工業控制系統是工業生產運行的基礎核心，為提升工業控制系統網絡安全防護水平，2024年1月工業和信息化部發布《工業控制系統網絡安全防護指南》（工信部網安〔2024〕14號，以下簡稱《指南》），指導提升新型工業化下工業控制系統（以下簡稱工控系統）網絡安全防護能力。
一、工控系統網絡安全為新型工業化保駕護航
（一）工控系統網絡安全對工業穩定高效運行具有重要意義
工控系統負責對工業生產過程進行測量、控制等，通常由各類傳感器、儀器儀表、控制器/系統、執行機構等組成。典型工控系統產品包括但不限于：PLC、DCS、SCADA、工業儀器儀表等。工控系統既可作為獨立系統也可嵌入到各類裝備，是工業生產過程的神經中樞，廣泛應用于制造業及工業基礎設施。工控系統一旦受到網絡攻擊，輕則導致數據破壞、生產紊亂、產品質量受損，重則導致核心技術泄密、裝備損壞、火災、爆炸、有毒有害物質泄漏等嚴重后果，可影響工業生產安全甚至產業鏈供應鏈穩定。
（二）工控系統網絡安全是護航新型工業化的必要保障
深入推進智能制造發展、工業互聯網融合應用、數字化轉型是推動新型工業化高質量發展的重要手段，實現跨域信息流打通和業務互聯互通是關鍵環節，這也使得工業生產邊界被大幅擴大，傳統相對封閉的工控系統面臨的網絡攻擊威脅日益嚴峻。自“震網病毒”發生以來，工控系統網絡攻擊快速升級到APT2.0時代，表現出高隱蔽性、深潛伏性和長期糾纏性。工控系統在工業生產系統中處于中下層，向上連接工廠信息系統，向下直接控制各類工業裝備。做好工控系統網絡安全不僅能打造一個可抵御外部攻擊的內生健壯工業生產系統，還能與外部IT信息安全形成合力，共同構筑面向工業生產的安全防護體系，加快推動工業轉型升級。
二、工業視角下工控系統網絡安全需求分析
（一）傳統工業場景差異性需求
與信息系統相比，傳統工業場景中工控系統首要任務是實現測量、控制、監控等工業過程，其設計之初通常較少考慮網絡安全。工業控制系統量大面廣，應用場景多樣，不同行業不同場景對網絡安全需求存在較大差異。對于存在遠程操控的場景，如電力行業變電站、油氣管網站場等，監控中心/調度中心通過通信網絡下達操控指令，存在較高的網絡安全風險，需構建適用行業的專用工控系統網絡安全防護體系。對于信息化程度較低的工廠，工控系統通常是封閉的系統，更多面對的是管理風險，需構建嚴格安全管理制度。對于信息化程度較高的工廠，通常已實現了工控系統與MES等管控系統的互聯互通，但多數場景僅實現簡單數據交互且以上行數據為主，面臨較高的信息安全風險，需構建以邊界防護為主的工控系統網絡安全解決方案。
（二）制造系統數字化網絡化智能化發展需求
制造系統正向數字化、網絡化、智能化方向快速發展，具體發展方向可概括為：泛在互聯、虛實融合、智能管控等。泛在互聯是指制造系統的所有環節、要素、終端之間實現互聯互通與互操作；虛實融合是指制造系統的物理實體（設備、產線等）與以軟件為載體的虛擬實體實現虛實雙向映射與互動；智能管控是指在工業數據驅動下對人員、設備、物料、能源等制造資源進行管理和調控，實現優化配置。在新發展趨勢下，工控系統作為制造系統的核心和基礎，必然帶來與外部更廣泛、更密集的數據和信息交互，上層管控軟件也更加深度介入對工控系統的操控，對工控系統網絡安全帶來了新挑戰。
（三）新技術和新生產模式不斷產生新需求
在新型工業化發展背景下，IT技術與OT技術加速融合，物聯網、人工智能、大數據、云計算、邊緣計算、5G等新技術加快在工業領域融合應用。對于工控系統本身，以TSN、APL等為代表的工業通信技術，正朝著分布式、虛擬化、智能化方向快速發展。智能制造的持續深入推進催生了主體協同研發、設計制造服務一體化、上下游深度協同的智慧供應鏈等新生產模式，體現了制造環節、工業企業等多維度的協同性。新技術和新生產模式使得制造系統的邊界已經超越了傳統上局限于企業內部和物理區域的范圍，IT網和OT網更加緊密互聯，網絡空間和物理空間的耦合節點增多，生產安全管理與網絡安全管理的界限模糊，從IT網滲透至OT網的網絡攻擊有了更多可行路徑。因此，亟需提升工控系統網絡安全防護水平，以需滿足新形勢下的發展需求。
