 指 南
测信 评息 过系 程统 指安 南全 等 级 保 护
解读《工业控制系统信息安全防护指南》
解读《工业控制系统信息安全防护指南》工业控制系统信息安全防护指南》是为了贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》而制定的。
该指南是根据政策层面的指导思想和要求编制的，旨在保障工业企业工业控制系统信息安全。
政策中明确要求提高工业信息系统安全水平，___根据要求编制了《___关于印发信息化和工业化融合发展规划（2016-2020年）》，其中提到工业信息安全形势日益严峻，对两化融合发展提出新要求。
工业控制系统信息安全防护指南》提出了十一条三十款要求，贴近实际工业企业真实情况，务实可落地。
指南的整体思路借鉴了等级保护的思想。
这些要求可以分为三大类，即针对主体目标（法人或人）的要求、针对工业控制系统的要求和针对安全管理的要求。
针对主体目标的要求包括第十条供应链管理和第十一条人员责任。
在选择工业控制系统规划、设计、建设、运维或评估等服务商时，应优先考虑具备工控安全防护经验的企事业单位，并以合同等方式明确服务商应承担的信息安全责任和义务。
同时，要求与工业控制系统安全服务方签定保密协议，要求服务商及其服务人员严格做好保密工作，尤其对工业控制系统内部的敏感信息进行重点保护，防范敏感信息外泄。
除此之外，《工业控制系统信息安全防护指南》还提出了其他要求，如加强网络安全防护、加强物理安全防护、加强安全事件应急处置等。
这些要求的提出有助于逐步完善工业信息安全保障体系，进一步提高工业信息系统的安全水平。
为了加强工控安全，需要建立工控安全管理机制并成立信息安全协调小组，明确工控安全管理责任人，部署工控安全防护措施。
这个职能部门应负责工业控制系统全生命周期的安全防护体系建设和管理，制定安全管理方针，持续实施和改进工业控制系统的安全防护能力，不断提升工业控制系统防攻击和抗干扰的水平。
针对资产和数据的安全要求，需要建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置原则。
所有资产应指定责任人，并且明确责任人的职责，明确资产使用权。
工业控制系统安全测评技术方案
工业领域安全防护急需加强和提升。目前，工业领域安全防护采用分层分域 的 隔离和边界防护思路。工厂内网与工厂外网之间通常部署隔离和边界防护措施， 采用 防火墙、虚拟专用网络、访问控制等边界防护措施保障工厂内网安全。企业 管理层 网络主要采用权限管理、访问控制等传统信息系统安全防护措施，与生产 控制层之间 较多的采用工业防火墙、网闸、入侵防护等隔离设备和技术实现保护 “数据安全”。 生产控制层以物理隔离为主，工业私有协议应用较多，工业防火 墙等隔离设备需针对 专门协议设计。企业更关注生产过程的正常进行，一般较少
然而随着信息技术和网络技术的飞速发展网络安全的边界早已超越了地域限制甚至连网络边界也已经模糊导致网络信息安全事件层出不穷面对日益严重的安全威胁形势我国应积极加强对工业控制系统的安全体系化研究从安全规划安全防护安全运营安全测评应急保障等各方面提出针对性安全解决方案方案并积极进行技术试点探究技术可行性逐步形成可推广可复制的最佳实践切实提升我国工业互联网安全技术水平
图 1 工业互联网安全体系 1
Байду номын сангаас
设备安全是指工业智能装备和智能产品的安全，包括芯片安全、嵌入式 操作系统安全、相关应用软件安全以及功能安全等。
网络安全是指工厂内有线网络、无线网络的安全，以及工厂外与用户、 协作企业等实现互联的公共网络安全。
控制安全是指生产控制系统安全，主要针对 PLC、DCS、SCADA 等工 业控制系统的安全，包括控制协议安全、控制平台安全、控制软件安全 等。
工业控制系统信息安全等级保护基本要求概述
工业控制系统信息安全等级保护基本要求概述首先，工业控制系统信息安全等级保护需要建立完善的安全管理体系。
企业应建立专门的信息安全管理机构和岗位，明确相关人员的责任和权限，并建立健全的信息安全管理制度和程序，确保信息资产的安全运行和使用。
其次，工业控制系统信息安全等级保护需要进行风险评估和安全保护措施的规划。
企业应对工业控制系统中的信息资产进行全面的风险评估，找出潜在的信息安全风险和威胁，然后制定相应的安全保护措施和计划，包括安全策略、安全技术、安全控制和安全服务等。
再次，工业控制系统信息安全等级保护需要加强系统安全防护。
企业应采取合适的技术手段和安全措施，对工业控制系统中的信息进行加密保护，建立访问控制和认证措施，设置安全检测和防护设备，防止病毒、木马和网络攻击等安全威胁。
最后，工业控制系统信息安全等级保护需要加强安全监控和应急响应。
