工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

項(xiàng)目編號:

工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)2.0三級

建

設(shè)

方

案

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

目錄

1概述............................................................1

1-1建設(shè)背景..................................................1

1-2工控系統(tǒng)發(fā)展概述.........................................2

1-3工業(yè)控制系統(tǒng)層次模型.....................................3

1-4國家政策法規(guī).............................................5

1-4-1中華人民共和國網(wǎng)絡(luò)安全法...........................5

1-4-2等級保護(hù)2.0.............................................................................................6

1-4-3關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求..............7

2項(xiàng)目建設(shè)需求....................................................7

2-1XX企業(yè)工控系統(tǒng)安全現(xiàn)狀...................................7

2-2等保建設(shè)需求分析........................................11

3等級保護(hù)建設(shè)流程與基本要求....................................12

3-1等級保護(hù)建設(shè)流程........................................12

3-2等級保護(hù)技術(shù)體系設(shè)計(jì)框架................................14

3-3等級保護(hù)三級技術(shù)要求及建議..............................15

3-3-1安全物理環(huán)境......................................15

8.1.1安全物理環(huán)境...............................................15

3-3-2安全通信網(wǎng)絡(luò)......................................18

3-3-3安全區(qū)域邊界......................................19

3-3-4安全計(jì)算環(huán)境......................................23

3-3-5安全管理中心......................................28

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

3-4等級保護(hù)三級管理要求及建議..............................30

3-4-1安全管理制度......................................30

3-4-2安全管理機(jī)構(gòu)......................................31

3-4-3安全管理人員......................................32

3-4-4安全建設(shè)管理......................................34

3-4-5安全運(yùn)維管理......................................38

4網(wǎng)絡(luò)安全等級保護(hù)總體設(shè)計(jì)......................................45

4-1方案設(shè)計(jì)依據(jù)............................................45

4-2方案設(shè)計(jì)原則............................................46

4-3方案總體設(shè)計(jì)思路........................................47

4-4總體防護(hù)架構(gòu)............................................48

5網(wǎng)絡(luò)安全等級保護(hù)詳細(xì)建設(shè)方案..................................48

5-1等保建設(shè)技術(shù)方案........................................48

5-1-1安全物理環(huán)境......................................48

5-1-2安全通信網(wǎng)絡(luò)......................................49

5-1-3安全區(qū)域邊界......................................52

5-1-4安全計(jì)算環(huán)境......................................63

5-1-5安全管理中心......................................68

5-2安全防護(hù)部署............................................84

5-3等保建設(shè)管理方案........................................86

5-3-1安全管理制度......................................86

5-3-2安全管理機(jī)構(gòu)......................................89

II

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

5-3-3安全管理人員......................................89

5-3-4安全建設(shè)管理......................................90

5-3-5安全運(yùn)維管理......................................91

6安全服務(wù)方案...................................................95

6-1運(yùn)維保障服務(wù)............................................95

6-1-1安全策略優(yōu)化......................................95

6-1-2應(yīng)急響應(yīng)服務(wù)......................................95

6-1-3安全產(chǎn)品運(yùn)維......................................96

6-2安全培訓(xùn)服務(wù)............................................96

6-2-1工控網(wǎng)絡(luò)安全意識培訓(xùn)..............................96

6-2-2工控網(wǎng)絡(luò)安全技術(shù)培訓(xùn)..............................97

6-2-3工控安全等級保護(hù)培訓(xùn)..............................98

6-2-4產(chǎn)品使用培訓(xùn)......................................99

6-2-5培訓(xùn)方式..........................................99

7配置清單......................................................102

8項(xiàng)目價(jià)值分析..................................................103

8-1項(xiàng)目示范性價(jià)值.........................................103

8-2項(xiàng)目推廣性價(jià)值.........................................104

HI

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

1概述

1-1建設(shè)背景

隨著國際上工業(yè)互聯(lián)網(wǎng)、工業(yè)4.0、國內(nèi)“中國制造2025”戰(zhàn)略的提出，積

極推動(dòng)了生產(chǎn)制造模式的變革、產(chǎn)業(yè)的組織創(chuàng)新以及產(chǎn)業(yè)結(jié)構(gòu)升級，使得傳統(tǒng)行

業(yè)的基礎(chǔ)設(shè)施能夠進(jìn)行遠(yuǎn)程的智能化控制和操作，高度融合IT技術(shù)的工業(yè)自動(dòng)

化應(yīng)用得到迅速而廣泛的使用，而工業(yè)控制系統(tǒng)設(shè)計(jì)之初是為了完成各種實(shí)時(shí)控

制功能，并沒有考慮到安全防護(hù)方面的問題，通過網(wǎng)絡(luò)互聯(lián)將他們暴露在外部網(wǎng)

絡(luò)上，無疑將給他們所控制的關(guān)鍵基礎(chǔ)設(shè)施、重要系統(tǒng)等都帶來巨大的安全風(fēng)險(xiǎn)

和隱患。

工業(yè)控制系統(tǒng)已廣泛應(yīng)用于國內(nèi)重大的基礎(chǔ)設(shè)施中，在我國工控行業(yè)中，主

要，'業(yè)控制系統(tǒng)包括集散控制系統(tǒng)（DCS）、數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）

和可編程控制器（PLC）等，在工廠運(yùn)行中發(fā)揮著巨大的作用。與傳統(tǒng)的基于

TCP/IP協(xié)議的網(wǎng)絡(luò)與信息系統(tǒng)的安全相比，我國工控系統(tǒng)的安全保護(hù)水平明顯

偏低，長期以來沒有得到關(guān)注。大多數(shù)工控系統(tǒng)在開發(fā)時(shí)，由于傳統(tǒng)工控系統(tǒng)技

術(shù)的計(jì)算資源有限，在設(shè)計(jì)時(shí)只考慮到效率和實(shí)時(shí)等特性，并未將安全作為一個(gè)

主要的指標(biāo)考慮。隨著信息化的推動(dòng)和工業(yè)化進(jìn)程的加速，越來越多的計(jì)算機(jī)和

網(wǎng)絡(luò)技術(shù)應(yīng)用于工業(yè)控制系統(tǒng)，在為工業(yè)生產(chǎn)帶來極大推動(dòng)作用的同時(shí)，也帶來

