通知公告 - 马会绝密信封控股集團有限責任公司
建設生態文明 共享美麗中國生態文明 人人有責 人人有為

工業和信息化部關於印發《工業控製係統信息安全防護指南》的通知

發布時間:2017-10-27   作者: 本站編輯   來源:本站原創

 為貫徹落實《國務院關於深化製造業與互聯網融合發展的指導意見》(國發〔2016〕28號),保障工業企業工業控製係統信息安全,製定《工業控製係統信息安全防護指南》,現印發你們。

工業和信息化部指導和管理全國工業企業工控安全防護和保障工作,並根據實際情況對指南進行修訂。地方工業和信息化主管部門根據工業和信息化部統籌安排,指導本行政區域內的工業企業製定工控安全防護實施方案,推動企業分期分批達到本指南相關要求。

工業和信息化部

2016年10月17日

工業控製係統信息安全防護指南

工業控製係統信息安全事關經濟發展、社會穩定和國家安全。為提升工業企業工業控製係統信息安全(以下簡稱工控安全)防護水平,保障工業控製係統安全,製定本指南。

工業控製係統應用企業以及從事工業控製係統規劃、設計、建設、運維、評估的企事業單位適用本指南。

工業控製係統應用企業應從以下十一個方麵做好工控安全防護工作。

一、安全軟件選擇與管理

(一)在工業主機上采用經過離線環境中充分驗證測試的防病毒軟件或應用程序白名單軟件,隻允許經過工業企業自身授權和安全評估的軟件運行。

(二)建立防病毒和惡意軟件入侵管理機製,對工業控製係統及臨時接入的設備采取病毒查殺等安全預防措施。

二、配置和補丁管理

(一)做好工業控製網絡、工業主機和工業控製設備的安全配置,建立工業控製係統配置清單,定期進行配置審計。

(二)對重大配置變更製定變更計劃並進行影響分析,配置變更實施前進行嚴格安全測試。

(三)密切關注重大工控安全漏洞及其補丁發布,及時采取補丁升級措施。在補丁安裝前,需對補丁進行嚴格的安全評估和測試驗證。

三、 邊界安全防護

(一)分離工業控製係統的開發、測試和生產環境。

(二)通過工業控製網絡邊界防護設備對工業控製網絡與企業網或互聯網之間的邊界進行安全防護,禁止沒有防護的工業控製網絡與互聯網連接。

(三)通過工業防火牆、網閘等防護設備對工業控製網絡安全區域之間進行邏輯隔離安全防護。

四、物理和環境安全防護

(一)對重要工程師站、數據庫、服務器等核心工業控製軟硬件所在區域采取訪問控製、視頻監控、專人值守等物理安全防護措施。

(二)拆除或封閉工業主機上不必要的USB、光驅、無線等接口。若確需使用,通過主機外設安全管理技術手段實施嚴格訪問控製。

五、身份認證

(一)在工業主機登錄、應用服務資源訪問、工業雲平台訪問等過程中使用身份認證管理。對於關鍵設備、係統和平台的訪問采用多因素認證。

(二)合理分類設置賬戶權限,以最小特權原則分配賬戶權限。

(三)強化工業控製設備、SCADA軟件、工業通信設備等的登錄賬戶及密碼,避免使用默認口令或弱口令,定期更新口令。

(四)加強對身份認證證書信息保護力度,禁止在不同係統和網絡環境下共享。

六、遠程訪問安全

(一)原則上嚴格禁止工業控製係統麵向互聯網開通HTTP、FTP、Telnet等高風險通用網絡服務。

(二)確需遠程訪問的,采用數據單向訪問控製等策略進行安全加固,對訪問時限進行控製,並采用加標鎖定策略。

(三)確需遠程維護的,采用虛擬專用網絡(VPN)等遠程接入方式進行。

(四)保留工業控製係統的相關訪問日誌,並對操作過程進行安全審計。

七、安全監測和應急預案演練

(一)在工業控製網絡部署網絡安全監測設備,及時發現、報告並處理網絡攻擊或異常行為。

(二)在重要工業控製設備前端部署具備工業協議深度包檢測功能的防護設備,限製違法操作。

(三)製定工控安全事件應急響應預案,當遭受安全威脅導致工業控製係統出現異常或故障時,應立即采取緊急防護措施,防止事態擴大,並逐級報送直至屬地省級工業和信息化主管部門,同時注意保護現場,以便進行調查取證。

(四)定期對工業控製係統的應急響應預案進行演練,必要時對應急響應預案進行修訂。

八、資產安全

(一)建設工業控製係統資產清單,明確資產責任人,以及資產使用及處置規則。

(二)對關鍵主機設備、網絡設備、控製組件等進行冗餘配置。

九、數據安全

(一)對靜態存儲和動態傳輸過程中的重要工業數據進行保護,根據風險評估結果對數據信息進行分級分類管理。

(二)定期備份關鍵業務數據。

(三)對測試數據進行保護。

十、供應鏈管理

(一)在選擇工業控製係統規劃、設計、建設、運維或評估等服務商時,優先考慮具備工控安全防護經驗的企事業單位,以合同等方式明確服務商應承擔的信息安全責任和義務。

(二)以保密協議的方式要求服務商做好保密工作,防範敏感信息外泄。

十一、落實責任

通過建立工控安全管理機製、成立信息安全協調小組等方式,明確工控安全管理責任人,落實工控安全責任製,部署工控安全防護措施。