《关于开展网络安全技术应用试点示范工作的通知 工信厅联网安函〔2022〕2号》

  • 来源专题:能源情报网信息监测服务平台
  • 编译者: guokm
  • 发布时间:2022-01-13
  • 工业和信息化部办公厅

    国家互联网信息办公室秘书局

    水利部办公厅 国家卫生健康委员会办公厅

    应急管理部办公厅 中国人民银行办公厅

    国家广播电视总局办公厅

    中国银行保险监督管理委员会办公厅

    中国证券监督管理委员会办公厅

    国家能源局综合司 国家铁路局综合司

    中国民用航空局综合司关于开展

    网络安全技术应用试点示范工作的通知

    工信厅联网安函〔2022〕2号

    各省、自治区、直辖市及新疆生产建设兵团工业和信息化、电信、网信、水利、卫生健康、应急管理、广电、能源主管部门,中国人民银行各分行、营业管理部、各省会(首府)城市中心支行,各银保监局,各证监局,各地区铁路监管局,民航各地区管理局及其监管局,相关单位:

    为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》,加强网络安全先进技术应用引导,推动网络安全产业高质量发展,现决定开展网络安全技术应用试点示范工作。有关事项通知如下:

    一、试点示范内容

    适应数字产业化和产业数字化发展新形势,以新型基础设施安全、数字化应用场景安全、安全基础能力提升为主线,面向公共通信和信息服务、能源、交通、水利、应急管理、金融、医疗、广播电视等重要行业领域网络安全保障需求,从云安全、人工智能安全、大数据安全、车联网安全、物联网安全、智慧城市安全、网络安全共性技术、网络安全创新服务、网络安全“高精尖”技术创新平台9个重点方向(附件1),遴选一批技术先进、应用成效显著的试点示范项目。

    二、申报要求

    (一)申报主体。主要由公共通信和信息服务、能源、交通、水利、应急管理、金融、医疗、广播电视等行业和领域的企事业单位,以及为其提供网络安全技术、产品和服务的企事业单位等组成联合体申报(牵头单位1家,联合单位不超过2家)。网络安全“高精尖”技术创新平台方向主要面向技术创新或试点示范区运营、管理机构。申报主体应在中华人民共和国境内注册、具备独立法人资格。

    (二)申报项目。主要包括支撑本单位自身网络安全工作或为用户提供安全服务的网络安全技术平台或系统,具备创新性、先进性、实用性、可推广性等特点。网络安全“高精尖”技术创新平台方向主要包括地市级及以上各类技术创新或试点示范区,具备区域优势明显、产业基础良好、政策制度完善、创新要素聚集等特点。

    (三)每个申报主体可最多牵头或参与申报2个项目,每个申报项目仅可选择1个试点方向。

    (四)已入选国家级或十二个部门有关试点示范项目、已获得国家专项资金支持的项目不可重复申报,未建及在建项目不可申报。

    三、工作流程

    (一)申报。申报联合体的牵头单位向项目所在地省级有关部门提交网络安全技术应用试点示范申报书(附件2)。牵头单位为国家行业主管监管部门直接管理的机构,可向行业主管监管部门申报。申报项目不可通过多途径同时申报,否则取消项目资格。

    (二)初审和推荐。各省级有关部门组织对本地区本行业本领域网络安全技术应用试点示范申报项目进行初审,并按推荐项目的优先顺序填写推荐项目汇总表(附件3),于2022年2月28日前将推荐项目汇总表(纸质版一式两份和电子版光盘)及企业申报书(纸质版一式三份和电子版光盘)提交国家行业主管监管部门。各主管监管部门汇总本行业本领域推荐项目材料,于2022年3月15日前送工业和信息化部(网络安全管理局)。各省级有关部门推荐的项目总数原则上不超过5个,其中网络安全“高精尖”技术创新平台不超过2个。

    (三)遴选。工业和信息化部会同有关部门组织专家对申报项目进行遴选评审,并对符合要求的项目开展试点示范。试点示范期为2年。

    (四)推广。建立部门间工作机制,加强对入选项目的支持、指导和监督,综合运用政策、标准、项目配套等资源,促进入选项目推广应用,扩大示范带动效应。

    四、联系方式

    联系人:赵泰010-62305321 赵爽010-66022774

    地 址:北京市海淀区花园北路52号(100191)

