下载文档原格式
2016年10月印发工业控制系统信息安全防护指南2016年10月印发工业控制系统信息安全防护指南一、引言及背景工业控制系统在现代社会的发展中扮演着重要的角色，它们被广泛应用于各个领域，如电力、石油、化工、交通等。
然而，随着信息技术的高速发展和互联网的普及，工业控制系统面临着越来越严峻的信息安全威胁。
为了加强对工业控制系统的信息安全保护，2016年10月，《工业控制系统信息安全防护指南》正式印发。
二、工业控制系统信息安全的挑战1. 工业控制系统与信息技术的融合随着信息技术的飞速发展，工业控制系统逐渐向数字化、网络化、智能化方向发展。
然而，这也给系统的信息安全带来了新的挑战。
工业控制系统的融合使其面临着来自互联网的恶意攻击、勒索软件的威胁、物联网的安全漏洞等问题。
2. 特殊性和复杂性与传统的信息系统相比，工业控制系统有其特殊性和复杂性。
工业控制系统往往运行在恶劣环境中，硬件设备的更新换代周期长，对系统进行升级和更新的难度较大。
工业控制系统中的设备和组件众多，其相互之间的交互复杂，因此对信息安全的防护要求更高。
三、《工业控制系统信息安全防护指南》的意义及主要内容1. 意义《工业控制系统信息安全防护指南》的印发，标志着我国对工业控制系统信息安全重要性的认识和重视程度的提高。
这一指南的出台对于保护工业控制系统的安全、稳定和可靠运行具有重大意义，有助于提高我国关键基础设施的信息安全。
2. 主要内容《工业控制系统信息安全防护指南》主要涵盖了以下几个方面的内容：(1) 工业控制系统的安全需求分析：通过对工业控制系统的特性和需求进行分析，明确安全防护的目标和重点。
(2) 工业控制系统的信息安全架构：指导工业控制系统的安全架构设计，包括系统组成、网络拓扑和安全策略等方面的设计原则。
(3) 工业控制系统的安全运维：提供工业控制系统安全运维的指导原则，包括设备管理、访问控制、事件处理等方面的内容。
(4) 工业控制系统的安全评估和测试：介绍工业控制系统安全评估和测试的方法和技术，帮助企业及时发现和修复安全漏洞。
2016年10月印发工业控制系统信息安全防护指南2016年10月，工业控制系统信息安全防护指南正式印发。
这是我国为了加强工业领域信息安全而采取的一项重要举措，也是对工业控制系统安全防护的重要指引。
工业控制系统是现代工业生产过程中不可或缺的一部分，它负责控制和监控生产设备的运行。
然而，随着信息技术的发展，工业控制系统也面临着越来越严重的安全威胁。
黑客攻击、病毒传播、数据泄露等安全问题对工业控制系统的稳定运行和生产安全造成了严重威胁。
为了提高工业控制系统的信息安全性，防止安全事件的发生，该指南提供了一系列的防护措施和技术要求。
首先，该指南强调了安全教育的重要性，要求企业对员工进行信息安全意识培训，提高他们对安全威胁的认识和应对能力。
同时，该指南还详细介绍了密码管理、远程访问控制、漏洞管理等技术要求，为安全防护提供了具体指导。
除了技术层面的要求，该指南还强调了信息共享的重要性。
在面对复杂多变的安全威胁时，信息共享可以帮助企业形成合力，共同应对安全挑战。
该指南建议企业加强与相关安全组织和专家的合作，积极参与信息安全漏洞的共享和修复。
这将有助于提高工业控制系统的整体安全性。
该指南还对安全防护的组织管理提出了要求。
企业应该建立健全的信息安全管理制度，明确责任，完善工业控制系统的安全审计和监控体系。
同时，企业还应该定期进行风险评估和安全检查，及时发现和修复潜在的安全风险。
总之，2016年10月印发的工业控制系统信息安全防护指南为工控系统安全提供了重要的指导和支持。
只有加强安全意识培训、采取科学的防护措施、加强信息共享和健全管理制度，才能有效应对安全威胁，保障工业控制系统的顺利运行和生产安全。
解读工业控制系统信息安全防护指南工业控制系统（Industrial Control System，简称ICS）作为现代工业领域的关键基础设施，在数字化转型的浪潮中扮演着越来越重要的角色。
然而，随着网络攻击日益复杂和频繁，工业控制系统面临着信息安全的重大挑战。
