划重点丨珞安科技全面解读《工业控制系统网络安全防护指南》（附下载）

安全管理分为4类，共计7条要求，主要针对资产管理、配置管理、供应链安全和宣传教育相关内容进行解读。

（一）资产管理

1.全面梳理可编程逻辑控制器（PLC）、分布式控制系统（DCS）、数据采集与监视控制系统（SCADA）等典型工业控制系统以及相关设备、软件、数据等资产，明确资产管理责任部门和责任人，建立工业控制系统资产清单，并根据资产状态变化及时更新。定期开展工业控制系统资产核查，内容包括但不限于系统配置、权限分配、日志审计、病毒查杀、数据备份、设备运行状态等情况。

【解 读】

工控设备种类繁杂、部署分散、涉及厂商众多，资产管理一直是困扰企业的一个典型难题。为实现企业对组织机构资产的保护，应建设工控系统资产清单，明确资产管理部门和责任人，定期对资产进行安全巡检，审计资产使用记录，检查资产运行状态，及时发现潜在风险。针对资产动态变化的情况，定期开展工控系统资产核查，建立档案并动态更新，时刻做到底数清、情况明。

在管理过程中，可通过部署工控审计、网络准入、态势感知等网络安全设备进行常态化资产探查、资产梳理及资产风险分析，结合定期的第三方风险评估、配置核查等服务，建立动态工控资产清单系统。

2.根据承载业务的重要性、规模，以及发生网络安全事件的危害程度等因素，建立重要工业控制系统清单并定期更新，实施重点保护。重要工业控制系统相关的关键工业主机、网络设备、控制设备等，应实施冗余备份。

【解 读】

工业企业关键生产设备的故障可能导致关键生产业务中断，给企业和社会带来生命财产的损失，甚至威胁国家安全。企业可根据承载业务的重要性、规模及发生网络安全事件的危害程度等因素，定义重要资产清单并实施重点保护。对关键工业主机、网络设备、控制设备等，应实施冗余备份，包括不限于电源冗余、设备冗余和数据备份等，降低由于关键设备故障导致重大安全事件的风险。

（二）配置管理

3.强化账户及口令管理，避免使用默认口令或弱口令，定期更新口令。遵循最小授权原则，合理设置账户权限，禁用不必要的系统默认账户和管理员账户，及时清理过期账户。

【解 读】

工业企业各类应用在用户口令、身份认证、权限管理等方面普遍存在大量安全隐患，特别是弱口令问题一直是企业安全管理的痛点，一旦企业用户的账号密码泄露或被破解，将导致大量的内部信息泄露。

工业企业应强化账户及口令管理，尤其是避免使用默认口令或弱口令，分类设置账户权限，禁用不必要的系统默认账户和管理员账户，及时清理过期账户。通过建立和执行账户及口令管理制度，加强员工的安全意识和责任感，更好地保护信息系统的安全性。

4.建立工业控制系统安全配置清单、安全防护设备策略配置清单。定期开展配置清单审计，及时根据安全防护需求变化调整配置，重大配置变更实施前进行严格安全测试，测试通过后方可实施变更。

【解 读】

对工业控制系统和安全防护设备进行安全配置，是对工控网络进行安全防护的基石。工业企业应根据工业控制系统的业务特点以及所面临的安全威胁，部署相应的安全防护设备，并建立工业控制系统的安全配置基线和安全防护设备的安全策略配置基线，同时，指定责任人定期进行配置的管理和维护，对配置清单开展定期审计工作，及时根据安全防护需求变化进行调整，对配置变更过程中可能出现的风险进行分析，形成分析报告，并在离线环境中对配置变更进行安全性验证，测试通过后方可实施变更，最大程度确保配置变更不会影响工业控制系统正常运行。

（三）供应链安全

5.与工业控制系统厂商、云服务商、安全服务商等供应商签订的协议中，应明确各方需履行的安全相关责任和义务，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等。

