工业控制系统网络安全等级保护的建设
等级保护各级别安全要求(含扩展项)
第四级安全要求
安全通用用要求 安全扩展要求
安全的物理理环境
安全通信网网络
技术要求
安全区域边界
安全计算环境
安全管理理中心心 安全管理理制度 安全管理理机构 安全管理理人人员
管理理要求
安全建设管理理
安全运维管理理
安全物理理环境 安全通信网网络
安全区域边界
云计算安全扩展要 求
安全计算环境
安全管理理中心心 安全建设管理理 安全运维管理理 安全物理理环境
第二二级安全要求
安全通用用要求 安全扩展要求
安全的物理理环境
安全通信网网络
技术要求
安全区域边界
安全计算环境
安全管理理中心心 安全管理理制度 安全管理理机构 安全管理理人人员
管理理要求
安全建设管理理
安全运维管理理
安全物理理环境 安全通信网网络
安全区域边界
云计算安全扩展要 求
安全计算环境
安全建设管理理 安全运维管理理 安全物理理环境
第三级安全要求
安全通用用要求 安全扩展要求
安全的物理理环境
安全通信Байду номын сангаас网络
技术要求
安全区域边界
安全计算环境
安全管理理中心心 安全管理理制度 安全管理理机构 安全管理理人人员
管理理要求
安全建设管理理
安全运维管理理
安全物理理环境 安全通信网网络
安全区域边界
云计算安全扩展要 求
安全计算环境
安全管理理中心心 安全建设管理理 安全运维管理理 安全物理理环境
安全区域边界
移动互联完全扩展 要求
安全计算环境
安全建设管理理 安全运维 安全物理理环境
网络安全等级保护2.0主要标准介绍
网络安全等级保护2.0-主要标准☐网络安全等级保护条例（总要求/上位文件）☐计算机信息系统安全保护等级划分准则（GB 17859-1999）（上位标准）☐网络安全等级保护实施指南（GB/T25058）（正在修订）☐网络安全等级保护定级指南（GB/T22240）（正在修订）☐网络安全等级保护基本要求（GB/T22239-2019）☐网络安全等级保护设计技术要求（GB/T25070-2019）☐网络安全等级保护测评要求（GB/T28448-2019）☐网络安全等级保护测评过程指南（GB/T28449-2018）特点1-对象范围扩大新标准将云计算、移动互联、物联网、工业控制系统等列入标准范围，构成了“安全通用要求+新型应用安全扩展要求”的要求内容特点2-分类结构统一新标准“基本要求、设计要求和测评要求”分类框架统一，形成了“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”支持下的三重防护体系架构特点2-强化可信计算新标准强化了可信计算技术使用的要求，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求例如可信验证-一级可基于可信根对设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
例如可信验证-四级可基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的所有执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，并进行动态关联感知。
1、名称的变化☐原来：☐《信息系统安全等级保护基本要求》☐改为：☐《信息安全等级保护基本要求》☐再改为：（与《网络安全法》保持一致）☐《网络安全等级保护基本要求》2、对象的变化☐原来：信息系统☐改为：等级保护对象（网络和信息系统）☐安全等级保护的对象包括网络基础设施（广电网、电信网、专用通信网络等）、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等.3、安全要求的变化☐原来：安全要求☐改为：安全通用要求和安全扩展要求☐安全通用要求是不管等级保护对象形态如何必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求.4、章节结构的变化☐8 第三级安全要求☐8.1 安全通用要求☐8.2 云计算安全扩展要求☐8.3 移动互联安全扩展要求☐8.4 物联网安全扩展要求☐8.5 工业控制系统安全扩展要求5.分类结构的变化-1（2017试用稿）☐结构和分类调整为：⏹技术部分：☐物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；⏹管理部分：☐安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理5.分类结构的变化（正式发布稿）⏹技术部分：☐安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心⏹管理部分：☐安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理6.增加了云计算安全扩展要求云计算安全扩展要求章节针对云计算的特点提出特殊保护要求。
