工业互联网安全管理规范

工业互联网安全管理规范1适用范围本规范适用于制造业、能源、交通、水利、市政、医疗等涉及工业生产运营的领域，覆盖工业互联网规划、建设、运营、维护、迭代、停用全生命周期的安全管理活动，约束主体包括工业生产企业、工业互联网平台运营方、工业互联网标识解析服务机构、工业应用程序（以下简称工业APP）开发与运营主体、工业互联网安全技术服务商、工业设备供应商等所有参与工业互联网生态建设的主体。2基本原则2.1主体责任原则。坚持“谁运营谁负责、谁建设谁负责、谁提供服务谁负责”，各参与主体依法依规承担相应的工业互联网安全责任，落实安全管理和技术防护措施。2.2分级分类原则。根据工业互联网系统的重要程度、承载业务的核心属性、涉及数据的敏感级别，实施差异化、精准化的安全防护，避免过度防护或防护不足。2.3纵深防御原则。构建覆盖设备层、控制层、网络层、平台层、应用层、数据层的多层级防护体系，形成多道安全防线，提升整体抗攻击能力。2.4动态适配原则。结合工业互联网技术迭代、业务模式创新和网络威胁演变，持续优化安全管理策略和技术防护手段，确保防护能力与安全需求相匹配。2.5最小权限原则。所有账号、访问权限、操作权限均按业务必需的最小范围配置，严格控制高权限账号数量，防止权限滥用。2.6安全可控原则。优先采用安全可信的工业产品、技术和服务，核心技术、关键产品需具备自主可控能力，降低供应链安全风险。3安全管理体系建设要求3.1组织架构3.1.1各责任主体需明确工业互联网安全管理第一责任人，法定代表人或主要负责人为第一责任人，全面统筹工业互联网安全工作，保障安全投入，协调解决重大安全问题。3.1.2从业人员规模超过100人的工业企业、服务工业企业用户数量超过500家的工业互联网平台运营方、国家级/省级工业互联网标识解析服务机构，需设立独立的工业互联网安全管理部门，配备不少于3名专职安全管理人员，且专职人员需具备工业控制安全、网络安全、数据安全等相关专业背景和2年以上从业经验；规模较小的主体需指定至少2名兼职安全管理人员，且需定期接受安全专业培训。3.1.3安全管理部门需履行以下职责：制定并落实工业互联网安全管理制度和技术方案；组织开展安全监测、风险评估、隐患整改；统筹应急响应和安全事件处置；组织开展安全培训和考核；定期向第一责任人汇报安全工作情况，重大安全隐患和安全事件需第一时间上报。3.1.4涉及核心生产控制的工业企业需设立安全管理委员会，由主要负责人牵头，生产、技术、安全、信息化等部门负责人参与，每季度至少召开1次安全工作会议，研判安全风险，部署安全工作。3.2制度体系3.2.1各责任主体需建立覆盖工业互联网全生命周期的安全管理制度体系，具体包括：安全责任制度、分级分类管理制度、设备安全管理制度、工业控制网络安全管理制度、平台安全管理制度、数据安全管理制度、供应链安全管理制度、应急响应制度、人员安全管理制度、安全培训制度、风险评估制度、隐患整改制度、日志审计制度、密码管理制度。3.2.2安全制度需每年至少开展1次评审和修订，遇重大业务调整、技术升级、安全事件或国家相关标准更新时，需及时启动修订程序。3.2.3所有安全制度需下发至所有相关岗位，组织全员培训并留存培训、考核记录，确保相关人员熟知与本岗位相关的安全要求和操作规程。3.3等级保护落实3.3.1工业互联网相关系统需严格落实国家网络安全等级保护制度，按要求完成系统定级、备案、建设整改、等级测评和监督检查工作。3.3.2涉及核心生产控制的工业互联网系统、面向公众提供服务的工业互联网平台、国家级/省级标识解析服务系统，安全保护等级不得低于第三级；涉及核心工业数据的系统，需根据数据敏感级别相应提升防护等级，不得低于数据对应的安全防护要求。3.3.3第三级及以上工业互联网系统每年至少开展1次等级测评，第二级系统每两年至少开展1次等级测评，测评报告需留存不少于5年，测评发现的问题需在规定期限内完成整改。4分层技术防护要求4.1设备层安全4.1.1工业现场设备包括可编程逻辑控制器（PLC）、分布式控制系统（DCS）、数据采集与监视控制系统（SCADA）、远程终端单元（RTU）、智能传感器、工业机器人、数控加工设备、边缘计算设备等，均需纳入统一安全管理台账，明确设备责任人、安全配置要求和维护周期。