网络安全技术 工业控制系统安全管理基本要求

I III 12规范性引用文件 13术语、定义 14缩略语 25ICS安全管理基本框架 26ICS安全管理关键活动 6.1管理层 36.2规划 36.3支持 46.4运行 56.5评价 66.6改进 6附录A（资料性）工业控制系统安全管理关键活动参考控制措施 7 14本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。本文件代替GB/T36323—2018《信息安全技术网络安全技术工业控制系统安全管理基本要求》，与GB/T36323—2018相比，除结构调整和编辑性改动外，主要技术变化如下：a）将标准名称“信息安全”相关表述更改为“网络安全”；b）更改了工业控制系统、数据采集与监视控制系统等术语和定义（见3.1.1、3.1.3）；c）更改了SCADA缩略语（见3.2）；d）将标准主体内容由ICS安全管理基本框架及关键活动、ICS安全管理基本控制措施调整为ICS安全管理基本框架、ICS安全管理关键活动（见第4章、第5章）；e）更改了ICS安全管理基本框架及关键活动，包括对部分原有表述进行更新、增加新的措施（见第4章、第5章）；f）删除了附录A不同安全级别的ICS安全管理基本要求对应表（见附录A）；g）增加了附录A工业控制系统安全管理关键活动参考控制措施（见附录A）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。1网络安全技术工业控制系统安全管理基本要求本文件规定了工业控制系统安全管理基本框架及相关要求。本文件适用于工业控制系统建设、运行、使用、管理等阶段的安全规划和执行。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22080—2025网络安全技术信息安全管理体系要求GB/T22081—2024网络安全技术信息安全控制GB/T25069—2022信息安全技术术语GB/T32919—2016信息安全技术工业控制系统安全控制应用指南3术语、定义GB/T22080—2025、GB/T22081—2024、GB/T25069—2022界定的以及下列术语和定义适用于本文件。3.1工业控制系统industrialcontrolsystem由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统。[来源：GB/T41400—2026，3.1]3.2分布式控制系统distributedcontrolsystem以计算机为基础，在系统内部（单位内部）对生产过程进行分布控制、集中管理的系统。注：DCS系统一般包括现场控制级、控制管理级两个层次，现场控制级主要是对单个子过程进行控制，控制管理级主要是对多个分散的子过程进行数据采集、集中3.3数据采集与监视控制系统supervisorycontrolanddataacquisitionsystem工业生产控制过程中，对分布式资产和设备在广域网环境下进行集中式数据采集与监控管理的控制2系统。注：它以计算机为基础，对远程分布运行设备进行监控调度，其主要功能包括数3.4可编程逻辑控制器programmablelogiccontroller采用可编程存储器，通过数字运算操作对工业生产装备进行控制的电子设备。4缩略语下列缩略语适用于本文件。DCS：分布式控制系统（DistributedControlSystem）ICS：工业控制系统（IndustrialControlSystem）PLC：可编程逻辑控制器（ProgrammableLogicController）SCADA：数据采集与监视控制系统（SupervisoryControlAndDataAcquisition）5ICS安全管理基本框架工业控制系统（ICS）与传统的信息技术（IT）系统存在的诸多重要差异决定了在规划和管理ICS网络安全过程中应考虑ICS自身的特点。