等保级别

定级依据

第一级

应能够防护免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害，在自身遭到损害后，能够恢复部分功能。

第二级

应能够防护免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和处置安全事件，在自身遭到损害后，能够在一段时间内恢复部分功能。

第三级

应能够在统一安全策略下防护免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够及时发现、监测攻击行为和处置安全事件，在自身遭到损害后，能够较快恢复绝大部分功能。

第四级

应能够在统一安全策略下防护免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够及时发现、监测发现攻击行为和安全事件，在自身遭到损害后，能够迅速恢复所有功能。

功能层次

技术要求

企业资源层

安全通用要求（安全物理环境）

安全通用要求（安全通信网络）

安全通用要求（安全区域环境）

安全通用要求（安全计算环境）

安全通用要求（安全管理中心）

生产管理层

安全通用要求（安全物理环境）

安全通用要求（安全通信网络）+安全扩展要求（安全通信网络）

安全通用要求（安全区域边界）+安全扩展要求（安全区域边界）

安全通用要求（安全计算环境）

安全通用要求（安全管理中心）

功能层次

技术要求

过程监控层

安全通用要求（安全物理环境）

安全通用要求（安全通信网络）+安全扩展要求（安全通信网络）

安全通用要求（安全区域边界）+安全扩展要求（安全区域边界）

安全通用要求（安全计算环境）

安全通用要求（安全管理中心）

现场控制层

安全通用要求（安全物理环境）+安全扩展要求（安全物理环境）

安全通用要求（安全通信网络）+安全扩展要求（安全通信网络）

安全通用要求（安全区域边界）+安全扩展要求（安全区域边界）

安全通用要求（安全计算环境）+安全扩展要求（安全计算环境）

现场设备层

安全通用要求（安全物理环境）+安全扩展要求（安全物理环境）

安全通用要求（安全通信网络）+安全扩展要求（安全通信网络）

安全通用要求（安全区域边界）+安全扩展要求（安全区域边界）

安全通用要求（安全计算环境）+安全扩展要求（安全计算环境）

控制项

分类

控制点

网络架构

8.1.2.1

通用要求

c)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址

d)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；

8.5.2.1

扩展要求

④a)工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用单向的技术隔离手段

⑤b)工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段

c)涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备组网，在物理层面上实现与其他数据网及外部公共信息网的安全隔离

控制项

分类

控制点

边界防护

8.1.3.1

通用要求

④⑤应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信

④应能够对非授权设备私自联到内部网络的行为进行检查或限制；

④应能够对内部用户非授权联到外部网络的行为进行检查或限制；

应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。 【尽量禁止无线使用】

访问控制

8.1.3.2

通用要求

④⑤应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；【白名单】

④⑤应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； 【最小配置原则】

⑤应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出； 【包过滤】

⑤应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力； 【状态监测】

⑤应对进出网络的数据流实现基于应用协议和应用内容的访问控制。 【深度过滤】

8.5.3.1

扩展要求

④应在工业控制系统与企业其他系统之间部署访问控制设备，配置访问控制策略，禁止任何穿越区域边界的E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务； 【应用控制】

