2008年(nián)發"☆布的(de)《GB/T22239-2008 信息安全技(j→★ì)術(shù) 信息系統安全等級保護基本要(yào)求 》及其配套政策文(w©×én)件(jiàn)和(hé)标準統稱為(wèi)等保1.0。等保1.0在經曆了σπ"(le)多(duō)年(nián)的(de)試★ 點、推廣、行(xíng)業(yè)标準制(zhì)定、落實工(gōng)作(z¶£uò)後，由于新技(jì)術(shù)、新應用(yòng)、新業(yè)務Ωδ‍形态的(de)大(dà)量出現(xiàn)，尤其是(shì)人£☆(rén)工(gōng)智能(néng)、大(dà)數(™§$Ωshù)據、物(wù)聯網、雲計(jì)算(suàn)、全數(shù)字化(huà)儀控系統等的(§λde)快(kuài)速發展，安全趨勢和(hé)形勢的(de&₩♠↕)急速變化(huà)，原來(lái)發布的(de)标準已經不(↔♠bù)再适用(yòng)于當前安全要(yào)求，從(cóng)2015年(n§✘∑✘ián)開(kāi)始，等級保護的(de)安全要(yào)求逐步開(kāi)始制(zh¶₹λ>ì)定2.0标準，包括5個(gè)部分(fē¥>↔★n)：安全通(tōng)用(yòng)要(yào)求、雲計(jì)算(suàn)安全擴展☆<≠要(yào)求、移動互聯安全擴展要(yào)求、物(wù)聯÷∑§☆網安全擴展要(yào)求、工(gōng)業"₹₽ (yè)控制(zhì)安全擴展要(yào)求，豐富了(le)防護內( ∏₽nèi)容和(hé)要(yào)求，通(tō<εng)用(yòng)要(yào)求中精簡λ​了(le)多(duō)餘或者不(bù)适用&≠≤€(yòng)的(de)內(nèi)容，增€π>加了(le)無線網絡、網絡集中監控等的(de↑φ)要(yào)求。2017年(nián)8月γ↔↕(yuè)，公安部評估中心根據網信辦和(hé)安标委的(de)意見(j₩×€₩iàn)将等級保護在編的(de)5個(gè)基本要(y♦β€←ào)求分(fēn)冊标準進行(xíng)了(le)合并形成《網絡安全等級保護基©<本要(yào)求》一(yī)個(gè)标準≥>₹。本文(wén)主要(yào)參考《信息安全技(jì)術(shù) φ ; 網絡安全等級保護基本要(yào)求》（送審稿）（以下(xià)簡×₩稱“該标準”）分(fēn)析等保2.0的(de)主要(yào)變化(huà)以及針對(duì)‍∏工(gōng)業(yè)控制(zhì)系統的(•≈∑¶de)安全擴展內(nèi)容和(hé)要(yà¥↓o)求。

等保2.0的(de)主要(yào)變化(huà)

1. 為(wèi)适應《中華人(rén)民(mín)共和(hé)國&≥π(guó)網絡安全法》，配合落實“網絡安全 →等級保護制(zhì)度”，該标準的(de)名稱由“信息安全γ∑ φ技(jì)術(shù) 信息系統安全等級保護基本要(yà‍"₽"o)求”變更為(wèi)“信息安全技(j∞☆≥ì)術(shù) 網絡安全等級保護基本要(yào)求”。

2. 該标準主要(yào)從(cóng)技(jì)術(♥>♠shù)和(hé)管理(lǐ)兩個(gè)方面提出要(yào)求，技(δ"'jì)術(shù)要(yào)求由原來(lái)的(de)物(wù)理(lǐ)安全、網絡安全、✘ '主機(jī)安全、應用(yòng)安全和(hé)數(shù)據安全及備份恢複調整分(fēn)類為(Ω×☆$wèi)物(wù)理(lǐ)和(hé)環境安全、網絡和(h "∏ é)通(tōng)信安全、設備和(hé)計(jì)算(suàn)φ÷→安全、應用(yòng)和(hé)數(shù)據安全；管理πλ↓(lǐ)要(yào)求由原來(lái)的(de)安全管  ≈ε理(lǐ)制(zhì)度、安全管理(lǐ)機(jī)α••♦構、人(rén)員(yuán)安全管理(l↕≠←¶ǐ)、系統建設管理(lǐ)和(hé)系統運維管理(lǐ)調整分(fēn)類為(wèi)安全策略和β♥¥(hé)管理(lǐ)制(zhì)度、安全管理(lǐ)機(j€ →‌ī)構和(hé)人(rén)員(yuán)、安全建設管理(±‍lǐ)、安全運維管理(lǐ)。

