为适应新型工业化发展局势，提高我国工业节造系统网络安全保险水平，领导工业企业发展工控安全防护工作，以高水平安全护航新型工业化高质量发展，工业和信息化部印发《工业节造系统网络安全防护指南》。《防护指南》定位于面向工业企业做好网络安全防护的领导性文件，对峙两全发展和安全，萦绕安全治理、技术防护、安全运营、责任落实四方面，提出33项领导性安全防护基线要求，推动解决走好新型工业化路路过程中工业节造系统网络安全面对的凸起问题。

工业节造系统网络安全防护指南 

工业节造系统是工业出产运行的基础主题。为适应新时期工业节造系统网络安全（以下简称工控安全）局势，进一步领导企业提升工控安全防护水平，夯实新型工业化发展安全根基，造订本指南。

使用、运营工业节造系统的企业合用本指南，防护对象蕴含工业节造系统以及被网络攻击后可直接或间接影响出产运行的其他设备和系统。

一、安全治理

（一）资产治理

1.全面梳理可编程逻辑节造器（PLC）、散布式节造系统（DCS）、数据采集与监督节造系统（SCADA）等典型工业节造系统以及有关设备、软件、数据等资产，明确资产治理责任部门和责任人，成立工业节造系统资产清单，并凭据资产状态变动实时更新。定期发展工业节造系统资产核查，内容蕴含但不限于系统配置、权限分配、日志审计、病毒查杀、数据备份、设备运行状态等情况。

2.凭据承载业务的沉要性、规模，以及产生网络安全事务的风险水平等成分，成立沉要工业节造系统清单并定期更新，执行沉点；。沉要工业节造系统有关的关键工业主机、网络设备、节造设备等，应执行冗余备份。

（二）配置治理

3.强化账户及口令治理，预防使用默认口令或弱口令，定期更新口令。遵循最幼授权准则，合理设置账户权限，禁用不用要的系统默认账户和治理怨厮户，实时算帐过期账户。

4.成立工业节造系统安全配置清单、安全防护设备战术配置清单。定期发展配置清单审计，实时凭据安全防护需要变动调整配置，沉大配置调换执行前进行严格安全测试，测试通过后方可执行调换。

（三）供给链安全

5.与工业节造系统厂商、云服务商、安全服务商等供给商签定的和谈中，应明确各方需推广的安全有关责任和使命，蕴含治理领域、职责划分、接见授权、隐衷；ぁ⑿形荚颉⑽ピ荚鹑蔚。

6.工业节造系统使用纳入网络关键设备目录的PLC等设备时，应利用具备资格的机构安全认证合格或者安全检测切合要求的设备。

（四）宣布道育

7.定期发展工业节造系统网络安全有关司法律规、政策尺度宣布道育，加强企业人员网络安全意识。针对工业节造系统和网络有关运维人员，定期发展工控安全专业技术培训及查核。

二、技术防护

（一）主机与终端安全

8.在工程师站、操作怨鼐、工业数据库服务器等主机上部署防病毒软件，定期进行病毒库升级和查杀，预防勒索软件等恶意软件传布。对具备存储职能的介质，在其接入工业主机前，应进行病毒、木马等恶意代码查杀。

9.主机可选取利用软件白名单技术，只允许部署运行经企业授权和安全评估的利用软件，并有打算的执行操作系统、数据库等系统软件和沉要利用软件升级。

10.拆除或封关工业主机上不用要的通用串行总线（USB）、光驱、无线等表部设备接口，关关不用要的网络服务端口。若确需使用表部设备，应进行严格接见节造。

11.对工业主机、工业智能终端设备（节造设备、智能仪表等）、网络设备（工业互换机、工业路由器等）的接见执行用户身份甄别，关键主机或终端的接见选取双因子认证。

（二）架构与天堑安全

12.凭据承载业务特点、业务规模、影响工业出产的沉要水平等成分，对工业以太网、工业无线网络等组成的工业节造网络执行分分辨域治理，部署工业防火墙、网闸等设备实现域间横向隔离。当工业节造网络与企业治理网或互联网连通时，执行网间纵向防护，并对网间行为发展安全审计。设备接入工业节造网络时应进行身份认证。

13.利用第五代移动通讯技术（5G）、无线局域网技术（WiFi）等无线通讯技术组网时，造订严格的网络接见节造战术，对无线接入设备选取身份认证机造，对无线接见接入点定期审计，关关无线接入公开信息（SSID）广播，预防设备违规接入。