为了保护工业控制系统的安全性，制定并实施一套科学合理的信息安全防护指南变得至关重要。
本文将解读工业控制系统信息安全防护指南，帮助读者加深对工业控制系统信息安全的理解，并提供一些实用的建议。
一、工业控制系统信息安全现状分析随着工业控制系统与互联网的深度融合，工业控制系统信息安全面临着前所未有的挑战。
网络攻击手段日益多样化，传统的信息安全措施已经无法满足工业控制系统的需求。
此外，许多工业控制系统在设计和实施过程中存在漏洞和弱点，给攻击者提供了可乘之机。
因此，制定一套适合工业控制系统特点的信息安全防护指南势在必行。
二、工业控制系统信息安全防护指南的构成1. 安全策略与管理工业控制系统信息安全防护指南的基础是制定和执行安全策略与管理措施。
包括制定安全政策、风险评估与管理、安全培训与意识培养等，旨在确保系统操作人员和管理人员对信息安全的重要性有清晰的认识，并且能够采取必要的防护措施。
2. 边界防护边界防护是工业控制系统信息安全的第一道防线。
通过实施防火墙、入侵检测系统、虚拟专用网络等技术手段，限制来自外部网络的访问和攻击，并及时发现和响应潜在的安全威胁。
3. 身份认证与访问控制工业控制系统需要实现严格的身份认证与访问控制，确保只有经过授权的人员才能访问系统和进行相关操作。
这可以通过密码、智能卡、双因素认证等方式实现，并且需要对访问行为进行审计和监控。
4. 数据保护与隔离数据的保护与隔离是工业控制系统信息安全的关键环节。
通过加密通信、权限控制、数据备份等手段，确保工业控制系统中的数据不被非法获取、篡改或破坏，并保持数据的完整性和可靠性。
5. 恶意代码防护工业控制系统信息安全防护指南应包括恶意代码防护策略。
《工业控制系统信息安全防护指南》解读发布时间：2016-11-08 来源：信息化和软件服务业司工业控制系统信息安全（以下简称“工控安全”）是国家网络和信息安全的重要组成部分，是推动中国制造2025、制造业与互联网融合发展的基础保障。
2016年10月，工业和信息化部印发《工业控制系统信息安全防护指南》（以下简称《指南》），指导工业企业开展工控安全防护工作。
一、背景情况工控安全事关经济发展、社会稳定和国家安全。
近年来，随着信息化和工业化融合的不断深入，工业控制系统从单机走向互联，从封闭走向开放，从自动化走向智能化。
在生产力显著提高的同时，工业控制系统面临着日益严峻的信息安全威胁。
为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号）文件精神，应对新时期工控安全形势，提升工业企业工控安全防护水平，编制本《指南》。
二、总体考虑《指南》坚持“安全是发展的前提，发展是安全的保障”，以当前我国工业控制系统面临的安全问题为出发点，注重防护要求的可执行性，从管理、技术两方面明确工业企业工控安全防护要求。
编制思路如下：（一）落实《国家网络安全法》要求《指南》所列11项要求充分体现了《国家网络安全法》中网络安全支持与促进、网络运行安全、网络信息安全、监测预警与应急处置等法规在工控安全领域的要求，是《国家网络安全法》在工业领域的具体应用。
（二）突出工业企业主体责任《指南》根据我国工控安全管理工作实践经验，面向工业企业提出工控安全防护要求，确立企业作为工控安全责任主体，要求企业明确工控安全管理责任人，落实工控安全责任制。
（三）考虑我国工控安全现状《指南》编制以近五年我部工控安全检查工作掌握的有关情况为基础，充分考虑当前工控安全防护意识不到位、管理责任不明晰、访问控制策略不完善等问题，明确了《指南》的各项要求。
（四）借鉴发达国家工控安全防护经验《指南》参考了美国、欧盟、日本等发达国家工控安全相关政策、标准和最佳实践做法，对安全软件选择与管理、配置与补丁管理、边界安全防护等措施进行了论证，提高了《指南》的科学性、合理性和可操作性。
工业掌握系统信息安全防护指南工信部2022 年 10 月公布工业掌握系统信息安全事关经济进展、社会稳定和国家安全。
为提升工业企业工业掌握系统信息安全〔以下简称工控安全〕防护水平，保障工业掌握系统安全，制定本指南。
工业掌握系统应用企业以及从事工业掌握系统规划、设计、建设、运维、评估的企事业单位适用本指南。
