工业安全安全合规实施指南：法规、数据、网络与运营落地

工业企业要把安全合规落到生产现场，不能只采购防火墙、审计平台等产品。

企业需要把法规要求转换为资产清单、技术控制、管理制度和审计证据。

本文面向企业决策者、技术负责人和采购经理，重点说明具体怎么做、需要采购什么，以及如何持续合规。

工业安全安全合规安全合规总体要求

法规与监管要求

工业企业通常同时受到安全生产、网络安全、数据安全和个人信息保护等要求约束。

适用法规主要包括《网络安全法》《数据安全法》《个人信息保护法》和《密码法》。

涉及关键信息基础设施的企业，还要落实《关键信息基础设施安全保护条例》。

企业应按业务所在地区、所属行业和数据类型，建立合规义务清单。

清单需要写明责任部门、适用系统、控制措施、检查频率及证据保存时间。

安全生产与网络安全不能分开管理。一次病毒感染可能导致产线停机，也可能引发安全事故。

因此，生产控制系统的可用性、完整性和操作可追溯性应纳入统一风险管理。

行业标准识别

通用参考标准包括等级保护2.0、ISO 27001、IEC 62443和工业控制系统安全指南。

能源、电力、石化、轨道交通、汽车等行业，还需识别各自的监管规范。

企业不能看到标准就全部照搬。应结合生产工艺和系统架构确定适用范围。

例如，办公网可以采用定期补丁策略，控制网则要先验证补丁对实时控制的影响。

采购设备时，应要求供应商提供安全设计说明、漏洞处置流程和软件版本支持周期。

合同还应约定远程维护方式、事件通报时限和日志留存责任。

合规责任划分

董事会或管理层负责批准安全目标、年度预算和重大风险处置方案。

信息安全部门负责制度、技术标准、监测预警和事件协调。

生产部门负责工艺系统可用性、现场操作管理和变更审批。

设备供应商、集成商及运维商必须纳入第三方安全管理，不能只签保密协议。

企业可采用RACI责任矩阵，明确谁负责、谁审批、谁协助、谁需要知会。

每项控制措施都要形成记录，否则测评或监管检查时无法证明已经执行。

工业安全安全合规数据安全防护体系

数据加密方案

工业数据包括设备参数、工艺配方、生产计划、质量数据和设备运行日志。

企业应先完成数据分类分级，再决定哪些数据需要加密以及采用什么算法。

核心配方、控制参数和客户数据，建议在传输与存储两个环节实施加密。

跨区域传输可采用TLS、IPsec VPN或国密SSL，避免明文协议暴露数据。

数据库可采用字段级加密或透明加密，备份文件也要单独加密。

只加密文件、不保护密钥，效果接近没有加密。

密钥应集中生成、分发、轮换、吊销和备份，避免写入脚本或程序代码。

有商用密码应用要求的系统，需要选用合规密码产品并开展密码应用评估。

采购经理询问多少钱时，不能只比较许可证价格。

预算应包含密码设备、密钥平台、系统改造、性能测试和后续维护费用。

访问控制策略

访问控制要解决三个问题：谁能访问、能访问什么、可以执行哪些操作。

企业应为操作员、工程师、管理员和供应商分别设置角色权限。

控制系统账号不得多人共用，管理员也不应长期使用最高权限处理日常任务。

远程运维需要通过VPN、堡垒机和多因素认证进入，不得直接开放控制设备端口。

对PLC编程、配方修改和安全联锁调整，应设置双人审批与操作复核。

临时账号必须配置有效期，项目结束或人员离岗后应在规定时间内关闭。

权限应至少每季度复核一次，高风险系统可按月检查。

复核内容包括闲置账号、越权权限、共享账号及长期未修改的默认口令。

供应商访问应限定目标设备、访问时段和操作命令，并全程录屏留痕。

数据脱敏与审计

测试、培训和外包分析场景不应直接使用真实生产数据。

企业可根据数据用途采用掩码、替换、泛化、扰动或令牌化等脱敏方式。

例如，设备编号保留区域信息，但隐藏具体产线和工位编码。

脱敏规则要验证可逆风险，防止多组数据关联后重新识别敏感信息。

日志审计范围应覆盖账号登录、权限变更、参数修改、文件导出和远程运维。

数据库查询、批量下载和异常删除属于高风险行为，应设置实时告警。

审计日志应发送到独立平台，避免攻击者入侵业务主机后同时删除记录。

日志保存期限应参考法规、等保级别和内部调查需求，常见周期为6个月以上。

涉及关键操作的日志，还应记录操作人、时间、来源地址、对象和执行结果。

企业需要建立审计规则维护机制，避免平台上线后长期使用默认规则。

每月可抽取高风险操作进行复核，每季度分析异常趋势和重复违规问题。

审计结果必须进入整改闭环，明确责任人、完成日期和验证结论。

工业安全安全合规网络安全防护

网络隔离与分区

工业网络不能使用一张大网连接办公终端、服务器、PLC和现场设备。

建议按企业层、生产管理层、过程监控层和现场控制层进行安全分区。

办公网与生产网之间设置工业隔离区，部署数据交换、代理和安全检测设备。

MES、历史数据库及补丁服务器可根据业务流向部署在工业DMZ区域。

