扩展要求的定位
GB/T 22239-2019 在通用要求之外，为云计算、移动互联、物联网、工业控制系统与大数据分别给出安全扩展要求。工业控制系统安全扩展要求针对现场设备的物理防护、控制设备的访问控制、工业网络的分层部署与单向隔离、无线使用控制以及数据采集与传输等特殊场景补充条款。通用要求与扩展要求是叠加关系：扩展要求未覆盖的部分仍按通用要求执行，两者不一致时从严。
基本信息
| 适用对象 | 由控制器、上位机与工业网络组成、承载生产运行的控制系统 |
|---|---|
| 配套标准 | GB/T 22240-2020 定级指南、GB/T 25070-2019 安全设计技术要求、GB/T 28448-2019 测评要求 |
| 技术方面 | 安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心 |
| 管理方面 | 安全管理制度、机构、人员、建设管理与运维管理 |
| 扩展覆盖 | 现场设备物理防护、控制设备访问控制、网络分层与隔离、无线使用控制、数据采集与传输 |
扩展要求的常见补充点
| 方面 | 常见补充方向 | 落地表现 |
|---|---|---|
| 物理环境 | 室外与现场控制设备的物理防护 | 机柜上锁、开箱告警、防拆与巡检记录 |
| 通信网络 | 工业网络分层部署与关键链路冗余 | 控制网与管理网分离，链路与设备双机 |
| 区域边界 | 边界隔离与单向传输要求 | 工业防火墙、单向网关与白名单 |
| 计算环境 | 控制器与上位机的访问控制与最小权限 | 禁用默认账户、限制写入权限、操作留痕 |
| 数据 | 采集与传输的完整性与保密性 | 数据网关、校验与必要的加密隧道 |
| 管理 | 外协人员与远程运维的管控 | 作业审批、专人陪同、全程审计 |
落地时容易卡住的地方
- 现场设备分布在室外或无人站点，机房的物理防护条款无法照搬，需要等价措施
- 控制器本身不支持账号体系与日志，只能通过网络侧与网关做补偿
- 网络分层意味着改造既有扁平网络，必须申请停机窗口并准备回退方案
- 测评要求提供文档与记录，缺少变更与运维记录会成为扣分集中区
- 外协与远程运维条款需要运维部门配合执行，安全部门单独无法落地
等保 2.0 与 IEC 62443 的口径不同：前者是国内合规基线，按等级与对象给出要求；后者按区域与目标安全等级组织技术体系。实务中可以共用一份资产与通路清单，先满足合规基线，再用区域与管道方法补足技术深度。
定级是等保工作的起点，也是最容易出错的环节：定级不当会让测评范围与整改投入偏离真实风险。工控系统的定级需要考虑业务中断对生产、环境与公众的连带影响，建议与业务部门、行业监管要求共同确认。