一项工控网络安全技术案例解析
一项工控网络安全技术案例解析1项目概况本项目针对石油石化行业，按照网络安全等级保护制度框架，采用“纵深安全防护”原则，通过分析主机、设备、数据及网络安全等防护需求，构建基于边界防护、监测预警、入侵检测、终端安全等多层次防御体系。
1.1项目背景石化行业的工控网络系统进行安全防护时，面临核心的安全问题包括：（1）工业控制系统品牌众多。
（2）工业控制系统安全设计考虑不足。
系统漏洞、组件漏洞、协议薄弱性在封闭专有的环境下都可以通过隔离来保护，但是网络开放、数据传输的发展趋势使工控系统的弱点暴露无遗，工业控制系统从纵深安全防护到内生安全建设还有很长的路要走。
（3）终端安全和边界防护是最基本的安全需求。
（4）网络安全管理的需求。
（5）数据传输场景必须存在。
（6）整体的安全管理体系尚未建立。
本项目重点解决以上石化企业面临的网络和信息安全问题，以满足安全合规性需求与网络安全运维管理需求。
1.2项目简介根据石化企业的工业控制网络安全基础，本项目结合网络安全等级保护基本要求，针对工业控制系统网络，从网络层、系统层出发，通过风险评估，梳理资产台账，进行脆弱性分析和威胁分析，掌握网络安全现状，安全防护设计才可有的放矢。
安全防护设计在Defence-In-Depth的防御思想下，根据“网络安全分层”、“业务安全分域”的原则，实现终端安全防护和网络边界防护。
同时配置异常监测设备以提升工控系统及网络的监测预警能力，通过配置统一安全管理平台，建设安全管理专网，提升工业控制系统网络的综合安全管理，加强动态防御能力。
1.3项目目标本项目按照网络安全等级保护制度框架，采用“纵深安全防护”原则，旨在保障工业控制系统核心安全。
通过项目实施覆盖控制系统终端，细化强化通讯策略，抵御0day漏洞风险，避免网络病毒感染传播风险，实现网络整体安全态势的把控、溯源分析，以及通过安全的通道进行运维操作。
此外，项目将单点单向的安全防护纳入到一个集成平台，通过网络拓扑的形式详细展现企业全资产的分布维度与安全状态，进行综合安全管理控制。
网络安全等级保护2 0：定级、测评、实施与运维
5.3安全区域边界
5.5安全运营管理 中心
5.4安全计算环境 设计
5.6整体安全防护 效果
5.1.1安全物理环境技术标准 5.1.2物理位置选择 5.1.3物理访问控制 5.1.4防盗窃和防破坏 5.1.5防雷击 5.1.6防火 5.1.7防水和防潮 5.1.8防静电 5.1.9温湿度控制
5.2.1网络和通信安全技术标准 5.2.2安全体系架构 5.2.3网络通信安全
3.2.1信息系统 3.2.2通信网络设施 3.2.3数据资源
3.3.1定级方法概述 3.3.2确定受侵害的客体 3.3.3确定对客体的侵害程度 3.3.4初步确定等级
4.1总体安全
1
规划工作流程
4.2系统安全 2
风险及需求分 析
3 4.3总体设计
原则和思路
4 4.4安全防护
体系总体设计
5 4.5安全建设
9.1等级测评
1
概述
9.2测评准备
2
活动
3 9.3方案编制
活动
4 9.4现场测评
活动
5 9.5报告编制
活动
9.1.1等级测评风险 9.1.2等级测评风险规避
9.2.1测评准备活动工作流程 9.2.2测评准备活动主要任务 9.2.3测评准备活动输出文档 9.2.4测评活动中双方职责
9.3.1测评对象确定 9.3.2方案编制活动主要任务 9.3.3方案编制活动输出文档 9.3.4方案编制活动中双方职责
读书笔记
这书老实说很一般啊，大段大段抄标准，各种重复，不说人话，唯一有点看头的可能就是最后一章。
编者的等保测评以及网络安全工程建设经验丰富，尤其是实践案例部分很有借鉴意义。
这本书还是很不错的，表格将等级保护要求归纳的很好。
解读《工业控制系统信息安全防护指南》
解读《工业控制系统信息安全防护指南》工业控制系统信息安全防护指南》是为了贯彻落实《国务院关于深化制造业与互联网融合发展的指导意见》而制定的。
该指南是根据政策层面的指导思想和要求编制的，旨在保障工业企业工业控制系统信息安全。
政策中明确要求提高工业信息系统安全水平，___根据要求编制了《___关于印发信息化和工业化融合发展规划（2016-2020年）》，其中提到工业信息安全形势日益严峻，对两化融合发展提出新要求。
工业控制系统信息安全防护指南》提出了十一条三十款要求，贴近实际工业企业真实情况，务实可落地。
指南的整体思路借鉴了等级保护的思想。
这些要求可以分为三大类，即针对主体目标（法人或人）的要求、针对工业控制系统的要求和针对安全管理的要求。
针对主体目标的要求包括第十条供应链管理和第十一条人员责任。
在选择工业控制系统规划、设计、建设、运维或评估等服务商时，应优先考虑具备工控安全防护经验的企事业单位，并以合同等方式明确服务商应承担的信息安全责任和义务。
同时，要求与工业控制系统安全服务方签定保密协议，要求服务商及其服务人员严格做好保密工作，尤其对工业控制系统内部的敏感信息进行重点保护，防范敏感信息外泄。