了工控系統(tǒng)的安全問題，如系統(tǒng)終端平臺安全防護(hù)弱點(diǎn)、系統(tǒng)配置和軟件安全漏

洞、工控協(xié)議安全問題、私有協(xié)議的安全問題、以及隱臧的后門和未知漏洞、

TCP/IP自身的安全問題、用戶權(quán)限控制的接入、網(wǎng)絡(luò)安全邊界防護(hù)以及內(nèi)部非

法人員、密鑰管理等等各種網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)利漏洞。

一旦敵對政府、恐怖組織、商業(yè)間諜、內(nèi)部不法人員、外部非法入侵者利用

系統(tǒng)上的漏洞或管理上的疏漏侵入工廠控制系統(tǒng)，都有可能造成系統(tǒng)停車、機(jī)密

信息泄露甚至系統(tǒng)的運(yùn)行被惡意控制等問題?；瘜W(xué)工業(yè)是關(guān)乎國計(jì)民生的特殊行

業(yè)，每一次安全事件，都使廣大人民群眾的生活、生產(chǎn)受到巨大影響，經(jīng)濟(jì)遭受

重大損失甚至倒退。吁以XX企業(yè)工控系統(tǒng)的網(wǎng)絡(luò)安全問題，關(guān)系到國家經(jīng)濟(jì)命

脈、人民生活水平、以及社會繁榮發(fā)展。XX企業(yè)生產(chǎn)控制系統(tǒng)安全事關(guān)重大，

1

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

一旦出現(xiàn)網(wǎng)絡(luò)攻擊，將會出現(xiàn)不可控的嚴(yán)重后果，在高度信息化為工廠生產(chǎn)管理

帶來便利的同時(shí)，工廠控制網(wǎng)絡(luò)也由原來的相對封閉變得更加開放，勢必會面臨

越來越多的網(wǎng)絡(luò)威脅。

1-2工控系統(tǒng)發(fā)展概述

近年來，在“兩化”融合的行業(yè)發(fā)展需求下，現(xiàn)代工業(yè)控制系統(tǒng)的技術(shù)進(jìn)步

主要表現(xiàn)在兩大方面：信息化與工業(yè)化的深度融合，為了提高生產(chǎn)高效運(yùn)行、生

產(chǎn)管理效率，國內(nèi)XX企業(yè)大力推進(jìn)工業(yè)控制系統(tǒng)自身的集成化、集中化管理。

系統(tǒng)的互聯(lián)互通性逐步加強(qiáng)，工控網(wǎng)絡(luò)與辦公網(wǎng)、互聯(lián)網(wǎng)也存在千絲萬縷的聯(lián)

系。

德國的工業(yè)4.0標(biāo)準(zhǔn)、美國的“工業(yè)互聯(lián)網(wǎng)”以及“先進(jìn)制造業(yè)國家戰(zhàn)略計(jì)

劃”、日本的“科技工業(yè)聯(lián)盟”、英國的“工業(yè)2050戰(zhàn)略”、中國“互聯(lián)網(wǎng)+”“中

國制造2025”等相繼出臺，對，業(yè)控制系統(tǒng)的通用性與開放性提出了更高的要

求。未來工業(yè)控制系統(tǒng)將會有一個(gè)長足發(fā)展，工業(yè)趨向于自動(dòng)化、智能化，系統(tǒng)

之間的互聯(lián)互通也更加緊密，面臨的安全威脅也會越來越多。

2010年6月“震網(wǎng)”的蠕蟲病毒入侵了伊朗布什爾核電站造成20%的離心

機(jī)報(bào)廢，伊朗大約3萬個(gè)網(wǎng)絡(luò)終端感染。

2012年，兩座美國電廠遭受USB病毒攻擊。這些病毒可被攻擊者利用以遠(yuǎn)

程控制系統(tǒng)或竊取數(shù)據(jù)。美國應(yīng)急響應(yīng)中心表示，在被插入包含惡意程序U盤

后，病毒感染了每個(gè)工廠的工控系統(tǒng)。

2015年12月，烏克蘭電力系統(tǒng)遭受黑客攻擊，將可遠(yuǎn)程訪問并控制工控系

統(tǒng)的BlackEnergy（黑喑力量）惡意軟件植入烏克蘭電力部門，造成電網(wǎng)數(shù)據(jù)采

集和監(jiān)控系統(tǒng)崩潰，導(dǎo)致伊萬諾一弗蘭科夫斯克地區(qū)大約一半家庭停電數(shù)小時(shí)。

2016年3月，Verizon公司發(fā)布的安全事件報(bào)告中稱一家名為Kemuri的水

務(wù)公司自來水控制系統(tǒng)被黑客攻擊，導(dǎo)致正常供水受到影響。

2016年10月，美國、德國、利比亞遭受大規(guī)模DDoS攻擊，造成大面積網(wǎng)

絡(luò)癱瘓。

2017年2月，一種兒乎無法被檢測到的極為復(fù)雜的惡意程序感染了全球超

過140家機(jī)構(gòu)的計(jì)算機(jī)系統(tǒng)，包括美國、南美、歐洲和非洲的銀行、通信、市政

等多種關(guān)鍵信息基礎(chǔ)設(shè)施系統(tǒng)。

2

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

2017年5月，“蠕蟲式”勒索軟件“WannaCry”勒索病毒入侵了全球150

多個(gè)國家的信息系統(tǒng)，雷諾、日產(chǎn)等汽車制造廠商被迫停產(chǎn)，多國能源、通信等

重要行業(yè)損失慘重。這些攻擊通常都是經(jīng)過精心策劃的，并且可對現(xiàn)實(shí)世界造成

嚴(yán)重后果。

2019年3月7日，委內(nèi)瑞拉國內(nèi)包括首都加拉加斯在內(nèi)的大部分地區(qū)停電

超過24小時(shí)，在委內(nèi)湍拉23個(gè)州中，一度有20個(gè)州全面停電，停電導(dǎo)致加拉

加斯地鐵無法運(yùn)行，造成大規(guī)模交通擁堵，學(xué)校、醫(yī)院、工廠、機(jī)場等都受到嚴(yán)

重影響，手機(jī)和網(wǎng)絡(luò)也無法正常使用。

2019年3月19日，世界最大的綜合性鋁業(yè)集團(tuán)之一挪威海德魯公司(Norsk

Hydro)在全球多家鋁生產(chǎn)工廠遭受嚴(yán)重網(wǎng)絡(luò)攻擊，造成多個(gè)工廠關(guān)閉和部分工

廠切換為手動(dòng)運(yùn)營模式。

2019年II月，黑西哥石油巨頭PPUIPX遭勒索500萬美元被迫關(guān)停多個(gè)

IT系統(tǒng)。

1-3工業(yè)控制系統(tǒng)層次模型

工業(yè)控制系統(tǒng)層次模型從上到下共分為5個(gè)層級，依次為企業(yè)資源層、生產(chǎn)

管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設(shè)備層，不同層級的實(shí)時(shí)性要求不同。

