上海工業(yè)控制系統(tǒng)信息安全行動計劃教學教材

1、上海市工業(yè)控制系統(tǒng)信息安全行動計劃（ 2018 2020 年）工業(yè)控制（以下簡稱工控）系統(tǒng)信息安全是實施制造強國和網(wǎng)絡強國戰(zhàn)略的重要保障。工控系統(tǒng)已廣泛應用于工業(yè)經(jīng)濟、城市關鍵基礎設施等重要領域，在溝通信息虛擬環(huán)境與現(xiàn)實物理世界，實現(xiàn)自動化、智能化上發(fā)揮著基礎支撐作用，保障工控系統(tǒng)安全已經(jīng)成為推進制造業(yè)與互聯(lián)網(wǎng)深度融合發(fā)展，工業(yè)互聯(lián)網(wǎng)創(chuàng)新應用急需突破的關鍵瓶頸問題。上海作為全國重要的工業(yè)城市，工控安全需求廣泛，工控系統(tǒng)研發(fā)、設計、制造、集成、安全等產(chǎn)業(yè)鏈相對完整，并在多個行業(yè)實施系統(tǒng)安全評估與加固示范，開展行業(yè)性的規(guī)劃研究，在全國率先成立工控系統(tǒng)信息安全技術服務聯(lián)盟，建設工控系統(tǒng)安全研發(fā)與轉化

2、功能型平臺，具備推進工控系統(tǒng)信息安全工作，打造技術產(chǎn)業(yè)高地的現(xiàn)實基礎。為落實國務院關于深化“互聯(lián)網(wǎng) + 先進制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導意見 （國發(fā) 2017 50 號）、工業(yè)和信息化部關于印發(fā)工業(yè)控制系統(tǒng)信息安全行動計劃（2018 2020 年）的通知（工信部信軟 2017 316 號），全面提升工控系統(tǒng)安全防護能力，促進工業(yè)信息安全產(chǎn)業(yè)發(fā)展，支撐服務全力打響“上海制造”品牌，特制訂本行動計劃。一、指導思想和基本原則（一）指導思想全面貫徹黨的十九大精神，以習近平新時代中國特色社會主義思想為指導，深入貫徹習近平總書記“四個新作為”重要指示， 堅持國家總體安全觀和網(wǎng)絡強國、 制造強國戰(zhàn)略，圍繞“

3、加快發(fā)展先進制造業(yè)，推動互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能和實體經(jīng)濟深度融合”新需求，以推進中華人民共和國網(wǎng)絡安全法實施，落實企業(yè)主體責任為關鍵，著力提升全市工控系統(tǒng)信息安全綜合管理、安全防護、技術支撐、產(chǎn)業(yè)發(fā)展能力，加快建設工控系統(tǒng)信息安全保障體系，打造輻射全國、影響全球的工業(yè)信息安全技術與產(chǎn)業(yè)高地，保障上海實體經(jīng)濟安全穩(wěn)定發(fā)展，當好新時代全國改革開放排頭兵、創(chuàng)新發(fā)展先行者。（二）基本原則1. 堅持安全與發(fā)展并重。 樹立正確的網(wǎng)絡安全觀，以安全保發(fā)展，以發(fā)展促安全，確保信息安全同信息化與工業(yè)化融合統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進、統(tǒng)一實施。2. 堅持企業(yè)主體、政府引導。 強化企業(yè)在工控系統(tǒng)安全保障的主體責

4、任，建立健全安全責任制，把工控系統(tǒng)信息安全作為安全生產(chǎn)的重要組成部分， 深化技術、 管理措施落實。政府部門同步加強工作統(tǒng)籌，強化政策、法規(guī)和標準的制定和實施。3. 堅持市區(qū)聯(lián)動、分類推進。 加強市區(qū)兩級政府部門的工作聯(lián)動，做好規(guī)模以上工業(yè)企業(yè)工控系統(tǒng)信息安全的管理服務。依托行業(yè)主管部門和企業(yè)集團，分行業(yè)推進工控系統(tǒng)信息安全解決方案落實，切實提高企業(yè)工控安全防護針對性和有效性。二、發(fā)展目標到 2020 年，基本建成本市工控系統(tǒng)信息安全保障體系，綜合管理、安全防護、技術支撐、產(chǎn)業(yè)發(fā)展四大能力明顯提升。綜合管理上， 基本形成部門協(xié)同、 市區(qū)聯(lián)動的工作機制，檢查、評估、監(jiān)測、應急等工作制度全面落實，工

