GB-T 39335-2020 中文版 信息安全技术 工业控制系统信息安全防护指南 - 副本

GB/T39335-2020中文版信息安全技术工业控制系统信息安全防护指南前言本文件为中华人民共和国推荐性国家标准，标准编号GB/T39335-2020，由国家市场监督管理总局、国家标准化管理委员会联合发布，规定了工业控制系统信息安全的总体防护原则、防护体系框架、全维度技术防护要求与安全管理规范。本文件立足工业控制系统高实时性、高可用性、长生命周期、低容错性的核心特性，针对工业生产、制造、能源、化工、轨道交通、水利等关键领域工控系统普遍存在的网络边界模糊、设备漏洞频发、运维管控薄弱、数据防护缺失、应急能力不足等安全痛点，构建“技术防护+管理管控+持续迭代”的一体化安全防护体系。本文件适用于各类工业企业工控系统安全建设、自查整改、合规测评、运维管控，也可为第三方安全测评机构、行业监管部门开展工控安全核查、风险评估提供权威依据，同时适配新建、改扩建、存量工控系统的全生命周期安全防护落地工作。1范围本文件规定了工业控制系统信息安全的防护基本原则、安全框架、物理环境防护、网络安全防护、设备安全防护、控制应用安全、数据安全防护、运维安全管理、身份与访问安全、远程访问安全、应急灾备、风险评估、持续改进等全维度防护要求。本文件适用于电力、石油化工、智能制造、轨道交通、市政水利、冶金矿山等关键行业的工业控制系统，涵盖SCADA系统、DCS集散控制系统、PLC可编程逻辑控制器、RTU远程终端单元、工业监控平台、工业物联网终端、工业云工控平台等全类型工控设施的信息安全防护工作。本文件聚焦工控系统业务连续性优先、安全可控适配生产场景的核心需求，兼顾传统工控系统老旧设备兼容性与新型工业互联网、智能工控设备的安全适配性，不违背工业生产实时性、稳定性运行要求。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239-2019信息安全技术网络安全等级保护基本要求GB/T25069-2022信息安全技术术语GB/T30976-2013工业控制系统信息安全防护指南GB/T32913-2016信息安全技术工业控制系统安全控制指南GB/T37973-2019信息安全技术大数据安全管理指南《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》3术语和定义3.1工业控制系统（ICS）：由计算机设备、工业控制设备、通信网络、监控软件、执行终端等组成，用于实现工业生产流程监测、控制、调度、管理的综合性自动化系统，核心包含SCADA、DCS、PLC、RTU、FCS等系统设备。3.2工控信息安全：针对工业控制系统硬件、软件、网络、数据、运维全环节，防范网络攻击、恶意入侵、漏洞利用、数据篡改、系统瘫痪、生产失控等安全风险，保障工控系统保密性、完整性、可用性、可控性的安全管理与技术防护活动。3.3工业专用协议：适配工业控制场景的专用通信协议，包含Modbus、Profinet、OPC、IEC104、DNP3等，具备高实时性、强业务绑定、通用防护手段适配性弱等特点。3.4工控远程访问：通过外网、专线、VPN等方式，对内网工控系统、设备、平台开展的远程运维、调试、监控、数据读取等操作行为。3.5工控关键数据：包含生产控制参数、设备运行阈值、工艺配方数据、生产调度指令、设备故障日志、工控系统配置文件、生产统计核心数据等直接影响工业生产安全与稳定的核心数据。4总体防护原则4.1生产优先、安全适配：工控安全防护不得以牺牲生产实时性、稳定性、连续性为代价，所有安全策略、防护设备、管控措施需适配工业生产场景，规避过度防护导致的生产中断、设备停机问题。4.2边界严控、分层防护：按照工控网络分区、分层、分域原则，构建边界隔离、区域防护、终端加固、数据兜底的多层防护体系，阻断跨区域、跨层级的安全风险扩散。4.3最小权限、全程可控：人员、设备、系统、接口均遵循最小授权原则，严控越权访问、违规操作，实现所有工控操作、数据流转、设备访问全程可追溯、可审计、可处置。4.4主动防御、动态迭代：摒弃传统被动防护模式，建立漏洞常态化排查、风险实时监测、威胁主动预警机制，针对新型工控攻击手段、系统漏洞动态优化防护策略。4.5技管结合、闭环管理：兼顾技术防护体系与安全管理制度建设，实现技术落地、管理赋能、风险整改、复盘优化的全闭环安全管控。5整体安全防护框架本指南构建“三层防护、六大维度、全生命周期管控”的工控安全防护框架。