企业应建立健全的安全监控机制，实施安全事件的实时监测和告警，加强安全事件的分析和处置，及时掌握和处理安全风险和威胁，保障工业控制系统信息的安全可靠运行和应急响应能力。
工业控制系统信息安全等级保护是一个综合性的工作，需要全面考虑技术、管理和人员等多方面因素。
保护工业控制系统信息安全等级不仅仅是企业内部的事务，也受到政府监管和国际标准的影响。
因此，企业需要深入了解信息安全管理的最新动向和政策法规，严格遵守相关规定和标准，确保工业控制系统的信息安全等级达到国家和国际的要求。
在保护工业控制系统信息安全等级的过程中，企业需要考虑以下几个方面：1. 加强人员安全意识和培训。
作为信息安全的第一道防线，人员的安全意识和行为对工业控制系统的信息安全等级至关重要。
企业应该加强员工的信息安全教育和培训，让员工充分了解信息安全政策、风险和威胁，掌握安全使用信息系统的方法和技巧，形成良好的安全意识和行为习惯。
2. 加强物理安全措施。
工业控制系统信息安全等级保护不仅仅是网络和软件层面的安全，还需要考虑到物理设施的安全。
工业控制系统等级保护主要标准
工业控制系统等级保护主要标准
工业控制系统等级保护主要标准包括以下几个方面：
1.ISA/IEC62443：ISA/IEC62443是一系列工业控制系统安全标准，包括关键基础设施保护、网络和系统安全等。
2. NIST Cybersecurity Framework：NIST Cybersecurity Framework是美国国家标准与技术研究院发布的一个标准框架，用于指导组织的信息安全战略与规划。
3.ISO/IEC27001/27002：ISO/IEC27001/27002是信息安全管理系统的国际标准，其中ISO/IEC27001主要定义了信息安全管理体系的要求和规范，ISO/IEC27002则提供了信息安全管理实践指南和控制目录。
4.DHSCSET：DHSCSET是美国国土安全部开发的一个安全评估工具，用于帮助组织评估工业控制系统的安全性，发现潜在的安全漏洞和风险。
5.IEC62433：IEC62433是国际电工委员会发布的工业控制系统安全标准，覆盖了工业控制系统的安全评估、风险评估、安全管理等方面。
网络信息安全之工业控制系统信息安全技术
关键技术及难点
工业控制系统信息安全防护和测评体系
对信息系统安全实行等级保护是国家信息安全政 策，并颁布了系列国家标准，包括定级、设计、 实施、测评等环节的基本要求和指南 工业控制系统信息安全也应实行等级保护政策， 基于行业/系统重要性不同来分级 现行的等级保护标准并不适合，需要制定针对工 业控制系统信息安全的等级保护标准 通过实施等级保护政策和标准，建立规范化的工 业控制系统信息安全防护和测评体系
网络信息安全之工业控制系统信息安 全技术
安全风险分析
工业控制系统中的管理终端一般没有采取措施对
移动U盘和光盘使用进行有效的管理，导致移动介
质的滥用而引发的安全事件时有发生
在工业控制系统维护时，通常需要接入笔记本电
脑。由于对接入的笔记本电脑缺乏有效的安全监
管，给工业控制系统带来很大的安全风险
由于对工业控制系统的操作行为缺乏有效的安全
网络信息安全之工业控制系统信息安 全技术
国内外技术现状
总体上，我国工业控制系统信息安全工作起 步晚，普遍存在安全意识薄弱、管理制定不 健全、标准规范不完善、技术储备不足、安 全产品缺乏、防护措施不到位等问题 由于工业控制系统的特殊性，现有的信息安 全技术及产品并不能直接用于工业控制系统 中，必须针对工业控制系统的特点，研制适 用的信息安全技术及产品
网络信息安全之工业控制系统信息安 全技术
震网病毒警示
震网病毒给工业控制系统信息安全敲响了 警钟，网络攻击正在从开放的互联网向封 闭的工业控制网蔓延 据权威工业安全事件信息库(RISI)统计，截 止到2011年10月，全球已发生了200余起针 对工业控制系统的攻击事件 2001年后，随着通用开发标准与互联网技 术的广泛使用，针对工业控制系统的攻击 行为也出现大幅度增长
工业控制系统网络安全等级保护的建设
《工业控制系统网络安全等级保护的建设》摘要：【文献标志码，【文章编号，制定统一的工控系统安全管理规范，如保证工控系统设备的运行能满足最大生产需求，优化系统拓扑结构，杜绝系统单点漏洞;调整安全网关策略，防范包括（分布式拒绝服务）在内的各种安全风险;在系统中部署入侵防御系统（IDS）、入侵检测系统（IPS）、安全管理软件等，监测来自系统内外部的入侵;部署工控系统审计系统，对系统的操作、修改、设置等实行审计并记录[2];验证所有连接系统的用户身份，杜绝无相应权限的用户进行管理配置的操作;安装系统数据检查设施，依托数据采集技术，制定管理基线，依据系统实际情况管理和放行数据;增加多种登录方式，如声纹识别、面部识别等生物信息技术，实行双因子登录;防止远程管理系统主机和防火墙，若有实际需求，应当使用密文，防止用户身份信息在传输中被盗取;能防范无认证设施接入系统，防止信息资产流失许新锋Construction of the Network Security Level Protection of Industrial Control SystemXU Xin-feng（Zhengzhou University of Light Industry， Zhengzhou 450000， China）【摘要】现代卷烟工业企业的两化融合程度越来越高，网络的触角已经延伸到各个业务角落，工控网络安全风险也越来越突出。