【解 读】

随着工业产业的全球化，工业产品往往是全球多个行业、企业软硬件技术的集成。供应链的国际化为工业互联网引入了许多不受主要供应商和用户控制的第三方角色，扩大了潜在攻击面。为了确保工业控制系统网络安全，工业企业应在采购工业控制系统产品和服务时，与供应商签订协议，明确各方需履行的安全相关责任和义务，从源头保障产品和服务的安全。协议内容应包括：管理范围的明确、职责划分的细致性，访问授权的严密性、隐私保护的强化、行为准则的严格执行、违约责任的明晰化、合作与沟通机制的建立、持续改进与优化、法律与合规要求、培训与意识提升、审计与监督机制和记录与报告机制等。以此确保各方都按照一定的标准行事，从而提高整个工业控制系统的安全性。

6.工业控制系统使用纳入网络关键设备目录的PLC等设备时，应使用具备资格的机构安全认证合格或者安全检测符合要求的设备。

【解 读】

在2017年6月《网络安全法》生效伊始，国家四部委联合发布了《网络关键设备和网络安全专用产品目录（第一批）》，将可编程逻辑控制器（PLC设备）、路由器、交换机等明确列为网络关键设备。2021年8月1日，《网络关键设备安全通用要求》（GB 40050-2021）正式发布，规定了网络关键设备的通用安全功能要求和安全保障要求。工业企业在建设工业控制系统时，应选择由具备资格的机构安全认证合格或者安全检测符合要求的设备。基于上述风险和《防护指南》要求，工业企业应加强网络关键设备和网络安全设备管理，规范采购流程，管好“入围、入网”关口。

（四）宣传教育

7.定期开展工业控制系统网络安全相关法律法规、政策标准宣传教育，增强企业人员网络安全意识。针对工业控制系统和网络相关运维人员，定期开展工控安全专业技能培训及考核。

【解 读】

由于工业企业技术人员专业背景存在差异，提升全员网络安全意识成为企业工控系统网络安全防护的首要任务。《防护指南》提出工业企业应定期开展工业控制系统网络安全相关法律法规、政策标准宣传教育工作，通过案例分析、模拟演练、知识测试等方式，让员工深入了解网络安全的重要性和防范措施，增强企业人员网络安全意识与认知水平，提高安全防范意识。针对工业控制系统和网络相关运维人员，应定期开展工控安全专业技能培训及考核，不断夯实技术基础、提高技术水平，提升应对潜在网络安全威胁时的专业能力，并通过风险评估、应急演练、攻防对抗、安全竞赛等方式，增强相关人员具备网络安全事件处置能力。实现常态化、实战化的网络安全防护，快速有效的应对网络安全事件。

技术防护分为5类，共计14条要求，主要针对监测预警、运营中心、应急处置、安全评估、漏洞管理相关内容进行解读。

（一）主机与终端安全

8.在工程师站、操作员站、工业数据库服务器等主机上部署防病毒软件，定期进行病毒库升级和查杀，防止勒索软件等恶意软件传播。对具备存储功能的介质，在其接入工业主机前，应进行病毒、木马等恶意代码查杀。

【解 读】

终端历来都是病毒入侵和传播的主要途径。自2010年伊朗爆发震网病毒后，工业控制系统成为具有强大资金和技术能力背景的攻击组织的重点攻击对象，部署防病毒软件成为应对病毒入侵，保障工业控制系统可靠、稳定运行的重要措施之一。

工业企业可在满足性能要求的工程师站、操作员站、工业数据服务器等主机上部署防病毒软件，同时应定期进行病毒库升级和查杀，才能确保及时有效阻断勒索、挖矿等恶意软件的传播。

具备存储功能的介质（如U盘、移动硬盘等）是终端进行数据交换的最主要手段，也是病毒导入的核心途径。在其接入工业主机前，应采取必要的安全预防措施，一般可以通过主机加固类产品对移动介质进行管控，通过USB安全管理设备实现对入网U盘的病毒木马查杀，确保入网外设的安全。

9.主机可采用应用软件白名单技术，只允许部署运行经企业授权和安全评估的应用软件，并有计划的实施操作系统、数据库等系统软件和重要应用软件升级。

【解 读】

针对工业主机系统老旧、性能不高、追求高可靠性的特点，应用软件白名单管控技术是一种更贴合工业主机场景的终端安全防护手段。白名单技术只允许部署运行经企业授权和安全评估的应用软件，其占用系统资源少，不需要频繁更新，与工业软件的兼容性相对更好，在运行适配后，通常不会造成主机性能的严重抖动，对业务实时性影响较小。对于操作系统、数据库等系统软件和重要应用软件升级场景，需要制定详细的升级计划，确保升级后的应用不会因白名单管控技术而被拦截。