不同产线之间也要评估横向隔离需求，避免单条产线受攻击后影响整个工厂。

网络访问策略应遵循默认拒绝、按需放行，并记录端口开放依据。

单向传输场景可采用网闸或单向隔离设备，但要验证业务完整性。

老旧设备不支持安全协议时，可通过工业防火墙进行访问白名单限制。

安全分区方案需要同步更新网络拓扑、IP清单和通信矩阵。

没有准确的资产与流量信息，隔离策略容易误拦生产业务。

边界防护方案

工厂互联网出口、办公网与生产网边界、远程运维入口都需要独立防护。

边界设备应具备访问控制、应用识别、恶意代码检测和安全日志输出能力。

工业防火墙还要识别Modbus、OPC、S7等工业协议及关键操作指令。

策略不能只写“允许任意”。应限制源地址、目标地址、端口和访问方向。

远程维护入口应统一收口，不允许供应商自建4G路由器或私接无线热点。

跨厂区互联可采用加密专线或VPN，并对两端网络设置最小访问范围。

边界策略至少每半年清理一次，删除过期项目和无业务依据的放行规则。

采购时应验证设备吞吐量、并发连接数、协议识别率及旁路能力。

高可用场景还要配置双机切换，避免安全设备故障造成生产中断。

入侵检测与响应

工业入侵检测系统可通过镜像流量识别扫描、异常协议和高风险控制指令。

检测设备宜采用旁路部署，减少对实时控制业务的影响。

告警应按资产重要性和攻击阶段分级，不能把所有告警都设为紧急。

发现异常后，要核对设备状态、工艺影响及来源地址，再决定隔离方式。

处置生产设备前必须与生产负责人确认，避免直接断网导致停机或设备损坏。

工业安全安全合规等保合规实践

等保2.0要求对照

等保2.0覆盖安全物理环境、通信网络、区域边界、计算环境和管理中心。

工业控制系统还需关注现场设备、控制系统、控制协议及生产连续性。

企业应先确定系统边界，再完成定级、备案、建设整改、测评和监督检查。

定级不能只看服务器数量，要结合业务影响和数据受损后的后果判断。

三级系统通常每年开展一次测评，并持续处理测评发现的问题。

安全建设整改要点

整改前应开展差距分析，把问题分为制度缺失、配置不当和能力不足。

默认口令、弱口令、无审计账号等问题，可通过配置调整优先解决。

涉及网络改造、身份认证和日志平台的问题，需要编制项目预算和实施计划。

工业现场整改要设置测试、回退和停机窗口，不能直接照搬办公系统方案。

对暂时无法整改的老旧设备，应通过隔离、白名单和访问限制进行补偿。

补偿措施必须记录适用范围、风险说明、责任人和计划完成时间。

测评与持续合规

测评前应准备定级报告、备案证明、制度文件、资产清单和网络拓扑。

还需提供账号清单、配置截图、审计日志、培训记录及应急演练材料。

测评不是临时补材料。制度记录应来自日常执行，时间和内容要保持一致。

企业可每季度开展一次内部检查，对高风险问题进行复测。

系统扩容、网络调整、云平台迁移或核心设备更换后，应重新评估风险。

通过年度测评加季度自查，可以减少集中整改对生产的影响。

工业安全安全合规安全运营建议

安全团队建设

安全运营需要管理、网络、系统、工控和生产工艺人员共同参与。

大型企业可建立安全运营中心，小型工厂可采用内部负责人加专业服务商模式。

团队应明确监测、分析、处置、恢复和复盘等岗位职责。

值班人员要能识别工业协议和生产风险，不能只会处理办公网病毒告警。

外包服务合同应约定服务时间、响应时限、人员能力和数据保密责任。

管理层每月应查看漏洞数量、告警闭环率、账号复核率和事件响应时间。

安全意识培训

培训内容应按岗位设计，不能让操作员、管理员和采购人员听同一套课程。

操作员需要识别异常画面、未知U盘、违规联网和可疑远程操作。

管理员应掌握权限控制、日志审计、漏洞处置和配置备份。

采购人员要检查供应商资质、安全功能、支持周期和漏洞响应承诺。

管理层需要理解停产损失、监管处罚及安全预算之间的关系。

培训后可通过考试、钓鱼邮件测试和现场抽查验证实际效果。

培训记录要包含人员、时间、内容及考核结果，作为审计证据保存。

应急预案演练

预案应覆盖勒索软件、生产网入侵、数据泄露和远程运维账号失窃。

企业还要考虑服务器故障、网络中断和安全设备异常等可用性事件。

预案需写明报告路径、决策权限、隔离方法、恢复顺序和对外沟通方式。

演练不能只开会读文件，至少要验证告警发现、人员通知和备份恢复。

涉及生产控制的演练可采用桌面推演、仿真环境或非生产时段测试。

每年至少组织一次综合演练，高风险场景可每半年开展专项演练。

演练后应统计发现时间、响应时间和恢复时间，并形成整改任务。

企业选择工业安全安全合规解决方案时，也应要求服务商参与演练。

采购评估要看方案能否适配现有设备、是否影响生产，以及后续由谁运营。

真正可持续的方案，应形成资产识别、防护监测、事件处置和合规取证闭环。

常见问题