圖一(yī)：網絡安全等級保護基本要(yào)求結構

3. 為(wèi)了(le)适應新技(jì)術(shù)、新業(yè)務、新應用(yòng)，γσ該标準對(duì)雲計(jì)算(suàn)、移動互聯、物(wù)聯網和¥£₽(hé)工(gōng)業(yè)控制(z₩"εhì)系統分(fēn)别提出相(xiàng)應的₹✔ (de)要(yào)求，內(nèi)容結構調整各個(gè)級别的(de)安全要(yào)求為(←★wèi)安全通(tōng)用(yòng)要(yào)∞←求、雲計(jì)算(suàn)安全擴展要(yào)求、移動互聯安全擴展要(yΩδαào)求、物(wù)聯網安全擴展要(yào)求和(hé)工(gōng)業(yè)控λ 制(zhì)系統安全擴展要(yào)求；

4. 控制(zhì)項的(de)變化(huà)：

5. 該标準取消了(le)原來(lái)安全控制(zhì)點的₹→♠‍(de)S、A、G标注，增加一(yī)個(gè)附錄A描述等級保護對(d¶φ¶↓uì)象的(de)定級結果和(hé)安全要(yào)求之間(jiān)的(de)關系，說(shu"₹​ō)明(míng)如(rú)何根據定級的(de)S、A結≤↓果選擇安全要(yào)求。

工(gōng)業(yè)控制(zhì)系♦∑‍α統安全擴展要(yào)求

物(wù)理(lǐ)和(hé)環境安全：增加了(le)對(duì)室外(wài)控制(zhì)設備的(de)安全防護要(yào)求，如(λ>≠‍rú)放(fàng)置控制(zhì)設備的(de)箱體(tǐ)或裝置以及↔→↓控制(zhì)設備周圍的(de)環境；

網絡和(hé)通(tōng)信安全：增加了(le)适配于工(gōng)業(yè)控制(zhì)系統網絡環境的(de)網絡β★ 架構安全防護要(yào)求、通(tōng)信傳輸要(yào)求以及訪問(wèn♣≈☆)控制(zhì)要(yào)求，增加了(le)撥号使用(yò₩♠↓↑ng)控制(zhì)和(hé)無線使用(yòng)控制(zhìΩ​)的(de)要(yào)求；

設備和(hé)計(jì)算(suàn)安全：增加了(le)對(duì)控制(zhì)設備的(de✘©λσ)安全要(yào)求，控制(zhì)設備主要(yào)是(shì)應用(yòα✔₽ng)到(dào)工(gōng)業(yè)控制(zhì)系統當中執行(xín​​g)控制(zhì)邏輯和(hé)數(shù)據采集功能(néng)的(de)實"€時(shí)控制(zhì)器(qì)設備，如(rú)PLC、DCS控制(zhì)器(qì)等♣×£；

安全建設管理(lǐ)：增加了(le)産品采購(gòu)和(hé)使用(yòng)和(hé)軟件(jiàn)外(wà‌←i)包方面的(de)要(yào)求，主要(yào)針對(duì)工(gōng)控設備和(>☆ ✔hé)工(gōng)控專用(yòng)信✔≤息安全産品的(de)要(yào)求，以及工(gōng)業(y ≠‍εè)控制(zhì)系統軟件(jiàn)外(wài)包時(shí)有(yǒu)關保密₹β☆和(hé)專業(yè)性的(de)要(yào)求；

安全運維管理(lǐ)：調整了(le)漏洞和(hé)風(fēng)險管理(lǐ)、惡意代‌₽≥碼防範管理(lǐ)和(hé)安全事(sh★∏€ì)件(jiàn)處置方面的(de)需求，更±∏加适配工(gōng)業(yè)場(chǎng)景應用(yò₩↑ng)和(hé)工(gōng)業(yè)控制(zhì)系統。

