工业互联网 网络安全.pdfVIP

工业互联网网络安全--第1页

工业互联网网络安全

原标题：《工业互联网企业网络安全分类分级指南（试行）》解读

近年，为加快构建工业互联网安全保障体系，提升工业互联网安全保

障能力，工业和信息化部不断完善工业互联网安全保障体系架构，相继发

布多个工业互联网相关的安全标准及指导意见。这些标准从安全评估、安

全建设、安全运维、安全应急等多个方面提出了安全要求，例如2016年

发布的《工业控制系统信息安全防护指南》、2017年发布的《工业控制

系统信息安全事件应急管理工作指南》，《工业控制信息安全防护能力评

估工作管理办法》和《工业控制系统信息安全行动计划（2018-2020）》

等。

2019年7月26日，工业和信息化部联合十部门发布《加强工业互联

网安全工作的指导意见》（以下简称《指导意见》）。近日为落实《指导

意见》，指导工业互联网企业的分类分级工作，工业和信息化部发布《工

业互联网企业网络安全分类分级指南（试行）》（以下简称《分类分级指

南》）的征求意见稿，面向社会征求意见。

尽管《分类分级指南》当前正处于面向社会征求意见阶段，但为了帮

助工业企业更好的理解《分类分级指南》,更为准确的进行分类分级工作，

笔者就其中一些内容进行解读，以飨读者。

《分类分级指南》适用范围

从整篇指南上看《分类分级指南》的工业企业对象主要面向制造业企

业，根据企业属性将工业互联网企业分为三类：

1）应用工业互联网的工业企业（简称“联网工业企业”）；

工业互联网网络安全--第1页

工业互联网网络安全--第2页

2）工业互联网平台企业（简称“平台企业”）；

3）工业互联网基础设施运营企业。

其中联网工业企业主要涉及原材料工业、装备工业、消费品工业和电

子信息制造业等行业，从企业属性上来看，大多都属于制造、加工类型，

其工业属性更强，工业网络安全建设相对薄弱，应按照《分类分级指南》

要求进行企业分级。而平台企业对外提供的是基于工业互联网平台的互联

信息服务，工业互联网基础设施运营企业多是基础电信运营企业和标识解

析系统建设运营机构，其更适用《通信网络安全防护管理办法》的要求进

行分级。

分级原则

图1《分类分级指南》基本原则

工业互联网企业的分级原则与等级保护定级基本原则类似，等级保护

定级是根据对象受到破坏时所侵害的客体和对客体造成侵害的程度进行定

级，而《分类分级指南》的分级则以企业实际受网络安全影响程度作为关

键因素，结合企业规模、企业应用工业互联网的程度、企业发生网络安全

事件的影响程度等要素确认工业互联网企业的分级。

图2等级保护定级原则

目前工业互联网企业分级的评分细则暂未形成，工业和信息化部将会

选择重点行业或区域，根据最佳实践，形成详细的工业互联网企业分级评

定规则，并建设工业互联网企业网络安全分类分级管理服务平台，由企业

根据自身实际情况填报问卷，形成自评报告。

表格1《分类分级指南》分级与等级保护定级原则一览表

工业互联网网络安全--第2页

工业互联网网络安全--第3页

联网工业企业分类和分级

《分类分级指南》基于联网工业企业所属行业网络安全影响程度由低

到高分别划分为一类、二类和三类，其中三类主要包括钢铁、有色、石化

化工、轨道交通装备、船舶及海洋工程装备、航空航天装备等行业。

图3《分类分级指南》企业分级

《等级保护标准》是国家网络安全建设的基本标准，面向的是所有行

业和企业，而《分类分级指南》则是在等级保护标准的基础上，对工业互

联网企业的安全要求进行深化，面向具有工业互联网属性的企业。

不同于等级保护的五级分类，《分类分级指南》采用计分方式将联网

工业企业分为三级，评分大于等于80分的，为三级企业