    附件:1.网络安全技术应用试点示范重点方向

      2.网络安全技术应用试点示范申报书

      3.推荐项目汇总表

      工业和信息化部办公厅

      国家互联网信息办公室秘书局

      水利部办公厅

      国家卫生健康委员会办公厅

      应急管理部办公厅

      中国人民银行办公厅

      国家广播电视总局办公厅

      中国银行保险监督管理委员会办公厅

      中国证券监督管理委员会办公厅

      国家能源局综合司

      国家铁路局综合司

      中国民用航空局综合司

      2022年1月7日

  • 原文来源:http://www.nengyuanjie.net/article/53093.html
相关报告
  • 《工信部关于2018智能制造试点示范项目推荐通知》

    • 来源专题:北京市经济和信息化委员会监测服务平台
    • 编译者:zhangmin
    • 发布时间:2018-04-11
    • 工信厅装函〔2018〕117号 各省、自治区、直辖市及计划单列市、新疆生产建设兵团工业和信息化主管部门: 为落实《中国制造2025》总体部署,按照《智能制造发展规划(2016-2020年)》《智能制造工程实施指南(2016-2020年)》的要求,现开展2018年智能制造试点示范项目推荐工作。有关事项通知如下: 一、项目推荐条件 (一)项目实施单位应在中华人民共和国境内注册,具有独立法人资格,运营和财务状况良好。 (二)项目技术应处于国内领先或国际先进水平,项目使用的关键技术装备、工业软件需安全可控。 (三)项目须符合《2018年智能制造试点示范项目要素条件》(见附件1)要求,且具有较强的可复制可推广性。 (四)项目须已投入运营,且在降低运营成本、缩短产品研制周期、提高生产效率、降低产品不良品率、提高能源利用率等方面已取得显著成效并持续提升,具有良好的成长性。 二、推荐工作要求 (一)试点示范项目由项目所在地工业和信息化主管部门组织推荐。各省、自治区、直辖市工业和信息化主管部门推荐的试点示范项目一般不超过15项,各计划单列市、新疆生产建设兵团工业和信息化主管部门推荐的试点示范项目一般不超过10项,中央企业项目通过所在地工业和信息化主管部门申报,申报企业对智能制造试点示范项目申报书(见附件2)内容的真实性负责。 (二)推荐工作应遵循政府引导、企业自愿原则。优先在新型工业化产业示范基地、工业稳增长和转型升级成效明显市(州)中,推荐基础条件好、成长性强、符合两化融合管理体系标准要求、开展多种模式试点示范的项目。优先推荐2015-2017年智能制造试点示范项目未涉及行业的项目,优先推荐智能制造综合标准化和新模式应用支持的项目。推荐部门应加强对最终确定的试点示范项目的指导,并鼓励对其发展智能制造给予优先支持。 (三)请各地方工业和信息化主管部门按推荐项目的优先顺序填报智能制造试点示范推荐项目汇总表(见附件3),并于2018年5月15日前将项目汇总表一式两份、申报书一式五份及其电子版报送工业和信息化部(装备工业司)。有关2015-2017年已确定的智能制造试点示范项目可在工业和信息化部门户网站(www.miit.gov.cn)下载查询。 三、联系方式 联系人:夏鹏 王影 010-68205634/68205626 邮 箱:xiapeng@miit.gov.cn 地 址:北京市西长安街13号工业和信息化部装备工业司(100804) 工业和信息化部办公厅 2018年4月2日
  • 《工信部印发《工业控制系统网络安全防护指南》》