工业掌握系统应用企业应从以下十一个方面做好工控安全防护工作。
一、安全软件选择与治理〔一〕在工业主机上承受经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。
〔二〕建立防病毒和恶意软件入侵治理机制，对工业掌握系统及临时接入的设备实行病毒查杀等安全预防措施。
二、配置和补丁治理〔一〕做好工业掌握网络、工业主机和工业掌握设备的安全配置，建立工业掌握系统配置清单，定期进展配置审计。
〔二〕对重大配置变更制定变更打算并进展影响分析，配置变更实施前进展严格安全测试。
〔三〕亲热关留意大工控安全漏洞及其补丁公布，准时实行补丁升级措施。
在补丁安装前，需对补丁进展严格的安全评估和测试验证。
三、边界安全防护〔一〕分别工业掌握系统的开发、测试和生产环境。
〔二〕通过工业掌握网络边界防护设备对工业掌握网络与企业网或互联网之间的边界进展安全防护，制止没有防护的工业控制网络与互联网连接。
〔三〕通过工业防火墙、网闸等防护设备对工业掌握网络安全区域之间进展规律隔离安全防护。
四、物理和环境安全防护〔一〕对重要工程师站、数据库、效劳器等核心工业掌握软硬件所在区域实行访问掌握、视频监控、专人值守等物理安全防护措施。
〔二〕撤除或封闭工业主机上不必要的 USB、光驱、无线等接口。
假设确需使用，通过主机外设安全治理技术手段实施严格访问掌握。
五、身份认证〔一〕在工业主机登录、应用效劳资源访问、工业云平台访问等过程中使用身份认证治理。
对于关键设备、系统和平台的访问承受多因素认证。
〔二〕合理分类设置账户权限，以最小特权原则安排账户权限。
解读《工业控制系统信息安全防护指南》工业控制系统信息安全防护指南》是为了贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》而制定的。
该指南是根据政策层面的指导思想和要求编制的，旨在保障工业企业工业控制系统信息安全。
政策中明确要求提高工业信息系统安全水平，___根据要求编制了《___关于印发信息化和工业化融合发展规划（2016-2020年）》，其中提到工业信息安全形势日益严峻，对两化融合发展提出新要求。
工业控制系统信息安全防护指南》提出了十一条三十款要求，贴近实际工业企业真实情况，务实可落地。
指南的整体思路借鉴了等级保护的思想。
这些要求可以分为三大类，即针对主体目标（法人或人）的要求、针对工业控制系统的要求和针对安全管理的要求。
针对主体目标的要求包括第十条供应链管理和第十一条人员责任。
在选择工业控制系统规划、设计、建设、运维或评估等服务商时，应优先考虑具备工控安全防护经验的企事业单位，并以合同等方式明确服务商应承担的信息安全责任和义务。
同时，要求与工业控制系统安全服务方签定保密协议，要求服务商及其服务人员严格做好保密工作，尤其对工业控制系统内部的敏感信息进行重点保护，防范敏感信息外泄。
除此之外，《工业控制系统信息安全防护指南》还提出了其他要求，如加强网络安全防护、加强物理安全防护、加强安全事件应急处置等。
这些要求的提出有助于逐步完善工业信息安全保障体系，进一步提高工业信息系统的安全水平。
为了加强工控安全，需要建立工控安全管理机制并成立信息安全协调小组，明确工控安全管理责任人，部署工控安全防护措施。
这个职能部门应负责工业控制系统全生命周期的安全防护体系建设和管理，制定安全管理方针，持续实施和改进工业控制系统的安全防护能力，不断提升工业控制系统防攻击和抗干扰的水平。
针对资产和数据的安全要求，需要建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置原则。
所有资产应指定责任人，并且明确责任人的职责，明确资产使用权。
解读工业控制系统信息安全防护指南工业控制系统信息安全防护指南是一份为工业控制系统提供信息安全防护措施的指南。
工业控制系统（Industrial Control System，简称ICS）是用于控制、监测和管理工业过程的计算机系统，包括传统的工控系统、自动化系统和物联网系统。