因而，如何建立一个高质量、稳固牢靠的工控系统网络成为现代卷烟工业企业工控系统建设的一个重要组成部分。
论文剖析了现代卷烟工业企业工控系统安全等保2.0的情况，综合工控系统实际需求，提出等保工作部署的基本策略。
【Abstract】 The integration degree of modernization and industrialization of modern cigarette industrial enterprises is getting higher and higher， the network"s tentacles have been extended to various business corners， and industrial control network security risks have become increasingly prominent. Therefore， how to build a high-quality， stable and reliable industrial control system network has become an important part of the industrial control system construction of modern cigarette industry enterprises. This paper analyzes the safety and security guarantee 2.0 of the industrial control system of modern cigarette industrial enterprises， and combined with the actual needs of the industrial control system， it proposes the basic strategy of the level protection work deployment.【关键词】工业控制系统;安全防护体系建设;部署建议;边界控制【Keywords】 industrial control system; security protection system construction; deployment proposal; boundary control【中圖分类号】TB4 【文献标志码】A 【文章编号】1673-1069（2020）03-0112-021 引言保证各卷烟工业企业生产运行控制系统网络安全的一个有效方法就是工控系统网络安全等级保护制度，实行工控系统网络安全分级防护，能极大地降低当前卷烟工业企业遇到的工控系统网络安全风险，依据“核心优先”的思路，把相关资源优先投入到工控系统的安全防护之中，可以有效促进卷烟工业企业尽快打牢工控系统安全等保的根基。
工控系统信息安全与等级保护2.0概述
可靠的工控信 息安全产品
工控系统的信息安全
工业控制信息安全·政策法规
《中国人民共和国网络安全法》
▪ 第二十一条 国家实行网络安全等级保护制度 ▪ 第二十三条 网络关键设备和网络安全专用产
品实行销售许可制度 ▪ 第三十一条 关键信息基础设施，在网络安全
等级保护制度的基础上，实行重点保护
工业控制信息安全·政策法规
测试 ▪ 工业控制系统的安全评估/等保
测评
▪ 工业控制信息安全相关的科研工作
谢谢聆听！
等级保护2.0体系升级
等
政策体系
级
• 网络安全等级保护条例起草
保
标准体系
护 2.0
• 主要标准全面修订
体
测评体系
系
技术体系
升
级
教育培训体系
等级保护标准体系
信息安全技术 网络安全等级保护定级指南 信息系统安全等级保护行业定级细则
保信 护息 测系 评统 过安 程全 指等 南级
信 保息 护系 测统 评安 要全 求等
注：允许部分层级合并
工业控制系统安全扩展要求
安ቤተ መጻሕፍቲ ባይዱ要求类 层面
一级
二级
三级
四级
安全物理 环境
2
2
2
2
安全通信 网络
2
4
4
4
技术要求 安全区域 边界
3
5
8
9
安全计算 环境
2
2
5
5
管理要求
安全建设 管理
0
2