5、控安全服務規(guī)范有序。安全防護上，形成服務聯(lián)絡千家企業(yè)、督促指導百家重點企業(yè)的工作網(wǎng)絡，在全市樹立 10 家工控安全體系化標桿企業(yè)，打造 40 家安全評估示范工廠，企業(yè)工控安全防護能力全面提升。技術支撐上，引進國家級專業(yè)機構和產(chǎn)業(yè)聯(lián)盟，重點培育 3-5 家本地技術支撐機構，建成工控系統(tǒng)安全綜合管理系統(tǒng)，建設完善試驗驗證、仿真測試、攻防靶場等共性技術平臺。產(chǎn)業(yè)發(fā)展上，創(chuàng)建國家級工業(yè)信息安全主題產(chǎn)業(yè)園，引進和培育一批影響力大、競爭力強的龍頭骨干企業(yè)，實施一批技術創(chuàng)新和成果轉化項目，打造工控系統(tǒng)信息安全技術產(chǎn)業(yè)高地。三、主要任務圍繞工控系統(tǒng)信息安全保障需求，強化管理工作體系化建設和制度落實，促進防護能

6、力全面提升，充分依托市場推動技術支撐和產(chǎn)業(yè)發(fā)展，形成工控系統(tǒng)信息安全保障體系。（一）聚焦監(jiān)管服務，實施綜合管理能力提升工程1. 落實企業(yè)主體責任制。 按照分級負責、屬地管理的原則，全面梳理工控系統(tǒng)企業(yè)、系統(tǒng)和資產(chǎn)清單，指導企業(yè)貫徹落實中華人民共和國網(wǎng)絡安全法 ，明確法人代表、經(jīng)營負責人第一責任，落實工作機構，完善管理制度。加強經(jīng)信、安全生產(chǎn)等部門的聯(lián)動，規(guī)范年度工控系統(tǒng)安全檢查，持續(xù)監(jiān)督工控安全責任和相關管理、技術要求落實。 （市經(jīng)濟信息化委、市安全監(jiān)管局、各區(qū)政府）2. 完善協(xié)同管理機制。 加強網(wǎng)信、公安、經(jīng)信等有關部門的協(xié)同聯(lián)動，合力推進實施關鍵信息基礎設施重點保護、網(wǎng)絡安全等級保護、工控

7、系統(tǒng)信息安全防護等有關制度要求。各區(qū)政府要完善區(qū)域內重點企業(yè)、重要工控系統(tǒng)管理服務機制，完善檢查、監(jiān)測、應急等服務保障能力建設。充分依托行業(yè)主管部門與大企業(yè)集團管理職能和服務功能，分行業(yè)、分系統(tǒng)完善安全制度，支持形成行業(yè)級、企業(yè)級工控系統(tǒng)信息安全解決方案和標準規(guī)范。 （市委網(wǎng)信辦、市公安局、市經(jīng)濟信息化委、各區(qū)政府、各行業(yè)主管部門）3. 規(guī)范社會安全服務。 以工業(yè)控制系統(tǒng)信息安全防護指南深入實施為抓手，大力促進安全咨詢、整改加固、產(chǎn)品認證、風險評估等工控系統(tǒng)安全服務發(fā)展，統(tǒng)籌開展試點示范，促進工控安全服務的普及化。指導支持相關行業(yè)組織按照國家政策標準，結合上海實際，制定綜合企業(yè)信用、產(chǎn)品性能、