10.拆除或封闭工业主机上不必要的通用串行总线（USB）、光驱、无线等外部设备接口，关闭不必要的网络服务端口。若确需使用外部设备，应进行严格访问控制。

【解 读】

外设和网络服务是工业主机入侵的主要通道，尤其是工业主机闲置的外设端口以及系统默认开放的一些网络服务端口，是病毒木马传播的重要突破口，比如常见的勒索病毒很多就是通过445文件共享端口进行传播的。工业企业可通过物理拆除或封闭工业主机上不必要的外设接口，也可以通过主机加固类软件进行外设接口和网络服务端口的逻辑封堵，从根本上切断非法数据、程序的传播途径，减少被恶意代码感染的风险。对于确需使用的，企业应建立主机外设接口管理制度，严格限制可接入的设备，还可通过专业的USB安全管控类设备对接入的外设使用进行严格访问控制，记录文件的读取、写入等操作痕迹。

11.对工业主机、工业智能终端设备（控制设备、智能仪表等）、网络设备（工业交换机、工业路由器等）的访问实施用户身份鉴别，关键主机或终端的访问采用双因子认证。

【解 读】

建立严格的身份认证机制，明确操作身份、细化访问权限、杜绝身份冒认、非法访问行为，是保障工业控制系统安全运行的第一道关卡。

工业企业可通过网络安全接入控制等技术手段，加强入网设备的物理身份鉴别；同时，对于工业主机、工业智能终端设备和网络设备可通过堡垒机或便携式运维网关，在进行强身份鉴别的情况下实施安全访问，并记录操作日志；对于关键主机或终端，可以通过主机加固类产品的安全登录功能，通过双因子认证方式，防范攻击者假冒合法用户获得访问权限，从而避免非法登录等安全隐患。

（二）架构与边界安全

12.根据承载业务特点、业务规模、影响工业生产的重要程度等因素，对工业以太网、工业无线网络等组成的工业控制网络实施分区分域管理，部署工业防火墙、网闸等设备实现域间横向隔离。当工业控制网络与企业管理网或互联网连通时，实施网间纵向防护，并对网间行为开展安全审计。设备接入工业控制网络时应进行身份认证。

【解 读】

对网络按承载业务及重要程度等进行分区分域的管理，是实现网络多层次纵深防御的有效手段。工业企业应根据承载业务特点、业务规模、影响工业生产的重要程度等因素，对工业网络进行区域划分，部署工业防火墙、网闸等设备实现域间横向隔离，执行不同的安全控制措施；对生产网与管理网或互联网之间，通过部署网闸类或者纵向加密类产品实施网间纵向防护，阻断非法网络访问，严格禁止没有防护的工业控制网络与互联网连接。对网间行为开展安全审计，工业企业应在网络边界、重要网络节点部署工业审计、入侵检测等设备，检测来自内部和外部的各种攻击行为，对异常行为和流量、关键事件、操作日志等进行准确识别和记录，并提供对数据的安全留存和回溯分析能力。当设备接入工业控制网络时，工业企业可通过网络安全接入控制技术手段，规范设备和人员的接入行为，依据网络管理人员设置策略，动态管控接入网络设备及网络访问范围，从而保证接入网络设备可信，使用者身份合法。

13.应用第五代移动通信技术（5G）、无线局域网技术（Wi-Fi）等无线通信技术组网时，制定严格的网络访问控制策略，对无线接入设备采用身份认证机制，对无线访问接入点定期审计，关闭无线接入公开信息（SSID）广播，避免设备违规接入。

【解 读】

随着5G、WIFI等便捷组网技术的广泛应用，工业控制系统也越来越多的使用无线通信技术组网，但也给工业企业引入了更多的网络入侵通道。针对此类情况，工业企业在应用5G、WIFI等无线技术组网时，应采取严格的网络访问策略，开启无线接入点的身份认证机制，对无线接入设备进行入网身份认证；同时，工业企业可借助工控安全评估系统，定期开展对无线访问接入点的扫描与弱密码检测，关闭无线接入的公开信息（SSID）广播，避免非法设备的接入。对于主机类终端设备，企业还可以通过主机加固类产品，限定主机可访问的合法无线接入点，避免攻击者使用欺骗性WIFI网络，侵入工业主机。