三层防护分别为网络边界防护、设备终端防护、数据应用防护；六大维度涵盖物理安全、网络安全、设备安全、数据安全、运维安全、应急安全；全生命周期覆盖工控系统规划、建设、运行、运维、升级、报废全流程安全管控。所有防护措施适配工控系统“稳定运行优先、漏洞修复谨慎、设备生命周期长”的行业特性，区分通用防护要求与关键核心系统专项防护要求，实现分级分类、精准防护。6物理环境安全防护6.1机房与控制室安全工控机房、核心控制室、设备间需实行封闭式管理，部署门禁、视频监控、防盗报警装置，严格管控人员出入权限，留存出入登记记录。机房需做好温湿度调控、防尘、防潮、防静电、防电磁干扰防护，适配工控精密设备运行环境要求。严禁无关人员、无关设备接入工控机房环境，禁止私自携带移动存储、外接设备进入核心管控区域。6.2设备物理防护现场PLC、RTU、工业交换机、网关等工控设备需做好物理固定、防水、防尘、防破坏防护，关键设备加装防护机柜并上锁管控。户外工控终端、通信设备需适配户外恶劣环境，做好防雷、防浪涌、防断电防护，部署不间断供电设备，避免突发断电、电压波动导致系统停机、数据丢失。6.3介质与物资管理工控专用硬件、存储介质、设备配件、密钥设备实行专人专管、台账管理，领用、归还、报废全程登记备案。废弃工控设备、存储介质需经过数据清除、销毁处理，杜绝残余生产数据、配置信息泄露。7网络安全防护7.1网络分区隔离严格按照工业网络规范，将工控网络划分为生产控制区、监控管理区、运维管理区、办公区，实现各区域逻辑隔离、物理隔离，杜绝工控生产网络与互联网、办公网络直接互通。不同生产工段、不同工艺单元的工控网络需按需划分安全子域，设置访问控制策略，限制跨子域无序访问。7.2边界安全防护工控网络与外部网络、不同安全区域边界需部署工业防火墙、安全隔离网闸、工业入侵检测系统等专用安全设备，针对Modbus、OPC、Profinet等工业协议进行深度解析与精准管控，拦截恶意报文、异常访问、协议篡改攻击。禁止工控网络直接开放Telnet、FTP、高危端口服务，关闭所有非必要网络端口与协议。7.3网络传输安全工控核心指令、生产参数、调度数据传输需采用加密传输方式，杜绝明文传输。跨网络、跨区域数据对接需通过专用安全通道传输，设置传输白名单、流量阈值管控，实时监测异常流量、批量数据传输、异常协议交互行为，防范网络劫持、数据篡改、流量攻击风险。7.4网络设备加固工业交换机、工控网关、路由器等网络设备需定期开展安全加固，修改默认账号密码、关闭冗余服务、更新设备固件，定期清理无效配置。建立网络设备配置台账，所有配置修改、固件升级需经过审批、测试、留存记录，避免配置漏洞引入安全风险。8工控设备安全防护8.1主机系统加固工控主机、操作员站、工程师站、服务器需进行专项安全加固，关闭无用进程、冗余端口、共享服务，禁用U盘自动播放、外接设备自动挂载功能。安装工业专用杀毒软件、终端安全防护工具，定期开展病毒查杀、恶意程序检测，禁止在工控主机安装无关软件、办公软件、娱乐程序。针对老旧工控设备无法升级系统的场景，通过网络边界隔离、终端白名单管控、操作权限严控等方式弥补安全短板。8.2工控设备漏洞管理建立工控设备漏洞常态化排查机制，定期对PLC、DCS、工控软件、固件开展漏洞扫描、风险检测。针对高危漏洞，需先在测试环境开展补丁验证、兼容性测试，确认不影响生产运行后，方可开展补丁升级与设备加固；严禁未经测试直接在线升级补丁，避免引发生产停机、设备故障。建立漏洞台账，实现漏洞发现、评估、整改、复核闭环管理。8.3设备权限管控所有工控设备、系统账号实行分级管控，区分管理员、操作员、运维员、访客权限，严格落实最小权限原则。禁用默认账号、弱口令账号，定期更换设备登录密码，核心设备采用双因素认证方式。严禁共享账号、通用账号，及时清理离职人员、外包人员设备操作权限。9控制应用安全防护9.1工控软件安全SCADA监控软件、组态软件、工艺控制程序等工控应用需保证来源合规、版本可控，严禁使用盗版、破解版、未知来源工控软件。软件安装、升级、修改需经过技术评审、测试验证、审批备案，杜绝私自修改控制程序、工艺参数、组态配置。定期校验工控程序完整性，防范程序被篡改、植入后门。9.2工艺参数安全管控生产工艺配方、控制阈值、调度参数等核心配置实行锁定管控，设置参数修改审批流程，关键参数修改需双人复核、全程留痕。禁止操作人员私自调整核心生产参数，所有参数变更、程序修改需记录变更内容、变更时间、操作人员、变更原因，确保可追溯。