参考传统信息安全管理体系，结合ICS自身特点，将安全性需求整合到ICS中，形成了ICS安全管理基本框架（如图1所示）。该框架在确定ICS安全管理具体意图，理解需求期望并明确ICS体系范围的基础上，将ICS安全管理活动分为管理层、规划、支持、运行、评价、改进六个方面，并在附录A中给出了活动相关的参考控制措施。其中，管理层方面需要组织获得管理层的承诺，确定ICS安全管理的方针，明确组织各相关成员在ICS管理活动中的角色和权责；规划方面组织应确定规划总则，开展ICS安全风险评估和处置，明确目标并实现规划；支持方面组织应保障ICS安全所需的资源，提供能力和意识培训，确定沟通机制；运行方面组织应规划、实现和控制满足ICS安全管理活动要求的具体过程，定期开展ICS安全风险评估和处置工作；评价方面，组织对ICS开展监视、测量、分析和评价，定期开展内部审核和管理评审；改进方面组织应对ICS的安全开展持续监控，在发生ICS安全异常等情况下，开展纠正措施并持续改进。36ICS安全管理关键活动6.1管理层6.1.1领导和承诺组织应依据GB/T22080-2025的5.1作出针对ICS安全的承诺。6.1.2方针为确保ICS安全的实施，组织应：a）依据GB/T22080-2025的5.2制定并发布适用于ICS安全的方针，并与组织网络安全整体方针保持一致；b）方针内容至少包括：目的、范围、作用、角色、责任、管理层承诺、相关部门间的协调及遵守情况和政策法规合规性；c）任命专人负责协调、开发、实施和维护组织范围内的ICS安全方针；d）定期对ICS安全方针进行评审和更新；e）应按照相关规定进行分级保护，如采取加密存储、访问权限控制、防篡改等措施，防止ICS安全方针被未经授权的披露和修改。6.1.3成立ICS安全联合管理团队为确保ICS安全的实施，组织应：a）成立由组织负责人牵头，信息化、生产管理、设备管理等相关部门组成的跨部门、跨职能的ICS安全联合管理团队，负责制定和落实工业控制系统安全管理制度，落实工业控制系统安全技术防护措施，开展工业控制系统安全宣传教育培训，执行工业控制系统安全监督检查等工作；b）该管理团队应至少包括IT人员、控制工程师、控制系统操作员、网络和信息系统安全专家、管理层代表，以及物理安全部门代表；c）最高管理层应确保该团队开展ICS安全管理活动的权利和责任，并提供相应承诺。6.1.4组织的角色、责任和权限最高管理层应分配责任和权限，以便达到以下目标：a）依据GB/T22080-2025的5.3制定适用于ICS安全的组织的角色、责任和权限；b）确保ICS安全管理基本框架符合本文件的要求；c）最高管理层应按照“谁运营谁负责、谁主管谁负责”的原则，在组织内分配报告网络安全管理体系绩效的责任和权限，明确并落实责任人和责任部门的工控安全保护责任；d）向最高管理者报告ICS安全管理基本框架绩效；e）接受联合管理团队的定期汇报。6.2规划6.2.1应对风险和机会的措施通则组织应依据GB/T22080-2025中6.1.1制定针对ICS的总则，同时还应在总则中加入对于ICS安全运行和维护的期望。