14.严格远程访问控制，禁止工业控制系统面向互联网开通不必要的超文本传输协议（HTTP）、文件传输协议（FTP）、Internet远程登录协议（Telnet）、远程桌面协议（RDP）等高风险通用网络服务，对必要开通的网络服务采取安全接入代理等技术进行用户身份认证和应用鉴权。在远程维护时，使用互联网安全协议（IPsec）、安全套接字协议（SSL）等协议构建安全网络通道（如虚拟专用网络（VPN）），并严格限制访问范围和授权时间，开展日志留存和审计。

【解 读】

HTTP、FTP、Telnet、SSH、RDP等高风险网络服务，是网络攻击者最喜欢也最擅长用来进行网络入侵的通道。工业企业应严格限制这类远程访问，禁止向互联网开通相关的高风险网络服务。如确实因远程维护等场景需要开通的，必须在采取安全接入代理等保护措施的情况下进行开放。在远程维护时，工业企业应使用IPsec、SSL等协议构建VPN类的安全网络通道，严格限制访问范围和授权时间，对远程访问进行安全加固，确保数据传输安全，避免未授权操作。对运维过程，需开展日志留存和审计，通过分析网络流量和访问行为，对日志进行关联分析，实现安全事件溯源和告警，协助运维人员进行安全监视、审计追踪、调查取证等操作。

15.在工业控制系统中使用加密协议和算法时应符合相关法律法规要求，鼓励优先采用商用密码，实现加密网络通信、设备身份认证和数据安全传输。

【解 读】

在工业控制系统中主流的工业协议如Modbus、DNP3、S7等缺乏认证、授权、加密等安全措施，易造成中间人攻击等安全事件。

工业控制系统可采取加密协议和算法保证数据的保密性和完整性，避免数据被篡改。根据《中华人民共和国密码法》及相关政策，加密方式宜优先采用商用密码，实现加密网络通信、设备身份认证和数据安全传输。

（三）上云安全

16.工业云平台为企业自建时，利用用户身份鉴别、访问控制、安全通信、入侵防范等技术做好安全防护，有效阻止非法操作、网络攻击等行为。

【解 读】

工业互联网的普及使得更多的工业企业选择自建工业云平台进行数字化转型，工业云平台作为工业控制系统资产和网络的关键组成部分，安全问题不可轻视。

工业企业自建工业云平台时，利用用户身份鉴别、访问控制、安全通信、入侵防范技术做好防护，有效阻止非法操作、网络攻击等行为，可采用的措施包括但不限于：管理终端和云计算平台之间建立双向身份鉴别机制；在虚拟化网络边界部署访问控制机制，并设置访问控制规则；通过虚实结合的技术手段部署入侵检测、安全审计系统，检测云平台与管理终端之间的网络攻击行为、异常流量情况。

17.工业设备上云时，对上云设备实施严格标识管理，设备在接入工业云平台时采用双向身份认证，禁止未标识设备接入工业云平台。业务系统上云时，应确保不同业务系统运行环境的安全隔离。

【解 读】

工业设备承载着工控业务，与工业控制系统相连，其在接入云平台时必须考虑通过非对称加密类的公私钥证书体系，进行设备与平台间的双向身份认证，确保通信双方的安全可信、可靠，未经标识的设备不得接入云平台。

不同工艺、性质、位处于不同安全域的业务系统接入云平台，应考虑其业务特点和环境需求，确保其运行环境处于安全隔离状态，降低横向渗透的风险。

（四）应用安全

18.访问制造执行系统（MES）、组态软件和工业数据库等应用服务时，应进行用户身份认证。访问关键应用服务时，采用双因子认证，并严格限制访问范围和授权时间。

【解 读】

工业控制系统应用服务作为工业控制系统的核心组成元素，应用安全关乎生产的全流程环节。

《防护指南》提出工业企业访问制造执行系统（MES）、组态软件和工业数据库等应用服务时，应进行用户身份认证，认证措施包括但不限于密码、PIN、软硬件令牌、生物特征因子、位置因子、时间因子等，涉及到关键应用服务的访问应采取双因子认证的方式，并确保在严格的访问范围和授权时间内完成。