企業(yè)資源層主要包括ERP系統(tǒng)功能單元，用于為企業(yè)決策層員工提供決策運(yùn)行手

段；生產(chǎn)管理層主要MES系統(tǒng)功能單元，用于對生產(chǎn)過程進(jìn)行管理，如制造數(shù)據(jù)

管理、生產(chǎn)調(diào)度管理等；過程監(jiān)控層主要包括監(jiān)控服務(wù)器與HMI系統(tǒng)功能單元，

用于對生產(chǎn)過程數(shù)據(jù)進(jìn)行采集與監(jiān)控，并利用HMI系統(tǒng)實(shí)現(xiàn)人機(jī)交互；現(xiàn)場控制

層主要包括各類控制器單元，如PLC、DCS控制單元等，用于對各執(zhí)行設(shè)備進(jìn)行

控制；現(xiàn)場設(shè)備層主要包括各類過程傳感設(shè)備與執(zhí)行設(shè)備單元，用于對生產(chǎn)過程

進(jìn)行感知與操作。

3

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

房級4：企業(yè)資源乂

建立基本匚廠生產(chǎn)調(diào)度、材料使用、運(yùn)

企業(yè)資源層輸、確定庫存等級、操作管理等

實(shí)時(shí)性

月、周、日

層級3：生產(chǎn)管理發(fā)

工作流/處方控制來生產(chǎn)期望的終端產(chǎn)品。

維護(hù)記錄和優(yōu)化生產(chǎn)過程，倜度生產(chǎn)，

生產(chǎn)管理層細(xì)化生產(chǎn)調(diào)度過程，保證可第性等。

實(shí)時(shí)性

日、工作班時(shí)、小時(shí)、分鐘、秒

層級2：過程監(jiān)控層

監(jiān)控，管理控制和自動(dòng)控制生產(chǎn)過程

實(shí)時(shí)性

DCSPICSCADA小時(shí)、分鐘、秒

系統(tǒng)系統(tǒng)系統(tǒng)

U級1：現(xiàn)場控制U

傳感數(shù)據(jù)栗集和生產(chǎn)過程控制

實(shí)時(shí)性

批過程/連續(xù)過程/離散過程秒、亞秒

層級0：現(xiàn)場設(shè)備了

傳感和操作生產(chǎn)過程

各個(gè)層次使用網(wǎng)絡(luò)安全等級保護(hù)基本要求相關(guān)內(nèi)容的映射關(guān)系如下:

功能層次技術(shù)要求

安全通用要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）

企業(yè)資源層安全通用要求（安全區(qū)域邊界）

安全通用要求（安全計(jì)算環(huán)境）

安全通用要求（安全管理中心）

安全通用要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）

生產(chǎn)管理層安全通用要求（安全區(qū)域邊界）+安全擴(kuò)展要求（安全區(qū)域邊界）

安全通用要求（安全計(jì)算環(huán)境）

安全通用要求（安全管理中心）

安全通用要求（安全物理環(huán)境）

過程監(jiān)控層

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）

4

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

安全通用要求（安全區(qū)域邊界）+安全擴(kuò)展要求（安全區(qū)域邊界）

安全通用要求（安全計(jì)算環(huán)境）

安全通用要求（安全管理中心）

安全通用要求（安全物理環(huán)境）+安全擴(kuò)展要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）

現(xiàn)場控制層

安全通用要求（安全區(qū)域功界）+安全擴(kuò)展要求（安全區(qū)域功界）

安全通用要求（安全計(jì)算環(huán)境）+安全擴(kuò)展要求（安全計(jì)算環(huán)境）

安全通用要求（安全物理環(huán)境）+安全擴(kuò)展要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）

現(xiàn)場設(shè)備層

安全通用要求（安全區(qū)域邊界）+安全擴(kuò)展要求（安全區(qū)域邊界）

安全通用要求（安全計(jì)算環(huán)境）+安全擴(kuò)展要求（安全計(jì)算環(huán)境）

1-4國家政策法規(guī)

1?4?1中華人民共和國網(wǎng)絡(luò)安全法

《網(wǎng)絡(luò)安全法》明確制造企業(yè)的關(guān)鍵信息基礎(chǔ)設(shè)施納入國家法律層面的保護(hù),

對于能源企業(yè)以及主管單位、安全服務(wù)提供商的責(zé)任劃分和職責(zé)要求如下：

第二十一條國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安

全等級保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者

未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：

（一）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實(shí)網(wǎng)絡(luò)

安全保護(hù)責(zé)任；

（二）采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技

術(shù)措施；

（三）采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)

定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月；

（四）采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；

（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。

第三十一條國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共

服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)

5

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

泄露，可能嚴(yán)重危害國家安全、國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)

絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。關(guān)鍵信息基礎(chǔ)設(shè)施的具體范圍和

安全保護(hù)辦法由國務(wù)院制定。

第三十三條建設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當(dāng)確保其具有支持業(yè)務(wù)穩(wěn)定、持續(xù)運(yùn)

行的性能，并保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用。

第三十四條除本法第二十一條的規(guī)定外，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者還應(yīng)

當(dāng)履行下列安全保護(hù)義務(wù)：

（一）設(shè)置專門安全管理機(jī)構(gòu)和安全管理負(fù)責(zé)人，并對該負(fù)責(zé)人和關(guān)鍵崗位

的人員進(jìn)行安全背景審查；

（二）定期對從業(yè)人員進(jìn)行網(wǎng)絡(luò)安全教育、技術(shù)培訓(xùn)和技能考核；

（三）對重要系統(tǒng)和數(shù)據(jù)庫進(jìn)行容災(zāi)備份；

（四）制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，并定期進(jìn)行演練：

（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。

第三十八條關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)

構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測評估，并將檢測評

估情況和改進(jìn)措施報(bào)送相關(guān)負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的部門。

第三十九條國家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對關(guān)鍵信息基礎(chǔ)設(shè)施的安

全保護(hù)采取下列措施：

（一）對關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng)險(xiǎn)進(jìn)行抽查檢測，提出改進(jìn)措施，必要

時(shí)可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對網(wǎng)絡(luò)存在的安全風(fēng)險(xiǎn)進(jìn)行檢測評估；

（二）定期組織關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者進(jìn)行網(wǎng)絡(luò)安全應(yīng)急演練，提高應(yīng)

對網(wǎng)絡(luò)安全事件的水平和協(xié)同配合能力；

（三）促進(jìn)有關(guān)部門、關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者以及有關(guān)研究機(jī)構(gòu)、網(wǎng)絡(luò)

