工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

項目編號:

工控系統(tǒng)網(wǎng)絡(luò)安全等級保護2.0三級

建

設(shè)

方

案

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

目錄

1概述............................................................1

1-1建設(shè)背景..................................................1

1-2工控系統(tǒng)發(fā)展概述.........................................2

1-3工業(yè)控制系統(tǒng)層次模型.....................................3

1-4國家政策法規(guī).............................................5

1-4-1中華人民共和國網(wǎng)絡(luò)安全法...........................5

1-4-2等級保護2.0.............................................................................................6

1-4-3關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護基本要求..............7

2項目建設(shè)需求....................................................7

2-1XX企業(yè)工控系統(tǒng)安全現(xiàn)狀...................................7

2-2等保建設(shè)需求分析........................................11

3等級保護建設(shè)流程與基本要求....................................12

3-1等級保護建設(shè)流程........................................12

3-2等級保護技術(shù)體系設(shè)計框架................................14

3-3等級保護三級技術(shù)要求及建議..............................15

3-3-1安全物理環(huán)境......................................15

8.1.1安全物理環(huán)境...............................................15

3-3-2安全通信網(wǎng)絡(luò)......................................18

3-3-3安全區(qū)域邊界......................................19

3-3-4安全計算環(huán)境......................................23

3-3-5安全管理中心......................................28

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

3-4等級保護三級管理要求及建議..............................30

3-4-1安全管理制度......................................30

3-4-2安全管理機構(gòu)......................................31

3-4-3安全管理人員......................................32

3-4-4安全建設(shè)管理......................................34

3-4-5安全運維管理......................................38

4網(wǎng)絡(luò)安全等級保護總體設(shè)計......................................45

4-1方案設(shè)計依據(jù)............................................45

4-2方案設(shè)計原則............................................46

4-3方案總體設(shè)計思路........................................47

4-4總體防護架構(gòu)............................................48

5網(wǎng)絡(luò)安全等級保護詳細建設(shè)方案..................................48

5-1等保建設(shè)技術(shù)方案........................................48

5-1-1安全物理環(huán)境......................................48

5-1-2安全通信網(wǎng)絡(luò)......................................49

5-1-3安全區(qū)域邊界......................................52

5-1-4安全計算環(huán)境......................................63

5-1-5安全管理中心......................................68

5-2安全防護部署............................................84

5-3等保建設(shè)管理方案........................................86

5-3-1安全管理制度......................................86

5-3-2安全管理機構(gòu)......................................89

II

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

5-3-3安全管理人員......................................89

5-3-4安全建設(shè)管理......................................90

5-3-5安全運維管理......................................91

6安全服務(wù)方案...................................................95

6-1運維保障服務(wù)............................................95

6-1-1安全策略優(yōu)化......................................95

6-1-2應(yīng)急響應(yīng)服務(wù)......................................95

6-1-3安全產(chǎn)品運維......................................96

6-2安全培訓服務(wù)............................................96

6-2-1工控網(wǎng)絡(luò)安全意識培訓..............................96

6-2-2工控網(wǎng)絡(luò)安全技術(shù)培訓..............................97

6-2-3工控安全等級保護培訓..............................98

6-2-4產(chǎn)品使用培訓......................................99

6-2-5培訓方式..........................................99

7配置清單......................................................102

8項目價值分析..................................................103

8-1項目示范性價值.........................................103

8-2項目推廣性價值.........................................104

HI

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

1概述

1-1建設(shè)背景

隨著國際上工業(yè)互聯(lián)網(wǎng)、工業(yè)4.0、國內(nèi)“中國制造2025”戰(zhàn)略的提出，積

極推動了生產(chǎn)制造模式的變革、產(chǎn)業(yè)的組織創(chuàng)新以及產(chǎn)業(yè)結(jié)構(gòu)升級，使得傳統(tǒng)行

業(yè)的基礎(chǔ)設(shè)施能夠進行遠程的智能化控制和操作，高度融合IT技術(shù)的工業(yè)自動

化應(yīng)用得到迅速而廣泛的使用，而工業(yè)控制系統(tǒng)設(shè)計之初是為了完成各種實時控

制功能，并沒有考慮到安全防護方面的問題，通過網(wǎng)絡(luò)互聯(lián)將他們暴露在外部網(wǎng)

絡(luò)上，無疑將給他們所控制的關(guān)鍵基礎(chǔ)設(shè)施、重要系統(tǒng)等都帶來巨大的安全風險

和隱患。

工業(yè)控制系統(tǒng)已廣泛應(yīng)用于國內(nèi)重大的基礎(chǔ)設(shè)施中，在我國工控行業(yè)中，主

要，'業(yè)控制系統(tǒng)包括集散控制系統(tǒng)（DCS）、數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）

