工控扩展要求是什么
工业控制系统纳入等级保护时，在通用要求之外叠加「工业控制系统安全扩展要求」，关注现场控制层、过程监控层与生产管理层的分层结构、工业协议特性与生产连续性。核心原则是安全与生产并重：任何安全措施都不得影响实时性与可用性，改造要评估影响并选择停机窗口。
基本信息
| 适用对象 | 采用工业控制技术的系统（含 SCADA、DCS、PLC 等场景） |
|---|---|
| 组成 | 现场控制层、过程监控层、生产管理层等分层结构 |
| 关注点 | 区域划分与边界、工业协议防护、主机白名单、补丁与变更窗口 |
| 原则 | 安全与生产并重，改造前评估对可用性与实时性的影响 |
| 常见约束 | 设备老旧无法装代理、协议无加密、停机窗口稀缺 |
| 管理要求 | 变更需生产部门会签，改造方案与回退预案同步留存 |
典型使用场景
- 新建产线或产线改造时同步做安全分区与边界防护设计
- 控制网与办公网之间加装工业防火墙，禁止无必要的直连
- 上位机与工程师站做白名单管控，阻止未授权软件运行
- 远程运维引入时经专用通道并全程记录操作
- 安全补丁与杀毒更新安排在生产停机窗口内实施
工控安全核查要点
工控安全核查要点
控制网络与管理网络是否隔离？
是否存在跨层直连或双网卡主机？
是否具备流量监测与异常行为审计？
补丁与杀毒操作是否安排停机窗口？分层与防护重点
| 层级 | 典型设备 | 防护重点 |
|---|---|---|
| 现场控制层 | PLC、RTU、变送器 | 物理防护、访问限制、禁止无关接入 |
| 过程监控层 | 工程师站、HMI、SCADA | 主机加固、白名单、账号与审计 |
| 生产管理层 | MES、生产报表系统 | 与办公网边界防护、数据单向或受控流转 |
| 对外连接 | 远程运维与供应商接入 | 专用通道、身份核验、操作录像 |
工控协议的固有缺陷无法靠设备弥补：多数工业协议缺少认证与加密，因此分区、边界控制与流量监测是主要手段，不能指望协议侧修补。
在控制网中使用主动扫描或未经验证的防护软件，可能引发控制器通讯异常甚至停机。测试类动作必须先申请窗口并在生产部门在场时进行。