安全服務(wù)機(jī)構(gòu)等之間的網(wǎng)絡(luò)安全信息共享；

（四）對網(wǎng)絡(luò)安全事件的應(yīng)急處置與網(wǎng)絡(luò)功能的恢復(fù)等，提供技術(shù)支持和協(xié)

助。

1?4?2等級保護(hù)2.0

2019年5月13日，國家市場監(jiān)督管理總局、國家標(biāo)準(zhǔn)化管理委員會召開新

6

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

聞發(fā)布會，等保2.0相關(guān)的《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《信

息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)安

全設(shè)計(jì)技術(shù)要求》等國家標(biāo)準(zhǔn)正式發(fā)布，將于2019年12月1日開始實(shí)施。技術(shù)

部分將從基本要求和擴(kuò)展要求兩個(gè)方面進(jìn)行展開，擴(kuò)展部分明確將工業(yè)控制系統(tǒng)

作為安全防護(hù)的一個(gè)重要部分，從安全計(jì)算環(huán)境、網(wǎng)絡(luò)安全邊際、網(wǎng)絡(luò)通信和集

中管控、物理安全等5個(gè)方面進(jìn)行防護(hù)要求。

GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求

GB/T25070-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計(jì)技術(shù)要求

GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求

1?4?3關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求

2017年6月1日《網(wǎng)絡(luò)安全法》正式實(shí)施，具中第二章第二節(jié)規(guī)定了關(guān)鍵

信息基礎(chǔ)設(shè)施的運(yùn)行安全，包括關(guān)鍵信息基礎(chǔ)設(shè)施的范圍、保護(hù)的主要內(nèi)容等。

國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等

重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危

害國家安全、國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護(hù)制

度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。2019年12月3日，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員

會秘書處在北京組織召開了國家標(biāo)準(zhǔn)《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安

全保護(hù)基本要求》（報(bào)批稿）試點(diǎn)工作啟動(dòng)會。本次試點(diǎn)工作旨在驗(yàn)證《關(guān)?！?/p>

標(biāo)準(zhǔn)內(nèi)容的合理性和可操作性，為標(biāo)準(zhǔn)推廣實(shí)施積累經(jīng)驗(yàn)，為關(guān)鍵信息基礎(chǔ)設(shè)施

安全保護(hù)工作提供技術(shù)支撐。

2項(xiàng)目建設(shè)需求

2-1XX企業(yè)工控系統(tǒng)安全現(xiàn)狀

煤XX又稱煤炭高溫干儲。以煤為原料，在隔絕空氣條件下，加熱到950℃

左右，經(jīng)高溫干僧生產(chǎn)焦炭，同時(shí)獲得煤氣、煤焦油并回收其它化工產(chǎn)品的一種

煤轉(zhuǎn)化工藝。焦炭的主要用途是煉鐵，少量用作化工原料制造電石、電極等。

煤焦油是黑色粘稠性的油狀液體，其中含有苯、酚、蔡、慈、菲等重要化工原料,

它們是醫(yī)藥、農(nóng)藥、炸藥、染料等行業(yè)的原料，經(jīng)適當(dāng)處理可以一一加以分離。

7

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

XX企業(yè)主要包含備煤、焦?fàn)t、干熄焦、煤氣凈化等生產(chǎn)作業(yè)區(qū)域。各作業(yè)區(qū)域

控制系統(tǒng)大部分選用國外品牌，部分控制系統(tǒng)選用國內(nèi)和利時(shí)、浙大中控品牌。

生產(chǎn)主機(jī)及服務(wù)器操作系統(tǒng)大部分仍安裝WindowsXP/7/2003等操作系統(tǒng)，并且

無法升級。

典型XX企'業(yè)工控系統(tǒng)架構(gòu)圖如下：

圖1典型XX企業(yè)工控系統(tǒng)架構(gòu)圖

XX企業(yè)工控安全的脆弱性是指工控系統(tǒng)在防護(hù)措施中和在缺少防護(hù)措施時(shí)

系統(tǒng)所具有的弱點(diǎn)，而工控系統(tǒng)內(nèi)部的脆弱性問題是導(dǎo)致系統(tǒng)易受攻擊的主要因

素，脆弱性問題的根源可概括為以下幾個(gè)方面：

1）通信協(xié)議漏洞

化工行業(yè)大量工控系統(tǒng)中使用的協(xié)議設(shè)計(jì)之初主要保證通信實(shí)時(shí)性和可靠

性，實(shí)現(xiàn)這些目標(biāo)的同時(shí)犧牲了協(xié)議本身的安全性因素（例如認(rèn)證、授權(quán)、加密）,

存在大量安全性缺陷。同時(shí)隨著目前TCP/IP協(xié)議和0PC協(xié)議等通用協(xié)議越來越

廣泛地應(yīng)用在工業(yè)控制網(wǎng)絡(luò)中，隨之而來的通信協(xié)議漏洞問題也日益突出。

例如，OPCClassic協(xié)議（OPCDA,OPCHAD和OPCA&E）基于微軟的DCOM協(xié)

議，DCOM協(xié)議是在網(wǎng)絡(luò)安全問題被廣泛認(rèn)識之前設(shè)計(jì)的，極易受到攻擊，并且

OPC通訊采用不固定的端口號，導(dǎo)致目前幾乎無法使用傳統(tǒng)的IT防火墻來確保

其安全性。因此確保使用OPC通訊協(xié)議的工業(yè)控制系統(tǒng)的安全性和可靠性給工程

師帶來了極大的挑戰(zhàn)。

8

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

2）操作系統(tǒng)漏洞

目前大多數(shù)工業(yè)控制系統(tǒng)的上位機(jī)和服務(wù)器采用Windows系列、Unix系列

操作系統(tǒng)，為保證過程控制系統(tǒng)的相對獨(dú)立性和系統(tǒng)穩(wěn)定運(yùn)行，通常在系統(tǒng)運(yùn)行

后基本不會安裝任何補(bǔ)丁和升級，存在大量已知可利用漏洞和未知漏洞，從而埋

下安全隱患。

3）應(yīng)用軟件漏洞

由于應(yīng)用軟件多種多樣，很難形成統(tǒng)一的防護(hù)規(guī)范以應(yīng)對安全問題；另外當(dāng)

應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時(shí)，就必須開放其應(yīng)用端口。因此常規(guī)的IT防火墻等安

全設(shè)備很難保障其安全性?；ヂ?lián)網(wǎng)攻擊者很有可能會利用一些大型工程自動(dòng)化軟

件的安全漏洞獲取諸如軌道交通、污水處理廠、天然氣管道以及其他大型設(shè)備的

控制權(quán)，一旦這些控制權(quán)被不良意圖黑客所掌握，那么后果不堪設(shè)想。

4）丁控設(shè)備后門和漏洞

化工行業(yè)工控系統(tǒng)有其特有的運(yùn)維方式，供應(yīng)商對于出廠的設(shè)備除了采用現(xiàn)

