工业控制系统的信息安全等级保护工作

解读《工业控制系统信息安全防备指南》拟订《指南》的背景通知中明确“为贯彻落实《国务院对于深入制造业与互联网交融发展的指导建议》（国发〔 2016 〕28 号），保障工业公司工业控制系统信息安全，工业和信息化部拟订《工业控制系统信息安全防备指南》。

”能够看出，《工业控制系统信息安全防备指南》是依据《建议》拟订的。

《建议》中有关要求《建议》“七大任务”中特意有一条“提高工业信息系统安全水平”。

工信部依据《十三五规划大纲》、《中国制造 2025 》和《建议》等要求编制的《工业和信息化部对于印发信息化和工业化交融发展规划（2016-2020 年）》中进一步明确，在十三五时期，我国两化交融面对的机会和挑战第四条就是“工业领域信息安全局势日趋严重，对两化交融发展提出新要求” ，其“七大任务”中也提到要“逐渐完美工业信息安全保障系统”，“六大要点工程”中之一就是“工业信息安全保障工程”。

以上这些，就是政策层面的指导思想和要求。

《指南》条款详尽解读《指南》整体思路借鉴了等级保护的思想，详细提出了十一条三十款要求，贴近实质工业公司真切状况，求实可落地。

我们从《指南》要求的主体、客体和方法将十一条分为三大类：a、针对主体目标（法人或人）的要求，包含第十条供给链管理、第十一条人员责任：1.10供给链管理（一）在选择工业控制系统规划、设计、建设、运维或评估等服务商时，优先考虑具备工控安全防备经验的企事业单位，以合同样方式明确服务商应肩负的信息安全责任和义务。

解读：工业控制系统的全生产周期的安全管理过程中，采纳合适于工业控制环境的管理和服务方式，要求服务商拥有丰富的安全服务经验、熟习工业控制系统工作流程和特色，且对安全防备系统和工业控制系统安全防备的有关法律法例要有深入的理解和解读，保证相应法律法例的有效落实，并以合同的方式商定服务商在服务过程中应该肩负的责任和义务。

（二）以保密协议的方式要求服务商做好保密工作，防备敏感信息外泄。

石油和化学工业信息安全等级保护实施指南下载温馨提示:该文档是我店铺精心编制而成，希望大家下载以后，能够帮助大家解决实际的问题。

文档下载后可定制随意修改，请根据实际需要进行相应的调整和使用，谢谢!并且，本店铺为大家提供各种各样类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，如想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by theeditor.I hope that after you download them,they can help yousolve practical problems. The document can be customized andmodified after downloading,please adjust and use it according toactual needs, thank you!In addition, our shop provides you with various types ofpractical materials,such as educational essays, diaryappreciation,sentence excerpts,ancient poems,classic articles,topic composition,work summary,word parsing,copy excerpts,other materials and so on,want to know different data formats andwriting methods,please pay attention!石油和化学工业信息安全等级保护实施指南一、引言在信息化高度发展的今天，石油和化学工业作为我国的重要产业，其信息安全的重要性不言而喻。

解读《工业控制系统信息安全防护指南》工业控制系统信息安全防护指南》是为了贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》而制定的。

该指南是根据政策层面的指导思想和要求编制的，旨在保障工业企业工业控制系统信息安全。

政策中明确要求提高工业信息系统安全水平，___根据要求编制了《___关于印发信息化和工业化融合发展规划（2016-2020年）》，其中提到工业信息安全形势日益严峻，对两化融合发展提出新要求。

工业控制系统信息安全防护指南》提出了十一条三十款要求，贴近实际工业企业真实情况，务实可落地。

指南的整体思路借鉴了等级保护的思想。

这些要求可以分为三大类，即针对主体目标（法人或人）的要求、针对工业控制系统的要求和针对安全管理的要求。

针对主体目标的要求包括第十条供应链管理和第十一条人员责任。

在选择工业控制系统规划、设计、建设、运维或评估等服务商时，应优先考虑具备工控安全防护经验的企事业单位，并以合同等方式明确服务商应承担的信息安全责任和义务。

同时，要求与工业控制系统安全服务方签定保密协议，要求服务商及其服务人员严格做好保密工作，尤其对工业控制系统内部的敏感信息进行重点保护，防范敏感信息外泄。

除此之外，《工业控制系统信息安全防护指南》还提出了其他要求，如加强网络安全防护、加强物理安全防护、加强安全事件应急处置等。

这些要求的提出有助于逐步完善工业信息安全保障体系，进一步提高工业信息系统的安全水平。

为了加强工控安全，需要建立工控安全管理机制并成立信息安全协调小组，明确工控安全管理责任人，部署工控安全防护措施。

这个职能部门应负责工业控制系统全生命周期的安全防护体系建设和管理，制定安全管理方针，持续实施和改进工业控制系统的安全防护能力，不断提升工业控制系统防攻击和抗干扰的水平。

针对资产和数据的安全要求，需要建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置原则。

所有资产应指定责任人，并且明确责任人的职责，明确资产使用权。

工业控制系统信息安全等级保护基本要求概述首先，工业控制系统信息安全等级保护需要建立完善的安全管理体系。

企业应建立专门的信息安全管理机构和岗位，明确相关人员的责任和权限，并建立健全的信息安全管理制度和程序，确保信息资产的安全运行和使用。

其次，工业控制系统信息安全等级保护需要进行风险评估和安全保护措施的规划。

企业应对工业控制系统中的信息资产进行全面的风险评估，找出潜在的信息安全风险和威胁，然后制定相应的安全保护措施和计划，包括安全策略、安全技术、安全控制和安全服务等。

