全生命周期管理安全合规安全合规总体要求

法规责任边界

工业企业需要同时处理网络安全、数据安全、个人信息保护和生产安全要求。

常见依据包括《网络安全法》《数据安全法》《个人信息保护法》和《密码法》。

如果系统属于关键信息基础设施，还要评估《关键信息基础设施安全保护条例》。

涉及生产控制、能源调度或重要工业数据时，管理要求通常更严格。

企业不能只看平台上线时是否合规。设备采购、安装调试、运行维护、升级改造、

数据归档和设备退役，都要设置对应的安全控制措施。

合规责任要落实到系统负责人、数据负责人、运维负责人和供应商。

合同中应明确数据归属、漏洞修复时限、日志保存期限及安全事件责任。

行业标准要求

工业互联网项目可参考等保2.0、ISO 27001、IEC 62443等标准。

不同标准关注点不同，不能用一张认证证书替代全部安全建设。

等保2.0侧重网络与信息系统的分级保护。IEC 62443更关注工业自动化与控制系统，

覆盖安全区域、通信通道、组件能力和供应链开发要求。

集团型企业还可建立统一安全基线。基线应覆盖PLC、DCS、SCADA、工业网关、

边缘服务器、工业云平台和移动运维终端。

合规落地方法

项目启动时，应完成系统定级、数据分类分级和业务影响分析。

这三项工作决定后续安全设备怎么配、预算多少钱、整改优先级怎么排。

采购阶段要把安全要求写入技术规格书，而不是中标后再补。

建议设置身份认证、接口加密、日志审计、漏洞处置和停服退出条款。

系统投运前应开展漏洞扫描、配置核查、渗透测试和应急验证。

没有完成高风险问题闭环的系统，不应直接接入生产网络。

全生命周期管理安全合规数据安全防护体系

数据加密方案

工业数据通常包括设备参数、工艺配方、告警信息、质量记录和生产计划。

企业应按数据敏感级别选择传输加密、存储加密和字段级加密。

设备到网关、网关到平台的链路，可采用TLS、IPSec VPN或国密算法。

老旧设备不支持加密时，可通过安全网关建立加密隧道。

数据库中的核心配方、账号凭据和客户信息，不应只依赖磁盘加密。

可采用字段加密或透明数据库加密，并将密钥与业务数据分开存放。

密钥管理需要覆盖生成、分发、轮换、吊销和销毁。

生产密钥不能写死在程序、脚本、固件或设备配置文件中。

采购经理要问清楚：密码模块是否合规，证书由谁签发，密钥丢失怎么恢复，

设备退役后密钥怎么销毁。这些问题会直接影响后期维护成本。

访问控制策略

工业系统常见问题是多人共用管理员账号。账号无法对应到个人，

出现误操作或数据泄露时，也就无法确认责任主体。

访问控制应采用最小权限、按岗授权、到期回收的原则。

操作员、工艺工程师、设备商和平台管理员需要使用不同权限模板。

高权限账号应启用多因素认证。远程维护可采用口令、证书、动态令牌组合，

并通过堡垒机记录命令、文件传输和操作过程。

供应商临时账号要设置生效时间和失效时间。维护结束后自动禁用，

避免一个远程账号连续使用数年，形成长期暴露入口。

接口访问也要受控。API应配置身份校验、调用频率限制和来源白名单，

不能因为接口位于内网，就默认所有请求都可信。

数据脱敏与审计

研发、测试和培训环境不应直接复制生产数据。确有使用需求时，

可对人员姓名、手机号、设备编号和工艺参数进行脱敏。

脱敏方式包括掩码、替换、泛化、扰动和令牌化。

脱敏规则要兼顾业务可用性，不能处理后仍可通过多个字段还原身份。

展示大屏可隐藏完整设备编码和客户名称。导出报表时，可根据岗位自动减少字段，

防止普通用户一次性下载全部生产数据。

审计范围应覆盖登录、查询、修改、删除、导出和权限变更。

数据库审计还要识别批量查询、越权访问和非工作时间操作。

日志至少记录操作人员、时间、来源地址、对象、动作及结果。

重要系统日志应集中保存，避免攻击者入侵主机后直接删除本地记录。

日志保存多久，要结合等保级别、行业监管和企业制度确定。

常见做法是在线保存不少于6个月，关键审计数据保存1年至3年。

审计不是单纯“留日志”，还要设置规则、告警和闭环工单。

同一账号连续失败登录、批量导出、跨区域访问时，应自动触发核查。

全生命周期管理安全合规网络安全防护

网络隔离与分区

工业网络不能与办公网、互联网直接互通。企业可按生产控制区、生产管理区、

企业管理区和外部接入区进行分区，并控制区域之间的数据流向。

核心控制设备应部署在高安全等级区域。MES、数据采集平台和分析系统，

可根据业务实时性放在生产管理区或工业DMZ。