場維護(hù)的手段外，還大量使用了遠(yuǎn)程運(yùn)維的方式,因此，供應(yīng)商、業(yè)主出于自身

便利與經(jīng)濟(jì)的考慮，往往默認(rèn)將工控設(shè)備內(nèi)置的調(diào)試后門打開，這同時(shí)也給了惡

意攻擊者可乘之機(jī)。

工控設(shè)備與傳統(tǒng)信息系統(tǒng)設(shè)備一樣，同樣存在各種安全漏洞，而工控系統(tǒng)補(bǔ)

丁常常難以及時(shí)更新，因此很多工控環(huán)境中都存在著高危漏洞。美國ICS-CERT

（工業(yè)控制系統(tǒng)應(yīng)急響應(yīng)小組）所出具的報(bào)告表明，工控設(shè)備的漏洞數(shù)量正在逐

年增加，其中數(shù)量最多的漏洞為明文傳輸?shù)耐ㄐ帕髁繑?shù)據(jù)、緩存溢出、拒絕服務(wù)

等高危漏洞。更為可怕的是，更多的工控設(shè)備漏洞并未公開發(fā)布，黑市上的工控

系統(tǒng)漏洞價(jià)格都高達(dá)幾十萬歐元。

5）網(wǎng)絡(luò)結(jié)構(gòu)漏洞

實(shí)際應(yīng)用中的許多控制網(wǎng)絡(luò)都是“敞開的”，不同的子系統(tǒng)之間都沒有有效

的隔離，尤其是基于OPC、MODBUS等通訊的工業(yè)控制網(wǎng)絡(luò)，和大量第三方智能化

設(shè)備及上級調(diào)度管理網(wǎng)對接，工控系統(tǒng)與其他系統(tǒng)之間存在大量的接口，且沒有

完善的數(shù)據(jù)隔離措施，從而導(dǎo)致如果有威脅通過某種方式進(jìn)入本系統(tǒng)網(wǎng)絡(luò)之內(nèi)，

將會很快的在整個(gè)內(nèi)外網(wǎng)絡(luò)內(nèi)擴(kuò)散。

6）安全策略和管理流程漏洞

9

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

追求可用性而犧牲安全性，是很多工業(yè)控制系統(tǒng)存在的普遍現(xiàn)象，缺乏完整

有效的安全策略與管理流程也給工業(yè)控制系統(tǒng)信息安全帶來了一定的威脅。例如

工業(yè)控制系統(tǒng)中移動(dòng)存儲介質(zhì)包括筆記本電腦、I盤等設(shè)備的使用和不嚴(yán)格的訪

問控制策略。

7）外部風(fēng)險(xiǎn)來源

控制系統(tǒng)面臨的外部威脅可以來自多種來源，包括敵對政府、恐怖組織、工

業(yè)間諜、心懷不滿的員工、惡意入侵者等。他們的主要目標(biāo)包括長期潛伏收集數(shù)

據(jù)和情報(bào)、破壞生產(chǎn)和基礎(chǔ)設(shè)施、竊取核心研發(fā)技術(shù)、要挾獲取利益等。

8）外部滲透手法

隨著生產(chǎn)網(wǎng)和企業(yè)網(wǎng)的深度融合，越來越多的攻擊者利用企業(yè)網(wǎng)作為跳板一

步一步進(jìn)入生產(chǎn)網(wǎng)，最終實(shí)現(xiàn)入侵工業(yè)控制系統(tǒng)的目標(biāo)。而通過近年來工控安全

事件的分析，主要的滲透方式包括：

?ATP攻擊：APT（高級可持續(xù)性威脅）是攻擊目標(biāo)非常明確的攻擊方式，

攻擊時(shí)會利用最新的0-day漏洞，通過攻擊技術(shù)精心組合與攻擊者之間的

協(xié)同，同時(shí)為了達(dá)到目的可進(jìn)行長期的持久性攻擊。近年來以震網(wǎng)為代表

的針對工業(yè)控制系統(tǒng)的攻擊事件都呈現(xiàn)了這些攻擊技術(shù)特征。

?魚叉式釣魚：是指誘導(dǎo)特定目標(biāo)連接黑客預(yù)先設(shè)定的陷阱。這種攻擊方

法的成功率很高，也非常常見。點(diǎn)擊鏈接、打開表格或者連接其他一些文

件都會感染病毒,一次簡單的點(diǎn)擊相當(dāng)于為攻擊者開啟了一扇電子門，這

樣他就可以接觸到你的內(nèi)部弱點(diǎn)了，2015年烏克蘭電網(wǎng)停電事件黑客就是

采用該方式成功入侵；

?網(wǎng)絡(luò)掃描/網(wǎng)絡(luò)嗅探：隨著工控系統(tǒng)集成的發(fā)展，工控系統(tǒng)通過互聯(lián)網(wǎng)/

內(nèi)聯(lián)網(wǎng)/外聯(lián)網(wǎng)進(jìn)行Web訪問等方式開始逐漸流行，工控系統(tǒng)直接暴露的風(fēng)

險(xiǎn)也不斷增加。黑客可以利用網(wǎng)絡(luò)掃描和嗅探工具發(fā)現(xiàn)暴露在外的工控系

統(tǒng)，發(fā)現(xiàn)漏洞進(jìn)行攻擊。比如利用Shodan搜索引擎，能搜索到兒乎所有與

網(wǎng)絡(luò)相連的工業(yè)控制系統(tǒng)。

?混合攻擊：采用前面幾種方式的組合手法對目標(biāo)進(jìn)行攻擊，黑客組織的

攻擊目標(biāo)從工業(yè)現(xiàn)場開始移動(dòng)，瞄向工控行業(yè)的最上游一一工控設(shè)備制造

商，從行業(yè)最上游打開缺口。比如以Havex所代表的“水坑式”攻擊通過

10

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

感染工控設(shè)備制造商官方網(wǎng)站升級程序包，達(dá)到滲透工控系統(tǒng)的目標(biāo)。

2-2等保建設(shè)需求分析

通過現(xiàn)場安全調(diào)研和信息匯總，針對現(xiàn)場的安全需求匯總歸納如下：

1）網(wǎng)絡(luò)通信層面

?安全域架溝設(shè)計(jì)缺失

整體架構(gòu)設(shè)計(jì)當(dāng)初考慮更多的是1.層網(wǎng)絡(luò)QES）與生產(chǎn)系統(tǒng)網(wǎng)絡(luò)通信可用