三、《指南》為工控系統網絡安全指明系統化實施路徑
（一）統籌兼顧的頂層設計
新形勢下全面提升工控系統網絡安全防護水平是一項系統工程，需要綜合考慮技術、管理、運營等方面，兼顧工業控制系統網絡安全現狀與未來發展趨勢。《指南》突出了全面性、系統化和機制層面閉環，從安全管理、技術防護、安全運營、責任落實4個方面，提出33條切實可行的工業控制系統網絡安全防護要求，從頂層設計視角制定工控系統網絡安全防護的實施路徑，在配置管理、供應鏈安全、上云安全、系統數據安全、監測預警、應急處置、評估評測、責任落實等方面給出了具體要求和引導，依據《指南》可綜合構建企業工控網絡安全防護體系。
（二）系統化技術防護
依據《指南》，工業企業可建設全面的、縱深的工控系統網絡安全防護體系。《指南》防護內容覆蓋了工控系統涉及到的所有對象，包括工程師站、操作員站、工業數據庫服務器等工業主機，工業交換機、工業路由器等工業網絡設備，控制器、工業儀器儀表等工業智能終端設備，還有工業控制網絡、工控系統產生的工業數據等。《指南》兼顧了主動防護與被動防護，既采用惡意代碼查殺、應用軟件白名單、身份認證、橫向隔離、訪問控制、通信加密等被動防護技術手段，也采用蜜罐等威脅誘捕技術捕獲網絡攻擊行為，提升主動防御能力。《指南》貫徹縱深防御理念，利用殺毒軟件、防火墻、安全監測設備、安全審計平臺等軟件和設備，在前端對風險監測預警，在后端做應急處置，圍繞工控系統分別在主機與終端、架構與邊界、云端、應用部署安全防護措施，形成系統化安全技術防護能力。
（三）體系化管理和運營
《指南》圍繞“資產管理、配置管理、供應鏈安全、宣傳教育”明確了工控系統安全管理要求，要求企業建立工控系統資產清單并定期更新，建立配置清單并開展審計，對關鍵主機設備、網絡設備、控制設備等實施冗余備份，要求供應鏈各方明確需履行的安全責任和義務，定期開展宣傳教育，增強人員網絡安全意識。《指南》圍繞“監測預警、運營中心、應急處置、安全評估、漏洞管理”提出了體系化的安全運營要求，要求工業企業及時發現、預警安全風險，捕獲網絡攻擊行為，實現安全設備的統一管理和策略配置，制定工控安全事件應急預案并定期開展演練，每年至少開展一次重要工業控制系統防護能力相關評估。
四、推進《指南》落地應用的幾點思考和建議
（一）建立健全工控安全標準體系
推進工控安全標準體系研究，升級已有標準與立項新方向標準相結合，推動形成支撐《指南》落地應用的配套規范體系。加快重要工控系統識別規則等標準研制，強化重要工控系統安全管理；加快安全評價方法、評估工作要求等標準研制，規范測試過程與評價結果；加快重點行業防護指引等標準研制，指導企業開展安全防護能力建設。
（二）提升工控安全產業供給水平
鼓勵工控產品廠商、工業企業與安全廠商、高校及科研院所等加強合作，加快工控安全防護技術創新，結合大數據、人工智能等技術，提升安全監測、威脅發現、應急處置、數據分析等方面的能力；加快工控安全防護產品研制，為不同行業、不同體量的工業企業提供適應其業務需求的安全解決方案。研究推進優秀解決方案評選與供應商服務評價等工作。
（三）深化工控系統安全管理與認證評估
通過會議、培訓等多種形式開展政策解讀與宣貫，引導企業積極落實《指南》及相關政策與標準要求，提升企業安全意識與管理水平。建立健全工業控制系統網絡安全檢測、認證、評估體系，推動將DCS等工控系統納入《網絡關鍵設備和網絡安全專用產品目錄》，探索建立工業控制產品認證、網絡關鍵設備檢測雙模式。試點開展工業控制系統網絡安全評估，逐步將評估機構納入認證體系，以評促建、以評促改，助力企業提升工控安全防護能力。
