工业控制系统信息安全防护指引

保障工业控制系统的安全可靠是实现工业智能化发展的关键环节，自主可控的设备产品、技术和服务是保障重点行业工业控制系统信息安全的根本。当前，我国重要关键设备和基础软件绝大多数采用国外产品，安全基础不牢，核心技术产品受制于人，安全风险不容忽视。只有牢牢抓住工业信息安全的主动权、控制权，推动实现重要工业控制设备、系统和平台的安全可控，才能有效推进《中国制造2025》战略目标的落地实施，才能缔造真正意义上的制造强国。

国家工业信息安全发展研究中心（原工业和信息化部电子科学技术情报研究所，简称电子一所）成立于1959年，是新中国批成立的中央级专业科技情报研究机构之一，也是国防科技工业技术基础六大领域（核、航天、航空、船舶、兵器、电子）情报研究所的重要组成部分。50多年来，伴随着中国电子信息产业、国防科技工业的发展，以及中国工业化和信息化的融合进程，电子一所始终不渝地立足科技情报研究，不断推进两化深度融合、军民融合，不断优化管理和创新业务，现已成为我国工业和信息化、国防军事电子领域知名的情报研究咨询与决策支撑机构。

章 工业信息安全的重大意义
节 工业信息安全是助力两化深融的基础保障
第二节 工业信息安全是实现制造强国战略的重要支撑
第三节 工业信息安全是建设网络强国的必然要求
第二章 国家关于工业信息安全的政策及部署
节 习近平总书记的重要论述
第二节 国家立法强化关键信息基础设施安全
第三节 国务院关于工业信息安全的相关政策
一、《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》
二、《中国制造2025》
三、《国务院关于深化制造业与互联网融合发展的指导意见》
四、《国务院关于积极推进“互联网＋”行动的指导意见》
第四节 政府主管部门对工业信息安全的工作部署
一、《关于加强工业控制系统信息安全管理的通知》
二、《信息化和工业化深度融合专项行动计划（2013—2018）》
三、《工业和信息化部贯彻落实 国务院关于积极推进“互联网 ”
行动的指导意见 的行动计划（2015—2018年）》
四、《工业控制系统信息安全防护指南》
第五节 工业企业的主体责任
一、工业信息安全是现代企业核心竞争力的关键要素
二、企业应认真落实工业信息安全各项职责
三、增强意识是做好工业信息安全的首要前提
四、健全队伍是保障工业信息安全的基础条件
第三章 工业控制系统信息安全基础知识
节 工业控制系统相关基本概念
一、工业控制系统定义、主要类型及架构
二、工业控制系统与IT系统的区别
第二节 工业控制系统存在的主要安全问题
一、核心技术产品受制于人
二、安全防护水平相对落后
三、网络攻击风险持续加剧
四、安全管理机制尚待健全
第三节 技术防护手段及方式
一、常用技术防护手段
二、工控安全防护流程
第四节 工业控制系统相关标准介绍
一、国际工业控制系统信息安全标准
二、我国工业控制系统信息安全标准
三、工业控制系统信息安全标准体系框架
第四章 《指南》解读及主要做法
节 编制背景及依据
一、编制背景
二、编制依据
第二节 安全软件选择与管理
一、目的
二、内容要求
三、实施建议
第三节 配置和补丁管理
一、目的
二、内容要求
三、实施建议
第四节 边界安全防护
一、目的
二、内容要求
三、实施建议
第五节 物理和环境安全防护
一、目的
二、内容要求
三、实施建议
第六节 身份认证
一、目的
二、内容要求
三、实施建议
第七节 远程访问安全
一、目的
二、内容要求
三、实施建议
第八节 安全监测和应急预案演练
一、目的
二、内容要求
三、实施建议
第九节 资产安全
一、目的
二、内容要求
三、实施建议
第十节 数据安全
一、目的
二、内容要求
三、实施建议
第十一节 供应链管理
一、目的
二、内容要求
三、实施建议
第十二节 落实责任
一、目的
二、内容要求
三、实施建议
附录Ⅰ 相关政策文件综述
附录Ⅱ 重大工业控制系统信息安全事件一览
附录Ⅲ 标准术语一览表