除此之外，《工业控制系统信息安全防护指南》还提出了其他要求，如加强网络安全防护、加强物理安全防护、加强安全事件应急处置等。
这些要求的提出有助于逐步完善工业信息安全保障体系，进一步提高工业信息系统的安全水平。
为了加强工控安全，需要建立工控安全管理机制并成立信息安全协调小组，明确工控安全管理责任人，部署工控安全防护措施。
这个职能部门应负责工业控制系统全生命周期的安全防护体系建设和管理，制定安全管理方针，持续实施和改进工业控制系统的安全防护能力，不断提升工业控制系统防攻击和抗干扰的水平。
针对资产和数据的安全要求，需要建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置原则。
所有资产应指定责任人，并且明确责任人的职责，明确资产使用权。
安全等级保护建设规划方案
安全等级保护建设规划方案一、背景近年来，随着信息技术的飞速发展，网络安全问题日益突出。
为了保护个人隐私、企业机密以及国家安全，安全等级保护建设显得尤为重要。
本规划方案旨在制定明确的安全等级保护建设目标和措施，提高整体网络安全水平。
二、目标本安全等级保护建设规划的主要目标如下：1. 建立安全等级评估体系，明确不同等级的安全要求和控制要点；2. 加强信息系统的安全防护能力，确保关键数据和系统的安全性；3. 提高员工的安全意识，加强网络安全培训和教育；4. 完善安全事件应急和响应机制，及时应对安全威胁和风险。
三、措施为实现上述目标，本规划将采取以下措施：1. 制定安全等级评估标准：根据系统的重要性和风险等级，制定不同等级的安全评估标准，明确安全要求和控制要点。
2. 强化安全防护措施：根据安全等级评估结果，采取相应的安全防护措施，包括加强网络防火墙配置、建立入侵检测系统、加密敏感数据等。
3. 进行定期安全演练：定期开展网络安全演练，提高员工的应急响应能力，检验安全防护措施的有效性。
4. 实施安全培训和教育：定期组织网络安全培训和教育活动，提高员工的安全意识和技能，增强信息安全防护能力。
5. 建立安全事件应急响应机制：制定完善的安全事件应急和响应方案，包括组织安全事件应急演练、明确责任人和处理流程等，以应对可能发生的安全威胁和风险。
四、预期成果通过本规划方案的实施，预期将达到以下成果：1. 建立全面的安全等级保护体系，确保信息系统的安全可控；2. 提高网络安全防护能力，减少安全漏洞和风险；3. 加强员工的安全意识和技能，形成全员参与的安全保护体系；4. 建立健全的安全事件应急和响应机制，能够及时有效地应对安全威胁和风险。
五、实施计划本规划方案将按照以下实施计划进行：1. 制定安全等级评估标准和控制要点，明确安全要求（月份：1-2）；2. 执行安全防护措施，加强网络安全设施的部署和配置（月份：3-4）；3. 进行安全演练，提高员工的应急响应能力（月份：5-6）；4. 开展安全培训和教育活动，提高员工的安全意识（月份：7-8）；5. 建立安全事件应急响应机制，制定应急预案和流程（月份：9-10）。
网络安全等级保护管理制度
网络安全等级保护管理制度第一章总则第一条为加强网络安全等级保护管理，提升网络安全防护能力，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，制定本制度。
第二条本制度适用于中华人民共和国境内网络定级备案、安全建设、安全运营及监督检查等工作。
第三条网络安全等级保护工作坚持“积极防御、综合防范，统一规划、分步实施，注重实效、保障安全”的原则确保网络基础设施、信息系统、数据资源和网络应用的安全。
第二章网络安全等级划分第四条网络安全等级根据网络系统的重要程度、被破坏后对国家安全、社会公共利益和公民、法人及其他组织的危害程度等因素，划分为五个等级，即一级（最低保护）、二级（次低保护）、三级（中等保护）、四级（较高保护）和五级（最高保护）。
第三章网络安全等级保护定级流程第五条网络服务提供者应定期开展网络安全等级保护定级工作，对本网络系统进行全面评估，确定网络等级。
第六条网络定级应遵循以下流程：1. 定级报告编制：网络服务提供者应编制网络安全等级定级报告，包括网络系统基本情况、安全保护需求、安全保护策略等内容。
2. 定级评审：网络服务提供者应组织相关部门和专家对定级报告进行评审，确保定级结果的科学性和准确性。
3. 定级审批：经评审合格的网络，由网络服务提供者报公安机关备案，公安机关审核并确定网络等级。
第四章安全建设管理第七条网络服务提供者应根据网络等级保护定级结果，制定相应的安全建设方案，明确安全措施和安全管理要求。
第八条安全建设应包括以下内容：1. 安全物理环境：包括网络基础设施的物理安全、环境安全等。
2. 安全通信网络：包括网络架构的设计和保护、通信传输的加密和认证等。
3. 安全区域边界：包括网络边界防护、访问控制、数据流量监控等。
4. 安全计算环境：包括数据的机密性、完整性和可用性保护等。
5. 安全管理中心：包括安全监控、安全管理和安全评估等。