性問題，在辦公網(wǎng)與生產(chǎn)網(wǎng)之間沒有進(jìn)行安全隔離與控制，這極易導(dǎo)致生產(chǎn)系統(tǒng)

和生產(chǎn)數(shù)據(jù)未經(jīng)授權(quán)的訪問、病毒感染，生產(chǎn)業(yè)務(wù)拒絕式服務(wù)攻擊等安全風(fēng)險(xiǎn)造

成生產(chǎn)核心數(shù)據(jù)的泄露、加工代碼的惡意更改。生產(chǎn)網(wǎng)內(nèi)部不同生產(chǎn)區(qū)域之間的

安全防御機(jī)制沒有建立起來，容易造成某一生產(chǎn)系統(tǒng)遭受到攻擊很快就會擴(kuò)敦到

整個(gè)生產(chǎn)網(wǎng)內(nèi)部當(dāng)中。

?控制指令數(shù)據(jù)通信明文傳輸

目前控制系統(tǒng)沒有針對數(shù)據(jù)傳輸?shù)募用軝C(jī)制。管理網(wǎng)PC與生產(chǎn)數(shù)采服務(wù)器

之間通訊、上位機(jī)與PLC控制器的通訊之間都是明文數(shù)據(jù)傳輸，易被攻擊者竊聽、

解析和重放攻擊。

?工業(yè)控制安全審計(jì)機(jī)制缺失

控制系統(tǒng)內(nèi)部缺乏對系統(tǒng)日常流量數(shù)據(jù)的實(shí)時(shí)監(jiān)控，同時(shí)對于日常運(yùn)維人員

的操作指令下發(fā)、操作行為等沒有進(jìn)行安全審計(jì)管理，對于系統(tǒng)內(nèi)部出現(xiàn)的異常

流量、異常操作甚至人為原因造成的生產(chǎn)業(yè)務(wù)異常事件無法溯源，也無法找到事

件發(fā)生根本原因，最終無法對事件進(jìn)行定性分析二

2）主機(jī)設(shè)備系統(tǒng)層面

?現(xiàn)場設(shè)備（PLC、RTU）存在漏洞

目前XX企業(yè)工業(yè)控制系統(tǒng)使用的PLC品牌大多是SiemensS7.AB及三菱等

國外品牌，依據(jù)ICS-CERT統(tǒng)計(jì)的工業(yè)控制系統(tǒng)公開新增漏洞所涉及的工業(yè)控制

系統(tǒng)廠商占比中，Siemens設(shè)備占比28%（排名第一），同時(shí)這些新增漏洞按照可

能引起的攻擊威脅分類的統(tǒng)計(jì)及占比分析結(jié)果中，可引起業(yè)務(wù)中斷的拒絕服務(wù)類

漏洞占比33%（排名第一），利用他們可以竊取生產(chǎn)企業(yè)的生產(chǎn)計(jì)劃、工藝流程

等敏感信息，甚至獲得工控系統(tǒng)的控制權(quán)，干擾、破壞XX企業(yè)生產(chǎn)業(yè)務(wù)的正常

生產(chǎn)或運(yùn)營活動(dòng)。

11

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

?工程師站、操作員站和業(yè)務(wù)服務(wù)器缺乏安全防范機(jī)制

在整個(gè)內(nèi)部的工程師站、操作員站和業(yè)務(wù)服務(wù)器均為Windows系統(tǒng)，運(yùn)行多

年由于系統(tǒng)機(jī)制和系統(tǒng)穩(wěn)定性考慮并沒有做補(bǔ)丁安裝和升級工作，同時(shí)服務(wù)器上

安裝的殺毒軟件由于無法及時(shí)更新導(dǎo)致病毒查殺效果無法得到保證。對于這些主

機(jī)系統(tǒng)安全監(jiān)控防護(hù)機(jī)制兒乎失效，缺乏進(jìn)程監(jiān)控、移動(dòng)存儲設(shè)備監(jiān)控、遠(yuǎn)程維

護(hù)監(jiān)控、惡意代碼防范等措施。

?主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)身份認(rèn)證機(jī)制不完善

對于生產(chǎn)系統(tǒng)的工程師站、操作員站、業(yè)務(wù)系統(tǒng)服務(wù)器的身份認(rèn)證機(jī)制沒有

充分的安全性評估和驗(yàn)證，在以往的經(jīng)驗(yàn)中，大量中控室操作員站及監(jiān)控終端都

采用公用賬號（甚至是系統(tǒng)默認(rèn)賬號），且系統(tǒng)操作界面長期處于開放狀態(tài)，導(dǎo)

致進(jìn)出中控室的所有人員都可以對其進(jìn)行操作，可能存在被無關(guān)人員訪問操作員

站進(jìn)行未授權(quán)操作的安全風(fēng)險(xiǎn).

同時(shí)對于生產(chǎn)執(zhí)行系統(tǒng)（MES）的登陸賬戶權(quán)限申請流程和生產(chǎn)車間數(shù)采服

務(wù)器登陸賬號和權(quán)限劃分都沒有充分評估，可能存在登錄賬號和初始密碼都是默

認(rèn)賬號，并且沒有設(shè)置密碼保護(hù)策略的隱患。攻擊者可獲得系統(tǒng)控制權(quán)限，可任

意破壞、篡改生產(chǎn)數(shù)據(jù)庫。

綜上，現(xiàn)有信息化建設(shè)為企業(yè)帶來便利的同時(shí)也增加了企業(yè)生產(chǎn)與數(shù)據(jù)安全

風(fēng)險(xiǎn)主要集中在原始生產(chǎn)數(shù)據(jù)、工藝的泄露，原始生產(chǎn)數(shù)據(jù)的丟失，生產(chǎn)停車、

加工代碼篡改等風(fēng)險(xiǎn)。

3等級保護(hù)建設(shè)流程與基本要求

3-1等級保護(hù)建設(shè)流程

等級保護(hù)是根據(jù)需要保護(hù)的信息系統(tǒng)確定不同的安全等級，根據(jù)安全等級確

定不同等級的安全目標(biāo)，形成不同等級的安全措施進(jìn)行保護(hù)。

整體的安全保障體系包括技術(shù)和管理兩大部分，其中技術(shù)部分根據(jù)GB/T

22239-2019《信息技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》，分為安全物理環(huán)境、安

全通信網(wǎng)絡(luò)、安全計(jì)算環(huán)境、安全區(qū)域邊界、安全管理中心五個(gè)方面進(jìn)行建設(shè)；

而管理部分根據(jù)GB/T22239—2019《信息技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》則