由于工控系统与现代工业生产密切相关，其信息安全受到了越来越多的关注。
该指南的目的是为工业控制系统提供一套全面的信息安全防护措施，以保护系统的机密性、完整性和可用性。
该指南从系统架构设计、访问控制、数据防护、安全监测、漏洞管理等多个方面介绍了必要的安全防护手段。
首先，该指南强调了系统架构设计的重要性。
在设计工控系统时，应考虑将安全作为设计的基本原则，包括划定网络边界、使用安全网络设备、实施网络分段和隔离等。
这些设计原则有助于提高系统的安全性，防止未经授权的网络入侵。
其次，该指南对访问控制方面进行了详细介绍。
访问控制是保护工控系统安全的关键环节，可以通过身份认证、访问控制列表、权限管理等方式实施。
指南建议采用多层次的访问控制策略，以确保只有合法用户能够访问系统，从而避免非法入侵和数据泄露。
在数据防护方面，该指南强调了数据加密、数据备份和灾备等重要措施。
数据加密可以防止数据被恶意篡改或窃取，备份和灾备措施可以在系统故障或攻击事件发生时提供紧急恢复能力，降低损失。
另外，该指南还介绍了安全监测和漏洞管理的重要性。
安全监测可以通过流量监测、事件日志分析等手段实时监控系统的安全状况，及时发现异常行为和攻击。
漏洞管理包括定期对系统和软件进行安全扫描和更新，修复系统中存在的漏洞，以减少系统被攻击的风险。
综上所述，工业控制系统信息安全防护指南提供了一套全面的安全防护措施，帮助工业控制系统提高信息安全性。
通过系统架构设计、访问控制、数据防护、安全监测和漏洞管理等多个方面的安全措施，可以有效减少工控系统被攻击的风险，保护系统的机密性、完整性和可用性，确保工控系统的稳定运行。
工业和信息化部关于《工业控制系统网络安全防护指南》的解读文章属性•【公布机关】工业和信息化部,工业和信息化部,工业和信息化部•【公布日期】2024.01.30•【分类】法规、规章解读正文《工业控制系统网络安全防护指南》解读近日，工业和信息化部印发了《工业控制系统网络安全防护指南》（以下简称《防护指南》）。
现将有关内容解读如下：一、《防护指南》出台的背景和意义是什么？工业控制系统作为工业生产运行的基础核心，其网络安全事关企业运营和生产安全、事关产业链供应链安全稳定、事关经济社会运行和国家安全。
2016年，工业和信息化部出台《工业控制系统信息安全防护指南》，对有效指导工业企业开展工控安全防护工作发挥了积极作用。
2017年以来，我国相继颁布了《网络安全法》《数据安全法》《密码法》等法律法规及行业应用方面的部门规章，现有政策文件未能充分衔接相关法律法规要求。
与此同时，工业企业数字化转型步伐加快，工业控制系统开放互联趋势明显，工业企业面临的网络安全风险与日俱增，工业企业加强网络安全防护需求迫切。
为做好《防护指南》编制工作，工业和信息化部结合新形势新要求，系统全面调研，深入分析新时期工控安全风险和企业安全防护需求，广泛征集地方工信主管部门、行业协会、部属单位、工控厂商、工业企业、安全企业、专家学者等各方意见。
《防护指南》将有效满足当前和未来一个时期工控系统安全防护需求，指导工业企业切实提升工业控制系统网络安全基线防护水平，推动企业数字化转型发展。
二、《防护指南》适用对象有哪些？《防护指南》适用于使用、运营工业控制系统的企业。
防护对象包括工业控制系统以及被网络攻击后可直接或间接影响生产运行的其他设备和系统。
三、《防护指南》的定位和总体考虑是什么？《防护指南》定位于面向工业企业做好网络安全防护的指导性文件，坚持统筹发展和安全，围绕安全管理、技术防护、安全运营、责任落实四方面，提出三十三项指导性安全防护基线要求，推动解决走好新型工业化道路过程中工业控制系统网络安全面临的突出问题。
《工业控制系统信息安全防护指南》工业控制系统（ICS）是用于管理和控制基础设施、大型设备和数控系统等的自动化系统，包括一系列基础设施，如电厂、矿井、污水处理厂、港口、石油管道等。
由于庞大的规模和复杂的技术结构，这些系统存在许多安全隐患，使其极易受到各类网络攻击和软件漏洞侵害。
因此，保护工业控制系统的信息安全非常重要。
工业控制系统信息安全防护的基本原则包括：防范性安全、可恢复性、访问控制、安全监控和安全管理。
