IEC PAS 62443-1-62025 工业自动化和控制系统的安全性 第1-6部分62443系列在工业物联网(IIoT)中的应用标准立项发展报告

工业自动化和控制系统的安全性第1-6部分：62443系列在工业物联网（IIoT）中的应用标准立项发展报告StandardizationDevelopmentReport:SecurityforIndustrialAutomationandControlSystems-Part1-6:Applicationofthe62443SeriestotheIndustrialInternetofThings(IIoT)摘要随着工业物联网（IIoT）技术的迅猛发展及其在智能制造、能源管理、智慧城市等关键基础设施领域的深度渗透，传统工业自动化与控制系统（IACS）的安全边界正面临前所未有的挑战。在此背景下，国际电工委员会（IEC）于2025年12月19日正式发布IECPAS62443-1-6:2025《工业自动化和控制系统的安全性第1-6部分：62443系列在工业物联网（IIoT）中的应用》。该标准作为IEC62443系列的重要补充，系统性地阐述了如何将既有工业控制系统安全标准框架应用于IIoT场景，填补了传统OT安全标准与新兴IT/IoT安全实践之间的衔接空白。本报告系统梳理了该标准的立项背景、编制历程、核心技术框架及其在工程实践中的应用路径，重点分析了62443系列安全等级模型在IIoT架构中的映射方法、组件安全要求与系统安全要求的适配策略，并对该标准在全球工业安全标准化进程中发挥的引领作用进行了展望。报告认为，IECPAS62443-1-6:2025的发布标志着工业物联网安全标准化工作进入了一个结构化、体系化发展的新阶段，对指导我国工业互联网安全标准体系建设具有较强的参考借鉴意义。关键词：工业物联网；信息安全；IEC62443；工业自动化控制系统；安全等级；标准体系；纵深防御一、引言1.1研究背景工业物联网作为新一代信息技术与制造业深度融合的产物，正在全球范围内驱动工业生产的数字化转型与智能化升级。据国际数据公司（IDC）预测，到2026年全球物联网（含工业物联网）支出规模将超过1.1万亿美元，其中工业物联网占据核心份额。工业物联网通过将传感器、执行器、控制器、边缘计算节点和云平台进行泛在连接，实现了生产过程的数据感知、智能分析和精准控制，极大地提升了生产效率与资源利用率。然而，工业物联网的广泛部署也带来了前所未有的网络安全风险。传统工业自动化与控制系统（IACS）长期运行于相对封闭的"安全孤岛"环境，其安全性主要依赖物理隔离实现。随着IIoT架构的引入，工业控制网络与企业IT网络乃至公共互联网之间的边界日趋模糊，攻击面显著扩大。近年来，针对工业控制系统的勒索软件攻击、供应链攻击及高级持续性威胁（APT）事件频发，如2021年美国ColonialPipeline勒索攻击事件、2022年欧洲风电巨头Enercon遭受网络攻击等，均造成了严重的经济损失与社会影响。在此严峻形势下，构建适应工业物联网场景的系统化安全标准体系已成为全球工业界的紧迫需求。1.2IEC62443系列标准概述IEC62443是国际电工委员会工业过程测量、控制和自动化技术委员会（IEC/TC65/WG10）牵头制定的工业自动化和控制系统网络安全标准系列，是目前全球范围内最权威、最完整的IACS信息安全标准体系。该系列标准采用系统性、全生命周期的安全方法论，涵盖通用安全要求、系统安全要求、组件安全要求、安全流程与安全管理等层面，广泛适用于工业过程控制、电力能源、石油化工、交通运输、水处理等关键基础设施领域。62443系列标准的核心理念包括：（1）基于风险的安全等级（SecurityLevel,SL）分级模型；（2）纵深防御（Defense-in-Depth）安全架构；（3）涵盖全生命周期的安全过程管理；（4）组件、系统、资产所有者多方协同的安全责任体系。按照IEC/TC65的工作规划，62443系列共规划13个部分，涵盖通用（General）、政策与程序（Policies&Procedures）、系统（System）、组件（Component）与概况（Profiles）五大类别。