9.3应用访问审计对工控监控系统、控制平台的登录访问、参数修改、程序调用、设备操控等操作进行全程日志记录，日志留存时长不低于6个月。定期开展日志审计分析，及时发现越权操作、异常访问、违规操控等风险行为，实现应用操作全程可溯源、可核查。10数据安全防护10.1数据分类分级全面梳理工控系统数据资产，按照公开级、内部级、敏感级、核心级开展分类分级管理，重点识别生产控制核心数据、工艺配方数据、设备核心参数、故障应急数据等关键数据，建立工控数据资产目录，明确各类数据的防护标准与管控要求。10.2数据存储安全工控核心数据、生产日志、配置文件需合规存储，重要数据实现境内存储，禁止违规境外传输。敏感、核心数据采用加密存储方式，定期开展数据完整性校验，防止数据丢失、篡改、损坏。合理设置数据留存期限，超期数据合规归档或销毁。10.3数据使用与流转安全严控工控数据导出、拷贝、外发行为，核心生产数据禁止私自通过U盘、外网传输。数据共享、对外对接需经过安全审核、脱敏处理，签订数据安全协议，明确流转范围与使用用途。建立数据流转台账，全程跟踪数据传输、使用、共享轨迹，防范数据泄露、滥用风险。10.4数据备份恢复搭建工控数据常态化备份机制，对系统配置、工艺程序、生产日志、核心参数开展定期全量备份与增量备份，备份文件异地存储、加密保存。定期开展备份恢复测试，验证备份数据可用性，确保系统故障、数据损坏时可快速恢复，保障生产业务连续性。11身份与访问安全防护11.1身份认证管理工控主机、监控平台、设备运维、远程访问等所有操作场景必须落实身份认证，关键核心系统、重要设备采用多因素认证方式，杜绝无认证、弱认证访问。妥善保管认证密钥、账号权限，禁止跨人员、跨系统共用认证凭证。11.2权限精细化管控基于岗位、职责、业务范围精细化分配操作权限，实现一人一账号、权限专属化，杜绝超权限赋值、通用权限开放。定期开展权限专项梳理，清理冗余权限、过期权限、闲置账号，规避权限滥用风险。11.3访问行为管控建立工控访问行为管控机制，对异常登录、异地登录、高频操作、批量查询导出等行为实时预警、拦截。核心设备、关键系统的非常规操作需触发二次审批，全程留存操作审计记录，实现访问行为可监控、可预警、可追溯。12远程访问安全防护12.1远程访问准入管控原则上禁止工控系统面向互联网开放高危服务与无防护远程访问端口。确因运维、调试需要开展远程访问的，必须履行审批手续，明确访问时限、访问范围、操作权限，禁止超期、超范围远程操作。12.2安全接入规范工控远程运维优先采用加密VPN、专用安全通道接入，禁止公网裸连、明文远程控制。远程访问过程实行单向访问控制、操作锁定机制，仅开放运维必需的操作权限，禁止远程修改核心工艺参数、启停生产设备。12.3远程操作审计所有远程访问、远程运维、远程调试行为全程录屏、日志留存，记录访问IP、访问时间、操作人员、操作内容、操作结果。远程运维结束后及时关闭接入通道、收回临时权限，定期开展远程操作审计核查，杜绝违规远程操作风险。13运维安全管理13.1日常运维规范建立标准化工控运维流程，系统巡检、设备调试、故障处置、配置修改、固件升级等所有运维操作必须事前审批、事中留痕、事后复核。严禁无方案、无审批、无监护的私自运维操作，规避人为操作失误引发的生产故障与安全事件。13.2第三方运维管控外包运维、设备厂商调试等第三方人员需履行准入审批，签订保密协议与安全责任书，临时分配最小必要权限。第三方运维过程需我方人员全程监护，运维结束后立即注销临时权限、清理操作痕迹，全程留存运维记录，严控第三方引入安全风险。13.3常态化安全巡检制定工控安全常态化巡检制度，每日开展系统运行状态、网络流量、设备在线状态巡检，每月开展漏洞扫描、策略核查、权限梳理，每季度开展全面安全隐患排查，建立巡检台账，发现问题立即整改闭环。14应急处置与灾备管理14.1应急预案体系针对工控系统入侵、病毒感染、数据篡改、系统瘫痪、生产失控、远程攻击等各类安全事件，制定专项应急预案，明确应急组织机构、职责分工、响应流程、止损措施、上报机制、复盘要求。定期组织应急演练，提升团队应急处置能力。14.2安全事件处置发生工控安全事件后，立即启动应急响应，第一时间隔离风险设备、阻断攻击链路、关停风险服务，最大限度降低生产损失。同步封存日志、留存证据，排查事件原因、追溯影响范围，按照监管要求及时上报相关部门，杜绝瞒报、漏报、迟报。14.3灾备与业务连续性核心工控系统需搭建同城、异地灾备体系，实现关键设备、核心数据、