ICS信息安全风险评估为定义并应用风险评估过程，组织应：a）依据GB/T22080-2025中6.1.2定义并应用针对ICS的风险评估过程，同时还应充分论证风险评估过程对ICS的可用性和稳定性产生的后果，以确保工业生产活动的正常开展；b）制定ICS及相关信息系统的安全风险评估计划，明确风险评估的对象、内容及评估流程；c）按安全风险评估计划，在新建或升级工业控制系统上线前、工业控制网络与企业管理网或互联网连接前，对指定系统实施风险评估，并形成风险评估报告；d）将风险评估结果向相关人员通报，并定期对风险评估的结果进行评审；e）当系统或其运行环境发生重大变更（包括发现新的威胁和漏洞或出现其他可能影响系统安全状态的条件时，应重新进行风险评估；f）对于重要工业控制系统，企业应自行或委托第三方专业机构每年至少开展一次工控安全防护能力相关评估。ICS信息安全风险处置组织应依据GB/T22080-2025中6.1.3定义并应用ICS信息安全风险处置过程。6.2.2ICS网络安全目标及其实现规划为在相关职能和层级上建立ICS网络安全目标，组织应：a）依据GB/T22080-2025中6.2要求，结合组织信息系统安全的实践经验，并考虑信息系统与工业控制系统间的关键差异，建立针对ICS网络安全的目标及其实现规划；b）在安全规划中明确定义ICS系统的授权边界、描述ICS系统使命与业务流程的相关性、提供ICS系统的安全分类、描述ICS系统的运营环境及与其他系统的关联关系、提供ICS系统安全需求的概要描述及针对安全需求的安全控制等；c）应定期对ICS系统安全规划进行评审和更新；d）当ICS系统或运行环境发生变化，或者在系统安全规划实施或评估过程中发现问题时，应及时更新系统安全规划；e）应对ICS系统安全规划的内容进行保护，以防止泄露或未授权更改。6.2.3针对变更的规划组织应依据GB/T22080-2025中6.3对ICS网络安全管理体系变更的实施进行规划。6.3支持6.3.1资源为确定并提供建立、实现、维护和持续改进ICS网络安全管理体系所需的资源，组织应：a）根据适用法律法规、政策标准，依据GB/T22080-2025中7.1确定并提供建立、实现、维护和持续改进ICS网络安全管理体系所需的资源，将工控安全建设投入纳入组织资本计划和年度预算，确保安全防护措施与工业控制系统同步规划、同步建设、同步使用；b）在业务过程规划中明确提出ICS安全需求,明确、配置保护ICS及相关信息系统所需的资源，形成相关文档并将其作为资本计划和投资管理过程的组成部分。6.3.2能力组织应依据GB/T22080-2025中7.2，确保具备以下能力：5a）确定在组织管理下工作且影响ICS网络安全绩效的人员的必要能力；b）应定期为ICS中的安全角色和具有安全职责的人员提供安全培训并进行考核，覆盖新员工入职培训、在岗人员定期复训；c）应定期或系统变更需要培训时，进行安全培训；d）安全培训内容应包括工控安全相关法律法规、政策标准、ICS安全方针策略、安全操作程序、ICS安全趋势和安全漏洞等内容；e）应记录并监视ICS安全培训活动，包括基本的安全意识培训和特定的ICS安全培训；f）应在规定的时间内保留培训记录等文件化信息；g）应评估所采取措施的有效性,确保相关人员在适当的教育、培训或经验的基础上能够胜任ICS相关工作。6.3.3意识为确保在组织控制下工作人员具备相应的安全意识，组织应：a）依据GB/T22080-2025中7.3，定期为包括管理员、高级管理层、承包商在内的ICS用户开展安全意识培训和考核；b）应在新员工的培训中纳入安全意识培训；c）应定期或系统变更需要培训时，进行安全意识培训；d）安全意识培训内容应包括ICS网络安全方针、安全操作程序、ICS安全趋势和安全漏洞等内容；e）确保在组织控制下工作的人员了解：——工业控制系统网络安全相关法律法规、政策标准；——ICS网络安全方针；——其对ICS安全管理基本框架有效性的贡献，包括改进ICS网络安全绩效带来的益处；——不符合ICS安全管理基本框架要求带来的影响。6.3.4沟通组织应依据GB/T22080-2025中7.4，确定与ICS网络安全管理体系相关的内部和外部的沟通需求。