4.1.2工业控制设备严禁直接连接公共互联网，确需开展远程访问、远程运维的，需通过具备国家密码管理部门认证的虚拟专用网络（VPN）通道，实施双因素身份认证（如密码+U盾、生物特征+数字证书），且访问行为需全程审计，操作日志留存不少于6个月。4.1.3工业设备固件需定期开展安全检测和漏洞扫描，及时修复已知高危漏洞；对于无法直接打补丁的老旧设备，需通过网络隔离、访问控制、流量监测、入侵检测等代偿防护措施降低安全风险，且需制定设备升级替换计划，逐步淘汰存在重大安全隐患的老旧设备。4.1.4边缘计算设备需具备固件完整性校验能力，开机时自动校验固件数字签名，防止固件被恶意篡改；边缘节点采集的敏感数据需在本地完成初步脱敏后再传输至上层平台，数据传输需采用国密SM2、SM4算法加密。4.1.5闲置、报废的工业设备需先进行数据销毁处理：涉及一般数据的设备可采用逻辑删除方式，涉及重要及以上级别数据的设备需采用物理消磁、粉碎或熔毁的方式销毁，销毁过程需有两名及以上人员见证，留存销毁记录不少于3年，严禁未经数据销毁处理的设备直接流转、变卖或丢弃。4.2控制层安全4.2.1工业控制网络需遵循“安全分区、网络专用、横向隔离、纵向认证”的原则，根据生产业务属性、安全需求划分为不同的安全区域，区域之间采用工业防火墙、单向网闸等设备实现逻辑或物理隔离，隔离强度需与区域的安全等级相匹配。4.2.2生产控制区与管理信息区之间需采用单向隔离装置或工业防火墙实现强隔离，禁止生产控制区主动向管理信息区传输控制指令，管理信息区向生产控制区传输的数据、指令需经过严格的内容校验、身份认证和白名单审核。4.2.3工业控制网络内部需禁用不必要的通用协议和服务，关闭所有闲置端口；对Modbus、S7、OPCUA、Profinet等工业协议的流量进行深度检测，识别异常指令、恶意代码注入、非法设备接入等攻击行为。4.2.4控制层关键操作需实行双人复核制度，涉及工艺参数调整、控制逻辑修改、固件升级等操作，需由两名及以上授权人员确认后执行，操作过程全程录像并留存操作日志，日志保留时间不少于1年。4.2.5工业控制网络内禁止接入未经授权的移动存储介质、便携式计算机等设备，确需接入的需经过安全检测和审批，接入后全程管控使用范围。4.3网络层安全4.3.1工业互联网办公网络、生产控制网络、对外服务网络需实现物理或逻辑隔离，不同网络之间的访问需经过严格的访问控制策略校验，禁止跨网越权访问。4.3.2工业互联网对外通信链路需部署入侵检测系统（IDS）、入侵防御系统（IPS）、抗分布式拒绝服务（DDoS）攻击设备，其中第三级及以上系统的抗DDoS能力需不低于100Gbps，国家级工业互联网平台、重点行业核心企业的抗DDoS能力需不低于300Gbps。4.3.3工业无线网络（包括5G工业专网、Wi-Fi6工业网络、工业LoRa网络等）需采用独立的身份认证体系，终端接入需进行身份认证和设备指纹校验，禁止未授权终端接入；无线信号覆盖范围需严格控制在生产区域内，对超出边界的信号需采取屏蔽措施，防止信号外泄。4.3.4工业互联网域名系统（DNS）需部署在高安全等级区域内，启用DNS安全扩展（DNSSEC），防止域名劫持、DNS缓存投毒等攻击；定期备份DNS配置数据，备份周期不超过7天，备份数据异地存储。4.3.5工业互联网全网络流量需进行全量采集和分析，留存原始流量日志不少于3个月，安全事件相关的流量日志需永久留存；部署流量异常分析系统，及时识别异常访问、数据外传、病毒传播等安全风险。4.4平台层安全4.4.1工业互联网平台需按照边缘层、基础设施层（IaaS）、平台服务层（PaaS）、软件服务层（SaaS）构建分层防护体系，鼓励采用零信任架构，实现“永不信任、始终验证”的动态访问控制。4.4.2IaaS层需实现租户之间的网络、计算、存储资源物理或逻辑隔离，隔离粒度不低于虚拟私有云（VPC）级别；租户数据需单独存储，禁止跨租户数据混存，具备防止租户越权访问其他租户数据的技术能力。