2
2
合计
/
9
15
21
22
级差
/
/
6
等保2.0下工业控制系统安全防护
等保2.0下工业控制系统安全防护★安成飞 杭州安恒信息技术股份有限公司1 引言在“两化”融合的行业发展需求下，现代工业控制系统的技术进步主要表现在两大方面：信息化与工业化的深度融合，为了提高生产高效运行、生产管理效率，国内众多行业大力推进工业控制系统自身的集成化，集中化管理。
系统的互联互通性逐步加强，工控网络与办公网、互联网也存在千丝万缕的联系。
德国的工业4.0标准、美国的“工业互联网”以及“先进制造业国家战略计划”、日本的“科技工业联盟”、英国的“工业2050战略”、中国“互联网+” “中国制造2025”等相继出台，对工业控制系统的通用性与开放性提出了更高的要求。
未来工业控制系统将会有一个长足发展，工业趋向于自动化、智能化，系统之间的互联互通也更加紧密，面临的安全威胁也摘要：本文通过介绍《GBT22239-2019信息安全技术网络安全等级保护基本要求》（简称等保2.0）中工业控制系统安全的要求，提出了基于等保2.0要求的工业控制系统安全防护方案。
关键词：工业控制系统；工业控制系统安全；等级保护Abstract: In this paper, by introducing the "GBT22239-2019 Information Security Technology — Baseline for classified protection of cybersecurity" (classified protection of cybersecurity 2.0) industrial control system security requirements, the industrial control system security protection scheme based on classified protection of cybersecurity 2.0 requirements is proposed.Key words: Industrial control system; Security of industrial control system; Classified protection of cybersecuritySecurity Protection of Industrial Control System under Classified Protection of Cybersecurity 2.0会越来越多。
信息安全等级保护制度的主要内容
信息安全等级保护制度的主要内容目录一、内容概要 (3)1.1 制定背景与目的 (3)1.2 信息安全等级保护制度的意义 (4)二、信息安全等级保护制度的基本概念 (5)2.1 信息安全等级保护的定义 (7)2.2 信息安全等级保护制度的结构 (8)三、信息安全等级保护制度的主要内容 (9)3.1 第一级信息系统的安全保护 (10)3.1.1 安全物理环境 (12)3.1.2 安全通信网络 (13)3.1.3 安全区域边界 (14)3.1.4 安全计算环境 (15)3.1.5 安全建设管理 (16)3.1.6 安全运维管理 (17)3.2 第二级信息系统的安全保护 (18)3.2.1 安全物理环境 (20)3.2.2 安全通信网络 (21)3.2.3 安全区域边界 (22)3.2.4 安全计算环境 (23)3.2.5 安全建设管理 (25)3.2.6 安全运维管理 (26)3.3 第三级信息系统的安全保护 (27)3.3.1 安全物理环境 (28)3.3.2 安全通信网络 (29)3.3.3 安全区域边界 (30)3.3.4 安全计算环境 (31)3.3.5 安全建设管理 (32)3.3.6 安全运维管理 (33)3.4 第四级信息系统的安全保护 (34)3.4.1 安全物理环境 (36)3.4.2 安全通信网络 (37)3.4.3 安全区域边界 (38)3.4.4 安全计算环境 (39)3.4.5 安全建设管理 (41)3.4.6 安全运维管理 (42)四、信息安全等级保护制度的实施与管理 (43)4.1 实施原则与方法 (44)4.2 信息系统定级与备案 (45)4.3 安全建设与改造 (47)4.4 运维管理与安全检查 (48)五、信息安全等级保护制度的评估与升级 (49)5.1 评估流程与方法 (50)5.2 评估结果与应用 (52)5.3 升级与改造策略 (53)六、信息安全等级保护制度的法律法规与政策支持 (54)6.1 相关法律法规概述 (55)6.2 政策支持与引导 (56)七、结论与展望 (58)7.1 主要成果与贡献 (59)7.2 发展趋势与挑战 (60)一、内容概要信息安全等级保护制度是我国针对信息安全领域的一项基本国策，旨在保障国家关键信息基础设施和重要信息系统的安全稳定运行。