和可編程控制器（PLC）等，在工廠運行中發(fā)揮著巨大的作用。與傳統(tǒng)的基于

TCP/IP協(xié)議的網(wǎng)絡(luò)與信息系統(tǒng)的安全相比，我國工控系統(tǒng)的安全保護水平明顯

偏低，長期以來沒有得到關(guān)注。大多數(shù)工控系統(tǒng)在開發(fā)時，由于傳統(tǒng)工控系統(tǒng)技

術(shù)的計算資源有限，在設(shè)計時只考慮到效率和實時等特性，并未將安全作為一個

主要的指標考慮。隨著信息化的推動和工業(yè)化進程的加速，越來越多的計算機和

網(wǎng)絡(luò)技術(shù)應(yīng)用于工業(yè)控制系統(tǒng)，在為工業(yè)生產(chǎn)帶來極大推動作用的同時，也帶來

了工控系統(tǒng)的安全問題，如系統(tǒng)終端平臺安全防護弱點、系統(tǒng)配置和軟件安全漏

洞、工控協(xié)議安全問題、私有協(xié)議的安全問題、以及隱臧的后門和未知漏洞、

TCP/IP自身的安全問題、用戶權(quán)限控制的接入、網(wǎng)絡(luò)安全邊界防護以及內(nèi)部非

法人員、密鑰管理等等各種網(wǎng)絡(luò)安全的風險利漏洞。

一旦敵對政府、恐怖組織、商業(yè)間諜、內(nèi)部不法人員、外部非法入侵者利用

系統(tǒng)上的漏洞或管理上的疏漏侵入工廠控制系統(tǒng)，都有可能造成系統(tǒng)停車、機密

信息泄露甚至系統(tǒng)的運行被惡意控制等問題?；瘜W工業(yè)是關(guān)乎國計民生的特殊行

業(yè)，每一次安全事件，都使廣大人民群眾的生活、生產(chǎn)受到巨大影響，經(jīng)濟遭受

重大損失甚至倒退。吁以XX企業(yè)工控系統(tǒng)的網(wǎng)絡(luò)安全問題，關(guān)系到國家經(jīng)濟命

脈、人民生活水平、以及社會繁榮發(fā)展。XX企業(yè)生產(chǎn)控制系統(tǒng)安全事關(guān)重大，

1

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

一旦出現(xiàn)網(wǎng)絡(luò)攻擊，將會出現(xiàn)不可控的嚴重后果，在高度信息化為工廠生產(chǎn)管理

帶來便利的同時，工廠控制網(wǎng)絡(luò)也由原來的相對封閉變得更加開放，勢必會面臨

越來越多的網(wǎng)絡(luò)威脅。

1-2工控系統(tǒng)發(fā)展概述

近年來，在“兩化”融合的行業(yè)發(fā)展需求下，現(xiàn)代工業(yè)控制系統(tǒng)的技術(shù)進步

主要表現(xiàn)在兩大方面：信息化與工業(yè)化的深度融合，為了提高生產(chǎn)高效運行、生

產(chǎn)管理效率，國內(nèi)XX企業(yè)大力推進工業(yè)控制系統(tǒng)自身的集成化、集中化管理。

系統(tǒng)的互聯(lián)互通性逐步加強，工控網(wǎng)絡(luò)與辦公網(wǎng)、互聯(lián)網(wǎng)也存在千絲萬縷的聯(lián)

系。

德國的工業(yè)4.0標準、美國的“工業(yè)互聯(lián)網(wǎng)”以及“先進制造業(yè)國家戰(zhàn)略計

劃”、日本的“科技工業(yè)聯(lián)盟”、英國的“工業(yè)2050戰(zhàn)略”、中國“互聯(lián)網(wǎng)+”“中

國制造2025”等相繼出臺，對，業(yè)控制系統(tǒng)的通用性與開放性提出了更高的要

求。未來工業(yè)控制系統(tǒng)將會有一個長足發(fā)展，工業(yè)趨向于自動化、智能化，系統(tǒng)

之間的互聯(lián)互通也更加緊密，面臨的安全威脅也會越來越多。

2010年6月“震網(wǎng)”的蠕蟲病毒入侵了伊朗布什爾核電站造成20%的離心

機報廢，伊朗大約3萬個網(wǎng)絡(luò)終端感染。

2012年，兩座美國電廠遭受USB病毒攻擊。這些病毒可被攻擊者利用以遠

程控制系統(tǒng)或竊取數(shù)據(jù)。美國應(yīng)急響應(yīng)中心表示，在被插入包含惡意程序U盤

后，病毒感染了每個工廠的工控系統(tǒng)。

2015年12月，烏克蘭電力系統(tǒng)遭受黑客攻擊，將可遠程訪問并控制工控系

統(tǒng)的BlackEnergy（黑喑力量）惡意軟件植入烏克蘭電力部門，造成電網(wǎng)數(shù)據(jù)采

集和監(jiān)控系統(tǒng)崩潰，導致伊萬諾一弗蘭科夫斯克地區(qū)大約一半家庭停電數(shù)小時。

2016年3月，Verizon公司發(fā)布的安全事件報告中稱一家名為Kemuri的水

務(wù)公司自來水控制系統(tǒng)被黑客攻擊，導致正常供水受到影響。

2016年10月，美國、德國、利比亞遭受大規(guī)模DDoS攻擊，造成大面積網(wǎng)

絡(luò)癱瘓。

2017年2月，一種兒乎無法被檢測到的極為復(fù)雜的惡意程序感染了全球超

過140家機構(gòu)的計算機系統(tǒng)，包括美國、南美、歐洲和非洲的銀行、通信、市政

等多種關(guān)鍵信息基礎(chǔ)設(shè)施系統(tǒng)。

2

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

2017年5月，“蠕蟲式”勒索軟件“WannaCry”勒索病毒入侵了全球150

多個國家的信息系統(tǒng)，雷諾、日產(chǎn)等汽車制造廠商被迫停產(chǎn)，多國能源、通信等

重要行業(yè)損失慘重。這些攻擊通常都是經(jīng)過精心策劃的，并且可對現(xiàn)實世界造成

嚴重后果。

2019年3月7日，委內(nèi)瑞拉國內(nèi)包括首都加拉加斯在內(nèi)的大部分地區(qū)停電

超過24小時，在委內(nèi)湍拉23個州中，一度有20個州全面停電，停電導致加拉

加斯地鐵無法運行，造成大規(guī)模交通擁堵，學校、醫(yī)院、工廠、機場等都受到嚴

重影響，手機和網(wǎng)絡(luò)也無法正常使用。

2019年3月19日，世界最大的綜合性鋁業(yè)集團之一挪威海德魯公司(Norsk

Hydro)在全球多家鋁生產(chǎn)工廠遭受嚴重網(wǎng)絡(luò)攻擊，造成多個工廠關(guān)閉和部分工

廠切換為手動運營模式。

2019年II月，黑西哥石油巨頭PPUIPX遭勒索500萬美元被迫關(guān)停多個

IT系統(tǒng)。

1-3工業(yè)控制系統(tǒng)層次模型

工業(yè)控制系統(tǒng)層次模型從上到下共分為5個層級，依次為企業(yè)資源層、生產(chǎn)

管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設(shè)備層，不同層級的實時性要求不同。

企業(yè)資源層主要包括ERP系統(tǒng)功能單元，用于為企業(yè)決策層員工提供決策運行手

段；生產(chǎn)管理層主要MES系統(tǒng)功能單元，用于對生產(chǎn)過程進行管理，如制造數(shù)據(jù)