4.4.3PaaS层需对工业微服务、工业模型、工业算法进行统一身份管理，服务调用需采用令牌（Token）认证机制，令牌有效期不超过24小时，且支持随时吊销；需对所有微服务接口进行安全检测和准入校验，防范SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）、接口未授权访问等常见Web攻击。4.4.4平台需具备工业大数据安全分析能力，对平台接入的设备数据、生产数据、运营数据进行实时监测，识别异常数据上报、异常设备接入、异常操作行为、数据异常流转等安全风险，高危风险需实时告警。4.4.5平台需定期开展渗透测试，每季度至少开展1次内部渗透测试，每年至少开展1次第三方专业渗透测试；发现的高危漏洞需在72小时内完成修复，中危漏洞15天内修复，低危漏洞30天内修复，漏洞修复后需进行验证测试。4.4.6平台账号需实行分级分类管理，超级管理员账号需双人保管，登录需采用多因素认证，操作日志永久留存；普通用户账号需定期更换密码，密码长度不低于12位，包含大小写字母、数字、特殊字符三类及以上字符，密码更换周期不超过90天，禁止重复使用近5次以内的历史密码。4.4.7平台需建立工业APP上架审核机制，对入驻开发者进行身份核验和资质审核，工业APP上架前需通过安全检测，检测不合格的不得上架。4.5应用层安全4.5.1工业APP需按照“谁开发谁负责、谁运营谁负责”的原则落实安全责任，开发过程需遵循安全开发生命周期（SDL）要求，在需求分析、设计、编码、测试、上线各阶段融入安全管控，关键环节需有安全人员参与评审。4.5.2工业APP不得收集与业务功能无关的工业数据和个人信息，确需收集敏感数据的，需明确告知用户收集范围、使用用途、存储期限、共享范围，获得用户书面授权后方可收集。4.5.3工业APP需定期开展安全更新和漏洞修复：核心生产类工业APP的严重漏洞需在72小时内推送修复补丁，运营管理类工业APP的严重漏洞需在7天内推送补丁；漏洞修复情况需及时告知用户。4.5.4工业APP停止运营的，需提前30天以书面或系统公告形式告知用户，到期后删除所有用户数据和相关配置，不得擅自留存或使用用户数据。4.5.5工业互联网标识解析服务机构需保障标识解析系统的可用性、完整性和保密性：标识数据存储需采用多副本备份机制，备份数据不少于3份，分别存储在不同物理位置的服务器中；标识解析查询需进行身份认证和权限校验，禁止未授权查询敏感标识数据；标识解析系统的服务可用性需达到99.99%以上。5数据安全管理要求5.1数据分级分类5.1.1各责任主体需对工业互联网全流程产生、传输、存储、使用的工业数据进行分级分类，按照数据遭到篡改、泄露、损毁后对国家安全、公共利益、企业生产运营、用户合法权益的影响程度，划分为一般数据、重要数据、核心数据三个级别。5.1.2一般数据指对企业生产运营影响较小，泄露、篡改后不会造成明显经济损失或不良影响的数据；重要数据指对企业生产运营有重要影响，泄露、篡改后可能导致生产停滞、较大经济损失、公共利益受损的数据；核心数据指涉及企业核心生产工艺、关键技术参数、核心业务运营、行业关键产能，泄露、篡改后可能导致重大经济损失、行业系统性风险甚至国家安全风险的数据。5.1.3各主体需编制工业数据分级分类目录，明确每类数据的级别、责任部门、防护要求、流转规则，目录每年至少更新1次，业务发生重大变更或数据属性发生变化时需及时更新。5.2数据全生命周期防护5.2.1数据采集阶段：需明确数据采集范围、采集频率、采集方式，建立数据采集准入机制；敏感数据采集需获得数据主体或相关负责人的授权；采集设备需进行身份认证，防止伪造设备上报虚假数据。5.2.2数据传输阶段：重要及以上级别数据传输需采用国密算法进行端到端加密，禁止明文传输；传输链路需具备完整性校验能力，采用数字签名、哈希校验等方式防止数据在传输过程中被篡改、伪造。5.2.3数据存储阶段：核心数据需采用加密存储方式，加密密钥需与数据分开存储，密钥管理需符合国家密码管理要求，密钥更新周期不超过6个月；数据存储需采用多副本备份机制，核心数据备份不少于5份，其中至少1份为离线备份，存储介质与生产系统物理隔离，定期开展备份数据可用性校验。