19.工业企业自主研发的工业控制系统相关软件，应通过企业自行或委托第三方机构开展的安全性测试，测试合格后方可上线使用。

【解 读】

工业企业在自主研发工业控制系统相关软件时，需要考虑在设计、研发阶段同步完成系统安全设计，系统上线时应确保系统的安全性符合相关要求，提升系统内生安全。

工业企业自主研发的相关软件上线前应通过企业自测评或第三方机构进行安全性测试，避免软件自身的脆弱性（漏洞、后门等）或感染病毒导致生产系统带来安全隐患。安全测试包括以下内容：安全检查（告警分析、漏洞扫描结果、安全策略检查等）、渗透测试（模拟黑客攻击方式对PC客户端、移动端、服务端等进行安全测试）、代码审计（通过代码审计工具，对Web、APP源码缺陷及脆弱性审查）等方面进行测试，并出具安全测试报告，确保测试合格后方可上线使用。

（五）系统数据安全

20.定期梳理工业控制系统运行产生的数据，结合业务实际，开展数据分类分级，识别重要数据和核心数据并形成目录。围绕数据收集、存储、使用、加工、传输、提供、公开等环节，使用密码技术、访问控制、容灾备份等技术对数据实施安全保护。

【解 读】

数据资产是企业的核心资源之一，是帮助企业优化业务流程、提高决策水平的重要依据，保障数据资产的安全是工业控制系统防护的重要目标。工控系统数据的收集、存储、使用、提供等环节应符合《中华人民共和国数据安全法》及《工业数据安全分类分级指南》要求。

工业数据是工业领域产品和服务全生命周期产生和应用的数据，包括但不限于工业企业在研发设计、生产制造、经营管理、运维服务等环节中生成和使用的数据，以及工业互联网平台企业在设备接入、平台运行、工业APP应用等过程中生成和使用的数据。工业企业应定期梳理工业控制系统运行的数据，结合业务情况，依据《工业数据安全分类分级指南》识别重要数据和核心数据，并形成目录，应围绕数据收集、存储、使用、加工、传输、提供、公开等环节，对数据实施全生命周期安全保护。

21.法律、行政法规有境内存储要求的重要数据和核心数据，应在境内存储，确需向境外提供的，应当依法依规进行数据出境安全评估。

【解 读】

境内收集和生产的重要数据和核心数据在境内存储，《中华人民共和国数据安全法》规定需要向境外提供数据的，应参照《中华人民共和国网络安全法》要求，履行数据出境安全评估义务，完成相应的工作后，满足条件才能出境。

《防护指南》针对技术防护工作提出了进一步的指导方向，涵盖工业控制系统设计、选型、建设、测试、运行、检修、废弃各阶段防护工作要求，从安全软件选型、访问控制策略构建、数据安全保护、资产配置管理等方面提出了具体实施细则。

安全运营分为5类，共计10条要求，主要针对监测预警、运营中心、应急处置、安全评估、漏洞管理相关内容进行解读。

（一）监测预警

22.在工业控制网络部署监测审计相关设备或平台，在不影响系统稳定运行的前提下，及时发现和预警系统漏洞、恶意软件、网络攻击、网络侵入等安全风险。

【解 读】

做好工控系统安全防护，最核心的是及时发现问题，才能做到及时的响应和防护。工业企业应在工控系统网络部署监测审计相关设备，如部署工控监测审计、入侵检测系统、数据库审计系统、日志审计与分析系统等设备，可对工控网络中的流量和日志进行分析和处理，实时监测网络中的攻击和异常行为等安全威胁。还可部署安全管理平台，与监测审计类设备集成，实现集中化的监测和预警。企业在部署此类设备时，需要重点考虑对工控网络流量的影响，应避免全流量采集可能带来的流量增大对原有工业业务造成网络延时等影响，确保其与工控系统的兼容性和稳定性。