工(gōng)業(yè)控制(zhì)系統應用(y≤↑γ♥òng)場(chǎng)景

1. 工(gōng)業(yè)控制(zhì)系統的(de)概念和≥↑∏(hé)定義

工(gōng)業(yè)控制(zhì)系∏∏統（ICS）是(shì)幾種類型控制(zhì)系統的(de)總稱，包括數(shù)據采集與監≠®₽視(shì)控制(zhì)系統（SCADA）系統、集散控制(zhì)系統（D∞™₽φCS）和(hé)其它控制(zhì)系統，如(rú)$♦'在工(gōng)業(yè)部門(mén)和(hé)關鍵基礎設施中經常使用(yòng)的(de)可®♠β(kě)編程邏輯控制(zhì)器(qì)（PLC）。工(gōng)業(yè×↕φ)控制(zhì)系統通(tōng)常用(yòng)于諸如(rúγ₩>₩)電(diàn)力、水(shuǐ)和(h¶☆¶✔é)污水(shuǐ)處理(lǐ)、石油和(hé)天然氣、化(huà)工(gōng)、交δ©通(tōng)運輸、制(zhì)藥、紙(zhǐ)漿和(hé)造紙(zhǐ)、 § 食品和(hé)飲料以及離(lí)散制(zhì)造（如≤γ₽(rú)汽車(chē)、航空(kōng)航天和(hé)耐用(yòng)品）等行(xíng)業(✔€<yè)。工(gōng)業(yè)控制(z∏ πhì)系統主要(yào)由過程級、操作(zuò)級以及各級之間(jiān)和(hé)內(₹ו↔nèi)部的(de)通(tōng)信網絡構成，對★'(duì)于大(dà)規模的(de)控制(zhì)系統，也(yě)包括管理(lǐ)級。過 ↑♣✘程級包括被控對(duì)象、現(xiàn)場(chǎ←¶‌ng)控制(zhì)設備和(hé)測量儀表等，操作(→÷₹zuò)級包括工(gōng)程師(shī)和(hé)操作(zuò)員(yuán)站(zhà★§× n)、人(rén)機(jī)界面和(hé)組态軟件(jiàn)、控制(zhì)服務器(qì)等，管‍✔¶λ理(lǐ)級包括生(shēng)産管理(lǐ)系統和(hé)企業(yè)資源系統等，通(tōng)"←←信網絡包括商用(yòng)以太網、工(gōng)業(yè)以太網、現(xiàn)<× 場(chǎng)總線等。

2. 工(gōng)業(yè)控制(zhì)系統分(✘♥>≤fēn)層模型

該标準參考IEC 62264-1的(de)♦ππ$層次結構模型劃分(fēn)，同時(shí)将SC→↑★ ADA系統、DCS系統和(hé)PLC系統等模型的(de)共β±性進行(xíng)抽象， 形成了(le)如(rú)圖二的(de)分(fēn®α)層架構模型，從(cóng)上(shàng)到(dào)下(xià)共分(f<±♠→ēn)為(wèi)5個(gè)層級，依次為(wèi)企業(yè)資源€∑ ♠層、生(shēng)産管理(lǐ)層、過程監控層、現(xiàn)場π₩π•(chǎng)控制(zhì)層和(hé)現(xiàn)場(chǎng)設備層，不(b×σ"♣ù)同層級的(de)實時(shí)性要(yào✘‍)求不(bù)同。企業(yè)資源層主要(yào)包括ERP系$★♠統功能(néng)單元，用(yòng)于為(wèi)企業(yè)決策層員(yuán)工('γ∞Ωgōng)提供決策運行(xíng)手段；生(shē£×"₩ng)産管理(lǐ)層主要(yào)包括MES系統功能(néng)單元，用(yòng)于對(du↑‍€↑ì)生(shēng)産過程進行(xíng)管理(lǐ)，如(rú£ )制(zhì)造數(shù)據管理(lǐ)、生(shēng)産調度管理(lǐ)等；過程監"$γγ控層主要(yào)包括監控服務器(qì)與HMI系♥​$統功能(néng)單元，用(yòng)于εγ↔對(duì)生(shēng)産過程數(shù)據進行(∞✘xíng)采集與監控，并利用(yòng)HM&∞¶I系統實現(xiàn)人(rén)機(jī)交互；現(xiàn)&'場(chǎng)控制(zhì)層主要(yào)包括各類控制(zhì)器(qì)單元←∏∞™，如(rú)PLC、DCS控制(zhì)單元等， ™×↓用(yòng)于對(duì)各執行(xíng)設備進行(xíng)控制(zhì)；現(xiàn)場λ©♣(chǎng)設備層主要(yào)包括各類過程傳感∞↔₹©設備與執行(xíng)設備單元，用(yòng)于對(duì)生(shēng)産過程進¶±☆行(xíng)感知(zhī)與操作(zuò)。