首先，工厂应该采取防范性措施，通过重点防护工业控制系统信息安全，保护系统免受外部攻击。
其次，应当加强系统可靠性，建立可恢复机制，在灾难发生后能够尽快恢复系统的正常运行。
此外，应该建立多层次的访问控制，并根据角色和权限设定访问权限。
同时，要建立安全监控系统，实时发现威胁和漏漏洞，及时采取有效的应急措施。
最后，要制定有效的安全管理制度，规范操作流程，加强员工管理，减少不当操作。
为了更好地防护工业控制系统信息安全，应当采用有效的安全策略和技术手段。
首先，要做好物理防护，防止外部攻击者进入系统，保护系统的安全。
其次，应使用多种技术手段，如基于规则的防火墙和入侵检测系统等，防止外部攻击者攻击系统。
此外，应当提高数据安全性，使用强制性的加密技术，如TLS/SSL加密，以及数据完整性验证和日志记录，有效地防止数据泄露和篡改。
最后，还应当进行安全设备维护和安全审计，通过定期审计来发现安全漏洞，并及时采取有效的措施进行修补。
总之，保护工业控制系统信息安全必须采取有效措施，加强物理防护、数据安全性、安全设备维护和安全审计等方面的保护，以防止安全威胁的发生和损害系统的正常运行。
因此，企业在建立工业控制系统信息安全防护指南时，应根据本身的实际情况，采取切实有效的防护措施，确保系统的安全性和可靠性。
《工业控制系统信息安全防护指南》解读发布时间：2016-11-08来源：信息化和软件服务业司工业控制系统信息安全（以下简称“工控安全”）是国家网络和信息安全的重要组成部分，是推动中国制造2025、制造业与互联网融合发展的基础保障。
2016年10月，工业和信息化部印发《工业控制系统信息安全防护指南》（以下简称《指南》），指导工业企业开展工控安全防护工作。
一、背景情况工控安全事关经济发展、社会稳定和国家安全。
近年来，随着信息化和工业化融合的不断深入，工业控制系统从单机走向互联，从封闭走向开放，从自动化走向智能化。
在生产力显著提高的同时，工业控制系统面临着日益严峻的信息安全威胁。
为贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号）文件精神，应对新时期工控安全形势，提升工业企业工控安全防护水平，编制本《指南》。
二、总体考虑《指南》坚持“安全是发展的前提，发展是安全的保障”，以当前我国工业控制系统面临的安全问题为出发点，注重防护要求的可执行性，从管理、技术两方面明确工业企业工控安全防护要求。
编制思路如下：（一）落实《国家网络安全法》要求《指南》所列11项要求充分体现了《国家网络安全法》中网络安全支持与促进、网络运行安全、网络信息安全、监测预警与应急处置等法规在工控安全领域的要求，是《国家网络安全法》在工业领域的具体应用。
（二）突出工业企业主体责任《指南》根据我国工控安全管理工作实践经验，面向工业企业提出工控安全防护要求，确立企业作为工控安全责任主体，要求企业明确工控安全管理责任人，落实工控安全责任制。
（三）考虑我国工控安全现状《指南》编制以近五年我部工控安全检查工作掌握的有关情况为基础，充分考虑当前工控安全防护意识不到位、管理责任不明晰、访问控制策略不完善等问题，明确了《指南》的各项要求。
（四）借鉴发达国家工控安全防护经验《指南》参考了美国、欧盟、日本等发达国家工控安全相关政策、标准和最佳实践做法，对安全软件选择与管理、配置与补丁管理、边界安全防护等措施进行了论证，提高了《指南》的科学性、合理性和可操作性。
（五）强调工业控制系统全生命周期安全防护《指南》涵盖工业控制系统设计、选型、建设、测试、运行、检修、废弃各阶段防护工作要求，从安全软件选型、访问控制策略构建、数据安全保护、资产配置管理等方面提出了具体实施细则。
三、内容详解《指南》坚持企业的主体责任及政府的监管、服务职责，聚焦系统防护、安全管理等安全保障重点，提出了11项防护要求，具体解读如下：（一）安全软件选择与管理1.在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。