管理、生產(chǎn)調(diào)度管理等；過程監(jiān)控層主要包括監(jiān)控服務(wù)器與HMI系統(tǒng)功能單元，

用于對生產(chǎn)過程數(shù)據(jù)進行采集與監(jiān)控，并利用HMI系統(tǒng)實現(xiàn)人機交互；現(xiàn)場控制

層主要包括各類控制器單元，如PLC、DCS控制單元等，用于對各執(zhí)行設(shè)備進行

控制；現(xiàn)場設(shè)備層主要包括各類過程傳感設(shè)備與執(zhí)行設(shè)備單元，用于對生產(chǎn)過程

進行感知與操作。

3

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

房級4：企業(yè)資源乂

建立基本匚廠生產(chǎn)調(diào)度、材料使用、運

企業(yè)資源層輸、確定庫存等級、操作管理等

實時性

月、周、日

層級3：生產(chǎn)管理發(fā)

工作流/處方控制來生產(chǎn)期望的終端產(chǎn)品。

維護記錄和優(yōu)化生產(chǎn)過程，倜度生產(chǎn)，

生產(chǎn)管理層細化生產(chǎn)調(diào)度過程，保證可第性等。

實時性

日、工作班時、小時、分鐘、秒

層級2：過程監(jiān)控層

監(jiān)控，管理控制和自動控制生產(chǎn)過程

實時性

DCSPICSCADA小時、分鐘、秒

系統(tǒng)系統(tǒng)系統(tǒng)

U級1：現(xiàn)場控制U

傳感數(shù)據(jù)栗集和生產(chǎn)過程控制

實時性

批過程/連續(xù)過程/離散過程秒、亞秒

層級0：現(xiàn)場設(shè)備了

傳感和操作生產(chǎn)過程

各個層次使用網(wǎng)絡(luò)安全等級保護基本要求相關(guān)內(nèi)容的映射關(guān)系如下:

功能層次技術(shù)要求

安全通用要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）

企業(yè)資源層安全通用要求（安全區(qū)域邊界）

安全通用要求（安全計算環(huán)境）

安全通用要求（安全管理中心）

安全通用要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴展要求（安全通信網(wǎng)絡(luò)）

生產(chǎn)管理層安全通用要求（安全區(qū)域邊界）+安全擴展要求（安全區(qū)域邊界）

安全通用要求（安全計算環(huán)境）

安全通用要求（安全管理中心）

安全通用要求（安全物理環(huán)境）

過程監(jiān)控層

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴展要求（安全通信網(wǎng)絡(luò)）

4

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

安全通用要求（安全區(qū)域邊界）+安全擴展要求（安全區(qū)域邊界）

安全通用要求（安全計算環(huán)境）

安全通用要求（安全管理中心）

安全通用要求（安全物理環(huán)境）+安全擴展要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴展要求（安全通信網(wǎng)絡(luò)）

現(xiàn)場控制層

安全通用要求（安全區(qū)域功界）+安全擴展要求（安全區(qū)域功界）

安全通用要求（安全計算環(huán)境）+安全擴展要求（安全計算環(huán)境）

安全通用要求（安全物理環(huán)境）+安全擴展要求（安全物理環(huán)境）

安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴展要求（安全通信網(wǎng)絡(luò)）

現(xiàn)場設(shè)備層

安全通用要求（安全區(qū)域邊界）+安全擴展要求（安全區(qū)域邊界）

安全通用要求（安全計算環(huán)境）+安全擴展要求（安全計算環(huán)境）

1-4國家政策法規(guī)

1?4?1中華人民共和國網(wǎng)絡(luò)安全法

《網(wǎng)絡(luò)安全法》明確制造企業(yè)的關(guān)鍵信息基礎(chǔ)設(shè)施納入國家法律層面的保護,

對于能源企業(yè)以及主管單位、安全服務(wù)提供商的責任劃分和職責要求如下：

第二十一條國家實行網(wǎng)絡(luò)安全等級保護制度。網(wǎng)絡(luò)運營者應(yīng)當按照網(wǎng)絡(luò)安

全等級保護制度的要求，履行下列安全保護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者

未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：

（一）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負責人，落實網(wǎng)絡(luò)

安全保護責任；

（二）采取防范計算機病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技

術(shù)措施；

（三）采取監(jiān)測、記錄網(wǎng)絡(luò)運行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)

定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月；

（四）采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；

（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。

第三十一條國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共

服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)

5

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

泄露，可能嚴重危害國家安全、國計民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)

絡(luò)安全等級保護制度的基礎(chǔ)上，實行重點保護。關(guān)鍵信息基礎(chǔ)設(shè)施的具體范圍和

安全保護辦法由國務(wù)院制定。

第三十三條建設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當確保其具有支持業(yè)務(wù)穩(wěn)定、持續(xù)運

行的性能，并保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用。

第三十四條除本法第二十一條的規(guī)定外，關(guān)鍵信息基礎(chǔ)設(shè)施的運營者還應(yīng)

當履行下列安全保護義務(wù)：

（一）設(shè)置專門安全管理機構(gòu)和安全管理負責人，并對該負責人和關(guān)鍵崗位

的人員進行安全背景審查；

（二）定期對從業(yè)人員進行網(wǎng)絡(luò)安全教育、技術(shù)培訓和技能考核；

（三）對重要系統(tǒng)和數(shù)據(jù)庫進行容災(zāi)備份；

（四）制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，并定期進行演練：

（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。

第三十八條關(guān)鍵信息基礎(chǔ)設(shè)施的運營者應(yīng)當自行或者委托網(wǎng)絡(luò)安全服務(wù)機

構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風險每年至少進行一次檢測評估，并將檢測評

估情況和改進措施報送相關(guān)負責關(guān)鍵信息基礎(chǔ)設(shè)施安全保護工作的部門。

第三十九條國家網(wǎng)信部門應(yīng)當統(tǒng)籌協(xié)調(diào)有關(guān)部門對關(guān)鍵信息基礎(chǔ)設(shè)施的安

