GB-T 41871-2022 信息安全技术 工业控制系统信息安全防护指南

GB/T41871-2022信息安全技术工业控制系统信息安全防护指南国家标准编号：GB/T41871-2022标准中文名称：信息安全技术工业控制系统信息安全防护指南标准英文名称：Informationsecuritytechnology—Cybersecurityprotectionguideforindustrialcontrolsystems发布机构：国家市场监督管理总局、国家标准化管理委员会发布日期：2022年10月14日实施日期：2023年05月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）适用性质：国家推荐性国家标准替代及废止说明：本标准为工业控制系统信息安全领域专项基础性防护指导国标文件，无前置替代旧版标准，专为电力、化工、制造、轨道交通、市政水务、能源矿山等关键行业工业控制系统量身编制。标准发布实施后，长期作为各类工业企业、工控运营单位开展工控网络安全体系建设、工控设备防护加固、生产运营安全管控、常态化风险自查整改、第三方工控安全专项测评及行业监管安全督导核查的核心合规依据。本标准深度贴合工业控制系统生产连续性、高可用性、低干扰性的专属运行特征，兼顾生产业务稳定运行与网络安全合规防护双重需求，衔接网络安全等级保护、关键信息基础设施安全保护、工控安全管理相关法律法规及系列配套安全标准，是国内工业领域工控安全常态化治理、分级防护、闭环管控的纲领性指导文档。前言本文件严格按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》规定的国家级标准编制规范起草制定，整体篇章架构、条款编排逻辑、国标行文表述、专业术语释义均遵循国家标准化文件统一编撰管理要求，全文文本严谨规范、工业行业通用适配、现场落地实操可行，契合工业数字化转型背景下工控系统安全合规防护刚需。随着工业数字化、智能化、网络化转型深度推进，传统孤立运行的工业控制系统逐步打破物理隔离边界，工业生产网络与企业管理网络、外部运维网络互联互通程度持续加深，PLC控制器、DCS集散控制系统、SCADA数据采集监控系统、工业物联网终端等各类工控设备联网规模持续扩大。工业控制系统直接关系工业生产连续稳定运行、关键产业链供应链安全、公共民生保障及生产作业人员人身安全，一旦遭受网络攻击、病毒入侵、恶意篡改、违规操作等安全威胁，极易引发生产停工停产、设备损毁、安全事故、环境污染、经济损失等重大恶劣后果。长期以来，国内大量工业企业普遍存在重生产运营、轻工控安全防护，重设备工艺升级、轻网络安全加固，重故障事后抢修、轻事前风险预防管控的突出问题，工控系统普遍存在老旧设备无安全防护、网络边界防护薄弱、设备账号权限默认未改、安全补丁长期不修复、远程运维管控无序、工控数据无防护管理、安全应急处置能力薄弱等共性安全短板，各类针对工控系统的定向网络攻击和安全威胁持续高发，严重威胁工业生产安全稳定和关键基础设施可靠运行。为统一全国各类工业控制系统信息安全防护总体指导原则，明确工控网络边界、设备本体、主机系统、数据资源、远程运维、人员管理、应急备份全维度基础防护要求，规范工控系统规划建设、上线运行、运维管理、升级改造、退役处置全生命周期安全管控流程，引导工业企业在不影响生产连续运行的前提下循序渐进开展工控安全防护加固工作，系统化构建适配工业生产场景的轻量化、高兼容、稳运行的工控安全防护体系，压实工业企业工控安全主体责任，有效防范化解各类工控专属网络安全风险，保障工业控制系统安全稳定、连续可靠、合规有序运行，特制定本国家推荐性安全防护指导标准。本文件以工业控制系统全生命周期安全防护为主线，以不扰动生产、安全与生产兼顾、防护适配工控特性、分级闭环管控为核心定位，不设置强制复杂技术改造要求，聚焦工控现场可落地、不影响产能、贴合实操的基础安全防护措施。各类工业生产企业、工控系统运营管理单位可对照本标准开展工控安全现状自查、短板差距分析、防护加固整改、常态化安全提升工作，第三方工控安全测评机构可依据本标准开展工控安全合规评估、防护达标核查及安全咨询服务工作，网信、工信、应急管理等行业监管部门可依托本标准开展工业行业工控安全专项整治、安全态势研判及安全治理督导工作。