工业控制系统信息安全防护分析
Research & Analysis工业控制系统信息安全防护分析Research and Analysis on Security Protection Industrial Control System Network★孙天宁，邹春明，严益鑫公安部第三研究所摘要：工业控制系统信息化的发展，使得工控网络安全风险逐渐突出。
自“十三五”后，网络空间安全上升至国家战略层面，工业控制系统作为国家级 关键信息基础设施，其信息安全至关重要。
本文剖析了工业控制系统信息安全 现有风险，并结合政策法规、测评标准、工控系统全生命周期安全管理、可靠 工控信息安全产品、计算机安全，提出了工控信息安全防护方案。
关键词：工业控制系统；网络安全；安全防护Abstract：With the development of information technology of industrial control system, industrial control system inform atization makes industrial control network security gradually prominent. Since “The 13th Five-Year plan”，cyberspace security has risen to the national strategy. As a national key information infrastructure, the information security of industrial control system is very important. Combined with policies and regulations, evaluation standards, safety management of industrial control system in the whole life cycle, reliable industrial control inform ation security products and computer security, this paper analyzes the existing risks of industrial control information security, and puts forward the security protection scheme.Key words: Industrial control system; Cyberspace security; Security protectionl引言工业控制系统（Industrial Control Systems,ICS)广泛运用于能源、制造、航天、军工等牵涉国民经济核心地位的主要基础设施，一般指由计算机与工业过程控制部件组成的自动化控制系统。
等级保护制度的主要内容和工作要求
1
2
三、等级保护工作的具体内容和要求
3、测评业务范围
物理安全，主机安全，应用安全，网络安全， 数据安全，及备份与恢复，安全管理机构， 安全管理制度，人员安全管理，系统建设管理 系统运维管理10个类别进行测评。共计73个测 评项，290个测评指标。 其中44个子类符合，27个子类基本符合，1个 子类不符合，1个子类不适用。
STEP1
STEP2
STEP3
STEP4
公安机关组织开展等级保护工作的依据
《警察法》规定：警察履行“监督管理计算机信息系统的安全保护工作”的职责。
国务院第147号令规定：“公安部主管全国计算机信息系统安全保护工作”，“等级保护的具体办法，由公安部会同有关部门制定”。
2008年国务院三定方案，公安机关新增职能：“监督、检查、指导信息安全等级保护工作”。
02
第二级信息系统：适用于县级某些单位中的重要信息系统；地市级以上国家机关、企事业单位内部一般的信息系统。例如非涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统等。
03
三、等级保护工作的具体内容和要求
第三级信息系统：一般适用于地市级以上国家机关、企业、事业单位内部重要的信息系统，例如涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统；跨省或全国联网运行的用于生产、调度、管理、指挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的分支系统；中央各部委、省（区、市）门户网站和重要网站；跨省联接的网络系统等。
1