全保護采取下列措施：

（一）對關(guān)鍵信息基礎(chǔ)設(shè)施的安全風險進行抽查檢測，提出改進措施，必要

時可以委托網(wǎng)絡(luò)安全服務(wù)機構(gòu)對網(wǎng)絡(luò)存在的安全風險進行檢測評估；

（二）定期組織關(guān)鍵信息基礎(chǔ)設(shè)施的運營者進行網(wǎng)絡(luò)安全應(yīng)急演練，提高應(yīng)

對網(wǎng)絡(luò)安全事件的水平和協(xié)同配合能力；

（三）促進有關(guān)部門、關(guān)鍵信息基礎(chǔ)設(shè)施的運營者以及有關(guān)研究機構(gòu)、網(wǎng)絡(luò)

安全服務(wù)機構(gòu)等之間的網(wǎng)絡(luò)安全信息共享；

（四）對網(wǎng)絡(luò)安全事件的應(yīng)急處置與網(wǎng)絡(luò)功能的恢復(fù)等，提供技術(shù)支持和協(xié)

助。

1?4?2等級保護2.0

2019年5月13日，國家市場監(jiān)督管理總局、國家標準化管理委員會召開新

6

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

聞發(fā)布會，等保2.0相關(guān)的《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》、《信

息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安

全設(shè)計技術(shù)要求》等國家標準正式發(fā)布，將于2019年12月1日開始實施。技術(shù)

部分將從基本要求和擴展要求兩個方面進行展開，擴展部分明確將工業(yè)控制系統(tǒng)

作為安全防護的一個重要部分，從安全計算環(huán)境、網(wǎng)絡(luò)安全邊際、網(wǎng)絡(luò)通信和集

中管控、物理安全等5個方面進行防護要求。

GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求

GB/T25070-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求

GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求

1?4?3關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護基本要求

2017年6月1日《網(wǎng)絡(luò)安全法》正式實施，具中第二章第二節(jié)規(guī)定了關(guān)鍵

信息基礎(chǔ)設(shè)施的運行安全，包括關(guān)鍵信息基礎(chǔ)設(shè)施的范圍、保護的主要內(nèi)容等。

國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等

重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴重危

害國家安全、國計民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護制

度的基礎(chǔ)上，實行重點保護。2019年12月3日，全國信息安全標準化技術(shù)委員

會秘書處在北京組織召開了國家標準《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安

全保護基本要求》（報批稿）試點工作啟動會。本次試點工作旨在驗證《關(guān)?！?/p>

標準內(nèi)容的合理性和可操作性，為標準推廣實施積累經(jīng)驗，為關(guān)鍵信息基礎(chǔ)設(shè)施

安全保護工作提供技術(shù)支撐。

2項目建設(shè)需求

2-1XX企業(yè)工控系統(tǒng)安全現(xiàn)狀

煤XX又稱煤炭高溫干儲。以煤為原料，在隔絕空氣條件下，加熱到950℃

左右，經(jīng)高溫干僧生產(chǎn)焦炭，同時獲得煤氣、煤焦油并回收其它化工產(chǎn)品的一種

煤轉(zhuǎn)化工藝。焦炭的主要用途是煉鐵，少量用作化工原料制造電石、電極等。

煤焦油是黑色粘稠性的油狀液體，其中含有苯、酚、蔡、慈、菲等重要化工原料,

它們是醫(yī)藥、農(nóng)藥、炸藥、染料等行業(yè)的原料，經(jīng)適當處理可以一一加以分離。

7

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

XX企業(yè)主要包含備煤、焦爐、干熄焦、煤氣凈化等生產(chǎn)作業(yè)區(qū)域。各作業(yè)區(qū)域

控制系統(tǒng)大部分選用國外品牌，部分控制系統(tǒng)選用國內(nèi)和利時、浙大中控品牌。

生產(chǎn)主機及服務(wù)器操作系統(tǒng)大部分仍安裝WindowsXP/7/2003等操作系統(tǒng)，并且

無法升級。

典型XX企'業(yè)工控系統(tǒng)架構(gòu)圖如下：

圖1典型XX企業(yè)工控系統(tǒng)架構(gòu)圖

XX企業(yè)工控安全的脆弱性是指工控系統(tǒng)在防護措施中和在缺少防護措施時

系統(tǒng)所具有的弱點，而工控系統(tǒng)內(nèi)部的脆弱性問題是導致系統(tǒng)易受攻擊的主要因

素，脆弱性問題的根源可概括為以下幾個方面：

1）通信協(xié)議漏洞

化工行業(yè)大量工控系統(tǒng)中使用的協(xié)議設(shè)計之初主要保證通信實時性和可靠

性，實現(xiàn)這些目標的同時犧牲了協(xié)議本身的安全性因素（例如認證、授權(quán)、加密）,

存在大量安全性缺陷。同時隨著目前TCP/IP協(xié)議和0PC協(xié)議等通用協(xié)議越來越

廣泛地應(yīng)用在工業(yè)控制網(wǎng)絡(luò)中，隨之而來的通信協(xié)議漏洞問題也日益突出。

例如，OPCClassic協(xié)議（OPCDA,OPCHAD和OPCA&E）基于微軟的DCOM協(xié)

議，DCOM協(xié)議是在網(wǎng)絡(luò)安全問題被廣泛認識之前設(shè)計的，極易受到攻擊，并且

OPC通訊采用不固定的端口號，導致目前幾乎無法使用傳統(tǒng)的IT防火墻來確保

其安全性。因此確保使用OPC通訊協(xié)議的工業(yè)控制系統(tǒng)的安全性和可靠性給工程

師帶來了極大的挑戰(zhàn)。

8

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

2）操作系統(tǒng)漏洞

目前大多數(shù)工業(yè)控制系統(tǒng)的上位機和服務(wù)器采用Windows系列、Unix系列

操作系統(tǒng)，為保證過程控制系統(tǒng)的相對獨立性和系統(tǒng)穩(wěn)定運行，通常在系統(tǒng)運行

后基本不會安裝任何補丁和升級，存在大量已知可利用漏洞和未知漏洞，從而埋

下安全隱患。

3）應(yīng)用軟件漏洞

由于應(yīng)用軟件多種多樣，很難形成統(tǒng)一的防護規(guī)范以應(yīng)對安全問題；另外當

應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時，就必須開放其應(yīng)用端口。因此常規(guī)的IT防火墻等安

