工业控制系统安全操作规程

工业控制系统安全操作规程第一章总则与核心原则为规范工业控制系统（以下简称“工控系统”）的安全操作与管理，保障生产业务的连续性、稳定性及数据的机密性与完整性，防范网络攻击与恶意破坏，特制定本详细操作规程。本规程适用于所有涉及工控系统规划、建设、运维、操作及报废等全生命周期的相关人员与业务环节。工控系统安全的核心原则在于“安全分区、网络专用、横向隔离、纵向认证”。所有操作人员在执行任何与工控系统相关的指令时，必须将生产安全与网络安全置于首位，严禁以牺牲系统安全性为代价换取操作便利。在发生安全事件或系统异常时，必须遵循“先切断风险源、保留现场、后恢复系统”的应急处置逻辑，坚决杜绝盲目重启或未经授权的干预行为。第二章人员管理与职责矩阵工控系统的安全不仅依赖于技术防护，更取决于人员的操作规范与安全意识。所有接触工控系统的人员必须经过严格的背景审查与安全培训，并签署保密协议。人员权限分配必须遵循“最小权限原则”和“职责分离原则”，避免权力过于集中导致单点故障或内部威胁。2.1三员分立制度工控环境必须设立系统管理员、安全保密管理员和安全审计员，三者的权限相互独立、相互制约。岗位角色核心职责禁止行为操作权限范围系统管理员负责工控主机、服务器、网络设备的日常运维、资源分配与系统配置；负责账户的创建与基础属性修改。严禁浏览审计日志；严禁擅自更改安全策略；严禁进行业务数据修改。操作系统、数据库、工控软件的配置修改、服务启停。安全保密管理员负责安全设备（防火墙、IDS等）的策略下发与调整；负责终端安全管控；审查违规行为。严禁执行系统级配置变更；严禁拥有业务数据的读写权限；严禁自行清除日志。安全策略配置、访问控制列表修改、恶意代码库更新。安全审计员负责监督系统管理员与安全保密管理员的操作行为；定期审查审计日志；出具安全审计报告。严禁进行任何系统配置与安全策略的修改；严禁参与日常运维操作。审计日志的读取、查询、导出与告警分析。2.2人员培训与准入新员工或外协人员进入工控现场前，必须接受不少于16学时的工控安全专项培训，内容涵盖工控网络基础、常见攻击手段（如钓鱼邮件、U盘病毒）、操作规范及应急预案。培训考核合格后方可获得临时准入资格。对于长期驻场的外协开发或运维人员，必须由对口业务部门人员全程陪同，严禁其在无人监管状态下接入工控网络。第三章资产管理与网络边界防护精准的资产管理是工控安全的基础。所有工控资产必须建立台账，并实施严格的边界防护。3.1资产台账与变更管理建立涵盖硬件（PLC、DCS控制器、操作员站、工程师站、交换机）、软件（组态软件、上位机系统版本）、网络拓扑及IP地址分配的动态资产台账。任何资产的接入、移除或配置变更，必须提交《工控资产变更申请单》，经安全保密管理员审核及技术负责人批准后，由系统管理员在维护窗口期内执行。严禁私自接入未登记的笔记本电脑、个人手机或无线路由器。工控网络与办公网络（或互联网）之间必须实施物理隔离或强逻辑隔离。若存在数据交互需求，必须通过正向或反向物理隔离网闸进行摆渡，且仅允许单向传输。3.2防火墙与访问控制策略配置工控网络内部应根据业务逻辑划分不同的安全域（如控制层、操作层、管理层）。域间边界必须部署工控防火墙，并配置细粒度的访问控制策略。策略配置必须遵循“白名单”机制，即“默认拒绝，按需放行”。防火墙规则必须精确到IP地址、端口号及工控协议（如ModbusTCP、OPCDA、IEC104等）的功能码级别。例如，若操作员站仅需读取PLC的寄存器数据，则防火墙策略应明确限制仅允许Modbus协议的03（读保持寄存器）或04（读输入寄存器）功能码通过，严禁放行05（写单线圈）或06（写单寄存器）等写操作功能码。防火墙策略的变更必须记录详细日志，包括变更时间、变更人、变更原因及变更前后的规则对比，并每月进行一次策略有效性复核，清理冗余或过期规则。第四章日常安全操作规范日常操作是工控系统运行的核心环节，操作员与工程师的每一个指令都直接关系到生产安全。4.1用户身份认证与密码管理工控系统所有主机、服务器及控制设备必须启用身份认证机制，严禁使用默认账户（如admin/root/guest）或空口令登录。密码复杂度要求：长度不少于12位，必须包含大写字母、小写字母、数字及特殊符号中的三种以上。密码更换周期不得超过90天，且新密码不得与最近5次使用过的历史密码相同。对于关键控制设备（如DCS服务器、核心PLC），应采用特权访问管理（PAM）系统进行密码托管，实施定期自动改密。