公安机关要及时开展监督检查，严格审查信息系统所定级别，严格检查信息系统开展备案、整改、测评等工作。
2
对故意将信息系统安全级别定低，逃避公安、保密、密码部门监管，造成信息系统出现重大安全事故的，要追究单位和人员的责任。
基于等级保护2.0工业控制系统网络安全防护体系研究
信息系统工程 │ 2019.11.2048SYS SECURITY 系统安全摘要：随着《信息安全技术 网络安全等级保护基本要求》发布，等级保护要求上升到新的高度，工业控制系统作为关键信息基础设施也被纳入了新的等级保护范畴。
论文通过对工业控制系统网络安全现状分析后，设计了一种基于等级保护2.0标准的工控控制系统网络安全防护体系，该体系主要依据《信息安全技术 网络安全等级保护基本要求》的通用要求和工业控制系统的扩展要求，同时结合了P2DR和IATF安全模型，分别设计了安全管理体系和安全技术体系以及安全运维体系等三大体系，为工业控制系统稳定、可靠运行提供了保障。
关键词：等级保护2.0标准；工业控制系统；网络安全；防护体系；漏洞一、前言随着2019年5月13号公安部正式发布《信息安全技术 网络安全等级保护基本要求》《信息安全技术 网络安全等级保护设计要求》《信息安全技术 网络安全等级保护测评要求》等3项标准（以下简称等保2.0），新的等保要求也进入到新的高度。
同时，工业控制系统作为关键信息基础设施也被纳入等保范围之内，分为通用要求和工业控制系统扩展要求[1-2]。
本文主要围绕《信息安全技术 网络安全等级保护基本要求》标准，结合当前工业控制系统的网络安全现状，进行基于等保2.0的工业控制系统网络安全防护体系研究。
二、工业控制系统网络安全安全现状分析（一）技术方案1.工业控制系统存在漏洞。
据国家信息安全漏洞共享平台统计，目前工业控制系统的漏洞2000多个，主要体现在控制器、工业协议、工业主机操作系统、工业应用软件等方面，如西门子、施耐德、研华、和利时、亚控等典型工控安全产品厂商。
另一方面，高中危漏洞占比95%以上，缓存溢出、拒绝服务等类型漏洞居多，这些漏洞都很容易被威胁利用造成安全事件。
2.工业控制系统安全配置较弱。
由于工业控制系统在运行维护过程中，主要考虑其可用性和方便性，未对工业控制系统的安全项进行配置，比如弱口令、开放多余的端口，未删除多余的账号等等，存在一些安全配置上的弱点。
工业控制系统信息安全管理制度
工业控制系统信息安全管理制度为了保障工业控制系统的信息安全，防止因信息泄露、损毁、篡改等导致的严重后果，加强信息安全管理具有非常重要的意义。
以下是一个工业控制系统信息安全管理制度的简单示范，其中包含了常见的管理措施和规定。
1、信息安全管理责任公司应建立信息安全管理机构，明确信息安全管理人员的职责和授权。
同时各级领导也应承担相应的信息安全管理责任，并提高安全意识，不得放松对信息安全的重视和监管。
2、信息安全管理制度建立公司应建立完善的信息安全管理制度，包括但不限于信息安全等级保护制度、信息分类与保密制度、信息安全事件管理制度、信息安全培训计划和考核制度等。
在实际操作中应结合实际情况予以制定或调整。
3、信息安全管理措施在数据上的储存、传送、处理及使用过程中，应采取合理的措施，包括但不限于密码控制、访问控制、审计追踪、备份灾难恢复等，确保系统的完整性、可用性、保密性。
4、信息安全保障技术应建立相应的技术保障措施，包括但不限于入侵检测、防火墙、病毒防护、数据加密等，以及及时升级和修补相关软件漏洞的工作机制，充分保障信息系统的安全性。
5、内部控制制度建立涵盖数据收集、存储、处理、传输和使用等环节的内部控制制度，以规范信息的采集、处理和传输操作，防止内部人员恶意泄露和利用信息等风险。
6、人员安全管理尽量减少对外地点或运营方的人员接触，对必须接触的人员要进行严格的身份认证和审查。
内部人员应签署保密协议，限制数据访问权限，并接受定期的保密培训和考核。
7、安全事件应急预案建立应急响应机制，按照预警、调查、处理、总结的流程开展应急处理工作。
做到能够第一时间进行事件暴露和处置，并及时向上级部门及时汇报，减小损失的发生，保障系统的安全和稳定。
8、验收规定下属管理机构或在新工控系统或重大改造投入使用时，应对其进行验收，并对系统数据进行检查和备份。
对验收结果负责，确保系统安全，做到力争“牢不可破”。
总之，建立工业控制系统信息安全管理制度是保障信息安全的最基础、最必要的步骤。
网络安全等级保护工业控制系统安全防护技术体系设计
“网络安全等级舰安娜十献要求”傲I I作臟网络安全等级保护工业控制系统安全防护技术体系设计傅一帆霍玉鲜中国电子信息产业集团有限公司第六研究所摘要：随着工业控制新技术、新应用的发展，在原有标准的基础上进行了扩展，增加了工业控制安全要求。
从定级对象、安全体系结构、安全保护环境设计等层面进行介绍，提升了标准的可读性，有利于标准对行业的指导。