解读：工业控制系统对系统可用性、实时性要求较高，工业主机如MES服务器、OPC服务器、数据库服务器、工程师站、操作员站等应用的安全软件应事先在离线环境中进行测试与验证，其中，离线环境指的是与生产环境物理隔离的环境。
验证和测试内容包括安全软件的功能性、兼容性及安全性等。
2.建立防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。
解读：工业企业需要建立工业控制系统防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采用必要的安全预防措施。
安全预防措施包括定期扫描病毒和恶意软件、定期更新病毒库、查杀临时接入设备（如临时接入U盘、移动终端等外设）等。
（二）配置和补丁管理1.做好工业控制网络、工业主机和工业控制设备的安全配置，建立工业控制系统配置清单，定期进行配置审计。
解读：工业企业应做好虚拟局域网隔离、端口禁用等工业控制网络安全配置，远程控制管理、默认账户管理等工业主机安全配置，口令策略合规性等工业控制设备安全配置，建立相应的配置清单，制定责任人定期进行管理和维护，并定期进行配置核查审计。
2.对重大配置变更制定变更计划并进行影响分析，配置变更实施前进行严格安全测试。
解读：当发生重大配置变更时，工业企业应及时制定变更计划，明确变更时间、变更内容、变更责任人、变更审批、变更验证等事项。
其中，重大配置变更是指重大漏洞补丁更新、安全设备的新增或减少、安全域的重新划分等。
同时，应对变更过程中可能出现的风险进行分析，形成分析报告，并在离线环境中对配置变更进行安全性验证。
3.密切关注重大工控安全漏洞及其补丁发布，及时采取补丁升级措施。
在补丁安装前，需对补丁进行严格的安全评估和测试验证。
解读：工业企业应密切关注CNVD、CNNVD等漏洞库及设备厂商发布的补丁。
当重大漏洞及其补丁发布时，根据企业自身情况及变更计划，在离线环境中对补丁进行严格的安全评估和测试验证，对通过安全评估和测试验证的补丁及时升级。
（三）边界安全防护1.分离工业控制系统的开发、测试和生产环境。
解读：工业控制系统的开发、测试和生产环境需执行不同的安全控制措施，工业企业可采用物理隔离、网络逻辑隔离等方式进行隔离。
2.通过工业控制网络边界防护设备对工业控制网络与企业网或互联网之间的边界进行安全防护，禁止没有防护的工业控制网络与互联网连接。
解读：工业控制网络边界安全防护设备包括工业防火墙、工业网闸、单向隔离设备及企业定制的边界安全防护网关等。
工业企业应根据实际情况，在不同网络边界之间部署边界安全防护设备，实现安全访问控制，阻断非法网络访问，严格禁止没有防护的工业控制网络与互联网连接。
3.通过工业防火墙、网闸等防护设备对工业控制网络安全区域之间进行逻辑隔离安全防护。
解读：工业控制系统网络安全区域根据区域重要性和业务需求进行划分。
区域之间的安全防护，可采用工业防火墙、网闸等设备进行逻辑隔离安全防护。
（四）物理和环境安全防护1.对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。
解读：工业企业应对重要工业控制系统资产所在区域，采用适当的物理安全防护措施。
2.拆除或封闭工业主机上不必要的USB、光驱、无线等接口。
若确需使用，通过主机外设安全管理技术手段实施严格访问控制。
解读：USB、光驱、无线等工业主机外设的使用，为病毒、木马、蠕虫等恶意代码入侵提供了途径，拆除或封闭工业主机上不必要的外设接口可减少被感染的风险。
确需使用时，可采用主机外设统一管理设备、隔离存放有外设接口的工业主机等安全管理技术手段。
（五）身份认证1.在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。
对于关键设备、系统和平台的访问采用多因素认证。
用户在登录工业主机、访问应用服务资源及工业云平台等过程中，应使用口令密码、USB-key、智能卡、生物指纹、虹膜等身份认证管理手段，必要时可同时采用多种认证手段。
2.合理分类设置账户权限，以最小特权原则分配账户权限。