操作人员登录时通过PAM系统进行身份认证后由系统自动代填密码，严禁人员知晓并记录特权账户的明文密码。同时，操作员离岗或终端闲置超过10分钟，必须自动触发屏幕锁定并要求重新认证。4.2变更管理与组态修改操作对PLC/DCS程序的在线修改（如下装组态、修改控制逻辑、调整PID参数）属于极高风险操作。此类操作必须严格执行以下流程：1.方案审批：工程师需提前提交《工控逻辑变更申请》，详细说明修改目的、修改逻辑块、潜在影响及回滚方案，经生产调度部门与安全部门联合审批。2.环境测试：在正式下装前，必须在离线仿真环境或冗余备用系统中进行全逻辑测试，验证无冲突且不影响其他控制回路。3.备份前置：正式操作前，必须对当前运行的组态程序、数据库及控制参数进行完整备份，并验证备份文件的可用性。4.操作执行：选择生产相对稳定的维护窗口期进行。操作时必须由主操与监护人（班长或技术主管）双人在场。主操负责执行指令，监护人负责核对屏幕信息与现场设备状态。5.结果确认：逻辑下装后，密切监控系统运行状态至少30分钟，确认无异常报警、无设备非预期启停后，方可认为变更完成。所有操作步骤必须录入运维日志。严禁在系统运行期间进行未经审批的“在线调试”或强制修改输入/输出（I/O）点状态。当发生紧急事故需要强制I/O点时，必须由现场指挥长口头授权执行，并在事后24小时内补办书面审批手续。4.3移动介质与数据交换管理移动介质是工控系统感染病毒与木马的最主要途径，必须实施最高级别的管控。工控系统内必须实施移动介质“白名单”管理。所有U盘、移动硬盘在使用前，必须由专门的安全管理员在隔离的“专用杀毒工作站”上进行全方位查杀。查杀工作站必须保持防病毒库的最新状态。介质的流转需遵循以下表格规定：介质类型使用场景杀毒要求物理管控要求登记要求专用导入U盘将外部数据（如补丁、组态文件）导入工控网专用工作站深度查杀，且仅限单向导入存放于带锁介质柜，专人保管，贴有专属条码每次领用与归还需在《介质使用台账》登记并签字专用导出U盘将工控网数据（如生产报表、日志）导出至办公网导出前在工控主机查杀，导出后在办公网查杀存放于带锁介质柜，专人保管，贴有警告标签每次领用与归还需在《介质使用台账》登记并签字未登记介质严禁在工控网内使用N/A门禁安检没收追究违规带入者责任严禁在工控主机上使用带有写保护开关的U盘时处于可写状态进行未知文件的运行。所有工控主机的USB接口原则应通过系统策略进行封禁，仅留专用接口且仅允许白名单内的设备ID接入。第五章恶意代码防范与漏洞管理由于工控系统对实时性和可用性要求极高，传统的IT防病毒手段无法直接照搬，必须采取特殊机制防范恶意代码。5.1白名单机制部署工控操作员站、工程师站及服务器应部署基于应用程序白名单的安全软件。与基于特征码的杀毒软件不同，白名单机制仅允许经过数字签名或哈希校验的可信程序运行，默认阻止任何未知可执行文件、脚本及动态链接库的运行。白名单的基线建立必须在系统部署初期或大修期间，在确保系统无毒的干净环境下生成。生成后，白名单策略必须设置为“审计报警”模式运行一周，确认无误报后切换为“阻断”模式。白名单的更新必须严格受控。当业务系统升级或安装新软件时，需由系统管理员提交申请，说明新增的可执行文件路径、哈希值及厂商签名信息，经审批后由安全保密管理员在集中管理控制台下发策略更新。严禁在工控主机上临时关闭白名单防护。5.2补丁与漏洞管理工控系统的漏洞修复不能采用自动更新模式。对于微软等系统厂商发布的补丁，必须经过严格的测试评估流程。首先，由安全部门定期获取经工控系统厂商（如西门子、和利时、浙大中控等）兼容性认证的补丁列表。其次，在搭建的与生产环境一致的测试环境中部署补丁，运行不少于72小时的压力测试与业务逻辑测试，观察是否存在内存泄漏、CPU占用激增或与组态软件冲突的情况。测试通过后，制定《补丁实施计划》，明确回滚措施（如系统镜像备份），在年度大修或计划停机窗口内离线部署。严禁通过互联网直接下载补丁并安装于工控主机。对于暂无法修复的高危漏洞，必须采取补偿性控制措施。例如，通过禁用相关服务、关闭高危端口（如445、3389、135、139等）、在防火墙下发阻断策略等方式，缩小攻击面。第六章监控审计与日志管理持续的安全监控和详尽的审计日志是发现潜在威胁、追溯安全事件的关键。由于工控系统资源有限，日志记录策略需平衡安全性与系统性能。