关键词：等级撕ZQlk控制系统錄区域信息齡引言工业控制系统（ic s)是指对工业生产过程安全(Safely)、信息安全（Security)和可靠运行产生作用和 影响的人员、硬件、策略和软件的集合，包括集散控制系统 (DCS)、监督控制和数据采集（SCADA)系统、可编程 序逻辑控制器（PLC)、远程测控单元RTU、相关的信息系 统如人机界面等。
随着信息化和工业化的发展工业控制系统 广泛应用于国防军工、轨道交通、电力电网、石油化工、水 利水库等关系国计民生的重点工控行业，由于其复杂多样 性，工业控制系统也面临来自各方面的威胁。
近年来，随着 工业控制新技术的发展，原有标准部分条款无法满足工业控 制高可靠性、实时性下的安全设计技术要求，因此亟需根据 工业控制系统的特点増力噺的内容。
此次修订规范了网络安 全等级保护安全设计技术要求对工业控制系统的扩展设计要 求，包括第一级至第四级工业控制系统安全保护环境的安全 计算环境、安全区域边界、安全通信网络和安全管理中心等 方面的设计技术要求。
适用于指导网络安全等级保护工业控 制系统安全技术方案设计与实施，也可作为信息安全§能部 门对工业控制系统进行监督'检查和指导的依据。
—、定綱象工业控制系统和其他信息系统按照功能层次分为从下 到上的五层架构：a)第0层，现场设备层；b)第1层，现场控制层；c)第2层，过程监控层；d )第3层，生产管理层；e)第4层，企业资源层，即其他的信息系统（本标准不对第4层做等级保护设计要求）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
14
用于冶金、化工、能源、交通、水利系统 领域的工业控制系统会涉及社会稳定和国 家安全，多数系统属3级以上，尤其是生 产监控现和现场控制系统含有大量的4级 系统
15
三、工业控制系统等级保护技术框架
信息安全等级保护要做到
1、You可can信 Be like God
针对计算资源（软硬件）构建保 护环境，以可信计算基（TCB） 为基础，层层扩充，对计算资源 进行保护
做好工业控制系统的 信息安全等级保护工作
国家信息化专家咨询委员会委员 沈昌祥 院士
党的十八大报告指出：世界仍然很不安宁。 ……，粮食安全、能源资源安全、网络安全等 全球性问题更加突出。
党的十八大报告要求：建设下一代信息基础设 施，发展现代信息技术产业体系，健全信息安 全保障体系，推进信息网络技术广泛运用。 ……高度关注海洋、太空、网络空间安全。
工控网络架构
9
特殊要求:
1、实时性通信 2、系统不允许重启 3、人和控制过程安全 4、加入安全后，不影响控制流程 5、通信协议多种多样 6、设备不易更换 7、设备生命周期为15-20年
传统的“封堵查杀”安全防护技术难以解决 工控系统安全
10
二、信息安全等级保护 适用于工业控制系统
工业控制系统网络架构是依托网络技术， 将控制计算节点构建成为工业生产过程 控制的计算环境，是属于等级保护信息 系统范围
2、You可can控 Be like God
针对信息资源（数据及应用）构
建业务流程控制链，以访问控制 为核心，实行主体（用户）按策 略规则访问客体（信息资源）
3、You可can管 Be like God
保证资源安全必须实行科学管理
，强调最小权限管理，尤其是高 等级系统实行三权分离管理体制 ，不许设超级用户
针对工业控制特点，按GB/17859要求 ，构建在 安全管理中心 支持下的
计算环境 区域边界 通信网络 三重防御体系是必要的，可行的
具体设计可参照（GB/T25070-2010）
实现
通信网络安全互联 区域边界安全防护 计算环境 可信免疫
19
安全管理中心支持下的计算环境、区域边界、 通信网络三重防御多级互联技术框架：
27
坚持纵深防御，克服“封堵查杀”被动局面
1、加强信息系统整体防护，建设区域隔离、 系统控制的三重防护、多级互联体系结构
2、重点做好操作人员使用的终端防护。把住 攻击发起的源头关，做到操作使用安全
3、加强处理流程控制，防止内部攻击，提高 计算节点自我免疫能力，减少封堵
28
4、加强技术平台支持下的安全管理，基于安 全策略，与业务处理、监控及日常管理制度有 机结合。
系统执行，从而实现了对 审计，确保用户无法抵赖违
整个信息系统的集中管理， 背系统安全策略的行为，同
为三级信息系统的安全提 时为应急处理提供依据
供了有力保障
系统管理子系统负责对 安全保护环境中的计算 节点、安全区域边界、 安边全通信网络实施集中
管身界隔离理份和管维理护、，资互包源联括管用理网户、
应急处理等，为三级信 息系统的安全提供基础 保障
12
国际标准化组织ISA提出区域防护概念
1、将ICS按安全等级划分区域
2、区域间通过唯一的管道通信
3.、对区域间和区域内实施不同的安全策略 ➢ 防止威胁在区域间交叉感染 ➢ 遏制本区域内的入侵威胁