1.3标准立项的必要性与紧迫性随着工业物联网架构的普及，IEC62443系列现有各部分的适用范围和具体条款在面对IIoT特有的技术特征（如云边协同、多租户隔离、分布式身份管理、大规模异构设备接入等）时呈现出一定的适配缺口。为此，IEC/TC65/WG10于2022年正式启动IECPAS62443-1-6编制工作，旨在以公开可规范（PubliclyAvailableSpecification,PAS）的快速发布形式，为62443系列在IIoT场景中的落地应用提供权威性指导，同时为后续将该内容融合进入62443系列正式标准（IS）积累实践反馈。二、标准编制信息2.1标准基本信息本标准的标准编号为IECPAS62443-1-6:2025，全称为《工业自动化和控制系统的安全性第1-6部分：62443系列在工业物联网（IIoT）中的应用》（英文名称：*Securityforindustrialautomationandcontrolsystems-Part1-6:Applicationofthe62443seriestotheIndustrialInternetofThings(IIoT)*），由国际电工委员会（IEC）正式发布。标准状态为现行（Active），归口管理技术委员会为IEC/TC65（工业过程测量、控制和自动化技术委员会），具体编制工作由其下属工作组WG10（网络安全）承担。标准发布日期为2025年12月19日，分类号属于工业过程的测量和控制领域。2.2标准定位与目标作为IEC62443系列的第1-6部分，本标准定位于"桥接性指南文件"，其核心目标包括：（1）明确IEC62443系列标准框架中各部分在IIoT应用场景中的适用性及对应关系；（2）建立从传统IACS安全模型向IIoT安全模型过渡的系统方法论；（3）为IIoT系统的资产所有者、系统集成商、组件供应商和网络安全服务提供商提供统一的安全设计、实施与评估参考；（4）为后续IEC62443系列标准的修订和新增IIoT专用标准的制定奠定基础。2.3标准版本与发布形式IECPAS是IEC发布的一类标准化交付物，旨在满足市场对特定技术领域标准化的快速需求，其制定周期通常短于正式国际标准（IS），有效期为三年（可续期或转化为IS）。IECPAS62443-1-6:2025以电子版加密PDF格式发行，用户需通过FileOpen插件在联网状态下访问，该版本限制累计3台电脑共打印5次，售价为2104.0元人民币。三、标准主要内容3.1标准框架与章节结构IECPAS62443-1-6:2025在结构编排上充分考虑了IIoT应用场景的多样性，整体逻辑由总到分、由抽象到具体，主要章节安排如下：第1章范围（Scope）：界定本标准的适用对象为采用IIoT架构的工业自动化和控制系统，包括但不限于基于云平台的数据采集与监控系统（SCADA）、分布式控制系统（DCS）、可编程逻辑控制器（PLC）以及各类智能边缘设备等。同时明确了本标准的适用边界，即聚焦于IT/OT融合场景下的信息安全，不涵盖功能安全（FunctionalSafety）相关内容。第2章规范性引用文件（NormativeReferences）：系统引用了IEC62443系列已发布的标准文本及相关ISO/IEC通用安全标准，如ISO/IEC27001信息安全管理体系标准、ISO/IEC30141物联网参考架构等。标准正文中涉及的术语定义均参照IEC62443-1-1和IEC62443-2-1中的既有定义。第3章术语与定义（TermsandDefinitions）：在本系列既有术语体系基础上，针对IIoT新场景补充了若干关键术语的定义，包括：工业物联网网关（IIoTGateway）、资产标识（AssetIdentification）、多租户环境（Multi-tenancyEnvironment）、云服务提供商（CloudServiceProvider）、边缘节点（EdgeNode）等。