再次，工业控制系统信息安全等级保护需要加强系统安全防护。

企业应采取合适的技术手段和安全措施，对工业控制系统中的信息进行加密保护，建立访问控制和认证措施，设置安全检测和防护设备，防止病毒、木马和网络攻击等安全威胁。

最后，工业控制系统信息安全等级保护需要加强安全监控和应急响应。

企业应建立健全的安全监控机制，实施安全事件的实时监测和告警，加强安全事件的分析和处置，及时掌握和处理安全风险和威胁，保障工业控制系统信息的安全可靠运行和应急响应能力。

工业控制系统信息安全等级保护是一个综合性的工作，需要全面考虑技术、管理和人员等多方面因素。

保护工业控制系统信息安全等级不仅仅是企业内部的事务，也受到政府监管和国际标准的影响。

因此，企业需要深入了解信息安全管理的最新动向和政策法规，严格遵守相关规定和标准，确保工业控制系统的信息安全等级达到国家和国际的要求。

在保护工业控制系统信息安全等级的过程中，企业需要考虑以下几个方面：1. 加强人员安全意识和培训。

作为信息安全的第一道防线，人员的安全意识和行为对工业控制系统的信息安全等级至关重要。

企业应该加强员工的信息安全教育和培训，让员工充分了解信息安全政策、风险和威胁，掌握安全使用信息系统的方法和技巧，形成良好的安全意识和行为习惯。

2. 加强物理安全措施。

工业控制系统信息安全等级保护不仅仅是网络和软件层面的安全，还需要考虑到物理设施的安全。

工业控制系统等级保护主要标准
工业控制系统等级保护主要标准包括以下几个方面：
1.ISA/IEC62443：ISA/IEC62443是一系列工业控制系统安全标准，包括关键基础设施保护、网络和系统安全等。

2. NIST Cybersecurity Framework：NIST Cybersecurity Framework是美国国家标准与技术研究院发布的一个标准框架，用于指导组织的信息安全战略与规划。

3.ISO/IEC27001/27002：ISO/IEC27001/27002是信息安全管理系统的国际标准，其中ISO/IEC27001主要定义了信息安全管理体系的要求和规范，ISO/IEC27002则提供了信息安全管理实践指南和控制目录。

4.DHSCSET：DHSCSET是美国国土安全部开发的一个安全评估工具，用于帮助组织评估工业控制系统的安全性，发现潜在的安全漏洞和风险。

5.IEC62433：IEC62433是国际电工委员会发布的工业控制系统安全标准，覆盖了工业控制系统的安全评估、风险评估、安全管理等方面。

《工业控制系统网络安全等级保护的建设》摘要：【文献标志码，【文章编号，制定统一的工控系统安全管理规范，如保证工控系统设备的运行能满足最大生产需求，优化系统拓扑结构，杜绝系统单点漏洞;调整安全网关策略，防范包括（分布式拒绝服务）在内的各种安全风险;在系统中部署入侵防御系统（IDS）、入侵检测系统（IPS）、安全管理软件等，监测来自系统内外部的入侵;部署工控系统审计系统，对系统的操作、修改、设置等实行审计并记录[2];验证所有连接系统的用户身份，杜绝无相应权限的用户进行管理配置的操作;安装系统数据检查设施，依托数据采集技术，制定管理基线，依据系统实际情况管理和放行数据;增加多种登录方式，如声纹识别、面部识别等生物信息技术，实行双因子登录;防止远程管理系统主机和防火墙，若有实际需求，应当使用密文，防止用户身份信息在传输中被盗取;能防范无认证设施接入系统，防止信息资产流失许新锋Construction of the Network Security Level Protection of Industrial Control SystemXU Xin-feng（Zhengzhou University of Light Industry， Zhengzhou 450000， China）【摘要】现代卷烟工业企业的两化融合程度越来越高，网络的触角已经延伸到各个业务角落，工控网络安全风险也越来越突出。

因而，如何建立一个高质量、稳固牢靠的工控系统网络成为现代卷烟工业企业工控系统建设的一个重要组成部分。

论文剖析了现代卷烟工业企业工控系统安全等保2.0的情况，综合工控系统实际需求，提出等保工作部署的基本策略。

【Abstract】 The integration degree of modernization and industrialization of modern cigarette industrial enterprises is getting higher and higher， the network"s tentacles have been extended to various business corners， and industrial control network security risks have become increasingly prominent. Therefore， how to build a high-quality， stable and reliable industrial control system network has become an important part of the industrial control system construction of modern cigarette industry enterprises. This paper analyzes the safety and security guarantee 2.0 of the industrial control system of modern cigarette industrial enterprises， and combined with the actual needs of the industrial control system， it proposes the basic strategy of the level protection work deployment.【关键词】工业控制系统;安全防护体系建设;部署建议;边界控制【Keywords】 industrial control system; security protection system construction; deployment proposal; boundary control【中圖分类号】TB4 【文献标志码】A 【文章编号】1673-1069（2020）03-0112-021 引言保证各卷烟工业企业生产运行控制系统网络安全的一个有效方法就是工控系统网络安全等级保护制度，实行工控系统网络安全分级防护，能极大地降低当前卷烟工业企业遇到的工控系统网络安全风险，依据“核心优先”的思路，把相关资源优先投入到工控系统的安全防护之中，可以有效促进卷烟工业企业尽快打牢工控系统安全等保的根基。