全設(shè)備很難保障其安全性?；ヂ?lián)網(wǎng)攻擊者很有可能會利用一些大型工程自動化軟

件的安全漏洞獲取諸如軌道交通、污水處理廠、天然氣管道以及其他大型設(shè)備的

控制權(quán)，一旦這些控制權(quán)被不良意圖黑客所掌握，那么后果不堪設(shè)想。

4）丁控設(shè)備后門和漏洞

化工行業(yè)工控系統(tǒng)有其特有的運維方式，供應(yīng)商對于出廠的設(shè)備除了采用現(xiàn)

場維護的手段外，還大量使用了遠程運維的方式,因此，供應(yīng)商、業(yè)主出于自身

便利與經(jīng)濟的考慮，往往默認將工控設(shè)備內(nèi)置的調(diào)試后門打開，這同時也給了惡

意攻擊者可乘之機。

工控設(shè)備與傳統(tǒng)信息系統(tǒng)設(shè)備一樣，同樣存在各種安全漏洞，而工控系統(tǒng)補

丁常常難以及時更新，因此很多工控環(huán)境中都存在著高危漏洞。美國ICS-CERT

（工業(yè)控制系統(tǒng)應(yīng)急響應(yīng)小組）所出具的報告表明，工控設(shè)備的漏洞數(shù)量正在逐

年增加，其中數(shù)量最多的漏洞為明文傳輸?shù)耐ㄐ帕髁繑?shù)據(jù)、緩存溢出、拒絕服務(wù)

等高危漏洞。更為可怕的是，更多的工控設(shè)備漏洞并未公開發(fā)布，黑市上的工控

系統(tǒng)漏洞價格都高達幾十萬歐元。

5）網(wǎng)絡(luò)結(jié)構(gòu)漏洞

實際應(yīng)用中的許多控制網(wǎng)絡(luò)都是“敞開的”，不同的子系統(tǒng)之間都沒有有效

的隔離，尤其是基于OPC、MODBUS等通訊的工業(yè)控制網(wǎng)絡(luò)，和大量第三方智能化

設(shè)備及上級調(diào)度管理網(wǎng)對接，工控系統(tǒng)與其他系統(tǒng)之間存在大量的接口，且沒有

完善的數(shù)據(jù)隔離措施，從而導致如果有威脅通過某種方式進入本系統(tǒng)網(wǎng)絡(luò)之內(nèi)，

將會很快的在整個內(nèi)外網(wǎng)絡(luò)內(nèi)擴散。

6）安全策略和管理流程漏洞

9

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

追求可用性而犧牲安全性，是很多工業(yè)控制系統(tǒng)存在的普遍現(xiàn)象，缺乏完整

有效的安全策略與管理流程也給工業(yè)控制系統(tǒng)信息安全帶來了一定的威脅。例如

工業(yè)控制系統(tǒng)中移動存儲介質(zhì)包括筆記本電腦、I盤等設(shè)備的使用和不嚴格的訪

問控制策略。

7）外部風險來源

控制系統(tǒng)面臨的外部威脅可以來自多種來源，包括敵對政府、恐怖組織、工

業(yè)間諜、心懷不滿的員工、惡意入侵者等。他們的主要目標包括長期潛伏收集數(shù)

據(jù)和情報、破壞生產(chǎn)和基礎(chǔ)設(shè)施、竊取核心研發(fā)技術(shù)、要挾獲取利益等。

8）外部滲透手法

隨著生產(chǎn)網(wǎng)和企業(yè)網(wǎng)的深度融合，越來越多的攻擊者利用企業(yè)網(wǎng)作為跳板一

步一步進入生產(chǎn)網(wǎng)，最終實現(xiàn)入侵工業(yè)控制系統(tǒng)的目標。而通過近年來工控安全

事件的分析，主要的滲透方式包括：

?ATP攻擊：APT（高級可持續(xù)性威脅）是攻擊目標非常明確的攻擊方式，

攻擊時會利用最新的0-day漏洞，通過攻擊技術(shù)精心組合與攻擊者之間的

協(xié)同，同時為了達到目的可進行長期的持久性攻擊。近年來以震網(wǎng)為代表

的針對工業(yè)控制系統(tǒng)的攻擊事件都呈現(xiàn)了這些攻擊技術(shù)特征。

?魚叉式釣魚：是指誘導特定目標連接黑客預(yù)先設(shè)定的陷阱。這種攻擊方

法的成功率很高，也非常常見。點擊鏈接、打開表格或者連接其他一些文

件都會感染病毒,一次簡單的點擊相當于為攻擊者開啟了一扇電子門，這

樣他就可以接觸到你的內(nèi)部弱點了，2015年烏克蘭電網(wǎng)停電事件黑客就是

采用該方式成功入侵；

?網(wǎng)絡(luò)掃描/網(wǎng)絡(luò)嗅探：隨著工控系統(tǒng)集成的發(fā)展，工控系統(tǒng)通過互聯(lián)網(wǎng)/

內(nèi)聯(lián)網(wǎng)/外聯(lián)網(wǎng)進行Web訪問等方式開始逐漸流行，工控系統(tǒng)直接暴露的風

險也不斷增加。黑客可以利用網(wǎng)絡(luò)掃描和嗅探工具發(fā)現(xiàn)暴露在外的工控系

統(tǒng)，發(fā)現(xiàn)漏洞進行攻擊。比如利用Shodan搜索引擎，能搜索到兒乎所有與

網(wǎng)絡(luò)相連的工業(yè)控制系統(tǒng)。

?混合攻擊：采用前面幾種方式的組合手法對目標進行攻擊，黑客組織的

攻擊目標從工業(yè)現(xiàn)場開始移動，瞄向工控行業(yè)的最上游一一工控設(shè)備制造

商，從行業(yè)最上游打開缺口。比如以Havex所代表的“水坑式”攻擊通過

10

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

感染工控設(shè)備制造商官方網(wǎng)站升級程序包，達到滲透工控系統(tǒng)的目標。

2-2等保建設(shè)需求分析

通過現(xiàn)場安全調(diào)研和信息匯總，針對現(xiàn)場的安全需求匯總歸納如下：

1）網(wǎng)絡(luò)通信層面

?安全域架溝設(shè)計缺失

整體架構(gòu)設(shè)計當初考慮更多的是1.層網(wǎng)絡(luò)QES）與生產(chǎn)系統(tǒng)網(wǎng)絡(luò)通信可用

性問題，在辦公網(wǎng)與生產(chǎn)網(wǎng)之間沒有進行安全隔離與控制，這極易導致生產(chǎn)系統(tǒng)