    • 来源专题:智能制造
    • 编译者:icad
    • 发布时间:2024-02-02
    • 工信部印发《工业控制系统网络安全防护指南》 . 发布时间:2024-2-1      来源:工业和信息化部网络安全管理局      编辑:衡格格      审核:张经纬 王静 摘要:为适应新型工业化发展形势,提高我国工业控制系统网络安全保障水平,指导工业企业开展工控安全防护工作,以高水平安全护航新型工业化高质量发展,工业和信息化部印发《工业控制系统网络安全防护指南》。《防护指南》定位于面向工业企业做好网络安全防护的指导性文件,坚持统筹发展和安全,围绕安全管理、技术防护、安全运营、责任落实四方面,提出33项指导性安全防护基线要求,推动解决走好新型工业化道路过程中工业控制系统网络安全面临的突出问题。 关于印发工业控制系统网络安全防护指南的通知 工信部网安〔2024〕14号 各省、自治区、直辖市、计划单列市及新疆生产建设兵团工业和信息化主管部门,有关企事业单位:  现将《工业控制系统网络安全防护指南》印发给你们,请认真抓好落实。 工业和信息化部 2024年1月19日 工业控制系统网络安全防护指南   工业控制系统是工业生产运行的基础核心。为适应新时期工业控制系统网络安全(以下简称工控安全)形势,进一步指导企业提升工控安全防护水平,夯实新型工业化发展安全根基,制定本指南。  使用、运营工业控制系统的企业适用本指南,防护对象包括工业控制系统以及被网络攻击后可直接或间接影响生产运行的其他设备和系统。 一、安全管理   (一)资产管理   1.全面梳理可编程逻辑控制器(PLC)、分布式控制系统(DCS)、数据采集与监视控制系统(SCADA)等典型工业控制系统以及相关设备、软件、数据等资产,明确资产管理责任部门和责任人,建立工业控制系统资产清单,并根据资产状态变化及时更新。定期开展工业控制系统资产核查,内容包括但不限于系统配置、权限分配、日志审计、病毒查杀、数据备份、设备运行状态等情况。  2.根据承载业务的重要性、规模,以及发生网络安全事件的危害程度等因素,建立重要工业控制系统清单并定期更新,实施重点保护。重要工业控制系统相关的关键工业主机、网络设备、控制设备等,应实施冗余备份。   (二)配置管理   3.强化账户及口令管理,避免使用默认口令或弱口令,定期更新口令。遵循最小授权原则,合理设置账户权限,禁用不必要的系统默认账户和管理员账户,及时清理过期账户。  4.建立工业控制系统安全配置清单、安全防护设备策略配置清单。定期开展配置清单审计,及时根据安全防护需求变化调整配置,重大配置变更实施前进行严格安全测试,测试通过后方可实施变更。   (三)供应链安全   5.与工业控制系统厂商、云服务商、安全服务商等供应商签订的协议中,应明确各方需履行的安全相关责任和义务,包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等。  6.工业控制系统使用纳入网络关键设备目录的PLC等设备时,应使用具备资格的机构安全认证合格或者安全检测符合要求的设备。   (四)宣传教育   7.定期开展工业控制系统网络安全相关法律法规、政策标准宣传教育,增强企业人员网络安全意识。针对工业控制系统和网络相关运维人员,定期开展工控安全专业技能培训及考核。 二、技术防护   (一)主机与终端安全   8.在工程师站、操作员站、工业数据库服务器等主机上部署防病毒软件,定期进行病毒库升级和查杀,防止勒索软件等恶意软件传播。对具备存储功能的介质,在其接入工业主机前,应进行病毒、木马等恶意代码查杀。  9.主机可采用应用软件白名单技术,只允许部署运行经企业授权和安全评估的应用软件,并有计划的实施操作系统、数据库等系统软件和重要应用软件升级。  10.拆除或封闭工业主机上不必要的通用串行总线(USB)、光驱、无线等外部设备接口,关闭不必要的网络服务端口。若确需使用外部设备,应进行严格访问控制。  11.对工业主机、工业智能终端设备(控制设备、智能仪表等)、网络设备(工业交换机、工业路由器等)的访问实施用户身份鉴别,关键主机或终端的访问采用双因子认证。   (二)架构与边界安全   12.根据承载业务特点、业务规模、影响工业生产的重要程度等因素,对工业以太网、工业无线网络等组成的工业控制网络实施分区分域管理,部署工业防火墙、网闸等设备实现域间横向隔离。当工业控制网络与企业管理网或互联网连通时,实施网间纵向防护,并对网间行为开展安全审计。