第4章工业物联网环境下的62443系列应用框架（ApplicationFramework）：本章是该标准的纲领性内容，给出了IIoT场景下应用62443系列标准的系统化框架。该框架的核心逻辑为"场景识别—安全等级确定—要求映射—安全验证"四步法。具体而言：（1）首先识别IIoT系统的具体使用场景和功能模型；（2）依据业务影响分析确定各区域与通道所需的安全等级（SL-T）；（3）将62443-3-3系统安全要求和62443-4-2组件安全要求映射至IIoT架构中的具体对象；（4）通过基于62443-4-1和62443-2-1的流程进行评估验证。第5章安全等级模型在IIoT中的映射（MappingofSecurityLevels）：针对IIoT环境高度动态、资产多样、边界模糊的特点，本章对62443系列的安全等级（SL）概念进行了适配性延伸。例如，在传统IACS中，安全等级（SL）的确定主要基于固定的分区（Zone）和通道（Conduit）划分；而在IIoT场景下，由于设备移动性增强、拓扑动态变化、云边频繁交互等新特征，本章引入了"动态安全等级（DynamicSL）评估"的概念，提出了在设备生命周期不同阶段（如初始配置、运行、维护、退役）分别评估安全等级的方法论。第6章组件安全要求（ComponentSecurityRequirements）在IIoT中的应用：本章基于62443-4-2规定的组件安全要求（CR）体系，逐项分析了各类IIoT组件（如智能传感器、边缘网关、云平台服务、移动管理终端等）如何满足及验证相应安全要求。针对资源受限的物联网终端设备，标准推荐使用"安全能力声明（SecurityCapabilityStatement）"的方式，由制造商标明设备满足的特定安全要求子集，以辅助系统集成商进行安全决策。第7章系统安全要求（SystemSecurityRequirements）在IIoT中的应用：本章基于62443-3-3的系统安全要求（SR）体系，阐述了IIoT系统级安全要求的部署策略。重点涉及以下方面：（1）IT/OT融合环境下的身份认证与访问控制机制的适配设计；（2）云平台与本地控制层之间的数据加密与完整性保护；（3）多租户环境中的租户隔离与数据防泄漏；（4）审计日志的集中管理与安全事件溯源；（5）安全补丁的远程管理机制以及供应链安全要求。第8章安全流程与管理要求（ProcessRequirements）在IIoT中的应用：本章将62443-2-1（IACS安全管理体系）和62443-4-1（产品安全开发生命周期要求）中的流程性要求映射到IIoT的产品供应商、系统集成商和资产所有者三类主体责任中，明确了各自在产品全生命周期中的安全管理职责，并特别强调了IIoT场景下软件更新管理、漏洞管理协调披露（CoordinatedVulnerabilityDisclosure）以及安全态势持续监测的重要性。附录：提供IIoT应用案例的示意性说明、与相关标准（如ISA/IEC62443、ISO/IEC27001、NISTSP800-82等）的映射对照表，以及常见IIoT安全控制措施清单。3.2核心技术方法本标准的突出贡献在于建立了系统性、可操作的IIoT场景标准应用方法，概括来说包括以下核心技术方法：（1）基于"资产-流-信任边界"的IIoT安全分析模型传统IACS安全分析通常以物理分区（Zone）为基本单元。而在IIoT架构中，逻辑资产和东西向流量显著增加，本标准推荐采用"资产-流-信任边界"三维模型进行分析，即首先识别所有数字资产（含云端资产），其次梳理资产间的数据流与控制流，最后根据信任级别确定安全边界并以此为基础建立安全策略。（2）IIoT安全等级的差异化分级方法针对不同类型IIoT组件在计算能力、存储空间、功耗等方面的差异，本标准提出了差异化的安全等级实施路径。例如，对于资源高度受限的传感器节点，推荐采用轻量级安全控制（如基于硬件的安全启动和轻量级加密算法）；对于边缘计算网关，则应实现完整的62443-4-2安全要求。（3）开发运维安全一体化（DevSecOps）在工业环境中的落地指引考虑到IIoT系统频繁的软件更新需求，本标准将DevSecOps理念引入工业环境安全实践，从CI/CD流水线的安全控制、容器镜像的安全扫描以及配置管理的安全基线校验等方面为工业IIoT产品的持续安全交付提供了指引。