和生產(chǎn)數(shù)據(jù)未經(jīng)授權(quán)的訪問、病毒感染，生產(chǎn)業(yè)務(wù)拒絕式服務(wù)攻擊等安全風險造

成生產(chǎn)核心數(shù)據(jù)的泄露、加工代碼的惡意更改。生產(chǎn)網(wǎng)內(nèi)部不同生產(chǎn)區(qū)域之間的

安全防御機制沒有建立起來，容易造成某一生產(chǎn)系統(tǒng)遭受到攻擊很快就會擴敦到

整個生產(chǎn)網(wǎng)內(nèi)部當中。

?控制指令數(shù)據(jù)通信明文傳輸

目前控制系統(tǒng)沒有針對數(shù)據(jù)傳輸?shù)募用軝C制。管理網(wǎng)PC與生產(chǎn)數(shù)采服務(wù)器

之間通訊、上位機與PLC控制器的通訊之間都是明文數(shù)據(jù)傳輸，易被攻擊者竊聽、

解析和重放攻擊。

?工業(yè)控制安全審計機制缺失

控制系統(tǒng)內(nèi)部缺乏對系統(tǒng)日常流量數(shù)據(jù)的實時監(jiān)控，同時對于日常運維人員

的操作指令下發(fā)、操作行為等沒有進行安全審計管理，對于系統(tǒng)內(nèi)部出現(xiàn)的異常

流量、異常操作甚至人為原因造成的生產(chǎn)業(yè)務(wù)異常事件無法溯源，也無法找到事

件發(fā)生根本原因，最終無法對事件進行定性分析二

2）主機設(shè)備系統(tǒng)層面

?現(xiàn)場設(shè)備（PLC、RTU）存在漏洞

目前XX企業(yè)工業(yè)控制系統(tǒng)使用的PLC品牌大多是SiemensS7.AB及三菱等

國外品牌，依據(jù)ICS-CERT統(tǒng)計的工業(yè)控制系統(tǒng)公開新增漏洞所涉及的工業(yè)控制

系統(tǒng)廠商占比中，Siemens設(shè)備占比28%（排名第一），同時這些新增漏洞按照可

能引起的攻擊威脅分類的統(tǒng)計及占比分析結(jié)果中，可引起業(yè)務(wù)中斷的拒絕服務(wù)類

漏洞占比33%（排名第一），利用他們可以竊取生產(chǎn)企業(yè)的生產(chǎn)計劃、工藝流程

等敏感信息，甚至獲得工控系統(tǒng)的控制權(quán)，干擾、破壞XX企業(yè)生產(chǎn)業(yè)務(wù)的正常

生產(chǎn)或運營活動。

11

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

?工程師站、操作員站和業(yè)務(wù)服務(wù)器缺乏安全防范機制

在整個內(nèi)部的工程師站、操作員站和業(yè)務(wù)服務(wù)器均為Windows系統(tǒng)，運行多

年由于系統(tǒng)機制和系統(tǒng)穩(wěn)定性考慮并沒有做補丁安裝和升級工作，同時服務(wù)器上

安裝的殺毒軟件由于無法及時更新導致病毒查殺效果無法得到保證。對于這些主

機系統(tǒng)安全監(jiān)控防護機制兒乎失效，缺乏進程監(jiān)控、移動存儲設(shè)備監(jiān)控、遠程維

護監(jiān)控、惡意代碼防范等措施。

?主機系統(tǒng)和應(yīng)用系統(tǒng)身份認證機制不完善

對于生產(chǎn)系統(tǒng)的工程師站、操作員站、業(yè)務(wù)系統(tǒng)服務(wù)器的身份認證機制沒有

充分的安全性評估和驗證，在以往的經(jīng)驗中，大量中控室操作員站及監(jiān)控終端都

采用公用賬號（甚至是系統(tǒng)默認賬號），且系統(tǒng)操作界面長期處于開放狀態(tài)，導

致進出中控室的所有人員都可以對其進行操作，可能存在被無關(guān)人員訪問操作員

站進行未授權(quán)操作的安全風險.

同時對于生產(chǎn)執(zhí)行系統(tǒng)（MES）的登陸賬戶權(quán)限申請流程和生產(chǎn)車間數(shù)采服

務(wù)器登陸賬號和權(quán)限劃分都沒有充分評估，可能存在登錄賬號和初始密碼都是默

認賬號，并且沒有設(shè)置密碼保護策略的隱患。攻擊者可獲得系統(tǒng)控制權(quán)限，可任

意破壞、篡改生產(chǎn)數(shù)據(jù)庫。

綜上，現(xiàn)有信息化建設(shè)為企業(yè)帶來便利的同時也增加了企業(yè)生產(chǎn)與數(shù)據(jù)安全

風險主要集中在原始生產(chǎn)數(shù)據(jù)、工藝的泄露，原始生產(chǎn)數(shù)據(jù)的丟失，生產(chǎn)停車、

加工代碼篡改等風險。

3等級保護建設(shè)流程與基本要求

3-1等級保護建設(shè)流程

等級保護是根據(jù)需要保護的信息系統(tǒng)確定不同的安全等級，根據(jù)安全等級確

定不同等級的安全目標，形成不同等級的安全措施進行保護。

整體的安全保障體系包括技術(shù)和管理兩大部分，其中技術(shù)部分根據(jù)GB/T

22239-2019《信息技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》，分為安全物理環(huán)境、安