23.在工业控制网络与企业管理网或互联网的边界，可采用工业控制系统蜜罐等威胁诱捕技术，捕获网络攻击行为，提升主动防御能力。

【解 读】

由于工控网络涉及到各种设备和系统的正常运行，任何未经授权的访问或攻击都可能对生产造成严重影响，尤其工控网络与企业管理网或互联网的边界，安全防护策略至关重要。工业企业可选择工控系统蜜罐等威胁诱捕技术，模拟各种工控系统的组件，如PLC、DCS、SCADA等，来吸引攻击者的注意力。当工控系统蜜罐被攻击时，可以记录攻击者的行为、使用工具、方法、时间等，企业可以利用此信息来加强自身安全防护措施，例如加固系统漏洞、更新安全策略等，从而提升主动防御能力。

（二）运营中心

24.有条件的企业可建立工业控制系统网络安全运营中心，利用安全编排自动化与响应（SOAR）等技术，实现安全设备的统一管理和策略配置，全面监测网络安全威胁，提升风险隐患集中排查和事件快速响应能力。

【解 读】

工业企业可根据自身条件建立工控系统网络安全运营中心，统一管理和协调企业网络安全活动。通过整合各种安全设备和工具，全面监测网络威胁，提升风险隐患排查能力，并加快安全事件响应速度。使用安全编排自动化与响应（SOAR）技术，将安全操作流程自动化，通过预设的规则和流程，自动识别、分类和响应安全事件；减少人工干预，确保安全策略的一致性和准确性；SOAR技术可迅速触发安全事件响应流程，包括隔离受影响系统、阻断恶意流量、收集证据等，以最大限度地减少企业损失。考虑到工控系统的特殊性，一旦误阻断可能会造成比较严重的生产事故，对于安全事件的确认，需要考虑人工审核确认，再通过SOAR等技术实施自动化响应。

（三）应急处置

25.制定工控安全事件应急预案，明确报告和处置流程，根据实际情况适时进行评估和修订，定期开展应急演练。当发生工控安全事件时，应立即启动应急预案，采取紧急处置措施，及时稳妥处理安全事件。

【解 读】

工业企业应制定工控安全事件应急预案，采取有效处置措施应对可能发生的工控安全事件。应急预案应包括：应急计划策略和规程、应急计划培训、应急计划测试与演练、应急处理流程、事件监控措施、应急事件报告流程、应急支持资源、应急响应计划等内容，并适时对应急预案进行评估和修订。工业企业需定期开展应急演练，通过模拟安全事件，测试预案的执行效果，发现问题并及时改进。当发生工控安全事件时，企业应立即启动应急预案，采取紧急处置措施，包括隔离受影响的系统、收集和分析证据、联系相关机构等，来处理安全事件。

26.重要设备、平台、系统访问和操作日志留存时间不少于六个月，并定期对日志备份，便于开展事后溯源取证。

【解 读】

依据《中华人民共和国网络安全法》、《网络安全等级保护基本要求》和《关键信息基础设施安全保护条例》中对各类日志留存时间不少于六个月的明确要求，工业企业应建立完善的日志管理制度，明确日志的收集、存储、备份、恢复等流程，并确保存储设备的安全性和可靠性。此外，企业可部署日志审计与分析系统等设备，定期对日志进行分析和审计，确保日志数据的可靠性和完整性，便于开展事后溯源取证。

27.对重要系统应用和数据定期开展备份及恢复测试，确保紧急时工业控制系统在可接受的时间范围内恢复正常运行。

【解 读】

为确保工控系统的可靠性和稳定性，工业企业应对重要系统应用和数据定期开展备份及恢复测试。企业应制定详细的备份计划，包括备份频率、备份内容、备份存储位置等，以确保在发生安全事件或系统故障时能够快速恢复。企业还应对重要系统应用和数据定期开展恢复测试，模拟系统故障或安全事件的情况，检查备份数据是否能够快速、准确地恢复系统运行。以确保紧急时工控系统在可接受的时间范围内恢复正常运行。

