【背景】

随着工业化和信息化的发展、国家《网络安全法》和《数据安全法》的颁布，工业网络的安全建设越来越受到重视。保护工业信息安全既是企业的建设目标，也是国家的政策要求。中控技术依托丰富的工控领域产品研发和工程实践经验，开展工业网络安全建设，全面感知工控系统遇到或可能遇到的网络安全风险，提升系统的整体安全防御能力，构建单位可信、可控、可管的安全防护体系。

【建设目标】

网络安全 业务连续 安全合规

【设计依据】

国际标准IEC 62443、国内网络安全等级保护2.0、《中华人民共和国网络安全法网络安全法》等

【体系架构】

中控的工控系统等级保护安全技术防护从外到内构成自主可控的多层次“内建安全、纵深防御、专业运营”防护体系。在底层构建内建安全产品体系，确保产品具有网络安全“健壮性”，在顶层规划部署网络安全管理及网络安全运维体系确保网络安全的长期、持续有效，在中间层建设包括安全通信网络、安全区域边界、安全计算环境以及安全管理中心的纵深防御体系。

中控技术工业信息安全自主可控技术防护体系模型

【方案设计】

安全管理中心：在安全管理区部署集中安全管控设备，如工控安全管理平台、网络安全监测系统、日志审计系统，对工控安全设备状态、工业主机安全状态、工控网络安全事件等安全信息进行集中收集、处理，对工控网络安全态势进行分析、展示、报警。

安全通信网络：单独划分网络安全管理区域；采用加密算法及模式AES-CCM*,对操作站和控制站之间的通信进行加密和完整性校验；采取灵活的密钥管理方案，实现每个控制站使用不同的密钥，支持国密加密和认证。采用命令白名单机制，仅允许系统本身命令通过。

安全区域边界：各安全域边界部署工业防火墙、网关，实现边界隔离保护；旁路部署工业网络安全监测系统、入侵检测系统，达到深度安全防护。

安全计算环境：部署主机安全卫士，维护工业主机安全；配置工控安全基线，对工控上位机、服务器、网络安全设备进行安全加固；部署日志审计系统，进行安全行为审计；部署容灾备份恢复系统，建立健全控制系统“道防线”。

安全物理环境：主要考虑物理位置选择、物理访问控制、防盗窃防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等方面。

安全运维体系：等保建设方案中包括可持续提供的网络安全运维服务，运维服务内容包括但不限于定期巡检、特征库升级、应急事件响应以及网络安全事件分析。

网络拓扑图

【价值点】

合法合规：满足“等保2.0标准”、法律法规、行业标准等政策性要求。

行业趋势：符合行业对工控安全防护高需求、新趋势、新技术的发展要求。

安全可控：工控网络安全防护体系与多厂家控制系统高度融合；完成了从被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变。

业务保障：深度结合客户实际项目，解决生产中的存在问题，降低风险因素，保障连续生产，满足客户需求。