第五章安全运营管理第九条网络服务提供者应建立健全网络安全运营管理体系，明确安全管理职责和流程，确保网络的安全运营。
解读等保2.0：工控系统安全如何应对新要求
解读等保2.0：工控系统安全如何应对新要求【前言】随着我国“互联网+”战略的逐步落地，产业互联网将成为未来国家最重要的基础设施之一。
云计算、大数据、人工智能、物联网等新技术在关键信息基础设施中广泛应用，网络安全形势与需求发生快速变化，使得等保1.0，即2008年发布的《GB/T22239-2008 信息安全技术信息系统安全等级保护基本要求》及其配套政策文件和标准，已经不再符合新技术、新业务场景下的网络安全保护要求。
等保2.0扩展了网络安全保护的范围，提高了对关键信息基础设施进行等级保护的要求，并且针对不同保护对象的安全目标、技术特点、应用场景的差异，采用了安全通用要求与安全扩展要求结合的方式，以更好地满足安全保护共性化与个性化要求，提升了等级保护的普适性与可操作性，为《网络安全法》的实施执行提供了有力的技术保障。
一、等保2.0对工业控制系统的安全扩展要求除了安全通用要求，等保2.0对工业控制系统提出了安全扩展要求，以适用工业控制的特有技术和应用场景特点，如下图。
其中，安全扩展的特殊要求包括：1、物理和环境安全：增加了对室外控制设备的安全防护要求，如放置控制设备的箱体或装置以及控制设备周围的环境；2、网络和通信安全：增加了适配于工业控制系统网络环境的网络架构安全防护要求、通信传输要求以及访问控制要求，增加了拨号使用控制和无线使用控制的要求；3、设备和计算安全：增加了对控制设备的安全要求，控制设备主要是应用到工业控制系统当中执行控制逻辑和数据采集功能的实时控制器设备，如PLC、DCS控制器等；4、安全建设管理：增加了产品采购和使用和软件外包方面的要求，主要针对工控设备和工控专用信息安全产品的要求，以及工业控制系统软件外包时有关保密和专业性的要求；5、安全运维管理：调整了漏洞和风险管理、恶意代码防范管理和安全事件处置方面的需求，更加适配工业场景应用和工业控制系统。
二、工业控制系统安全的重点要求解读。
网络安全等级保护实施方案范文
网络安全等级保护实施方案范文信息等级保护是我国践行的一项主要制度，在实践中通过对信息系统的相关重要程度与危害程度进行等级划分的形式开展保护，保障其信息的最大安全性，避免各种不同因素导致安全事故问题的产生，因此本文对具体的安全等级保护以及实施方案进行了探究分析。
1三级安全系统模型的构建安全计算环境的具体实施安全计算环境就是对相关等级系统进行详细的管理，通过对相关信息的存储、处理以及安全策略的实施，掌握信息系统的核心情况。
安全计算环境在其有效的区域边界安全防护之下，可以有针对性的避免各种外界网络攻击行为以及一些非授权的访问。
对此，安全计算机环境的整体安全防范工作就是有计划有标准的提升系统整体安全性改造，避免出现系统因为自身的安全漏洞、系统缺陷等原因导致的攻击问题。
同时，安全计算环境自身安全防护工作的开展，主要是实现对系统内部产生的相关攻击以及非授权访问的各种各样行为进行防范与控制，避免内部人员因自身的数据以及信息处理方式导致的各种破坏行为的产生。
安全网络环境的具体实施信息系统中的各个计算机与计算域、用户与用户域主要是通过网络进行系统的衔接，网络对不同系统之间的相关信息传输有着承载通道的主要作用。
网络在应用中可以位于系统之内也可以位于系统之外，其中一些网络数据信息流，或多或少会通过或者经过一些不稳定的网络环境进行传输。
对此，网络安全防护工作在实际操作过程中，首先要保障整个网络设备自身的安全性，要对设备进行定期的维护，避免其受到各种网络攻击，进而在最大程度上提升网络中信息流的整体安全健壮性，之后在此基础上逐步提升其整体通信架构的实用性,完整性以及保密性。
基于网络自身的保密要求，在应用中要使用网络加密技术与应用本身进行融合，进而实现三级保护中的相关要求。
网络安全域要具有自身的网络结构安全范围，同时可以对相关网络的具体访问操作进行系统的控制，进一步提升对安全审计工作的重视，保障相关边界的完整性，避免各种网络入侵以及网络攻击问题的出现，杜绝恶意代码问题的产生，进而实现整体网络设备的有效防护与相关网络信息保护功能。
工业控制系统信息安全防护分析
Research & Analysis工业控制系统信息安全防护分析Research and Analysis on Security Protection Industrial Control System Network★孙天宁，邹春明，严益鑫公安部第三研究所摘要：工业控制系统信息化的发展，使得工控网络安全风险逐渐突出。
自“十三五”后，网络空间安全上升至国家战略层面，工业控制系统作为国家级 关键信息基础设施，其信息安全至关重要。
本文剖析了工业控制系统信息安全 现有风险，并结合政策法规、测评标准、工控系统全生命周期安全管理、可靠 工控信息安全产品、计算机安全，提出了工控信息安全防护方案。