（四）安全评估

28.新建或升级工业控制系统上线前、工业控制网络与企业管理网或互联网连接前，应开展安全风险评估。

【解 读】

依据GB/T 20984-2022《信息安全技术 信息安全风险评估方法》、GB/T 36466-2018 《信息安全技术 工业控制系统风险评估实施指南》提出的安全风险评估重要性和安全风险评估实施的方法和过程，企业应在新建或升级工控系统上线前、工控网络与企业管理网或互联网连接前，自行或委托第三方专业机构开展安全风险评估，并出具风险评估报告。

29.对于重要工业控制系统，企业应自行或委托第三方专业机构每年至少开展一次工控安全防护能力相关评估。

【解 读】

工业企业定期开展工控安全防护能力评估，有助于持续监测工控系统的安全状态，及时发现和解决潜在的安全隐患。工业企业应自主或委托第三方专业机构，对重要工控系统，遵循GB/T 40813-2021《信息安全技术 工业控制系统安全防护技术要求和测试评价方法》标准，每年至少开展一次工控安全防护能力相关评估。评估内容包括：系统架构的安全性、设备漏洞的管理、安全策略的有效性、访问控制机制等。评估方法采用漏洞扫描、渗透测试、威胁模拟等手段。

（五）漏洞管理

30.密切关注工业和信息化部网络安全威胁和漏洞信息共享平台等重大工控安全漏洞及其补丁程序发布，及时采取升级措施，短期内无法升级的，应开展针对性安全加固。

【解 读】

为确保工控系统的安全稳定运行，工业企业应密切关注工业和信息化部网络安全威胁和漏洞信息共享平台及国内外漏洞库平台发布的重大工控安全漏洞以及其补丁程序。一旦发现重大工控安全漏洞以及补丁程序发布，企业应尽快评估其影响范围和严重程度，并制定升级计划，确保相应设备和软件得到及时升级。对于短期内无法升级的，企业应开展针对性的安全加固工作，加固措施包括增加安全防护设备、调整安全策略、限制访问权限等；并根据漏洞的特点和影响范围，制定相应的加固方案。

31.对重要工业控制系统定期开展漏洞排查，发现重大安全漏洞时，对补丁程序或加固措施测试验证后，方可实施补丁升级或加固。

【解 读】

为加强工业控制系统的安全监测能力，工业企业应定期开展漏洞排查工作，有助于及时发现和处理安全漏洞。对于重要工业控制系统，企业应更加重视漏洞排查工作，按照等保要求建议每季度排查一次漏洞。企业应采用通过认证的漏洞扫描产品或专业的渗透测试服务，检查系统中的安全漏洞和脆弱点；监控网络流量和日志文件，分析异常行为和潜在的安全威胁，及时发现和处理安全事件。一旦发现重大安全漏洞，企业应对补丁程序进行测试验证通过后，及时实施补丁升级或加固措施。

责任落实共计2条要求，主要针对安全责任主体、落实细则相关内容进行解读。

32.工业企业承担本企业工控安全主体责任，建立工控安全管理制度，明确责任人和责任部门，按照“谁运营谁负责、谁主管谁负责”的原则落实工控安全保护责任。

【解 读】

依据《中华人民共和国网络安全法》第六章法律责任的规定，工业企业作为工控安全的主体，应承担起相应的责任，以确保工控系统的安全稳定运行。企业应制定详细的工控安全管理制度，明确规定各个部门和人员的职责和操作规程；明确工控安全责任人和责任部门，责任人应具备相应的安全意识和技能，能够全面负责工控安全管理工作；责任部门则应承担起日常的监督和管理工作，确保各项安全措施得到有效执行，并遵循“谁运营谁负责、谁主管谁负责”的原则，确保工控系统的安全稳定运行。

33.强化企业资源保障力度，确保安全防护措施与工业控制系统同步规划、同步建设、同步使用。

【解 读】

为确保工业控制系统的安全稳定运行，工业企业应加强资源保障力度，包括人力、物力和财力；涉及到安全设备的采购和部署、安全团队的建立和培训，确保有足够的专业人员来维护和更新安全防护措施。企业在制定工业控制系统的发展规划时，应充分考虑安全防护措施；从系统设计之初就考虑到安全需求，可以避免后期因安全问题而进行大规模的改造或重构。同时，企业应制定完善的安全策略和标准，以确保不同部门在实施安全防护措施时有明确的指导和规范。