解读：工业企业应以满足工作要求的最小特权原则来进行系统账户权限分配，确保因事故、错误、篡改等原因造成的损失最小化。
工业企业需定期审计分配的账户权限是否超出工作需要。
3.强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码，避免使用默认口令或弱口令,定期更新口令。
解读：工业企业可参考供应商推荐的设置规则，并根据资产重要性，为工业控制设备、SCADA软件、工业通信设备等设定不同强度的登录账户及密码，并进行定期更新，避免使用默认口令或弱口令。
4.加强对身份认证证书信息保护力度，禁止在不同系统和网络环境下共享。
解读：工业企业可采用USB-key等安全介质存储身份认证证书信息，建立相关制度对证书的申请、发放、使用、吊销等过程进行严格控制，保证不同系统和网络环境下禁止使用相同的身份认证证书信息，减小证书暴露后对系统和网络的影响。
（六）远程访问安全1.原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。
工业控制系统面向互联网开通HTTP、FTP、Telnet等网络服务，易导致工业控制系统被入侵、攻击、利用，工业企业应原则上禁止工业控制系统开通高风险通用网络服务。
2.确需远程访问的，采用数据单向访问控制等策略进行安全加固，对访问时限进行控制，并采用加标锁定策略。
解读：工业企业确需进行远程访问的，可在网络边界使用单向隔离装置、VPN等方式实现数据单向访问，并控制访问时限。
采用加标锁定策略，禁止访问方在远程访问期间实施非法操作。
3.确需远程维护的，采用虚拟专用网络（VPN）等远程接入方式进行。
解读：工业企业确需远程维护的，应通过对远程接入通道进行认证、加密等方式保证其安全性，如采用虚拟专用网络（VPN）等方式，对接入账户实行专人专号，并定期审计接入账户操作记录。
4.保留工业控制系统的相关访问日志，并对操作过程进行安全审计。
解读：工业企业应保留工业控制系统设备、应用等访问日志，并定期进行备份，通过审计人员账户、访问时间、操作内容等日志信息，追踪定位非授权访问行为。
（七）安全监测和应急预案演练1.在工业控制网络部署网络安全监测设备，及时发现、报告并处理网络攻击或异常行为。
解读：工业企业应在工业控制网络部署可对网络攻击和异常行为进行识别、报警、记录的网络安全监测设备，及时发现、报告并处理包括病毒木马、端口扫描、暴力破解、异常流量、异常指令、工业控制系统协议包伪造等网络攻击或异常行为。
2.在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备，限制违法操作。
解读：在工业企业生产核心控制单元前端部署可对Modbus、S7、Ethernet/IP、OPC等主流工业控制系统协议进行深度分析和过滤的防护设备，阻断不符合协议标准结构的数据包、不符合业务要求的数据内容。
3.制定工控安全事件应急响应预案，当遭受安全威胁导致工业控制系统出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地省级工业和信息化主管部门，同时注意保护现场，以便进行调查取证。
解读：工业企业需要自主或委托第三方工控安全服务单位制定工控安全事件应急响应预案。
预案应包括应急计划的策略和规程、应急计划培训、应急计划测试与演练、应急处理流程、事件监控措施、应急事件报告流程、应急支持资源、应急响应计划等内容。
4.定期对工业控制系统的应急响应预案进行演练，必要时对应急响应预案进行修订。
解读：工业企业应定期组织工业控制系统操作、维护、管理等相关人员开展应急响应预案演练，演练形式包括桌面演练、单项演练、综合演练等。
必要时，企业应根据实际情况对预案进行修订。
（八）资产安全1.建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置规则。
解读：工业企业应建设工业控制系统资产清单，包括信息资产、软件资产、硬件资产等。
明确资产责任人，建立资产使用及处置规则，定期对资产进行安全巡检，审计资产使用记录，并检查资产运行状态，及时发现风险。