根據工(gōng)業(yè)控制(zhì)系統的≠•(de)架構模型不(bù)同層次的(de)業(yè)務應用¥β(yòng)、實時(shí)性要(yào)求以及不(bù)同層次↑∏之間(jiān)的(de)通(tōng)信協議(yì)不(bù)同，需要(yào)部署的(de)工•©(gōng)控安全産品或解決方案有(yǒu)所差異，尤✘ 其是(shì)涉及工(gōng)控協議(yì)通(tōng)信的( ₹de)邊界需要(yào)部署工(gōng)控安全産品進行(xíng¥πφ)防護，不(bù)僅支持對(duì)工(gōn↕ ¶g)控協議(yì)細粒度的(de)訪問(wè♥≠↓ n)控制(zhì)，同時(shí)滿足各層次對(duì)實時(sh≥© í)性的(de)要(yào)求。

圖二：工(gōng)業(yè)控制(zhì)系統典型分(fēn)層架構模型

同時(shí)，該标準專門(mén)标注了(le)随著(zh↔ <≥e)工(gōng)業(yè)4.0、信息物(wù)理(lǐ)系統的(de)發展，上♣©(shàng)述分(fēn)層架構已不(bù)★✘≥✔能(néng)完全适用(yòng)，因此對(duì)于不(♣¥φ♣bù)同的(de)行(xíng)業(yè)企業(yè)實際發展δ≠情況，允許部分(fēn)層級合并，可(kě)以根據用(yòng)戶的(de)實'↔§§際場(chǎng)景進行(xíng)判斷。

考慮到(dào)工(gōng)業(yè)控制(zhì)系統構成的(de)複雜(zá)✘¶✘£性，組網的(de)多(duō)樣性，以及等級保護©™β對(duì)象劃分(fēn)的(de)靈活性，給安全等級保護基本要(yào)求的(de)使γ¥★≈用(yòng)帶來(lái)了(le)選擇的(de)需‍↑σ求。該标準給出了(le)各個(gè)層次使用(yòng)本标準相∞÷∞(xiàng)關內(nèi)容的(de)映射關系，可(kě)以在實際應用(yòng)中參考：♥‍♠♣

3. 約束條件(jiàn)

工(gōng)業(yè)控制(zhì)系統通(tō↓β₽€ng)常對(duì)可(kě)靠性、可(kě)用(yòng)性要(yào)求非常高(gγσ↓​āo)，所以在對(duì)工(gōng)$Ω∑±業(yè)控制(zhì)系統依照(zhào)等級保護進行(xíng)防護的(de)時✔★∑€(shí)候要(yào)滿足以下(xià)約束條件(jiàn):

• 原則上(shàng)安全措施不(bù)應對(duì)高(gāo)‍∏™φ可(kě)用(yòng)性的(de)工(gōng)業(yè)控制(zhì)系統基本功能≤∑±​(néng)産生(shēng)不(bù)利影(yǐng)響。例如(rú)用(yòng)"≠σ©于基本功能(néng)的(de)賬戶不(bù)應被鎖定，甚至短(duǎn)‌×π∑暫的(de)也(yě)不(bù)行(xíngΩ•©)；
• 安全措施的(de)部署不(bù)應顯著增加延遲而影(y$®♦ǐng)響系統響應時(shí)間(jiān)；
• 對(duì)于高(gāo)可(kě)用(yòng)性的(de)控制(z→♦hì)系統，安全措施失效不(bù)應中斷基本功能(néng)等。
• 經評估對(duì)可(kě)用(yòng)性有(yǒu)較大•✘←(dà)影(yǐng)響而無法實施和(hé)落實安全等級保護要(yào)求的(de)相↕₩>(xiàng)關條款時(shí)，應進行(xíng)安全聲明(míng)，分(fēn)析×$♥♦和(hé)說(shuō)明(míng)此條款實施可(kě)能(néng)産生(shα♦∏ēng)的(de)影(yǐng)響和(hé)後果，以及使用(yòng)的(de)補償措施‌'。