设备接入工业控制网络时应进行身份认证。  13.应用第五代移动通信技术(5G)、无线局域网技术(Wi-Fi)等无线通信技术组网时,制定严格的网络访问控制策略,对无线接入设备采用身份认证机制,对无线访问接入点定期审计,关闭无线接入公开信息(SSID)广播,避免设备违规接入。  14.严格远程访问控制,禁止工业控制系统面向互联网开通不必要的超文本传输协议(HTTP)、文件传输协议(FTP)、Internet远程登录协议(Telnet)、远程桌面协议(RDP)等高风险通用网络服务,对必要开通的网络服务采取安全接入代理等技术进行用户身份认证和应用鉴权。在远程维护时,使用互联网安全协议(IPsec)、安全套接字协议(SSL)等协议构建安全网络通道(如虚拟专用网络(VPN)),并严格限制访问范围和授权时间,开展日志留存和审计。  15.在工业控制系统中使用加密协议和算法时应符合相关法律法规要求,鼓励优先采用商用密码,实现加密网络通信、设备身份认证和数据安全传输。   (三)上云安全   16.工业云平台为企业自建时,利用用户身份鉴别、访问控制、安全通信、入侵防范等技术做好安全防护,有效阻止非法操作、网络攻击等行为。  17.工业设备上云时,对上云设备实施严格标识管理,设备在接入工业云平台时采用双向身份认证,禁止未标识设备接入工业云平台。业务系统上云时,应确保不同业务系统运行环境的安全隔离。  (四)应用安全   18.访问制造执行系统(MES)、组态软件和工业数据库等应用服务时,应进行用户身份认证。访问关键应用服务时,采用双因子认证,并严格限制访问范围和授权时间。  19.工业企业自主研发的工业控制系统相关软件,应通过企业自行或委托第三方机构开展的安全性测试,测试合格后方可上线使用。   (五)系统数据安全   20.定期梳理工业控制系统运行产生的数据,结合业务实际,开展数据分类分级,识别重要数据和核心数据并形成目录。围绕数据收集、存储、使用、加工、传输、提供、公开等环节,使用密码技术、访问控制、容灾备份等技术对数据实施安全保护。  21.法律、行政法规有境内存储要求的重要数据和核心数据,应在境内存储,确需向境外提供的,应当依法依规进行数据出境安全评估。  三、安全运营   (一)监测预警   22.在工业控制网络部署监测审计相关设备或平台,在不影响系统稳定运行的前提下,及时发现和预警系统漏洞、恶意软件、网络攻击、网络侵入等安全风险。  23.在工业控制网络与企业管理网或互联网的边界,可采用工业控制系统蜜罐等威胁诱捕技术,捕获网络攻击行为,提升主动防御能力。  (二)运营中心   24.有条件的企业可建立工业控制系统网络安全运营中心,利用安全编排自动化与响应(SOAR)等技术,实现安全设备的统一管理和策略配置,全面监测网络安全威胁,提升风险隐患集中排查和事件快速响应能力。  (三)应急处置   25.制定工控安全事件应急预案,明确报告和处置流程,根据实际情况适时进行评估和修订,定期开展应急演练。当发生工控安全事件时,应立即启动应急预案,采取紧急处置措施,及时稳妥处理安全事件。  26.重要设备、平台、系统访问和操作日志留存时间不少于六个月,并定期对日志备份,便于开展事后溯源取证。  27.对重要系统应用和数据定期开展备份及恢复测试,确保紧急时工业控制系统在可接受的时间范围内恢复正常运行。 (四)安全评估   28.新建或升级工业控制系统上线前、工业控制网络与企业管理网或互联网连接前,应开展安全风险评估。  29.对于重要工业控制系统,企业应自行或委托第三方专业机构每年至少开展一次工控安全防护能力相关评估。  (五)漏洞管理   30.密切关注工业和信息化部网络安全威胁和漏洞信息共享平台等重大工控安全漏洞及其补丁程序发布,及时采取升级措施,短期内无法升级的,应开展针对性安全加固。  31.对重要工业控制系统定期开展漏洞排查,发现重大安全漏洞时,对补丁程序或加固措施测试验证后,方可实施补丁升级或加固。四、责任落实  32.工业企业承担本企业工控安全主体责任,建立工控安全管理制度,明确责任人和责任部门,按照“谁运营谁负责、谁主管谁负责”的原则落实工控安全保护责任。  33.强化企业资源保障力度,确保安全防护措施与工业控制系统同步规划、同步建设、同步使用。 相关链接 国家统计局:仪器仪表制造业的营业收入为10112.2亿元,同比增长4%,利润总额为1049.9亿元,同比增长2.3% . 服务高质量发展 机械行业在行动 . 习近平:加快发展新质生产力 扎实推进高质量发展 .