8、服務能力等多環(huán)節(jié)的產(chǎn)品與服務評價標準，開展工控安全產(chǎn)品、服務的安全審查和評估，完善相關產(chǎn)品和服務的推薦機制，規(guī)范工控安全服務有序開展。 （市經(jīng)濟信息化委）（二）聚焦運行安全，實施安全防護能力提升工程4. 完善千家企業(yè)安全指導。 加強與“兩化融合” 、“企業(yè)上云”等工作協(xié)調聯(lián)動，指導千家企業(yè)貫徹落實工業(yè)控制系統(tǒng)信息安全防護指南等政策標準，依托互聯(lián)網(wǎng)平臺開展年度工控安全自評估工作，指導企業(yè)合理確定系統(tǒng)網(wǎng)絡安全等級，完善網(wǎng)絡、平臺、數(shù)據(jù)等管理制度和技術措施。建立千家企業(yè)工控安全聯(lián)絡員工作網(wǎng)絡，每年開展不少于一次的安全責任人、 聯(lián)絡員業(yè)務培訓， 更好促進相關工作要求落實。（市經(jīng)濟信息化委、各區(qū)政府）5

9、. 落實百家企業(yè)重點防護。 圍繞城市運行和生產(chǎn)安全保障要求，重點督導百家城市生命線和重點工業(yè)企業(yè)。在督促落實網(wǎng)絡安全等級保護、工控系統(tǒng)安全防護等要求基礎上，強化專業(yè)崗位持證上崗、重要數(shù)據(jù)重點防護、產(chǎn)品服務采購審查等關鍵信息基礎設施合規(guī)要求。同時，加強工控系統(tǒng)信息安全檢查評估、安全監(jiān)測、信息通報、應急管理、攻防演練等制度落實，確保重要工控系統(tǒng)安全穩(wěn)定運行。 （市經(jīng)濟信息化委、市委網(wǎng)信辦、市公安局等）6. 打造十家示范標桿企業(yè)。 加強標桿企業(yè)示范帶動，在全市范圍內遴選十家基礎較好的企業(yè)集團，開展工控系統(tǒng)信息安全保障體系化設計，完善企業(yè)設備、控制、網(wǎng)絡、平臺和數(shù)據(jù)安全管理制度規(guī)范，形成一體化的企業(yè)級

10、工業(yè)信息安全保障體系框架。 按照國家政策和技術標準， 在工業(yè)互聯(lián)網(wǎng)、智能制造等創(chuàng)新應用領域，結合兩化融合管理體系貫標工作推進，啟動 40 家標桿工廠防護能力評估和加固示范工程，并通過國家級專業(yè)機構的檢查評估驗證。（市經(jīng)濟信息化委）專欄一：工控系統(tǒng)信息安全“千百十”行動2020 年前，完成上海工業(yè)企業(yè)工控系統(tǒng)信息安全“千百十”行動：圍繞千家重要規(guī)模以上工業(yè)企業(yè)、 兩化融合重點跟蹤企業(yè)和生產(chǎn)性服務業(yè)企業(yè)， 以指導貫標為重點， 推動企業(yè)開展年度自評估， 樹立工業(yè)信息安全意識， 完善系統(tǒng)安全防護，更好應用工業(yè)互聯(lián)網(wǎng)、工業(yè)云等制造業(yè)與互聯(lián)網(wǎng)融合新技術、新應用。聚焦百家供電供水供氣、 城市軌道交通等城市生

11、命線企業(yè)， 以及鋼鐵、化工、汽車、裝備制造等對城市經(jīng)濟安全有重大影響的重要工業(yè)企業(yè)， 綜合推進目前國家已出臺的相關管理和技術規(guī)范標準落實， 滿足安全防護基線要求， 并通過加強監(jiān)管實施重點保護。打造 10 家示范引領的集團公司，圍繞工業(yè)互聯(lián)網(wǎng)不同層級的安全需求提出企業(yè)工業(yè)信息安全保障的體系化建設思路框架并貫徹實施； 同時通過持續(xù)推進評估加固試點，力爭有 40 家制造工廠通過國家評估，形成示范帶動。（三）聚焦平臺設施，實施技術支撐能力提升工程7. 建設全市工控安全綜合管理系統(tǒng)。按照工控系統(tǒng)信息安全精細化、清單化管理要求，建設全市工控系統(tǒng)信息安全綜合管理平臺，支持企業(yè)開展基礎情況填報和自評估工作；對