关键词：工业控制系统；网络安全；安全防护Abstract：With the development of information technology of industrial control system, industrial control system inform atization makes industrial control network security gradually prominent. Since “The 13th Five-Year plan”，cyberspace security has risen to the national strategy. As a national key information infrastructure, the information security of industrial control system is very important. Combined with policies and regulations, evaluation standards, safety management of industrial control system in the whole life cycle, reliable industrial control inform ation security products and computer security, this paper analyzes the existing risks of industrial control information security, and puts forward the security protection scheme.Key words: Industrial control system; Cyberspace security; Security protectionl引言工业控制系统（Industrial Control Systems,ICS)广泛运用于能源、制造、航天、军工等牵涉国民经济核心地位的主要基础设施，一般指由计算机与工业过程控制部件组成的自动化控制系统。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
龙源期刊网 http://www.qikan.com.cn 工业控制系统网络安全等级保护的建设 作者：许新锋 来源：《中小企业管理与科技·上旬刊》2020年第03期
Construction of the Network Security Level Protection of Industrial Control System XU Xin-feng （Zhengzhou University of Light Industry， Zhengzhou 450000， China） 【摘; 要】现代卷烟工业企业的两化融合程度越来越高，网络的触角已经延伸到各个业务角落，工控网络安全风险也越来越突出。因而，如何建立一个高质量、稳固牢靠的工控系统网络成为现代卷烟工业企业工控系统建设的一个重要组成部分。论文剖析了现代卷烟工业企业工控系统安全等保2.0的情况，综合工控系统实际需求，提出等保工作部署的基本策略。
【Abstract】 The integration degree of modernization and industrialization of modern cigarette industrial enterprises is getting higher and higher， the network's tentacles have been extended to various business corners， and industrial control network security risks have become increasingly prominent. Therefore， how to build a high-quality， stable and reliable industrial control system network has become an important part of the industrial control system construction of modern cigarette industry enterprises. This paper analyzes the safety and security guarantee 2.0 of the industrial control system of modern cigarette industrial enterprises， and combined with the actual needs of the industrial control system， it proposes the basic strategy of the level protection work deployment.