6.1日志记录与存储规范所有工控设备、安全设备、操作系统及数据库必须开启审计日志功能。日志内容应至少包含：事件发生的日期和时间、触发事件的用户ID、事件类型、事件是否成功以及受影响的资源名称。对于关键操作（如登录/登出失败、组态下装、权限变更、报警确认与清除、强制I/O操作、防火墙策略变更），必须记录详细上下文。由于工控主机本地存储空间有限，必须配置日志集中转发功能，通过Syslog等协议将日志实时发送至独立的工控安全日志审计系统。日志的保存期限必须符合国家网络安全相关法律法规要求，至少留存6个月以上。日志审计系统应配置防篡改机制，仅授权安全审计员具有只读权限。为确保日志的连续性，当日志存储空间达到80%阈值时，审计系统应自动向管理员发送告警，防止旧日志被覆盖。6.2安全监控与告警处置部署工控入侵检测系统（IDS）或网络流量分析系统，对工控网络骨干链路进行旁路镜像监控。通过解析工控协议深度包，识别异常行为。以下行为必须被监控系统识别并触发高危告警：1.非工控设备尝试与PLC建立通信连接。2.工控协议中出现异常的功能码（如未授权的写操作）或超长数据包。3.操作员在非工作时间登录工控系统。4.同一账户在短时间内发生多次登录失败。5.内网中出现未授权的DHCP服务器或ARP欺骗行为。监控值班人员需每日对告警信息进行研判。对于低危告警（如常规扫描），记录备案即可；对于高危告警（如恶意代码爆发迹象、非授权控制指令），必须立即启动应急响应流程，切断可疑源的网络连接，并上报安全负责人。第七章物理环境与设备安全物理安全是工控系统稳定运行的基石。任何网络防护都无法抵御物理层面的破坏或环境导致的硬件失效。7.1机房与控制室管控工控机房、DCS控制室及电子设备间必须实施严格的物理访问控制。1.门禁管理：必须采用双因素认证门禁（如刷卡+指纹或人脸识别），并保留至少6个月的出入记录。门禁卡严禁互相借用。2.陪同制度：外来人员（包括供应商维保人员、参观人员）进入核心区域必须由内部人员全程陪同，不得触碰任何操作台、服务器及网络设备。进入前需登记随身携带的电子设备。3.环境监控：机房内必须部署温湿度监控、漏水检测、UPS电源监控及视频监控系统。视频监控需实现无死角覆盖，录像存储时间不少于90天。温湿度异常或UPS断电必须联动声光报警及短信通知至运维人员。7.2冗余与备份机制保障为确保高可用性，核心控制层设备（如PLC主控器、冗余电源、核心交换机）必须处于双机热备或冗余架构。定期进行主备切换测试，确保在主设备宕机时，备用设备能在毫秒级时间内接管控制权且不产生扰动。备份数据必须实施“3-2-1”策略：3份数据副本。2种不同的存储介质（如本地磁盘阵列+磁带库或移动硬盘）。1份异地物理隔离备份（防止本地遭遇勒索病毒或灾难性破坏时彻底丢失）。需定期验证备份数据的完整性与可用性。每季度至少进行一次模拟数据恢复演练，记录恢复耗时、数据一致性及操作步骤，确保在真实灾难发生时，能在RTO（恢复时间目标）和RPO（恢复点目标）内恢复业务系统。第八章应急响应与事件处置尽管采取了多重防护，仍无法绝对避免安全事件的发生。建立高效、可落地的应急响应机制是减少损失的最后防线。8.1应急预案制定与演练针对不同级别的安全事件，必须编制详尽的《工控系统安全应急预案》。预案应明确各类事件的判定标准、处置流程、各部门职责及通信联络图。预案不能仅停留在纸面，每年至少组织一次包含生产调度、操作员、安全人员及设备厂商的全要素实战演练。演练场景应贴合实际，包括但不限于：勒索病毒感染导致操作员站蓝屏死机、网络遭受DDoS攻击导致监控画面卡顿丢失、内网ARP欺骗导致PLC通信中断、关键控制设备硬件故障等。8.2事件分级与处置流程安全事件发生时，遵循“分级响应、快速止血”的原则。事件级别判定标准（示例）处置流程及控制措施响应时效特别重大（I级）核心控制系统瘫痪，发生非计划停车，且伴随明显网络攻击特征（如勒索信息弹出）1.立即启动应急预案，成立应急指挥部。2.紧急切断工控网与外部的所有连接。3.操作员立即转入手动控制模式，稳定现场工艺参数，防止发生生产安全事故。4.隔离受感染主机，提取内存镜像及恶意样本，切勿急于重启销毁证据。立即响应，10分钟内完成隔离，30分钟内上报高管重大（II级）部分操作员站或工程师站感染病毒，单台设备无法监控，但PLC运行正常1.立即拔除该主机网线进行物理隔离。2.使用备用主机接入网络恢复监控功能。3.在专用工作站对感染主机进行取