1范围本文件规定了信息安全技术领域工业控制系统信息安全防护总体基本原则、工控安全组织管理制度要求、工控网络边界安全防护规范、工控设备本体安全加固要求、工控主机与工作站安全管理规则、工控数据全生命周期安全防护要求、工控远程访问运维安全管控规范、工控安全备份与应急处置管理要求、工控安全风险评估与漏洞整改工作准则及人员安全教育培训管理相关基础防护内容。本文件适用于电力热力、石油化工、装备制造、轨道交通、市政供水供气、矿山能源、智能制造等各类关键行业及通用工业领域，所有部署运行工业控制系统的工业企业、生产运营单位开展工控安全防护体系建设、常态化安全运维、安全自查整改、防护能力提升全流程管理工作。本文件同时适用于第三方信息安全测评机构、工控安全专业服务机构受托开展工业控制系统安全防护达标评估、安全整改加固指导、合规测评验收工作，可供各级行业监管部门开展工控行业安全专项检查、关键基础设施安全防护督导、工控安全政策制定工作作为核心指导依据。本文件不适用于军工涉密工业控制系统、国家核心涉密专属工控设施、核设施特种工控系统等涉密专用工业控制场景的安全防护工作，此类涉密工控系统安全防护管控工作，需结合国家涉密信息安全专项管理规定及涉密工控专属安全标准，另行制定涉密工控安全专项防护实施细则。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件工业控制系统信息安全防护各项工作实施。GB/T22239信息安全技术网络安全等级保护基本要求GB/T25069信息安全技术术语GB/T30976工业控制系统信息安全防护测评导则GB/T34944信息安全技术云计算服务安全指南GB/T37988信息安全技术数据安全能力成熟度模型《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》工业控制系统网络安全管理及关键行业工控安全专项监管政策文件。3术语和定义3.1工业控制系统：由计算机设备、工业网络设备、工控专用软硬件、现场控制设备、检测执行设备共同组成，用于实现工业生产流程数据采集、实时监控、逻辑控制、工艺调度、生产运维自动化管理的一体化控制系统总称，核心包含SCADA监控与数据采集系统、DCS集散控制系统、PLC可编程逻辑控制器、FCS现场总线控制系统等主流工控类型。3.2工控网络：专门用于承载工业控制系统生产控制指令传输、生产运行数据交互、工控设备通信调度的专用工业专属网络，区别于企业办公管理网络，具备实时性要求高、通信协议专用、生产连续性优先、容错改造空间小的核心运行特征。3.3工控安全防护：工业企业为防范工控网络入侵、工控设备恶意攻击、控制指令篡改、生产数据泄露、设备异常操控、系统故障停机等各类工控专属安全风险，在不影响工业生产连续稳定运行前提下，采取的管理制度规范、网络边界防护、设备安全加固、运维操作管控、应急备份处置的综合安全防护措施总和。3.4工控远程运维：工控设备厂商、第三方运维机构或企业内部运维人员，通过外部网络、专线链路、加密通道远程接入工业控制网络及工控设备，开展设备调试、故障排查、程序修改、系统升级、日常维护的远程操作管理行为。3.5工控安全漏洞：工业控制系统软硬件设备、工控专用协议、工控操作系统、控制程序中存在的安全缺陷、配置隐患、代码漏洞，可被恶意攻击者利用实施网络入侵、指令篡改、设备控制、生产干扰等恶意操作，直接威胁工控系统生产运行安全。3.6工控数据：工业控制系统运行过程中产生的生产工艺参数、设备运行状态数据、生产控制指令、生产调度数据、设备运维台账、生产统计核心数据等各类工业生产专属数据资源，是工业生产运维调度的核心基础数据。4工业控制系统信息安全防护总体基本原则4.1生产优先安全适配原则。工控安全防护工作严格坚守生产连续稳定运行首要底线，所有安全防护加固、设备补丁升级、网络策略调整、安全配置优化工作，必须提前做好生产停机评估和试运行测试，严禁盲目开展安全改造影响正常工业生产，所有安全措施适配工控系统低延迟、高稳定、不间断运行的专属工况要求。4.2同步规划同步防护原则。工业控制系统新建规划、升级改造、设备替换、网络扩容全流程严格落实安全同步规划、同步建设、同步运行三同步要求，安全防护措施与工控系统建设改造同步设计、同步部署、同步投用，杜绝先建工控系统后补安全防护、重生产建设轻安全配套的片面建设模式。4.3边界隔离分层防护原则。严格区分工业生产控制网络与企业办公管理网络、外部互联网、第三方运维网络安全边界，实行网络分层分区隔离管控，不同生产工艺工段、不同安全等级工控区域之间做好安全隔离防护，严控网络横向联通和跨区域访问，从网络架构层面阻断安全风险横向扩散路径。