分為安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管

12

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

理五個(gè)方面。

在滿足通用要求的基礎(chǔ)上，需要根據(jù)工業(yè)控制系統(tǒng)業(yè)務(wù)特性和技術(shù)特性選擇

“工業(yè)控制系統(tǒng)擴(kuò)展要求”進(jìn)行安全建設(shè)，從生產(chǎn)管理層、過程監(jiān)控程、現(xiàn)場控

制層到現(xiàn)場設(shè)備層進(jìn)行安全防護(hù)。

整個(gè)安全保障體系各部分既有機(jī)結(jié)合，又相互支撐。之間的關(guān)系可以理解為

“構(gòu)建安全管理機(jī)構(gòu)，制定完善的安全管理制度及安全策略，由相關(guān)人員，利用

技術(shù)手段及相關(guān)工具，進(jìn)行系統(tǒng)建設(shè)和運(yùn)行維護(hù)?！?/p>

部

?

lff

圖2等級保護(hù)建設(shè)流程

根據(jù)等級化安全保障體系的設(shè)計(jì)思路，等級保護(hù)的設(shè)計(jì)與實(shí)施通過以下步驟

進(jìn)行：

1）系統(tǒng)識別與定級：確定保護(hù)對象，通過分析系統(tǒng)所屬類型、所屬信息類別、

是否包含擴(kuò)展的系統(tǒng)類型、服務(wù)范圍以及業(yè)務(wù)對系統(tǒng)的依賴程度確定系統(tǒng)的等級。

通過此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的

等級，為下一步定級報(bào)告、備案表編制提供依據(jù)。

2）總體規(guī)劃：根據(jù)各等級的安全要求確定各等級的評估內(nèi)容，根據(jù)《網(wǎng)絡(luò)安全

等級保護(hù)基本要求》，對系統(tǒng)各層次安全域進(jìn)行有針對性的等級保護(hù)差距性分析。

通過差距性分析，可以明確各層次安全域相應(yīng)等級的安全差距，為下一步安全技

術(shù)解決方案設(shè)計(jì)和安全管理建設(shè)提供依據(jù)。

3）方案設(shè)計(jì)：根據(jù)安全域框架，設(shè)計(jì)系統(tǒng)各個(gè)層次的安全保障體系框架以及具

13

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

體方案。包括：各層次的安全保障體系框架形成系統(tǒng)整體的安全保障體系框架；

詳細(xì)安全技術(shù)設(shè)計(jì)、安全管理設(shè)計(jì)。

4）安全建設(shè)：根據(jù)方案設(shè)計(jì)內(nèi)容逐步進(jìn)行安全建設(shè)，滿足方案設(shè)計(jì)并要符合的

安全需求，滿足等級保護(hù)相應(yīng)等級的基本要求，實(shí)現(xiàn)按需防御。

5）持續(xù)安全運(yùn)營：通過態(tài)勢預(yù)警、安全監(jiān)測、安全加固、安全審計(jì)、應(yīng)急響應(yīng)

等，從事前、事中、事后三個(gè)方面進(jìn)行安全運(yùn)行維護(hù)，確保系統(tǒng)的持續(xù)安全，滿

足持續(xù)性按需防御的安全需求。

通過如上步驟，系統(tǒng)可以形成整體的等級化的安全保障體系，同時(shí)根據(jù)安全

技術(shù)建設(shè)和安全管理建設(shè)，保障XX企業(yè)生產(chǎn)控制系統(tǒng)整體的安全。等級保護(hù)不

是一個(gè)項(xiàng)目，而是一個(gè)不斷循環(huán)的過程，所以通過整個(gè)安全項(xiàng)目的實(shí)施，來保證

XX企業(yè)生產(chǎn)控制系統(tǒng)等級保護(hù)的建設(shè)能夠持續(xù)的運(yùn)行，能夠使整個(gè)系統(tǒng)隨著環(huán)

境的變化達(dá)到持續(xù)的安全.

3-2等級保護(hù)技術(shù)體系設(shè)計(jì)框架

對于工業(yè)控制系統(tǒng)根據(jù)被保護(hù)對象業(yè)務(wù)性質(zhì)分區(qū)，針對功能層次技術(shù)特點(diǎn)實(shí)

施信息安全等級保護(hù)設(shè)計(jì)，根據(jù)“一個(gè)中心”管理下的“三重防護(hù)”體系框架，

構(gòu)建在安全管理中心支持下的通信網(wǎng)絡(luò)、區(qū)域邊界、計(jì)算環(huán)境三重防御體系，采

用分層、分區(qū)的架構(gòu)，結(jié)合工業(yè)控制系統(tǒng)總線協(xié)議復(fù)雜多樣、實(shí)時(shí)性要求強(qiáng)、節(jié)

點(diǎn)計(jì)算資源有限、設(shè)備可靠性要求高、故障恢復(fù)時(shí)間短、安全機(jī)制不能影響實(shí)時(shí)

性等特點(diǎn)進(jìn)行設(shè)計(jì)，以實(shí)現(xiàn)可信、可控、可管的系統(tǒng)安全互聯(lián)、區(qū)域邊界安全防

護(hù)和計(jì)算環(huán)境安全。

14

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

海4層企業(yè)經(jīng)營官怎

第3層和第4任之詞通信刖3C安

全

第3國出*環(huán)僦京3區(qū)邊界曉今

管

整

第2區(qū)和京3區(qū)之詞?信網(wǎng)絡(luò)□C

中

JC心

JC信息安全區(qū)域G

區(qū)域邊界防滬區(qū)愫邊界防護(hù)u

GS6!安全區(qū)國

工業(yè)控制系統(tǒng)

血后HWWKI第2區(qū)協(xié)理防護(hù)

等級保護(hù)36?底rtBUf-m語2匹JD7TIBF

TErrabacE

血區(qū)和就2居1r

,.[G

之同i*信網(wǎng)珞，U信息安全區(qū)發(fā)：n：

/之河通侑網(wǎng)絡(luò)r1

區(qū)歧邊界防抑區(qū)嫉邊界防滬也

?>KiHJ環(huán)1ftmiE也郭時(shí)滬w

信息安全k

氤）后和爭1信＜:l

:同?信網(wǎng)絡(luò).