12、接區(qū)政府、行業(yè)主管部門管理需求，為安全檢查、信息通報、信息共享、應急管理提供全面技術支持；形成工控系統(tǒng)信息安全知識庫、漏洞庫和應急資源庫，精準匹配到相應企業(yè)和工控系統(tǒng)，完善對安全檢查、監(jiān)測預警和應急處置等工作的支持。（市經(jīng)濟信息化委）8. 培育工控安全專業(yè)服務能力。完善國家工控系統(tǒng)安全質量監(jiān)督檢驗機構建設，對標歐盟、美國等國際檢測要求，打造具有國際影響力，融合信息安全、功能安全、本質安全的一體化工控系統(tǒng)安全檢測能力。 著力打造 3-5 家獲得國家相關部門專業(yè)資質授權的本地化工控系統(tǒng)信息安全專業(yè)技術服務機構，統(tǒng)籌支持工控系統(tǒng)安全評估、監(jiān)測預警、產(chǎn)品審查等專業(yè)技術系統(tǒng)建設。爭取國家級工業(yè)信息安全研

13、究中心落戶本市，完善和提升汽車、電力等上海優(yōu)勢行業(yè)協(xié)同及技術創(chuàng)新能力，服務和支撐長三角乃至全國工控系統(tǒng)信息安全保障工作開展。 （市經(jīng)濟信息化委、市編辦）9. 完善工控安全基礎實驗驗證平臺。 依托工控系統(tǒng)安全研發(fā)與轉化功能型平臺， 充分整合已有的電力、 水務、軌交、汽車等檢測實驗平臺，以及工控系統(tǒng)生產(chǎn)商、裝備制造企業(yè)的產(chǎn)品測試基地，基于半實物仿真或全實物方式，完善實驗環(huán)境建設。制訂實驗室資源共享機制，形成不同類型機構共建共享的工控系統(tǒng)信息安全聯(lián)合實驗室，支持和促進基于工控系統(tǒng)信息安全的仿真測試、漏洞挖掘、產(chǎn)品驗證、攻防演練等基礎研究與工作開展。 （市經(jīng)濟信息化委、市科委、市發(fā)展改革委）10. 強

14、化與國家平臺技術對接。 全面對接國家工控信息安全“一網(wǎng)” （在線監(jiān)測網(wǎng)絡） 、“一庫”（應急資源庫） 、“三平臺”（仿真測試、信息共享、信息通報） ，開展市級監(jiān)測平臺建設，完善主動監(jiān)測、被動誘捕、威脅情報獲取等技術手段，覆蓋主要行業(yè)和重點防護企業(yè)，整合相關監(jiān)測資源形成市級節(jié)點并與國家監(jiān)測網(wǎng)絡技術對接。做好工控安全綜合管理平臺信息共享、信息通報、應急資源管理等功能與國家有關技術平臺的銜接，豐富和完善市級平臺知識庫，確保信息有效溝通，威脅事件處置高效。對標國際的一流檢測實驗環(huán)境，在本市優(yōu)勢行業(yè)建設實驗驗證平臺、聯(lián)合實驗室，力爭在汽車、電力、軌交等領域建成國家級仿真測試平臺。（市專欄二：工控系統(tǒng)信息

15、安全支撐能力三步走提升計劃2020 年前，在工控系統(tǒng)信息安全技術支撐能力上形成“一平臺、二機構、三對接”三步走格局： “一平臺”即完成全市工控安全綜合管理系統(tǒng)建設，形成相應的管理對象清單，具備監(jiān)測預警、應急管理、安全檢查等技術功能，滿足政府部門監(jiān)管需求， 建設相應的病毒庫、 漏洞庫和系統(tǒng)知識庫， 為工業(yè)企業(yè)開展自評估、漏洞整改和事件應對提供技術支持?！岸C構”即完成本市3-5 家工控系統(tǒng)安全技術支撐機構建設，分別從工控專業(yè)、信息安全專業(yè)布局，形成“競爭 + 合作”的模式，做好對相關監(jiān)管工作的技術支撐， 以及工業(yè)企業(yè)的服務保障。 “三對接”即在三個層面與國家開展工作對接， 一是銜接合作， 以“一