⑤应在工业控制系统内安全域和安全域之间的边界防护机制失效时，及时进行报警。 【边界防护设备失效告警】

控制项

分类

控制点

入侵防范

8.1.3.3

通用要求

③⑦应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为

③⑦应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为；

③⑦应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；

③当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。

恶意代码和垃圾邮件防范

8.1.3.4

通用要求

⑦应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新；

⑥应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。

控制项

分类

控制点

安全审计

8.1.3.5

通用要求

⑧⑨应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

⑧⑨审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；

⑧⑨应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；

⑧对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析

可信验证

8.1.3.6

通用要求

可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 【不强制】

控制项

分类

控制点

安全产品或措施

拨号使用控制

8.5.3.2

扩展要求

工业控制系统确需使用拨号访问服务的，应限制具有拨号访问权限的用户数量，并采取用户身份鉴别和访问控制等措施；

应由工控系统供货商厂家实现，对于存量的系统可以通过物理安全按防护和管理制度和措施进行补偿，例如禁止RTU使用默认密码、定期修改密码等；

RTU：远程终端单元，是SCADA系统的基本组成单元，用来监视和测量安装在远程现场的传感器和设备，负责对现场信号、工业设备的监测和控制。

拨号服务器和客户端均应使用经安全加固的操作系统，并采取数字证书认证、传输加密和访问控制等措施。

无线使用控制

8.5.3.3

扩展要求

应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性标识和鉴别；

应由工控系统供货商厂家实现，对于存量的工业控制系统可采用强物理安全防护和管理制度进行补偿
 

应对所有参与无线通信的用户（人员、软件进程或者设备）进行授权以及执行使用进行限制；

应对无线通信采取传输加密的安全措施，实现传输报文的机密性保护；

对采用无线通信技术进行控制的工业控制系统，应能识别其物理环境中发射的未经授权的无线设备，报告未经授权试图接入或干扰控制系统的行为。

控制项

分类

控制点

身份鉴别

8.1.4.1

通用要求

⑩应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

⑩应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

⑩当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听； 【可通过建立VPN隧道实现】

⑩应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

访问控制

8.1.4.2

通用要求

应对登录的用户分配账户和权限；

应重命名或删除默认账户，修改默认账户的默认口令；

应及时删除或停用多余的、过期的账户，避免共享账户的存在；

应授予管理用户所需的最小权限，实现管理用户的权限分离；

应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则； 【强制访问控制】

访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；【强制访问控制】

应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。 【强制访问控制】

控制项

分类

控制点

安全审计

8.1.4.3

通用要求

应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

⑪审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；

⑪应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；

⑪应对审计进程进行保护，防止未经授权的中断。

可信验证

8.1.4.6

通用要求

可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

【不强制】

控制项

分类

控制点

入侵防范

8.1.4.4

通用要求

应遵循最小安装的原则，仅安装需要的组件和应用程序；

⑫应关闭不需要的系统服务、默认共享和高危端口；

⑬应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；

应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；

⑫应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；

⑬应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。

恶意代码防范

8.1.4.5

通用要求

⑬应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。

控制项

分类

控制点

安全产品或措施

数据完整性

8.1.4.7

通用要求

应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；

生产监控层和过程控制层之间为实时通讯，有些系统已实现校验技术或密码技术，由于可靠性、可用性和实时性要求，不适用增加安全设备

应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

可在企业资源层和生产管理层采用⑭DLP等数据防护产品；

在过程监控层不适用安全产品，可通过物理防护措施或管理制度进行补偿；

数据保密性

8.1.4.8

通用要求

应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；

生产监控层和过程控制层之间为实时通讯，有些系统已实现密码技术，由于可靠性、可用性和实时性要求，不适用增加安全设备

应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

可在企业资源层和生产管理层采用DLP等数据防护产品；

在过程监控层不适用安全产品，可通过物理防护措施或管理制度进行补偿；

数据备份恢复

8.1.4.9

通用要求

内容省略……

对于实时控制系统，一般都会采取热备措施，保证数据高可用性；

其他系统数据可根据客户实际需求采取数据备份恢复的产品或其他措施；

剩余信息保护

8.1.4.10

通用要求

内容省略……

制定相关安全管理制度；

个人信息保护

8.1.4.11

通用要求

内容省略……

制定相关安全管理制度；

控制项

分类

控制点

系统管理

8.1.5.1

通用要求

⑮内容省略……

审计管理

8.1.5.2

通用要求

⑮内容省略……

安全管理

8.1.5.3

通用要求

⑮应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计；

⑮应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等。

集中管控

8.1.5.4

通用要求

⑮应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控； 【平台部署要单独组网】

⑮应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理； 【平台部署要单独组网】

⑮应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；

⑮应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求；

⑮应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；

⑮应能对网络中发生的各类安全事件进行识别、报警和分析。

控制项

分类

控制点

安全产品或措施

控制设备安全

8.5.4.1

扩展要求

控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求，如受条件限制控制设备无法实现上述要求，应由其上位控制或管理设备实现同等功能或通过管理手段控制；

目前已有工控系统厂家实现上下位机的通信身份鉴别和数据加密；

对于存量的工控系统通过网络边界防护和管理手段进行补偿；

应在经过充分测试评估后，在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作；

由工控系统厂家在工业企业大修期间进行升级，通过管理手段进行控制；

应关闭或拆除控制设备的软盘驱动、光盘驱动、USB接口、串行口或多余网口等，确需保留的必须通过相关的技术措施实施严格的监控管理；

通过管理手段进行控制；

应使用专用设备和专用软件对控制设备进行更新；

由工控系统厂家进行实施；

应保证控制设备在上线前经过安全性检测，避免控制设备固件中存在恶意代码程序。

有工控系统厂家进行实施，在上线前可在测试环境中进行测试。