博识通 · 22年深耕工业自动化培训

工业控制系统网络安全
三大法规，企业合规必修

《网络安全法》+ 工控防护指南 + 等保 2.0，构成工控企业不可回避的合规底线。读懂这三条，才知道风险在哪、该怎么改、不改正会怎样。

一、三条法规，一张看懂

面向工业企业负责人、安全与自动化主管，把法条翻译成"要做什么、不做会怎样"。

①《网络安全法》

全国人大常委会 · 2017-06-01 施行

核心要求：确立网络安全等级保护、关键信息基础设施保护、网络运营者安全义务等基本制度。

与你相关：建有工业控制系统（ICS/SCADA）并接入网络的企业，即负有法定安全保护义务。

不整改后果：拒不改正或情节严重的，处 10 万—100 万元 罚款。

②《工业控制系统信息安全防护指南》

工业和信息化部 · 2016-10-01 发布

核心要求：分区分域隔离、边界防护、主机加固、身份认证、监测预警等管理技术要求。

与你相关：流程工业与离散制造企业的工控网络，须落实可核查的防护措施。

不整改后果：作为等保测评不符合项，直接影响备案与合规评价。

③ 等保 2.0（GB/T 22239-2019）

国家市场监管总局 / 国标委 · 2019-12-01 施行

核心要求：等保 2.0 通用要求 + 工业控制系统扩展要求，"一个中心、三重防护"。

与你相关：部署等保三级工控系统的企业，测评结论加严（≥75 分且不含高风险项）。

不整改后果：依《网络安全法》第 59 条责令改正、警告、罚款。

二、企业为什么要现在做合规

监管趋严、检查常态化。等出问题再补，代价远高于提前建设。

监管在查：等保测评、关基保护检查逐年加频，未备案 / 不达标会被通报、责令整改。
出事代价高：一旦因工控安全事件导致停产或事故，罚款、停业、追责叠加。
投标门槛：越来越多项目把"等保合规"列为准入或加分项。
落地有方法：分区分域、边界防护、制度 + 台账 + 培训留痕，是测评通过的关键。

三、企业工控等保合规自查清单（10 项）

对着查一遍，你大概就知道，离"过关"还差多远。

① 定级与备案

是否完成等级保护定级备案（尤其部署等保三级工控系统的企业）。
是否有关键信息基础设施的专项保护方案与责任人。

② 网络与边界

工控网络是否分区分域、生产网与办公网边界隔离。
是否部署边界防护与入侵检测，而非"一根网线通到底"。
主机 / 设备是否加固、弱口令已整改。

③ 身份与监测

是否启用身份认证与权限管理，账号可审计。
是否建立安全监测预警，异常能及时发现。

④ 制度与留痕

是否建立安全管理制度文件（制度、预案、台账齐全）。
是否开展合规培训并留痕（签到表、课件、考核结果三件套）。

⑤ 闭环

是否定期测评与整改闭环，高风险项限期清零。

三个量化硬指标（不达标就是没做完）：
• 网络日志留存不少于 6 个月——《网络安全法》硬要求，很多企业只留 30 天就断了。
• 等保三级及以上每年至少测评 1 次，测评结论不低于 75 分且不含高风险项。
• 重要数据每日备份，且保留离线 / 异地副本——勒索软件最怕这一条。

工控人最该额外自查的 4 个高危项：
• 移动介质：U 盘、移动硬盘进厂区有没有审批和登记？工控网专用盘有没有？
• 无线接入：现场有没有偷偷拉的无线路由、4G 随身 WiFi、无线网桥？
• 拍照与外设：检修人员拿手机进装置区、插 U 盘进工控机，是常态吗？
• 供应商远程运维：外部厂商远程接入有没有审批、有没有全程审计录屏？出事算谁的？

自测一下：如果 10 项里有 3 项以上"没有 / 不清楚"，说明合规缺口已经不小，建议尽快系统补齐——别等测评或检查撞上来。

四、系统掌握，来上这门课

《工业控制系统网络安全与等保合规培训》面向企业负责人、安全主管、自动化与 IT 工程师，把"法规要求"翻译成"现场可落地的改法"：

22 年工业自动化培训经验，服务 7000+ 企业、70000+ 学员实证
公开课 + 企业内训按需定制，覆盖法规解读 → 技术方案 → 测评应对 → 台账留痕
配套《客户合规简报》《自查清单》《举证包》等落地工具

马上咨询：领完整版清单 / 预约合规培训

加微信（18999183548）请备注"工控等保合规咨询"，发送贵司行业与工控系统概况，我们一对一给建议；完整版《工控等保自查清单（含逐项整改动作、台账模板）》同步发放。

立即电话咨询查看合规培训课程 → 复制微信领清单