5.2.4数据使用阶段：需建立数据访问权限管控机制，按照最小权限原则配置数据访问权限，核心数据访问需实行双人双岗授权，访问过程全程审计，审计日志永久留存；重要及以上级别数据禁止在公共终端、非授权终端上存储、处理，禁止通过即时通讯工具、公共邮箱等渠道传输。5.2.5数据共享阶段：需明确数据共享的范围、用途、期限、安全责任，签订数据安全协议；共享重要及以上级别数据需经过安全评估，报安全管理部门审批后方可共享；需对共享数据的使用情况进行持续监测，发现超范围使用、违规泄露等情况及时终止共享。5.2.6数据销毁阶段：数据销毁需制定专门的流程，明确销毁方式、审批程序、见证人员；一般数据可采用逻辑删除方式，重要数据需采用多次覆写方式销毁，核心数据需采用物理销毁方式销毁；销毁过程需有两名及以上人员见证，留存销毁记录（包括销毁时间、地点、方式、内容、见证人员等）不少于3年。5.3个人信息保护5.3.1工业互联网场景下收集、使用员工、用户等个人信息的，需遵循合法、正当、必要原则，不得过度收集与业务无关的个人信息。5.3.2个人信息需加密存储，访问需经过授权，禁止未经授权查询、泄露、出售个人信息；敏感个人信息（如生物识别信息、身份信息）的处理需经过个人单独同意。5.3.3需建立个人信息泄露应急处置机制，发生个人信息泄露事件后，需第一时间采取止损措施，及时告知受影响的个人，并按照国家相关规定上报。5.4数据出境管理5.4.1重要及以上级别工业数据确需向境外提供的，需按照国家相关规定开展数据出境安全评估，未经评估或评估不合格的，不得出境。5.4.2数据出境需留存完整的出境记录，包括出境数据的类型、数量、用途、接收方、出境时间、传输路径等，记录留存不少于5年。5.4.3禁止境外机构、组织、个人通过工业互联网远程采集、存储、处理我国核心工业数据，禁止未经授权向境外提供工业重要数据和核心数据。6供应链安全管理要求6.1供应商管理6.1.1各责任主体需建立工业互联网相关产品、服务供应商的安全评估机制，将安全能力纳入供应商准入条件，核心产品和服务的供应商需通过背景审查，具备相应的安全资质和服务能力。6.1.2工业设备、工业软件、安全产品、云服务等核心产品和服务的供应商，需签订安全保密协议，明确供应商的安全责任，禁止供应商擅自访问、收集、泄露、使用用户的工业数据和敏感信息，禁止供应商在产品中设置后门、恶意程序。6.1.3需建立供应商安全评价体系，每年至少对核心供应商开展1次安全评价，评价内容包括产品安全性能、漏洞响应速度、服务质量、保密情况等，评价不合格的供应商需及时淘汰，终止合作。6.2产品采购与上线安全6.2.1采购工业设备、工业软件、工业APP等产品时，需要求供应商提供产品安全检测报告、漏洞修复承诺，涉及核心生产系统的产品需进行源代码审计（无法提供源代码的需进行全面黑盒安全检测和渗透测试）。6.2.2产品上线前需在独立的测试环境中进行安全测试，测试内容包括功能安全、信息安全、兼容性、稳定性等，测试合格后方可在生产环境中部署；测试环境需与生产环境物理隔离，测试数据需采用脱敏后的模拟数据，禁止使用真实生产数据进行测试。6.2.3禁止采购、使用存在已知高危漏洞且未提供有效修复方案的工业产品，禁止使用未经授权的盗版工业软件，禁止使用来源不明的工业APP。6.2.4供应商需建立漏洞通报机制，及时向用户通报产品存在的安全漏洞，并提供修复方案和技术支持，不得隐瞒漏洞信息；用户发现产品存在安全漏洞的，可向供应商反馈，供应商需在72小时内响应，严重漏洞需在7天内提供修复方案。6.3运维服务安全6.3.1第三方运维服务商需接入工业互联网系统的，需严格履行内部审批流程，明确运维范围、运维权限、运维期限，禁止超范围运维、超权限操作。6.3.2第三方运维人员进入工业控制区域、操作生产系统的，需有内部授权人员全程陪同，运维操作需全程录像、审计，运维产生的所有操作日志、访问记录需留存不少于6个月。6.3.3运维服务所用的设备、工具需经过安全检测，禁止使用未经检测的第三方设备接入生产网络；运维结束后，需在24小时内回收第三方人员的所有访问权限，注销临时账号，检查运维设备是否遗留恶意程序、后门等安全隐患。