6.4运行6.4.1运行规划和控制为满足要求并实现6.2中确定的措施，组织应通过以下方式来规划、实现和控制所需的过程：a）依据GB/T22080-2025中8.1开展针对ICS网络安全的运行规划和控制工作：b）在针对ICS实施安全控制措施前，详细评估该安全控制对ICS可能造成的危害，并根据其影响结果，进行批准或否决；c）在具体实施安全控制措施前，应获得安全控制措施授权；d）应对系统配置变更的活动进行评审；e）组织在实施ICS变更前，应对ICS配置变更进行分析，判断该变更可能带来的潜在安全影响，应将ICS相关的配置变更决策形成文件；f）在实施ICS变更后，应检测安全功能，以验证变更已被正确地实现，且满足相应系统的安全需求，并保留对ICS配置的变更记录；g）外部ICS产品、服务提供商应遵从组织的网络安全策略要求，采用组织规定的安全控制措施，并遵守相关的法律法规、政策标准；h）采用规定的过程、方法和技术，对外部ICS产品、服务提供商所提供的安全控制措施的合规性6进行持续监控；i）通过签订协议等方式，明确外部ICS产品、服务提供商应履行的安全相关责任和义务，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；j）选用外部ICS产品时，应选择符合国家相关安全标准、通过安全认证的产品，选用纳入网络关键设备目录的PLC等设备时，应选择具备资格的机构安全认证合格或者安全检测符合要求的设备。6.4.2ICS信息安全风险评估组织应依据开展针对ICS的信息安全风险评估工作。在风险评估过程中，参照GB/T32919中的内容，充分考虑ICS与传统信息系统的差异性。6.4.3ICS信息安全风险处置组织应依据开展针对ICS的信息安全风险处置工作。在风险处置过程中，参照GB/T32919中的内容，充分考虑ICS与传统信息系统的差异性。6.5评价6.5.1监视、测量、分析和评价为确保组织有效开展监视、测量等活动，组织应：a）依据GB/T22080-2025中9.1开展监视、测量、分析和评价活动；b）制定和监测报告网络安全绩效措施，并实施持续的监测计划，计划内容包括：被监控的目标、监控的频率、以及对监控进行评估的频率等；c）应使用独立评估人员或评估组织，在持续的基础上来监视工业控制系统的安全控制,识别安全违规事件，检测ICS中的安全异常事件的发生；d）应对评估和监测产生的安全相关信息进行关联和分析，并根据分析结果，采取相应的响应措施；e）应定期向相关人员报告ICS安全状态。6.5.2内部审核组织应依据GB/T22080-2025中9.2，根据ICS特点开展内部审核。6.5.3管理评审组织应依据GB/T22080-2025中9.3，根据ICS特点开展管理评审。6.6改进6.6.1持续改进组织应依据GB/T22080-2025中10.1，持续改进ICS安全管理基本框架的适宜性、充分性和有效性，并在ICS生产业务或系统安全防护发生重大变更时向联合管理团队和最高管理层汇报。6.6.2不符合及纠正措施组织应依据GB/T22080-2025中10.2，并依据ICS特点采取纠正措施。7（资料性）工业控制系统安全管理关键活动参考控制措施本附录给出了工业控制系统安全管理关键活动参考控制措施，用以指导组织根据自身工业控制系统的不同情况选择安全管理控制措施，并可根据工业控制系统安全控制应用指南等相关标准，对所选安全管理控制措施进行剪裁、选择等操作。