区域划分不能只靠VLAN。关键边界应通过工业防火墙、隔离设备或安全网关控制，

并制定明确的端口、协议、源地址和目标地址规则。

跨区传输要遵循业务白名单。没有明确用途的端口默认关闭，

临时放行应经过审批，并设置自动到期时间。

老旧PLC和数控设备安全能力有限，可采用“外部补偿”方式。

通过工业防火墙、单向隔离和协议白名单，减少设备直接暴露的风险。

边界防护方案

互联网边界需要部署防火墙、入侵防御、恶意代码检测和流量审计。

远程运维入口应统一收口，禁止供应商使用私接路由器或个人远控软件。

远程维护建议采用VPN加堡垒机模式。连接前校验人员身份和终端状态，

连接期间录屏审计，维护完成后关闭授权。

工业协议防护要关注Modbus、OPC UA、S7和IEC 104等协议。

普通防火墙只识别IP和端口，难以判断具体控制指令是否异常。

工业防火墙可限制读写功能码、设备地址和操作频率。

例如，普通监控系统只能读取寄存器，不允许下发写入和停机指令。

无线网络也是边界的一部分。厂区Wi-Fi、5G专网和蓝牙设备，

需要使用独立认证、终端准入和无线入侵检测措施。

入侵检测与响应

工业入侵检测应以旁路监测为主，避免直接阻断影响生产。

系统可通过镜像流量识别资产、通信关系、异常指令和已知攻击特征。

检测规则要结合生产场景调优。设备在检修期批量升级可能属于正常操作，

但在生产时段出现同类行为，就需要提高告警等级。

发现攻击后，应快速隔离受影响终端、封禁来源地址并保存证据。

处置动作要评估停产风险，不能照搬办公网的自动封禁策略。

全生命周期管理安全合规等保合规实践

等保2.0要求对照

等保2.0覆盖安全物理环境、安全通信网络、安全区域边界、

安全计算环境和安全管理中心，同时要求配套管理制度。

工业控制系统还需关注扩展要求，包括工业控制协议安全、控制设备防护、

拨号使用管控、无线使用管控和安全运维管理。

企业怎么做对照？可建立“要求—现状—差距—措施—责任人—完成时间”清单。

每项控制要提供制度、配置截图、设备日志或测试记录作为证据。

安全建设整改要点

整改不能只采购设备。常见差距包括账号共享、弱口令、网络扁平、

日志缺失、补丁长期未更新和远程运维不受控。

对无法停机打补丁的生产设备，应采用白名单、网络隔离和虚拟补丁补偿。

整改方案需要经过生产、设备、信息化和安全部门共同确认。

预算安排可分为紧急整改、年度建设和持续运营三类。

高危漏洞、互联网暴露和越权访问问题，应优先处理。

测评与持续合规

正式测评前，可进行一次差距评估和模拟检查。

提前准备网络拓扑、资产清单、管理制度、账号清单和审计记录。

测评通过不代表后续一直合规。系统新增接口、迁移云平台、调整网络区域，

都可能改变原有安全边界，需要重新评估。

建议每季度开展配置核查，每半年开展漏洞扫描，每年至少组织一次风险评估。

重大变更后应补充测评，避免纸面制度与实际环境脱节。

全生命周期管理安全合规安全运营建议

安全团队建设

企业应明确安全负责人，并建立生产、设备、信息化和安全部门的协作机制。

单靠IT部门，很难处理工控协议、停机窗口和设备保修问题。

团队至少要具备资产管理、漏洞管理、日志分析、应急响应和合规管理能力。

人员不足时，可引入托管安全服务，但核心决策权不能完全外包。

外部服务多少钱，通常取决于资产数量、驻场天数、监测范围和响应级别。

采购时要比较服务内容和交付证据，不能只比较总价。

安全意识培训

不同岗位需要不同培训内容。操作员重点学习账号保护、U盘使用和异常上报，

管理人员重点学习责任边界、风险审批和事件决策。

运维人员要掌握远程接入、变更管理、备份恢复和日志留存要求。

供应商进场前，也应完成安全承诺和现场操作规范培训。

培训效果不能只看签到表。可通过钓鱼邮件测试、现场抽查和模拟操作考核，

确认员工是否真正掌握安全要求。

应急预案演练

应急预案要覆盖勒索软件、数据泄露、控制指令异常、平台中断和供应链攻击。

每类事件都要明确发现渠道、响应人员、隔离动作和恢复流程。

演练可采用桌面推演与实战演练结合的方式。

实战操作必须避开生产高峰，并准备回退方案和现场保障人员。

演练后应统计发现时间、上报时间、隔离时间和恢复时间。

这些数字能直接反映企业的真实响应能力。

备份能否恢复，比“是否完成备份”更关键。

企业应定期抽取配置、数据库和工艺文件进行恢复验证。

设备报废或平台下线时，也要执行安全退出。需要注销账号、撤销证书、

清除存储介质、归档日志，并确认供应商不再保留企业数据。

常见问题