四、标准创新点及应用4.1填补IIoT场景下62443应用的方法论空白IEC62443系列标准虽为工业控制系统安全提供了系统框架，但在面对工业物联网高动态、云化部署、海量异构设备接入等新特征时，普遍存在方法论层面的缺口。IECPAS62443-1-6:2025首次在IEC标准体系中以专项文件形式阐述了62443系列如何系统地应用于IIoT场景，有效回答了两个关键问题——"62443的哪些内容适用于IIoT"以及"IIoT安全实践如何与62443体系保持一致"。该标准有效弥合了OT安全实践与IT安全框架之间的鸿沟，有望成为工业数字化转型背景下安全标准落地的关键抓手。4.2提供从传统IACS向IIoT安全迁移的路径指引对于大量正在实施数字化转型的传统工业企业而言，如何在既有IACS安全体系的基础上有序引入IIoT技术，同时保持安全态势的连续性和可管理性，是一个迫切需要解决的问题。本标准的"场景识别—安全等级确定—要求映射—安全验证"四步法为企业提供了清晰的技术路径参考，有利于降低转型过程中的安全风险与合规成本。特别是标准中对"分级实施""渐进迁移"原则的强调，使得不同规模和资源禀赋的企业均能找到适合自身发展阶段的实施策略。4.3对工业安全标准化进程的推动意义作为IEC62443系列的首个以PAS形式发布的与IIoT直接相关的文件，本标准顺应了工业安全标准化领域的两大趋势：一是标准间的融合化趋势，即网络物理系统（CPS）安全标准的统一化发展；二是标准化交付模式的灵活化趋势，即以PAS等快速交付物加速响应产业需求。可以预期，本标准的实践经验将为62443系列下一阶段修订提供重要输入，进而推动IEC62443成为工业物联网安全领域全球公认的基础性标准。五、主要编制单位介绍5.1IEC/TC65/WG10工作组IECPAS62443-1-6:2025由IEC/TC65（工业过程测量、控制和自动化技术委员会）下属的WG10工作组负责编制。IEC/TC65是IEC中负责工业过程测量、控制和自动化领域标准化的核心技术委员会，其工作范围涵盖传感器、执行器、工业通信网络、系统集成、功能安全与信息安全等广泛领域。WG10工作组（工业自动化网络安全）成立于2005年前后，其核心使命是制定IACS信息安全相关标准，即IEC62443系列。WG10工作组汇聚了来自全球各大工业国家在工业信息安全领域的顶尖专家，成员来源涵盖自动化设备制造商（如西门子、施耐德电气、霍尼韦尔、ABB、罗克韦尔自动化等）、工业最终用户（如石油化工、电力、水处理行业的全球领先企业）、政府机构、科研院校和网络安全专业公司。工作组通常每年举行2-3次面对面会议和多次线上研讨，各章节的编制工作由下设的子任务组（TaskGroup）分工推进。5.2代表企业参与情况西门子股份公司（SiemensAG）西门子作为全球工业自动化和数字化领域的领军企业，深度参与了IEC62443系列标准的体系构建与文本编制工作，在IECPAS62443-1-6的编制过程中同样发挥了关键性作用。西门子旗下的ProcessAutomation、DigitalIndustries和IndustrialCybersecurityServices等部门持续多年向WG10派遣资深安全架构专家，参与标准框架设计、核心方法论讨论及文本审核。西门子长期积累的工业安全最佳实践为标准的编制提供了丰富的工程实证。西门子在工业防火墙、安全远程访问、PLC安全模块、工业安全服务等领域拥有完整的产品线，并在全球大量数字化工厂项目中积累了针对IT/OT融合环境的部署经验。这些实践经验和安全产品数据为IECPAS62443-1-6中关于IIoT安全等级映射、组件安全要求适配等章节内容提供了重要的工程参考。作为ISA62443系列标准（IEC62443的美国镜像标准）制定的深度参与者，西门子还在国际自动化学会（ISA）和IEC之间发挥了标准协调的桥梁作用，确保本PAS文件与全球各区域的工业安全标准保持高度一致性。5.3中国参与情况来自中国的标准化