A.1制度管理具体措施如下：a）应根据工业控制系统安全管理需求，建立相应的工业控制系统安全管理制度，明确安全要求，制度编制和发布应采用多级管理审批，并定期对管理制度进行评审和更新；b）应在相关制度中明确工业控制系统安全需求，合理配置安全防护所需资源，将工控安全建设投入纳入组织资本计划和年度预算，保障安全措施与工业控制系统同步规划、同步建设、同步使用；c）应定期对安全管理体系的适宜性、充分性、有效性开展评审，由组织负责人牵头组织，持续提升工控安全防护能力；d）制度文档（包括纸质版和电子版）应按照相关规定进行分级保护，如采取加密存储、访问权限控制、防篡改等措施，防止文档中的敏感技术信息、安全配置信息被未授权人员获取、篡改或泄露。A.2组织机构具体措施如下：a）应成立由组织负责人牵头，信息化、生产管理、设备管理等相关部门组成的网络安全协调小组，负责统筹协调工业控制系统网络安全相关工作；b）应在网络安全协调小组的指导下，设立跨部门、跨职能的工业控制系统安全管理职能团队，具体承担工业控制系统安全管理工作，负责制定和落实工业控制系统安全管理制度，落实工业控制系统安全技术防护措施，开展工业控制系统安全宣传教育培训，执行工业控制系统安全监督检查等工作；c）应基于工业控制系统安全管理需求，规划并设立规范化的工业控制系统安全岗位，包括工业控制系统管理员、网络管理员、安全管理员等岗位，并定义部门及各个工作岗位的职责。A.3物理与环境安全具体措施如下：a）应加强工业控制系统设施出入口物理管控，采用门禁、门卫等措施验证访问权限，维护访问记录，对访客实施全程陪同，独立控制工业控制系统物理访问权限；b）应采取物理防护措施保护工业控制系统设施内的传输线路，防止被未授权访问和破坏；c）应部署视频监控和防盗报警系统，实时监测物理入侵行为，保留监控记录，定期审查物理访问d）应保护电源设备和电缆免遭破坏，采用冗余电力配置；e）应部署火灾检测和自动灭火系统，配备独立电源，采用耐火建筑材料和区域隔离措施保护工业控制系统组件集中区域；f）应维护工业控制系统运行环境的温湿度等指标在允许范围内，部署环境自动调节设施，定期监测环境参数；8g）应避免水管穿过机房关键区域，采用自动化措施应对重大漏水事故；h）应为重要工业控制系统配备应急UPS电源和长期备份电源，保障主电源失效时系统能够安全关闭或维持核心功能运行；A.4供应链安全具体措施如下：a）应制定并发布供应链风险安全相关管理制度，明确目的、范围、角色责任等内容，指定专人负责制度管理，定期进行评审和更新；b）新建、改建、扩建工控系统时，应同步编制安全建设方案，明确安全防护目标、技术措施与管理要求；c）采购工控设备、软件、服务时，应在采购文件中明确安全功能、安全保障、漏洞修复、保密责任等安全要求；d）优先选用符合国家相关安全标准、通过安全认证的产品。使用纳入网络关键设备目录的PLC等设备时，应使用具备资格的机构安全认证合格或者安全检测符合要求的设备；e）与工业控制系统厂商、云服务商、安全服务商等供应商签订的协议中，应明确各方需履行的安全相关责任和义务，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等；f）自研工控软件、控制系统应遵循安全开发生命周期要求，在需求、设计、编码、测试各阶段嵌入安全管控；g）工业控制系统集成过程应严格管控配置变更，禁止未经授权修改控制逻辑、系统参数与安全策略，重大变更前应开展安全影响分析；h）工控系统上线前，应开展安全检测与风险评估，验证安全措施有效性，形成安全验收报告。未通过安全验收的系统，不得接入生产网络、投入正式运行；i）定期对供应商安全能力进行评估，对核心设备供应商实施重点管理。A.5人员安全具体措施如下：a）应制定并发布人员安全相关管理制度，明确目的、范围、角色责任等内容，指定专人负责制度的制定、记录和发布，定期进行评审和更新；b）应在人员授权访问系统前，对将访问涉密或敏感信息的人员按最高等级进行审查并开展相应保密教育，并签订安全保密协议；c）应在人员岗位调动时评审并调整其系统访问权限，签订安全保密协议，在规定时间内完成权限重新分配并告知相关人员；d）应在人员离职时，及时终止其系统访问权限，删除其身份鉴别信息，收回相关资产，签订安全保密协议，完成工作交接并验证系统运行正常；e）应明确第三方供应商人员安全要求并形成文件，监督其合规性。