【关键词】工业控制系统;安全防护体系建设;部署建议;边界控制 【Keywords】 industrial control system; security protection system construction; deployment proposal; boundary control
【中圖分类号】TB4; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; 【文献标志码】A; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ; ;【文章编号】1673-1069（2020）03-0112-02
1 引言 保证各卷烟工业企业生产运行控制系统网络安全的一个有效方法就是工控系统网络安全等级保护制度，实行工控系统网络安全分级防护，能极大地降低当前卷烟工业企业遇到的工控系统网络安全风险，依据“核心优先”的思路，把相关资源优先投入到工控系统的安全防护之中，可以有效促进卷烟工业企业尽快打牢工控系统安全等保的根基。 龙源期刊网 http://www.qikan.com.cn 2 网络安全等级保护的意义 工控系统安全等保指对控制系统内的隐秘信息和控制信息及公共信息实行分层分级防护，对工控系统中的防护设施实行分层分级管理，对面临的工控系统安全问题构建相应的分级应急预案。这种工控系统安全保护体系共包含五个级别：自主、指导、监督、强制、专控。各层级信息的机密性各不一样，相应的层级就有对应的保护策略。2019年，我国颁布了网络安全等保2.0的国家标准，本标准对提高工控系统等保工作具有很强的指导意义。
3 工控系统网络安全等级保护的现状 按照新的等保2.0国家标准要求，大多数卷烟工业企业工控系统在制度、基础设施、技术方面存在漏洞和风险，工控系统安全保护体系有待提高。其中，下面几个问题表现较为突出。
3.1 工控系统网络安全管理工作尚需进一步加强 工控系统网络安全管理制度仍有待提高，对数据资产、外包服务、软件更新迭代等方面的管理缺少相关规定。工控系统安全管理体系尚不完善，缺乏对专业系统管理人员和系统维修人员持续性的跨专业梯度式的技能培训。各个工控系统的运行管理不规范，对工控系统日常运维造成隐患。
3.2 工控系统网络架构存在较为明显的脆弱性和安全隐患 大多数的工业控制系统都为内网连接，虽然安装有防火墙，也对所有的连接行为进行过滤，但是大多数的防火墙安全配置及操作流程都不够严谨。虽然卷烟工业企业内部网络设置了安全隔离和访问链接名单过滤策略，但是随着信息技术的发展，因安全补丁与工控程序不兼容或者没有相应的安全补丁等原因，造成各个工控系统无法及时更新各项安全补丁，导致工控系统存在较高的安全风险。
3.3 工控系统服务器环境抵御攻击能力较低 工业控制系统的运行服务器系统补丁没有及时对照各大主要安全网站发布的漏洞进行更新，存在如勒索病毒、简单密码、全端口开放等高危漏洞;有的工控程序与防护软件无法兼容，或者防护软件无法及时更新自身病毒库，缺乏对恶意代码的防范手段，一旦有个别工控系统的电脑感染恶意代码，稍不注意，就会致使系统内部现场终端大面积感染病毒木马。
3.4 工控系统安全防范措施缺失 大多数运行在生产网的工控系统存在大量漏洞;工业控制系统的用户识别、数据安全、加密传输等方面的配置策略不够严密，未严格按照最小原则进行配置;再加上一些其他的系统安全隐患，就会对工控系统的运行安全、信息安全、生产安全等造成重大影響。 龙源期刊网 http://www.qikan.com.cn 3.5 信息资产安全保护能力较低 缺乏对专用网络的数据信息实行分级分类管控，缺少信息资产防护手段，部分专用网络中未对口令设定强制定期更换策略、禁用弱口令策略、禁止远程代码执行等配置策略，存在高风险漏洞，极易被恶意程序攻击利用。