16、平臺” 為基礎，與國家監(jiān)測預警網(wǎng)絡、應急資源庫、信息共享平臺和信息通報平臺進行技術對接，協(xié)同開展工業(yè)信息安全治理工作， 支撐本市工作開展； 二是建設承接， 承接國家工控系統(tǒng)安全質量監(jiān)督檢驗機構、 國家工業(yè)信息安全發(fā)展研究中心華東分部等的建設布局，輻射和帶動長三角區(qū)域聯(lián)動和一體化協(xié)同提升； 三是能力輸出， 把上海優(yōu)勢行業(yè)，如電力、汽車等實驗驗證平臺、實驗室、協(xié)同創(chuàng)新中心打造成具國際影響力的技術平臺，支撐國家級仿真測試平臺、實驗室建設。（四）聚焦創(chuàng)新轉化，實施產(chǎn)業(yè)發(fā)展能力提升工程11. 加強技術創(chuàng)新和應用突破。針對系統(tǒng)、網(wǎng)絡、設備等不同層面安全需求，強化技術創(chuàng)新，突破應用瓶頸。在系統(tǒng)組件方面，重點

17、研究突破網(wǎng)絡安全攻防機制，突破安全隔離、安全審計、攻擊檢測等關鍵技術；在網(wǎng)絡層次方面，研究突破網(wǎng)絡內部、跨網(wǎng)絡以及產(chǎn)業(yè)鏈上下游之間網(wǎng)絡通信協(xié)議及其安全關鍵技術；在終端設備方面，研究突破傳感器、儀器儀表、執(zhí)行器等安全接口、安全協(xié)議、安全評估、識別診斷等關鍵技術；開展功能安全、本質安全、信息安全技術融合與評價研究，形成工控系統(tǒng)一體化安全檢測驗證能力。圍繞電力、石化、鋼鐵、生物醫(yī)藥等流程型工業(yè)，供水供電供氣、軌道交通、電子信息、航空航天、裝備制造等離散型工業(yè)，以及網(wǎng)絡協(xié)同制造、大規(guī)模個性化定制、遠程運維等工業(yè)互聯(lián)網(wǎng)新應用，加強工控安全技術與傳統(tǒng)信息安全技術融合創(chuàng)新發(fā)展，有效解決其中網(wǎng)絡安全隔離、數(shù)據(jù)

18、安全傳輸?shù)葐栴}。（市科委、市經(jīng)濟信息化委、各行業(yè)主管部門）12. 強化工業(yè)軟件安全支撐。著力提升工業(yè)軟件可靠性和安全性設計能力，針對企業(yè)運營管理、研發(fā)設計、生產(chǎn)控制、軟件嵌入等不同層次安全要求，在重點行業(yè)應用中強化相關軟件產(chǎn)品內聚、容錯、冗余、風險隔離、故障監(jiān)控和異常處理設計，強化安全架構、安全操作系統(tǒng)、安全數(shù)據(jù)庫、安全系統(tǒng)、安全互操作等技術集成，確保相關軟件產(chǎn)品可靠性和安全性。 加強針對工業(yè)大數(shù)據(jù)、工業(yè)云、 工業(yè) APP 等安全檢測技術研究，切實提升相關軟件產(chǎn)品漏洞挖掘、病毒分析、軟件逆向、代碼分析、滲透測試等檢測能力，形成相應的檢測工具集。 （市經(jīng)濟信息化委、市科委）13. 促進工控安全技

19、術成果轉化。強化工控系統(tǒng)信息安全技術成果轉化與示范應用。在成果轉化方面，強化面向可信傳感器、控制器、控制系統(tǒng)（ DCS 、PCS、SCADA ）等主流設備的信息安全管理系統(tǒng)應用，形成工控防火墻、網(wǎng)閘、網(wǎng)關、安全審計、訪問控制、監(jiān)測預警等工控安全產(chǎn)品。在示范應用方面，重點開展電力、汽車、軌道交通、供氣、水務、智能制造、自動化碼頭等領域試點示范，推廣應用成熟的工控系統(tǒng)信息安全產(chǎn)品和服務，形成行業(yè)級工控安全解決方案；同時，聚焦汽車、核電裝置、電氣電站設備等集成工控技術、設備的裝備產(chǎn)品研發(fā)生產(chǎn)，融合工控系統(tǒng)安全需求與生產(chǎn)企業(yè)裝備產(chǎn)品的設計目標，實施相關裝備產(chǎn)品工控安全防護能力提升改造工程。 （市經(jīng)濟信