第三方人员访问系统需经审批开通临时账号，远程访问通过专用安全通道进行，对其操作行为实施全程审计监控；f）应留存人员权限变更、第三方访问审批等相关记录并对相关活动定期开展审计；g）应制定并发布安全能力培养和培训方案，明确目的、范围、角色责任等内容，定期进行评审和更新；h）应为相关人员提供安全培训，覆盖新员工入职培训、在岗人员定期复训，培训内容包括工控安全相关法律法规、政策标准、操作规程、安全趋势及威胁识别等，结合实际演练提升培训效果；i）应为承担安全职责的人员提供针对性技能及岗位安全培训和考核，定期开展实操训练，提升其异常行为识别和安全事件处置能力；9j）应记录并留存所有安全培训活动信息，按规定期限保存培训记录；k）应定期收集并反馈安全培训结果，持续优化培训内容和方式。A.6工业资产安全A.6.1通用安全具体措施如下：a）应建立并动态更新工业控制系统软硬件、固件资产清单，明确资产管理责任人，实施全生命周期管理，并按业务重要性识别重要资产并实施重点保护；b）定期开展工业控制系统资产核查，内容包括但不限于系统配置、权限分配、日志审计、病毒查杀、数据备份、设备运行状态等情况；c）应建立账户管理体系，指定账号管理员，规范账户创建、激活、修改、注销流程，定期审查账户权限，严格控制特权账户分配和使用；d）应强化账户及口令管理，避免使用默认口令或弱口令，定期更新口令；e）应明确规定口令字符长度、组合复杂度、最小更新周期等参数，并妥善保存口令，严格控制口令知悉范围；f）应基于最小授权原则授予工业控制设备及系统的用户访问权限，严格限制超级用户账户授权，禁止向外部人员授权，及时禁用非必要系统默认账户、管理员账户并及时清理过期账户；g）应对所有组织用户实施唯一标识和身份鉴别，关键访问采用多因子认证技术；h）应密切关注网络安全威胁和漏洞信息共享平台等重大工控安全漏洞及其补丁程序发布，及时采取升级措施，短期内无法升级的，应开展针对性安全加固；i）应建立漏洞识别、报告和修复机制，验证补丁有效性并进行生产运行影响评估后再实施升级，将漏洞修复纳入配置管理流程，采用自动化工具统一管理补丁部署；j）应对重要工业控制系统定期开展漏洞排查，发现重大安全漏洞时，对补丁程序或加固措施进行测试验证后，方可实施补丁升级或加固。A.6.2工业设备安全具体措施如下：a）应建立工业控制设备及现场测控设备安全保障制度和资产管理制度，制定配套安全管理文档；b）应在操作员站、工程师站、工业数据库服务器等工业主机上安装专用安全软件，对可执行程序进行管理，防止病毒、木马等恶意程序感染；c）具备存储功能的介质接入工业主机前，必须进行病毒、木马等恶意代码查杀；d）应拆除或封闭工业主机上不必要的通用串行总线（USB）、光驱、无线等外部设备接口，关闭不必要的网络服务端口。若确需使用外部设备，应进行严格访问控制；e）应实施基于角色的访问控制策略，禁止未授权访问和操作，确保不影响工业控制系统正常运行。f）应对工业主机、工业智能终端设备、网络设备等的访问实施用户身份鉴别；g）工业设备上云时，应对上云设备实施严格标识管理，设备在接入工业云平台时采用双向身份认证，禁止未标识设备接入工业云平台。业务系统上云时，应确保不同业务系统运行环境的安全隔离；h）工业云平台为企业自建时，应利用用户身份鉴别、访问控制、安全通信、入侵防范等技术做好安全防护，有效阻止非法操作、网络攻击等行为；i）应建立工业控制系统安全配置清单、安全防护设备策略配置清单，定期对配置清单进行审计，及时根据安全防护需求变化调整配置。