7应急管理要求7.1应急预案7.1.1各责任主体需制定工业互联网安全应急预案，覆盖勒索病毒攻击、数据泄露、系统瘫痪、设备被非法控制、网络中断、供应链攻击等常见安全场景，明确应急响应的组织架构、响应流程、处置措施、责任分工、保障资源。7.1.2应急预案需每年至少开展1次评审和修订，发生重大安全事件、业务调整、技术升级或国家相关应急要求更新时，需及时修订。7.1.3需针对核心生产系统制定专项应急预案，明确系统恢复的优先级、恢复流程、恢复时间目标（RTO）和恢复点目标（RPO）：核心生产系统RTO不得超过4小时，RPO不得超过1小时；重要生产系统RTO不得超过24小时，RPO不得超过4小时；一般生产系统RTO不得超过72小时，RPO不得超过24小时。7.1.4针对勒索病毒攻击的专项预案需明确断网隔离、病毒查杀、数据恢复、溯源取证的流程，禁止在未确认病毒完全清除、系统安全的情况下恢复网络连接，防止病毒扩散蔓延。7.2应急演练7.2.1各主体每年至少开展1次综合应急演练，涉及核心生产系统的每半年至少开展1次专项应急演练，演练形式包括桌面推演、模拟攻击、实战演练等，检验应急预案的可行性和应急队伍的处置能力。7.2.2演练结束后需进行评估总结，分析存在的问题和不足，对应急预案进行优化完善，演练记录、评估报告、整改措施需留存不少于3年。7.2.3国家级、省级工业互联网平台运营方和标识解析服务机构，需每年至少参与1次行业或区域级的工业互联网安全应急演练，配合开展跨主体、跨区域的应急协同处置。7.3应急处置7.3.1发生工业互联网安全事件后，需第一时间启动应急预案，采取断网、隔离、止损等措施，防止事件扩大，同时按照国家相关规定向有关监管部门上报，不得迟报、谎报、瞒报、漏报。7.3.2安全事件处置过程中，需保护好现场，留存相关的系统日志、网络流量、系统快照、操作记录等证据，为事件溯源和责任认定提供支撑；如需第三方机构参与处置的，需签订保密协议，防止数据泄露。7.3.3事件处置完成后，需开展事件复盘分析，查明事件原因、影响范围、损失情况，制定整改措施，完善安全防护体系，防止同类事件再次发生，复盘报告需留存不少于5年。7.4备份与恢复7.4.1需建立工业互联网数据和系统的备份机制，明确备份范围、备份频率、备份介质、存储位置、恢复测试要求，确保发生安全事件后能够快速恢复数据和系统。7.4.2核心生产系统数据需每日至少备份1次，重要系统数据每3天至少备份1次，一般系统数据每周至少备份1次；备份数据需定期进行恢复测试，每季度至少开展1次恢复测试，测试备份数据的可用性和恢复流程的可行性，确保备份数据可用。7.4.3离线备份介质需存放在符合防火、防水、防盗、防磁、防高温要求的异地灾备中心，灾备中心与生产中心的直线距离不得少于50公里（直辖市、计划单列市受地理条件限制的，可适当调整，但不得少于10公里）。8人员安全管理要求8.1岗位与权限管理8.1.1工业互联网安全相关岗位需实行职责分离，系统管理员、安全管理员、审计管理员不得互相兼任，关键岗位需配备AB角，避免单人操作带来的安全风险。8.1.2所有系统账号、访问权限需按照最小权限原则配置，建立权限申请、审批、回收的全流程管理机制；每季度至少开展1次权限审计，及时回收闲置账号、离职人员账号、超范围权限，注销长期不用的“僵尸账号”。8.1.3核心岗位（包括工业控制系统运维员、平台管理员、数据管理员、安全管理员、标识解析系统管理员）人员需经过背景审查，无刑事犯罪记录、无网络安全不良记录，签订保密协议和安全责任书，明确岗位安全责任。8.2培训与考核8.2.1各主体需制定工业互联网安全年度培训计划，对所有相关岗位人员开展安全培训，其中核心岗位人员每年累计培训时长不少于40学时，普通岗位人员每年累计培训时长不少于8学时。8.2.2培训内容包括安全管理制度、岗位操作规程、常见威胁识别、应急处置流程、数据保护要求、相关法律法规等，培训结束后需进行考核，考核不合格的不得上岗，需重新培训直至考核合格。8.2.3需及时组织学习新型攻击手段、最新安全技术、相关标准规范，定期开展安全技能竞赛、应急演练等活动，提升人员的安全意识和技术能力。8.3人员离职管理8.3.1人员离职时，需第一时间回收所有系统账号、访问权限、门禁权限、设备权限，收回所有办公设备、存储介质、涉密资料和工具，办理