全通信網(wǎng)絡(luò)、安全計算環(huán)境、安全區(qū)域邊界、安全管理中心五個方面進行建設(shè)；

而管理部分根據(jù)GB/T22239—2019《信息技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》則

分為安全管理制度、安全管理機構(gòu)、安全管理人員、安全建設(shè)管理、安全運維管

12

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

理五個方面。

在滿足通用要求的基礎(chǔ)上，需要根據(jù)工業(yè)控制系統(tǒng)業(yè)務(wù)特性和技術(shù)特性選擇

“工業(yè)控制系統(tǒng)擴展要求”進行安全建設(shè)，從生產(chǎn)管理層、過程監(jiān)控程、現(xiàn)場控

制層到現(xiàn)場設(shè)備層進行安全防護。

整個安全保障體系各部分既有機結(jié)合，又相互支撐。之間的關(guān)系可以理解為

“構(gòu)建安全管理機構(gòu)，制定完善的安全管理制度及安全策略，由相關(guān)人員，利用

技術(shù)手段及相關(guān)工具，進行系統(tǒng)建設(shè)和運行維護。”

部

?

lff

圖2等級保護建設(shè)流程

根據(jù)等級化安全保障體系的設(shè)計思路，等級保護的設(shè)計與實施通過以下步驟

進行：

1）系統(tǒng)識別與定級：確定保護對象，通過分析系統(tǒng)所屬類型、所屬信息類別、

是否包含擴展的系統(tǒng)類型、服務(wù)范圍以及業(yè)務(wù)對系統(tǒng)的依賴程度確定系統(tǒng)的等級。

通過此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的

等級，為下一步定級報告、備案表編制提供依據(jù)。

2）總體規(guī)劃：根據(jù)各等級的安全要求確定各等級的評估內(nèi)容，根據(jù)《網(wǎng)絡(luò)安全

等級保護基本要求》，對系統(tǒng)各層次安全域進行有針對性的等級保護差距性分析。

通過差距性分析，可以明確各層次安全域相應(yīng)等級的安全差距，為下一步安全技

術(shù)解決方案設(shè)計和安全管理建設(shè)提供依據(jù)。

3）方案設(shè)計：根據(jù)安全域框架，設(shè)計系統(tǒng)各個層次的安全保障體系框架以及具

13

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

體方案。包括：各層次的安全保障體系框架形成系統(tǒng)整體的安全保障體系框架；

詳細安全技術(shù)設(shè)計、安全管理設(shè)計。

4）安全建設(shè)：根據(jù)方案設(shè)計內(nèi)容逐步進行安全建設(shè)，滿足方案設(shè)計并要符合的

安全需求，滿足等級保護相應(yīng)等級的基本要求，實現(xiàn)按需防御。

5）持續(xù)安全運營：通過態(tài)勢預(yù)警、安全監(jiān)測、安全加固、安全審計、應(yīng)急響應(yīng)

等，從事前、事中、事后三個方面進行安全運行維護，確保系統(tǒng)的持續(xù)安全，滿

足持續(xù)性按需防御的安全需求。

通過如上步驟，系統(tǒng)可以形成整體的等級化的安全保障體系，同時根據(jù)安全

技術(shù)建設(shè)和安全管理建設(shè)，保障XX企業(yè)生產(chǎn)控制系統(tǒng)整體的安全。等級保護不

是一個項目，而是一個不斷循環(huán)的過程，所以通過整個安全項目的實施，來保證

XX企業(yè)生產(chǎn)控制系統(tǒng)等級保護的建設(shè)能夠持續(xù)的運行，能夠使整個系統(tǒng)隨著環(huán)

境的變化達到持續(xù)的安全.

3-2等級保護技術(shù)體系設(shè)計框架

對于工業(yè)控制系統(tǒng)根據(jù)被保護對象業(yè)務(wù)性質(zhì)分區(qū)，針對功能層次技術(shù)特點實

施信息安全等級保護設(shè)計，根據(jù)“一個中心”管理下的“三重防護”體系框架，

構(gòu)建在安全管理中心支持下的通信網(wǎng)絡(luò)、區(qū)域邊界、計算環(huán)境三重防御體系，采

用分層、分區(qū)的架構(gòu)，結(jié)合工業(yè)控制系統(tǒng)總線協(xié)議復(fù)雜多樣、實時性要求強、節(jié)

點計算資源有限、設(shè)備可靠性要求高、故障恢復(fù)時間短、安全機制不能影響實時

性等特點進行設(shè)計，以實現(xiàn)可信、可控、可管的系統(tǒng)安全互聯(lián)、區(qū)域邊界安全防

護和計算環(huán)境安全。

14

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

海4層企業(yè)經(jīng)營官怎

第3層和第4任之詞通信刖3C安

全

第3國出*環(huán)僦京3區(qū)邊界曉今

管

整

第2區(qū)和京3區(qū)之詞?信網(wǎng)絡(luò)□C

中

JC心

JC信息安全區(qū)域G

區(qū)域邊界防滬區(qū)愫邊界防護u

GS6!安全區(qū)國

工業(yè)控制系統(tǒng)

血后HWWKI第2區(qū)協(xié)理防護

等級保護36?底rtBUf-m語2匹JD7TIBF

TErrabacE

血區(qū)和就2居1r

,.[G

之同i*信網(wǎng)珞，U信息安全區(qū)發(fā)：n：

/之河通侑網(wǎng)絡(luò)r1

區(qū)歧邊界防抑區(qū)嫉邊界防滬也

?>KiHJ環(huán)1ftmiE也郭時滬w

信息安全k

氤）后和爭1信＜:l

:同?信網(wǎng)絡(luò).