在重大配置变更实施前进行严格安全测试，测试通过后方可实施变更；j）当发现工业控制系统及其组件、服务未配备相应的技术文档和安全文档时，不得投入运行。应详细记录文档缺失情况，记录内容应包括缺失文档名称、涉及的系统/组件、缺失原因等，并同步组织开展文档补全工作；k）主机应采用应用软件白名单技术，只允许部署运行经企业授权和安全评估的应用软件，并有计划地实施操作系统、数据库等系统软件和重要应用软件升级；l）根据承载业务的重要性、规模，以及发生网络安全事件的危害程度等因素，建立重要工业控制系统清单并定期更新，实施重点保护；m）重要工业控制系统相关的关键工业主机、网络设备、控制设备等，应采用冗余配置；n）工业设备退役下线前，应制定专项处置方案，对设备内存储的控制逻辑、工艺参数、运行配置、操作日志等敏感数据进行彻底清除，防止敏感技术信息随设备流出；o）报废的核心工业控制设备、存储介质应采取物理粉碎等合规方式销毁，不得擅自变卖、丢弃或转作他用，处置全过程应留存完整记录；p）工业设备废止后应及时更新资产台账，同步注销设备对应的网络接入权限、账户权限与安全策略，移除网络接入端口或配置，避免废弃设备成为安全盲区。A.6.3工业软件安全具体措施如下：a）访问制造执行系统（MES）、组态软件和工业数据库等应用服务时，应进行用户身份认证。访问关键应用服务时，采用双因子认证，并严格限制访问范围和授权时间；b）工业企业自主研发的工业控制系统相关软件，应通过企业自行或委托第三方机构开展的安全性测试，测试合格后方可上线使用；c）应定期对工业控制软件进行检测，以标识和排除不必要的功能、端口、协议和服务；d）应做好工业控制网络、工业主机、工业控制设备的软件安全策略配置，对配置进行集中管理、应用，并验证配置生效；e）定期核查工业控制软件安全配置清单，避免因调试、升级等操作导致配置变更后，未及时更新配置清单；f）应在发生重大配置变更前，制定配置变更计划并进行安全影响分析，确保该配置变更不会引入重大安全风险，必要时在离线环境中进行安全验证；g）对工业控制软件账户实施严格管理，防止工业控制系统遭到未授权的访问和使用；h）应根据工业控制软件的重要程度，对工业控制软件实施口令保护和权限管理，降低对设备未授权登录和操作的可能性；i）工业软件退役下线前，应完成控制逻辑、组态工程、系统配置等核心文件的合规归档，卸载终端及服务器端软件，回收并注销授权许可，清除账号凭据与残留配置信息，关闭远程运维接口与后台数据同步通道，禁止擅自将退役软件复制或复用至其他生产系统；j）工业软件废止后应同步更新软件资产台账，关闭该软件关联的网络端口、通信接口与跨系统数据交互通道，对废止处置全流程开展审计并留存完整记录，避免废弃软件成为网络攻击入口。A.6.4固件安全具体措施如下：a）应建立独立的固件资产清单并动态更新，记录设备型号、固件版本、发布厂商、管理责任人等关键信息，实现固件资产全生命周期可追溯；b）所有固件应从厂商官方授权渠道获取并验证完整性，制定严格的固件更新审批与测试流程，禁止未经安全验证的固件上线和自动更新；c）应实施固件安全基线配置，首次部署立即修改默认口令，禁用固件中不必要的调试接口、后台服务和硬件功能，支持安全启动的设备强制启用该功能；d）应建立固件漏洞常态化管理机制，定期跟踪厂商安全公告并开展风险评估，对高危漏洞及时修复或采取隔离、访问控制等补偿措施；e）应对关键设备原始固件镜像进行备份，明确设备报废时的固件数据擦除要求，制定固件篡改、损坏等安全事件的专项应急处置流程。