14.严格远程接见节造，不容工业节造系统面向互联网开明不用要的超文本传输和谈（HTTP）、文件传输和谈（FTP）、Internet远程登录和谈（Telnet）、远程桌面和谈（RDP）等高风险通用网络服务，对必要开明的网络服务采取安全接入代理等技术进行用户身份认证和利用鉴权。在远程守护时，使用互联网安全和谈（IPsec）、安全套接字和谈（SSL）等和谈构建安全网络通路（如虚构专用网络（VPN）），并严格限度接见领域和授权功夫，发展日志留存和审计。

15.在工业节造系统中使用加密和谈和算法时应切合有关司法律规要求，激励优先选取商用密码，实现加密网络通讯、设备身份认证和数据安全传输。

（三）上云安全

16.工业云平台为企业自建时，利用用户身份甄别、接见节造、安全通讯、入侵防备等技术做好安全防护，有效阻止犯法操作、网络攻击等行为。

17.工业设备上云时，对上云设备执行严格标识治理，设备在接入工业云平台时选取双向身份认证，不容未标识设备接入工业云平台。业务系统上云时，应确保分歧业务系统运行环境的安全隔离。

（四）利用安全

18.接见造作执行系统（MES）、组态软件和工业数据库蹬爪用服务时，应进行用户身份认证。接见关键利用服务时，选取双因子认证，并严格限度接见领域和授权功夫。

19.工业企业自主研发的工业节造系统有关软件，应通过企业自行或委托第三方机构发展的安全性测试，测试合格后方可上线使用。

（五）系统数据安全

20.定期梳理工业节造系统运行产生的数据，结合业务现实，发展数据分类分级，鉴别沉要数据和主题数据并形成目录。萦绕数据网络、存储、使用、加工、传输、提供、公开等环节，使用密码技术、接见节造、容灾备份等技术对数据执行安全；。

21.司法、行政律例有境内存储要求的沉要数据和主题数据，应在境内存储，确需向境表提供的，该当依法依规进行数据出境安全评估。

三、安全运营

（一）监测预警

22.在工业节造网络部署监测审计有关设备或平台，在不影响系统不变运行的前提下，实时发现和预警系统缝隙、恶意软件、网络攻击、网络侵入等安全风险。

23.在工业节造网络与企业治理网或互联网的天堑，可选取工业节造系统蜜罐等威胁诱捕技术，捕获网络攻击行为，提升自动防御能力。

（二）运营中心

24.有前提的企业可成立工业节造系统网络安全运营中心，利用安全编排自动化与响应（SOAR）等技术，实现安全设备的统一治理和战术配置，全面监测网络安全威胁，提升风险隐患集中排查和事务急剧响应能力。

（三）应急措置

25.造订工控安全事务应急预案，明确汇报和措置流程，凭据现实情况当令进行评估和订正，定期发展应急演练。当产生工控安全事务时，应立即启动应急预案，采取垂危措置措施，实时稳妥处置安全事务。

26.沉要设备、平台、系统接见和操作日志留存功夫不少于六个月，并定期对日志备份，便于发展过后溯源取证。

27.对沉要系统利用和数据定期发展备份及复原测试，确保垂危时工业节造系统在可接受的功夫领域内复原正常运行。

（四）安全评估

28.新建或升级工业节造系统上线前、工业节造网络与企业治理网或互联网衔接前，应发展安全风险评估。

29.对于沉要工业节造系统，企业应自行或委托第三方专业机构每年至少发展一次工控安全防护能力有关评估。

（五）缝隙治理

30.亲昵关注工业和信息化部网络安全威胁和缝隙信息共享平台等沉大工控安全缝隙及其补丁法式颁布，实时采取升级措施，短期内无法升级的，应发展针对性安全加固。

31.对沉要工业节造系统定期发展缝隙排查，发现沉大安全缝隙时，对补丁法式或加固措施测试验证后，方可执行补丁升级或加固。

四、责任落实

32.工业企业承担本企业工控安全主体责任，成立工控安全治理造度，明确责任人和责任部门，依照“谁运营谁掌管、谁主管谁掌管”的准则落实工控安全；ぴ鹑。

33.强化企业资源保险力度，确保安全防护措施与工业节造系统同步规划、同步建设、同步使用。