第o法計(jì)H壞培moC也郭防滬gg

口

的

物

、

圖3工業(yè)控制系統(tǒng)等級保護(hù)方案設(shè)計(jì)框架

3-3等級保護(hù)三級技術(shù)要求及建議

3?3?1安全物理環(huán)境

通用要求

層面控制點(diǎn)要求項(xiàng)安全建議

a）機(jī)房場地應(yīng)選擇在具有防按照要求進(jìn)行物理位置選址。

震、防風(fēng)和防雨等能力的建筑

8.1.1.1

內(nèi)；

物理位置

b）機(jī)房場地應(yīng)避免設(shè)在建筑按照要求進(jìn)行樓層的選擇，或者

選擇

物的頂層或地下室，否則應(yīng)加提供有效的防水和防潮措施。

強(qiáng)防水和防潮措施。

8.1.1

安全物8.1.1.2機(jī)房出入口應(yīng)配置電子門禁系按照要求配備電子門禁，對進(jìn)出

理環(huán)境

物埋訪問統(tǒng)，控制、鑒別和記錄進(jìn)入的人員采用陪同或監(jiān)控設(shè)備進(jìn)行限

控制人員。制和監(jiān)控。

a）應(yīng)將設(shè)備或主要部件進(jìn)行按照基本要求進(jìn)行建設(shè)。

8.1.1.3

固定，并設(shè)置明顯的不易除去制定防盜竊防破壞相關(guān)管理制

防盜竊和

的標(biāo)識；度。

防破壞

b）應(yīng)將通信線纜鋪設(shè)在隱蔽進(jìn)行光、電技術(shù)防盜報(bào)警系統(tǒng)的

15

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

安全處；配備，或者專人值守的視頻監(jiān)控

c）應(yīng)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)系統(tǒng)。

或設(shè)置有專人值守的視頻監(jiān)控

系統(tǒng)。

a）應(yīng)將各類機(jī)柜、設(shè)施和設(shè)備按照基本要求進(jìn)行建設(shè)。

等通過接地系統(tǒng)安全接地：設(shè)置防雷保安器，過壓保護(hù)裝置。

8.1.1.4

b）應(yīng)采取措施防止感應(yīng)雷，例

防雷擊

如設(shè)置防雷保安器或過壓保護(hù)

裝置等。

a）機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防按照基本要求進(jìn)行建設(shè)。

系統(tǒng)，能夠自動(dòng)檢測火情、自進(jìn)行消防、耐火、隔離等措施,

動(dòng)報(bào)警，并自動(dòng)滅火；

b）機(jī)房及相關(guān)的工作房間和

8.1.1.5

輔助房應(yīng)采用具有耐火等級的

防火

建筑材料；

c）應(yīng)對機(jī)房劃分區(qū)域進(jìn)行管

理，區(qū)域和區(qū)域之間設(shè)置隔離

防火措施。

a）應(yīng)采取措施防止雨水通過按照基本要求進(jìn)行建設(shè)。

機(jī)房窗戶、屋頂和墻壁滲透；進(jìn)行防水檢測儀表的安裝使用，

b）應(yīng)采取措施防止機(jī)房內(nèi)水

8.1.1.6

蒸氣結(jié)露和地卜.枳水的轉(zhuǎn)移與

防水和防

滲透；

潮

c）應(yīng)安裝對水敏感的檢測儀

表或元件，對機(jī)房進(jìn)行防水檢

測和報(bào)警。

a）應(yīng)采用防靜電地板或地面按照基本要求進(jìn)行建設(shè)。

8.1.1.7

并采用必要的接地防靜電措進(jìn)行靜電消除器、防靜電手環(huán)安

防靜電

施；裝使用。

16

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

b）應(yīng)采取措施防止靜電的產(chǎn)

生，例如采用靜電消除器、佩

戴防靜電手環(huán)等。

8.1.1.8應(yīng)設(shè)置溫濕度自動(dòng)調(diào)節(jié)設(shè)施，配備機(jī)房空調(diào)系統(tǒng)。

溫濕度控使機(jī)房溫濕度的變化在設(shè)備運(yùn)

制行所允許的范圍之內(nèi)。

a）應(yīng)在機(jī)房供電線路上配置配備穩(wěn)壓器和過電壓防護(hù)設(shè)備，

穩(wěn)壓器和過電壓防護(hù)設(shè)備：

b）應(yīng)提供短期的備用電力供配備UPS系統(tǒng)。設(shè)置冗余或并行

8.1.1.9

應(yīng)，至少滿足設(shè)備在斷電情況的電力電纜線路，建立備用供電

電力供應(yīng)

下的正常運(yùn)行要求；系統(tǒng)。

c）應(yīng)設(shè)置冗余或并行的電力按照要求配備冗余電力電纜線

電纜線路為計(jì)算機(jī)系統(tǒng)供電。路。

a）電源線和通信線纜應(yīng)隔離按照基本要求進(jìn)行建設(shè)。

8.1.1.10鋪設(shè),避免互相干擾;

電磁防護(hù)b）應(yīng)對關(guān)鍵設(shè)備實(shí)施電磁屏進(jìn)行接地，采取必要的電磁屏蔽

蔽。措施。

工業(yè)控制系統(tǒng)擴(kuò)展要求

a）室外控制設(shè)備應(yīng)放置于采無需配置，防護(hù)對象在室內(nèi)。

用鐵板或其他防火材料制作的

箱體或裝置中并緊固；箱體或

裝置具有透風(fēng)、散熱、防盜、

8.5.1.1

8.5.1

室外控制防雨和防火能力等；

安全物

設(shè)備物理

理環(huán)境b）室外控制設(shè)備放置應(yīng)遠(yuǎn)離無需配置，防護(hù)對象在室內(nèi)。

防護(hù)

強(qiáng)電磁干擾、強(qiáng)熱源等環(huán)境，

如無法避免應(yīng)及時(shí)做好應(yīng)急處

置及檢修，保證設(shè)備正常運(yùn)

行。

17

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)三級建設(shè)方案

3?3?2安全通信網(wǎng)絡(luò)

通用要求

層面控制點(diǎn)要求項(xiàng)建設(shè)建議

a）應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處根據(jù)高峰業(yè)務(wù)流量，關(guān)鍵設(shè)備選

理能力滿足業(yè)務(wù)高峰期需要；擇高端設(shè)備，核心交換設(shè)備和接

b）應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶入設(shè)備帶寬能夠支撐業(yè)務(wù)高峰

寬滿足業(yè)務(wù)高峰期需要；的數(shù)據(jù)量，

c）應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并主要網(wǎng)絡(luò)設(shè)備的處理能力以及

按照方便管理和控制的原則為各部分帶寬均需滿足業(yè)務(wù)高峰

8.1.2.1各網(wǎng)絡(luò)區(qū)域分配地址；需要；

網(wǎng)絡(luò)架構(gòu)d）應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部將重要區(qū)域采用專用的技術(shù)隔

署在邊界處，重要網(wǎng)絡(luò)區(qū)域與離措施；