4.4最小权限最小访问原则。工控系统所有设备账号、网络访问权限、运维操作权限、数据调用权限严格落实最小必要分配要求，按需赋权、按需访问、动态回收，严禁分配超级管理员通用权限、严禁账号共用共享、严禁超范围违规访问工控设备及生产数据。4.5预防为主闭环管控原则。坚持事前风险预防排查、事中实时监测管控、事后应急复盘整改的全周期防护思路，常态化开展工控安全风险自查、漏洞隐患排查、防护措施核验，发现安全短板限期闭环整改，提前化解各类工控潜在安全风险，杜绝安全事件事后被动补救。4.6责任到人全员管控原则。明确企业主要负责人、安全管理部门、生产运维部门、工控技术团队、第三方运维单位各级工控安全管理责任，逐级压实安全主体责任，岗位职责分工清晰、防护工作落实到人、安全追责问责到位，形成全员参与、全域防护、全程管控的工控安全管理格局。5工控安全组织与制度管理防护要求5.1专职安全管理组织建设。工业企业须设立工控安全专项管理岗位，明确专职或兼职工控安全管理人员，统筹负责工控安全日常管理、防护加固推进、风险自查整改、安全培训教育、应急处置协调等专项工作，建立生产运维部门与安全管理部门跨部门协同工作机制，杜绝工控安全管理无人负责、工作无人落实的管理空白问题。5.2系统化安全管理制度体系编制。企业结合自身工控系统规模、生产工艺特性、设备类型数量、网络架构现状，编制适配工业生产实操场景的工控安全综合管理制度、网络安全管理规程、设备账号权限管理办法、远程运维安全管理规定、安全漏洞整改管理细则、应急处置管理规范等全系列制度文件，所有制度贴合工控现场实操需求，杜绝制度纸面化、落地虚化问题。5.3常态化安全考核与追责问责。建立工控安全工作定期考核机制，将工控安全防护落实情况、隐患整改完成情况、运维操作合规情况纳入相关部门及岗位人员绩效考核范围，对违规操作、防护落实不到位、隐患整改逾期未完成的岗位及人员落实追责问责，强化制度执行刚性约束，保障工控安全管理制度长效落地执行。5.4第三方运维安全合同约定。企业与工控设备厂商、第三方运维服务机构签订运维服务合同时，必须同步签订工控安全专项保密协议及安全运维补充协议，明确第三方运维安全责任边界、运维操作规范、远程访问管控要求、数据保密义务、安全违约追责条款，严控第三方运维引入的外部安全风险。6工控网络边界与网络架构安全防护要求6.1生产与办公网络物理或逻辑隔离。严格落实工业生产控制网络与企业办公管理网络安全隔离要求，优先采用物理隔离方式阻断直接连通，确因业务刚需需要数据交互的，必须部署工业防火墙、安全隔离网闸等专用安全防护设备，配置严格单向访问控制策略，严禁工控网络直接无防护对接互联网及办公外网，严防外部网络安全风险渗透入侵工控生产网络。6.2工控网络分区分层安全防护。按照生产工艺工段、业务重要程度、设备安全等级对工控网络进行分区划分，将核心控制区、生产监控区、运维管理区、数据采集区相互隔离，各区域之间部署工业安全防护设备，设置专属访问控制策略，严控跨区域非法访问和横向渗透攻击，避免单一区域安全风险扩散至整个工控网络。6.3工控网络设备安全配置加固。对工业交换机、工业路由器、工控网关等网络设备开展安全基线加固，修改设备默认管理账号密码、关闭不必要闲置端口、禁用高危网络协议、关闭远程默认管理访问功能，定期优化网络安全访问策略，清理无效冗余网络配置，定期开展网络设备配置安全核查，消除网络设备基础配置安全隐患。6.4工控网络安全监测与告警部署。在工控网络核心节点、网络边界关键位置部署工业安全监测审计设备，实时监测工控网络异常访问、违规连接、恶意报文、异常指令传输等安全行为，及时触发安全告警并留存网络审计日志，运维人员定期核查监测告警记录，快速处置网络异常安全风险，实现工控网络安全态势可视可控。7工控设备本体安全加固防护要求7.1工控设备默认账号密码强制修改。针对PLC、DCS、SCADA、工业控制器、工业终端等所有工控设备，全面排查设备出厂默认账号密码，所有默认弱口令、通用密码必须第一时间修改为高强度专属密码，严禁保留出厂默认配置、严禁多设备共用同一密码，定期轮换更新设备登录密码，从源头防范弱口令破解入侵风险。7.2工控设备闲置功能与端口关停。全面梳理工控设备闲置无用服务、冗余通信端口、未启用远程管理功能，对所有非必要闲置功能、高危端口、无用服务全部关停禁用，减少工控设备网络攻击暴露面，降低设备被恶意利用和入侵攻击的安全概率，保障工控设备仅保留生产运行必需基础功能。