3.6 欠缺基础的物理安全保障 部分工控系统机房与控制室连通，主观上认为出入机房的人员都是技术维修等内部人员，未对进出人员实行鉴别和登记制度，存在工控机房被恶意破坏的风险。部分机房未安装门禁系统，未安装防盗报警或监控无防盗报警功能，未安装防水防雷等物理安全基础保障。
4 工控系统安全防护体系部署建议 4.1 工控系统安全防护体系构建 根据国家等保2.0标准的基本思想，构建网络安全防护体系[1]。最高层负责制定“总体策略”，总体策略是工控系统安全防护体系的基本策略。工控系统安全防护体系的第二层是“组织架构”，既要保证工控系统工作时系统保密性，也要保证工控系统的管理体系高效稳定。工控系统安全防护体系的第三层是“制度架构”，分别从管理及职责、硬件管控、建设管控、运行管控、风险管控、应急预案和队伍建设等方面做出相应的管控要求。工控系统安全防护体系的第四层是规定各项标准配置的方法和相应的配置流程以及记录活动内容，包括平常各项操作的实行，各项操作的详细配置、实行流程、实行规范等，指导日常活动的正常实行。
4.2 安全域划分 根据工控系统安全防护体系，将工控系统各大安全域重新划分。制定统一的工控系统安全管理规范，如保证工控系统设备的运行能满足最大生产需求，优化系统拓扑结构，杜绝系统单点漏洞;调整安全网关策略，防范包括（分布式拒绝服务）在内的各种安全风险;在系统中部署入侵防御系统（IDS）、入侵检测系统（IPS）、安全管理软件等，监测来自系统内外部的入侵;部署工控系统审计系统，对系统的操作、修改、设置等实行审计并记录[2];验证所有连接系统的用户身份，杜绝无相应权限的用户进行管理配置的操作;安装系统数据检查设施，依托数据采集技术，制定管理基线，依据系统实际情况管理和放行数据;增加多种登录方式，如声纹识别、面部识别等生物信息技术，实行双因子登录;防止远程管理系统主机和防火墙，若有实际需求，应当使用密文，防止用户身份信息在传输中被盗取;能防范无认证设施接入系统，防止信息资产流失。
4.3 安全边界控制 龙源期刊网 http://www.qikan.com.cn 根据以上安装的系统安全管理软件和硬件设定相适应的管理策略，进而完成对系统的边界管控[3]。基本策略包含：管理网运行安全，必需通过边界防护规则的过滤和访问审查;专用网运行安全，最小原则规定用户身份和浏览权限，必需通过边界防护规则的过滤和访问审查，其他安全域及用户均不能直连;管理网信息安全，只开放其他域的服务器连通权限，其他安全域用户无法直连，如访问数据域，需有相应的授权信息，必需通过边界防护规则的过滤和访问审查;专用网信息安全，仅开放本地安全域的服务器连通权限，其他安全域及用户均不能直连，如需连接应有相应的授权信息;域间交互安全，不同安全域间的数据交互，实行摆渡机与特定协议相结合的形式;更新安全，更新域列为灰色域，仅有部分开放的系统连通权限，访问行为必需通过边界防护规则的过滤和访问审查;密码管理，一切使用密码的系统防护设施，使用的算法为国产密码算法;日志管理，入侵检测系统、入侵防护系统、防火墙、安全网关、审计记录的日志一律传送至安全区的内网管理系统存档和剖析;分布式主机管理，现场主机一律安装网御之类的客户端，且能管控现场主机的各项设置，连接监控、病毒防护，打安全补丁等;设备自主知识产权，工控系统安全防护体系所涉及的安全防护设施，都应具有完全的中国自主知识产权，防止出现类似于手机行业的针对性事件发生。
5 结语 工控系统等保工作关系到卷烟工业企业的生产安全，作为一项防护工程，需要全体人员的密切合作，应尽快夯实安全保护的基础，在保证工控系统运行的高效性、可靠性的同时，充分提高卷烟工业企业工控系统工控系统安全防护能力，为卷烟工业企业生产运营保驾护航，从而有效提升企业的发展水平。
【参考文献】 【1】李鸿培，忽朝俭，王晓鹏.工业控制系统的安全研究与实践[J].保密科学技术，2014（04）：18-24.