序：
工业控制系统作为关键基础设施的重要组成部分，关乎企业安全、社会安全、经济安全乃至国家安全。随着制造强国建设稳步推进，制造业与互联网融合步伐不断加快，工业控制系统日趋数字化、网络化和智能化，在极大提高生产效率、提升创新能力、促进产业转型升级的同时，也面临着漏洞层出不穷、威胁加速渗透、攻击手段复杂多样等前所未有的信息安全挑战。自2010年“震网”事件爆发以来，德国钢铁厂遭受高级可持续性威胁（APT）攻击、乌克兰断电、美国网络瘫痪等事件屡屡发生，工业控制领域警钟长鸣。
党中央、国务院将工业控制系统信息安全（简称“工控安全”）作为网络空间安全的重要组成部分，给予高度重视，做出了一系列战略部署和政策指引。习近平总书记在党的十九大报告中全面系统深刻地论述了坚持总体国家安全观的重要思想，并在2018年4月20?21日召开的全国网络安全和信息化工作会议上更进一步强调指出，要“树立正确的网络安全观，加强信息基础设施网络安全防护”。《中华人民共和国网络安全法》对保障包括工业控制系统在内的关键信息基础设施安全做出明确规定。国务院先后颁布《中国制造2025》《关于深化制造业与互联网融合发展的指导意见》等指导性文件，围绕制造强国和网络强国建设战略目标，明确提出实施工业控制系统安全保障能力提升工程，为工控安全建设指明了方向。
当前，工控安全已成为实施制造强国和网络强国战略的重要保障，是维护我国工业安全、经济安全乃至国家安全的关键一环，具有重大的战略意义。为科学构建工控安全防护体系，工业和信息化部于2016年10月正式印发《工业控制系统信息安全防护指南》，这是近五年来我国在工控安全领域发布的首个标志性、权威性指导文件，明确了工业企业工控安全防护的基本要求。
为加快落实文件各项要求，助力工控安全防护取得实效，国家工业信息安全发展研究中心组织编写了《工业控制系统信息安全防护指引》一书。该书是我国本较为全面地介绍工控安全形势、政策、防护技术与实践的综合性普及读本，在深入研究和系统分析的基础上，重点基于《工业控制系统信息安全防护指南》要求，从安全管理、运行维护、技术操作等多维度，系统地提出了具体可行的防护策略、实施建议和解决方案，为工业企业开展工控安全防护工作提供了有益的技术指导。
在《工业控制系统信息安全防护指引》付梓出版之际，仅以此序表示祝贺。在此，我衷心希望此书能为提升企业工控安全防护水平、推动全社会工控安全意识普及、提升国家工控安全综合保障能力发挥积极作用。

前言：
工业控制系统广泛运用于工业、能源、交通、水利以及市政民生等领域，对生产设备的正常运行发挥着至关重要的作用。随着我国信息化和工业化深入融合，以及物联网、云计算和大数据等新一代信息技术的飞速发展，工业控制系统逐步走向开放、互联、通用，产品越来越多地采用通用协议、通用硬件和通用软件，与企业网甚至互联网的一体化融合程度不断加深，传统的信息安全威胁不可避免地扩散到工业控制领域，工业控制系统信息安全面临着日益严峻的挑战，成为国家网络空间安全的重要组成部分。近年来，国内外发生的多起工控安全事件充分表明，工业控制系统越来越成为国家间网络对抗的领域和有组织黑客攻击的重要目标。工业控制系统外部安全威胁和自身存在的安全漏洞，客观上要求我们必须高度重视工业控制系统信息安全问题，在积极推进两化深度融合的同时，下大力做好工控安全建设。
党中央、国务院高度重视工控安全建设，《国家网络空间战略》、《国家网络安全法》高度概括了工业信息安全对于保障关键国家信息基础设施正常运行、社会稳定和国家安全的重大意义，提出了指导原则。国务院先后发布《中国制造2025》、《国务院关于深化制造业与互联网融合发展的指导意见》等重要文件，对加强工控安全保障工作做出具体部署。
2016年10月，工业和信息化部为了贯彻落实党中央、国务院有关文件精神，提升工业控制系统信息安全防护水平，保障工业控制系统安全，在深入调查研究、广泛征求意见的基础上，发布了《工业控制系统信息安全防护指南》，分别从管理、技术角度系统地提出了十一个方面的安全防护工作要求，并在全国范围内大力开展宣贯培训工作，取得积极成果，获得热烈反响。
为帮助全国各地方工信主管部门及工业企业更好地贯彻落实《工业控制系统信息安全防护指南》（简称《防护指南》），提高广大从业人员工控安全防护意识和能力，在工业和信息化部指导下，我们编写了《工业控制系统信息安全防护指引》作为与《防护指南》相配套的技术读本。全书分为四个章节，章深刻阐述了工业信息安全的重大意义；第二章详细介绍了我国关于工业信息安全的指导原则、方针政策和工作部署，特别强调了工业企业在工控安全防护中的主体责任；第三章有针对性地普及了工控安全相关基础知识，对概念、知识点、通用防护措施以及技术手段作了通俗解释；第四章围绕《指南》所涉及的十一项防护要求，结合工控安全领域目前的主要做法，提出了可供工业企业参考的防护策略、实施建议和解决方案。
本书适用于面向地方、行业及企业开展工控安全防护技术培训，也适用于工业企业管理人员、技术人员以及高校、研究机构相关人员学习参考。
为适应工业领域新技术高速发展和工控安全形势的不断变化，本书的内容将适时更新和完善，恳请广大读者提出宝贵意见。