第o法計H壞培moC也郭防滬gg

口

的

物

、

圖3工業(yè)控制系統(tǒng)等級保護方案設(shè)計框架

3-3等級保護三級技術(shù)要求及建議

3?3?1安全物理環(huán)境

通用要求

層面控制點要求項安全建議

a）機房場地應(yīng)選擇在具有防按照要求進行物理位置選址。

震、防風和防雨等能力的建筑

8.1.1.1

內(nèi)；

物理位置

b）機房場地應(yīng)避免設(shè)在建筑按照要求進行樓層的選擇，或者

選擇

物的頂層或地下室，否則應(yīng)加提供有效的防水和防潮措施。

強防水和防潮措施。

8.1.1

安全物8.1.1.2機房出入口應(yīng)配置電子門禁系按照要求配備電子門禁，對進出

理環(huán)境

物埋訪問統(tǒng)，控制、鑒別和記錄進入的人員采用陪同或監(jiān)控設(shè)備進行限

控制人員。制和監(jiān)控。

a）應(yīng)將設(shè)備或主要部件進行按照基本要求進行建設(shè)。

8.1.1.3

固定，并設(shè)置明顯的不易除去制定防盜竊防破壞相關(guān)管理制

防盜竊和

的標識；度。

防破壞

b）應(yīng)將通信線纜鋪設(shè)在隱蔽進行光、電技術(shù)防盜報警系統(tǒng)的

15

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

安全處；配備，或者專人值守的視頻監(jiān)控

c）應(yīng)設(shè)置機房防盜報警系統(tǒng)系統(tǒng)。

或設(shè)置有專人值守的視頻監(jiān)控

系統(tǒng)。

a）應(yīng)將各類機柜、設(shè)施和設(shè)備按照基本要求進行建設(shè)。

等通過接地系統(tǒng)安全接地：設(shè)置防雷保安器，過壓保護裝置。

8.1.1.4

b）應(yīng)采取措施防止感應(yīng)雷，例

防雷擊

如設(shè)置防雷保安器或過壓保護

裝置等。

a）機房應(yīng)設(shè)置火災(zāi)自動消防按照基本要求進行建設(shè)。

系統(tǒng)，能夠自動檢測火情、自進行消防、耐火、隔離等措施,

動報警，并自動滅火；

b）機房及相關(guān)的工作房間和

8.1.1.5

輔助房應(yīng)采用具有耐火等級的

防火

建筑材料；

c）應(yīng)對機房劃分區(qū)域進行管

理，區(qū)域和區(qū)域之間設(shè)置隔離

防火措施。

a）應(yīng)采取措施防止雨水通過按照基本要求進行建設(shè)。

機房窗戶、屋頂和墻壁滲透；進行防水檢測儀表的安裝使用，

b）應(yīng)采取措施防止機房內(nèi)水

8.1.1.6

蒸氣結(jié)露和地卜.枳水的轉(zhuǎn)移與

防水和防

滲透；

潮

c）應(yīng)安裝對水敏感的檢測儀

表或元件，對機房進行防水檢

測和報警。

a）應(yīng)采用防靜電地板或地面按照基本要求進行建設(shè)。

8.1.1.7

并采用必要的接地防靜電措進行靜電消除器、防靜電手環(huán)安

防靜電

施；裝使用。

16

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

b）應(yīng)采取措施防止靜電的產(chǎn)

生，例如采用靜電消除器、佩

戴防靜電手環(huán)等。

8.1.1.8應(yīng)設(shè)置溫濕度自動調(diào)節(jié)設(shè)施，配備機房空調(diào)系統(tǒng)。

溫濕度控使機房溫濕度的變化在設(shè)備運

制行所允許的范圍之內(nèi)。

a）應(yīng)在機房供電線路上配置配備穩(wěn)壓器和過電壓防護設(shè)備，

穩(wěn)壓器和過電壓防護設(shè)備：

b）應(yīng)提供短期的備用電力供配備UPS系統(tǒng)。設(shè)置冗余或并行

8.1.1.9

應(yīng)，至少滿足設(shè)備在斷電情況的電力電纜線路，建立備用供電

電力供應(yīng)

下的正常運行要求；系統(tǒng)。

c）應(yīng)設(shè)置冗余或并行的電力按照要求配備冗余電力電纜線

電纜線路為計算機系統(tǒng)供電。路。

a）電源線和通信線纜應(yīng)隔離按照基本要求進行建設(shè)。

8.1.1.10鋪設(shè),避免互相干擾;

電磁防護b）應(yīng)對關(guān)鍵設(shè)備實施電磁屏進行接地，采取必要的電磁屏蔽

蔽。措施。

工業(yè)控制系統(tǒng)擴展要求

a）室外控制設(shè)備應(yīng)放置于采無需配置，防護對象在室內(nèi)。

用鐵板或其他防火材料制作的

箱體或裝置中并緊固；箱體或

裝置具有透風、散熱、防盜、

8.5.1.1

8.5.1

室外控制防雨和防火能力等；

安全物

設(shè)備物理

理環(huán)境b）室外控制設(shè)備放置應(yīng)遠離無需配置，防護對象在室內(nèi)。

防護

強電磁干擾、強熱源等環(huán)境，

如無法避免應(yīng)及時做好應(yīng)急處

置及檢修，保證設(shè)備正常運

行。

17

XX工控系統(tǒng)網(wǎng)絡(luò)安全等級保護三級建設(shè)方案

3?3?2安全通信網(wǎng)絡(luò)

通用要求

層面控制點要求項建設(shè)建議

a）應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處根據(jù)高峰業(yè)務(wù)流量，關(guān)鍵設(shè)備選

理能力滿足業(yè)務(wù)高峰期需要；擇高端設(shè)備，核心交換設(shè)備和接

b）應(yīng)保證網(wǎng)絡(luò)各個部分的帶入設(shè)備帶寬能夠支撐業(yè)務(wù)高峰

寬滿足業(yè)務(wù)高峰期需要；的數(shù)據(jù)量，

c）應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并主要網(wǎng)絡(luò)設(shè)備的處理能力以及

按照方便管理和控制的原則為各部分帶寬均需滿足業(yè)務(wù)高峰

8.1.2.1各網(wǎng)絡(luò)區(qū)域分配地址；需要；

網(wǎng)絡(luò)架構(gòu)d）應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部將重要區(qū)域采用專用的技術(shù)隔

署在邊界處，重要網(wǎng)絡(luò)區(qū)域與離措施；