按国家信息安全等级保护有关标准 和规定，确定定级对象：
一般先划分安全区域，可分为企业管理、 生产监控和现场控制三个大区，每个安 全区内可按统一的生产业务流程、软硬 件资源相对独立和管理责任明确三个条 件确定定级信息系统
5、加强系统层面安全机制，减少应用层面的 改动，梳理处理流程，制定控制策略，嵌入 系统内核，实现控制。
29
4
信息安全等级保护是我国信息安全保障 的基本制度，从技术和管理两个方面进 行安全建设，做到可信、可控、可管， 使工业控制系统具有抵御高强度连续攻 击（APT）的能力
5
一、工业控制系统安全需求
工业控制系统（ICS）包括:
1、监控与数据采集（SCADA） 2、分布式控制系统（DCS） 3、过程控制系统（PCS） 4、可编程逻辑控制器（PLC） 5、应急管理系统（EMS）等
二道安全屏障 安全管理中心
22
22
3）通信网络
现场控制 计算环境
边
界 防 护
生产监控 计算环境
边
界 防 护
企业管理 计算环境
边
界 隔
互联网
离
二级 安全管理中心 安全管理中心 安全管理中心
通信网络子系统通过对通信数据包中不会被
一级 非安授 全权 得窃 到听 了和 保篡障系改，统，是安使三全得级数信审据息计在系传统输 的过外程层中安的全23 23
屏障
安全管理中心
23
4）管理中心
安全管理子系统是信息系
统的控制中枢，主要实施 审计子系统是系统的监督中
标记管理、授权管理及策 枢，安全审计员通过制定审
略管理等。安全管理子系 计策略，强制节点子系统、
统通过制定相应的边系统安
区域边界子边系统、通信网络
全 系 通现计策统信场算略、网控环，区络制境并域子且 边 系强界统制子及界防护节系节点统点子、子生计产算监 环控境子系实系统现统管对、理整安子个界防护全系信管统息理执系企计子行统业算系，的管环统从行理境、而为
二级 安全管理中心 安全管理中心 安全管理中心
系统 安全 审计
一级
安全管理中心
四、坚持自主创新,纵深防御
工控系统是定制的运行系统，其资源配 置和运行流程具唯一性和排它性特点， 用防火墙、杀病毒、漏洞扫描不仅效果 不好，而且今引起新的安全问题
26
坚持自主创新，采用可信计算技术，使 每个计算节点、通信节点都有可信保障 功能，那么，系统资源不会被篡改，处 理流程不会被干扰破坏，使系统能按预 定的目标正确运行，“震网”、“火焰” 等病毒攻击不查即杀
恶意破坏提供支撑和保障
21
2）应用区域边界
现场控制 计算环境
边
界 防 护
生产监控 计算环境
边
界 防 护
企业管理 计算环境
边
界 隔
互联网
离
二级 安全管理中心 安全管理中心 安全管理中心
区域边界子系统通过对进入和流出安全保护环境
的信息流进行安全检查，确保不会有违背系统安
一级
全策略的信息流系经统过安边全界，审是计三级信息系统的第22
2010年“震网”病毒事件破坏了伊朗核 设施，震惊全球，这标志着网络攻击从 传统“软攻击”升级为直接攻击电力、 金融、交通、核设施等核心要害系统的 “硬摧毁”，导致基础的工业控制系统 破坏，对国家安全、社会稳定、经济发 展、人民生活安定带来严重损害
3
2011年工信部发布了《关于加强工业控 制系统安全管理的通知》，明确了重点领 域工业控制系统信息安全管理要求，对连 接、组网、配置、设备选择与升级、数据、 应急等管理方面提出了明确要求
7
随着信息化不断深入，工控系统从封闭、 孤立的系统走向互联体系的IT系统，采用 以太网、TCP/IP网及各种无线网,控制协议 迁移到应用层；采用标准商用操作系统、 中间件与各种通用软件，已变成开放、互 联、通用和标准化的信息系统。因此，安 全风险也等同于通用的信息系统
8
互联网 企业管理网 生产监控网 现场控制网
现场控制 计算环境
边
界 防 护
生产监控 计算环境
边
界 防 护
企业管理 计算环境
边
界 隔
互联网
离
二级 安全管理中心 安全管理中心 安全管理中心
一级
系统 安全 审计
20
安全管理中心
20
1）计算环境
现场控制 计算环境
边
界 防 护
生产监控 计算环境
边
界 防 护
企业管理 计算环境
边
界 隔
互联网
离
二一安O过使为支级级A实用全应持系施安保用和统三全护提安安等级保环供全全）安护境符服提管全环为合务供理要境应三安中求所用级全的提系要心支业供统求撑系务的（的服安应 安如 安统务安用 全安 全全。全系 机全 功通管安统 制能管， ，理全理中中节 系 护 以 用 统 典审点统 层 有 户 的 型心心子层 ， 效 越 保 应计系设 通 防 权 密 用统置 过 止 访 性 子安通以 对 非 问 和 系全过了用授，完统管在一户权确整的操个行用保性正理作严为户信安常中系密的访息全运心统牢控问和，行核固制和信从和2心的，授息而免1 2层防可权系为遭1 、