20、息化委、市科委、市發(fā)展改革委）專欄三：工業(yè)信息安全技術研發(fā)與成果轉化“路線圖”計劃依托上海著力推進建設的工控系統(tǒng)安全研發(fā)與轉化功能型平臺， 加強政、產(chǎn)、學、研、用協(xié)同，聚焦電力、汽車、軌道交通、先進制造等重點行業(yè)開展技術攻關，加快推進示范應用和產(chǎn)業(yè)發(fā)展，走通工控系統(tǒng)安全技術產(chǎn)業(yè)系統(tǒng)- 軟件 - 應用- 轉化“路線圖”，到 2020 年初步形成全國領先的工業(yè)信息安全技術產(chǎn)業(yè)高地。一是聚焦工控系統(tǒng)自身安全需求， 從系統(tǒng)組件、 工控網(wǎng)絡、 終端設備等方面加強信息安全研發(fā)， 兼顧工控系統(tǒng)功能安全、 本質安全形成一體化的工控安全技術輸出能力。二是聚焦工業(yè)軟件安全能力提升， 一方面強化軟件安全設計和安全技

21、術集成，提升工業(yè)軟件自身可靠性和安全性，另一方面強化針對工業(yè)軟件的檢測能力建設，形成安全防測一體的能力支撐。三是聚焦工控系統(tǒng)應用環(huán)境中存在的差異化信息安全問題， 著力研究解決流程型、 離散型工業(yè)行業(yè)以及工業(yè)互聯(lián)網(wǎng)新應用中的“卡脖子”工控安全技術，打破工控安全技術在行業(yè)應用上的“壁壘”。四是強化安全技術成果轉化，立足上海，帶動長三角，輻射全國，推動工控系統(tǒng)安全產(chǎn)業(yè)集聚和發(fā)展， 形成一批經(jīng)得起應用檢驗的工控安全產(chǎn)品，同時在工控系統(tǒng)安全加固、裝備產(chǎn)品安全能力提升上推動一批示范項目，推廣相關技術產(chǎn)品使用，切實解決新技術“首臺套”應用及更新迭代難題。14. 創(chuàng)建國家級主題產(chǎn)業(yè)園區(qū)。在上海普陀、寶山等區(qū)域

22、，爭取創(chuàng)建國家級工業(yè)信息安全主題產(chǎn)業(yè)園區(qū)，建設公共服務平臺，完善配套設施，引進一批國際國內知名工控設備制造商、工控系統(tǒng)集成商、信息安全廠商及科研機構，支持龍頭企業(yè)帶動形成的企業(yè)聯(lián)合研發(fā)中心建設，共同打造工控系統(tǒng)信息安全技術與產(chǎn)業(yè)高地。依托工控系統(tǒng)安全研發(fā)與轉化功能型平臺，引入政府資金、社會資本，成立工控系統(tǒng)安全發(fā)展基金，圍繞工控系統(tǒng)安全技術研發(fā)、應用示范、產(chǎn)融合作、人才培養(yǎng)等關鍵環(huán)節(jié)做好技術研發(fā)與產(chǎn)業(yè)發(fā)展引導，形成良性的工業(yè)信息安全產(chǎn)業(yè)生態(tài)。（市經(jīng)濟信息化委、市科委、相關區(qū)政府）四、保障措施（一）強化組織保障。 充分依托中國制造 2025 、工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展等市級層面協(xié)調推進機制，加強工控系統(tǒng)信息安全保障體系重大決策、重大工程和重大問題的統(tǒng)籌協(xié)調，全面落實行動計劃的各項任務。各區(qū)政府要加強本地區(qū)統(tǒng)籌管理，做好行動計劃的貫徹落實和組織保障；普陀等重點區(qū)要成立國家級主題產(chǎn)業(yè)園區(qū)推進機構，做好園區(qū)建設、招商服務等配套工作。 （市經(jīng)濟信息化委、市委網(wǎng)信辦、市公安局、各區(qū)政府）（二）加大財稅支持。加大市區(qū)兩級財政資金對工控系統(tǒng)信息安全工作的支持力度，充分發(fā)揮戰(zhàn)略新興產(chǎn)業(yè)、科技創(chuàng)新、產(chǎn)業(yè)轉型升級發(fā)展等專項資金引