A.6.5工业数据安全具体措施如下：a）应建立健全全流程工业数据安全管理制度，定期评审更新制度内容，保护数据安全防护措施不被未授权披露和修改；b）应定期梳理工业数据资产，建立数据资产目录，识别重要数据和核心数据并形成清单；c）应在数据收集、存储、使用、加工、传输、提供、公开等数据全生命周期的各个环节，使用密码技术、访问控制、容灾备份等技术对数据实施安全保护；d）应明确数据出境安全要求，结合数据重要性和敏感度实施分级防护措施。法律、行政法规有境内存储要求的重要数据和核心数据，应在境内存储，确需向境外提供的，应当依法依规进行数据出境安全评估；e）应根据业务需求制定数据备份和恢复策略，部署相应的备份和恢复程序；f）应避免使用生产敏感数据进行测试，测试数据使用后进行脱敏或销毁处理；g）应结合工业数据管理制度和安全需求，建立工业数据销毁安全策略和操作规程，明确工业数据销毁的对象、原因、规则、流程和技术等要求，并对销毁活动进行记录和留存；h）应结合工业数据级别，针对不同类型的存储介质，采用相应的数据销毁措施和工具对数据进行销毁，保证数据销毁的有效性。A.7网络与通信安全具体措施如下：a）应制定并发布系统和通信保护相关管理制度，明确目的、范围、角色责任等内容，指定专人负责制度管理，定期进行评审和更新；b）应对工业控制网络（含工业以太网、工业无线网络）实行分区分域管理，实施网络边界隔离，通过工业防火墙、网闸等设备实现域间横向隔离，仅通过受管接口连接外部网络；c）应在网络边界部署恶意代码防护机制并及时更新，定期对系统进行扫描，集中管理防护策略，限制便携式设备使用，定期验证防护机制有效性；d）工业控制网络与企业管理网或互联网互联时，应部署纵向防护措施并开展网间行为安全审计。所有设备接入网络必须进行身份认证；e）采用5G、Wi-Fi等无线通信技术组网时，应制定严格的网络访问控制策略，对无线接入设备实施身份认证，定期审计无线接入点（AP），关闭SSID广播，防范设备违规接入；f）应建立用户访问行为规则，明确用户职责与使用要求，严格实施远程访问控制；g）禁止工业控制系统面向互联网开放HTTP等高风险通用网络服务。确需开放的，应通过安全接入代理实现用户身份认证与应用鉴权；h）远程维护应采用IPsec等协议构建VPN安全通道，严格限制访问范围与授权时间，并留存日志开展审计；i）应采用密码技术保护传输信息的机密性和完整性，可选择受保护的线路进行信息传输；j）工业控制系统中使用的加密协议与算法应符合相关法律法规要求，优先采用商用密码算法，实现网络通信加密、设备身份认证与数据安全传输。A.8安全评估具体措施如下：a）应制定并发布安全评估相关管理制度，明确目的、范围、角色责任等内容，定期进行评审和更新；b）应制定安全评估计划，定期对系统安全措施有效性进行评估，新建或升级工业控制系统上线前、工业控制网络与企业管理网或互联网连接前，必须开展安全评估；c）应根据安全评估结果制定整改行动计划和时间节点，根据监控情况动态更新计划，采用自动化工具保障计划落实；d）应定期开展工业控制系统渗透测试，测试应在非在线状态或复制系统中进行，不得影响工业控制系统正常运行；e）当开发或采购涉及收集、使用个人信息的系统时，应开展个人信息保护影响评估；f）重要工业控制系统每年应至少开展一次工控安全防护能力相关评估；g）重要数据处理者每年应至少开展一次工业数据安全风险评估；h）系统发生重大变更、业务场景或威胁环境出现重大变化时，应重新开展风险评估，迭代优化安全管理体系。A.9风险监测具体措施如下：a）应在工业控制网络部署监测审计相关设备或平台，在不影响系统稳定运行的前提下，及时发现和预警系统漏洞、恶意软件、网络攻击、网络侵入等安全风险；b）应跟踪和记录各类安全事件，重点监控异常流量、账户活动、系统告警等关键指标，采用自动化工具支持事件跟踪和分析；c）应建立工业控制系统网络安全运营中心，利用安全编排自动化与响应