7.3工控设备安全补丁分级管理修复。结合工控设备生产运行工况，建立工控安全补丁分级管理机制，对不影响生产运行的低危常规漏洞补丁及时修复，对核心生产设备高危严重漏洞补丁，提前做好停机测试、备份演练、试运行验证工作，在生产检修窗口期稳妥完成补丁加固，杜绝盲目打补丁引发生产设备故障停机问题。7.4工控设备运行状态常态化巡检。建立工控设备本体安全常态化巡检机制，定期核查设备运行状态、配置变更记录、账号登录日志、异常操作记录，及时发现设备异常登录、违规配置修改、非正常启停等安全异常情况，第一时间排查处置设备安全隐患，保障工控设备本体安全稳定运行。8工控主机与工作站安全防护要求8.1工控主机操作系统安全基线加固。对工控操作站、工程师站、运维工作站、服务器等工控主机开展系统安全基线加固，关闭系统闲置共享功能、禁用高危远程控制服务、开启系统账户安全策略、设置主机登录安全认证规则，优化主机安全配置，消除工控主机系统基础安全漏洞。8.2工控主机恶意代码防护部署。所有工控主机及工作站必须部署适配工业场景的专用杀毒防护软件或恶意代码防护工具，定期开展病毒木马查杀、恶意程序清理工作，定期更新防护病毒库，严控U盘、移动硬盘等外接存储设备接入使用，防止恶意代码、工业病毒入侵感染工控主机引发生产故障。8.3工控主机账号权限严格管控。工控主机实行一人一号实名登录管理，严格分配主机操作权限，区分管理员、运维员、操作员不同权限等级，严禁普通操作员拥有系统修改、程序删除、配置变更等高权限操作，所有主机权限变更全程审批留痕，定期清理冗余账号和过期权限。8.4工控主机操作行为全程审计留存。开启工控主机系统操作日志、登录审计日志、配置变更日志记录功能，对所有主机登录访问、程序操作、配置修改、文件拷贝、数据导出行为全程日志留存，日志留存时长满足合规监管要求，安全事件发生后可快速溯源定位、追溯核查。9工控数据全生命周期安全防护要求9.1工控数据分类分级梳理管控。企业全面梳理摸排生产工艺参数、控制指令、设备运维数据、生产调度核心数据等各类工控数据资源，按照数据重要程度、影响生产范围、安全风险等级完成数据分类分级标识，对核心关键工控数据实行重点专项防护管控，普通运行数据常规安全防护。9.2工控数据存储与访问安全防护。核心敏感工控数据实行安全加密存储防护，严格管控工控数据访问、查询、导出、拷贝操作权限，严禁随意私自拷贝导出核心生产工控数据，数据导出操作实行专项审批、全程留痕管控，严防工控核心生产数据泄露、篡改、丢失风险。9.3工控数据定期备份与恢复测试。建立工控系统配置文件、控制程序、核心生产数据常态化定期备份机制，实行本地备份与异地备份相结合的备份策略，定期开展备份数据恢复实操测试，验证备份数据完整性和恢复可用性，确保工控系统遭遇故障、攻击、误操作后可快速恢复生产运行。10工控远程访问与远程运维安全管控要求10.1严控工控系统互联网直接暴露访问。原则上严禁工业控制网络、工控设备、工控主机直接面向互联网开放远程访问端口、高危网络服务及管理接口，杜绝工控系统公网直接暴露引发的恶意扫描、暴力破解、定向入侵攻击等安全风险，从网络接入层面筑牢远程访问安全防线。10.2远程运维加密安全通道接入。确因设备调试、故障运维刚需需要开展远程运维访问的，必须采用专用加密VPN、安全专线等加密安全接入方式，严禁使用明文远程运维工具、无防护远程控制软件接入工控网络，远程运维全程加密传输、身份严格认证。10.3远程访问时限与权限严格管控。远程运维访问实行限时开通、按需赋权、用完即关管理模式，严格限定远程访问操作时段、访问设备范围、操作权限等级，远程运维工作完成后立即关闭远程接入通道、回收临时运维权限，杜绝长期开放远程访问通道遗留安全隐患。10.4远程运维操作全程审计追溯。所有远程运维接入、设备操作、程序修改、配置调整行为全程操作日志记录、安全审计留存，运维操作专人全程监管看护，第三方远程运维操作全程视频或台账记录存档，确保所有远程运维行为可查询、可追溯、可复盘核查。11工控安全风险评估与漏洞隐患整改要求11.1工控系统上线升级安全前置评估。新建工控系统投产上线、现有工控系统重大升级改造、工控网络架构调整变更前，必须开展专项工控安全风险评估工作，排查上线升级潜在安全隐患，制定风险防控和应急保障措施，评估合格后方可投产运行。11.2工控安全常态化