本项目包括但不限于： a) 重要区域应设置有门禁，或配置有专人值守，控制人员的进出，记录保存至少六个月； b 门窗应有防盗措施： 现场中控机房需具备门禁等防盗防破坏措施，禁止人员随意接触关键设备

4.1.3办公室区域的安全防护

本项目包括但不限于： a）应有针对办公区域的管理措施，外部人员的访问应经过审批，并有专人陪同 b）重要区域应设置门禁、视频监控等控制措施。

4.1.4外部和环境的安全防护

中控机房等重要区域应有防雷、防水、防火、温湿度控制等安全防护措施化工标准，应有防毒、防 对有毒可燃气体的检测功能：

4.1.5公共访问、交换区域安全

共访问、交换区域与生产系统应有隔离防护措放

4.1.6安全区域工作

在操作手册和岗位管理制度中应有操作规程对人员、设备的安全做出规定，并在工作区域明显地 方张贴。

4.2.1设备安置和保护

DB13/T 50022019

本项目包括但不限于： a）设备安装应牢固、合规； b）关键设备应有物理安全防护措施

本项目包括但不限于： a）应保证系统正常运行的支持性设备工作正常。 b）控制系统应具备紧急电源设施，应可提供与紧急电源设施之间的切换； c）应确保紧急电源之间的切换不会影响到现有的安全状态。

缆和电源线应隔离铺设，并且远离火源、电磁

本项目包括但不限于： a）应制定相关管理规定，明确责任部门和人员负责设施的定期维护管理； b）设备管理制度中应包括对各类设备维护维修等方面要求； c）维护记录内容应全面、真实。

4.2.5组织机构场所外的设备安全

4.2.6设备的安全处置或再利用

本项目包括但不限于： a）不同设备的存放环境应采取与其相应的保护措施，设备管理制度中应包括对设备的存放环境、 报废或再利用等方面； b）应有设备的报废或再利用清单； c）重要设备在报废或再利用前应彻底清除内含有的敏感信息

4. 2. 7 资产的移动

本项目包括但不限于： a) 设备管理制度应对资产的转移做出规定，包括转移过程是否有专人负责，转移流程、移动前 后资产的存放环境等； 资产的移动记录内容应全面、真实。

5.1.1网络服务的策略

本项目包括但不限于： a）应在网络边界部署访问控制设备，启用访问控制功能： b）系统对外提供的服务应仅限业务范围之内：

应制定对网络服务的访问控制策略； d）如制定规则，应测试访间控制规则是否有效。

5.1.2外部连接的用户鉴别

DB13/T 50022019

本项目包括但不限于： 网络与外部连接情况应与相关的管理制度且与网络拓扑结构相符； b) 系统内部终端连接外部网络情况应与相关的管理制度且与网络拓扑结构相符； 如与外部网络有连接，应通过措施进行控制； d) 网络内部如有VPN接入，应制定有效的控制措施（与外界均应物理隔离）

本项目包括但不限于： a）应制定网络设备标识命名规则； b）接入网络的设备应设有标识，且标识唯一。

本项目包括但不限于： a）应制定网络设备标识命名规则； b）接入网络的设备应设有标识，且标识唯一

5.1.4远程诊断和配置端口

对设备远程维护端口应设置访问控制规则，只允许特定IP地址访问

本项目包括但不限： 重要生产系统应部署在网络内部，重要网段与其他网段间应采用可靠的技术手段进行隔离： 应根据部门职能、重要性划分出不同的子网

5.1.6网络连接控制

重要网段与其他网段之间的访问应有访问控制

5.1.7经由非可信网络的访问

5.1.8明确对访问请求的批准

控制系统应提供能力默认拒绝来自不

5. 1.9 无线使用控制

本项目包括但不限于： 服务 a）应具备对无线访问的授权、监视和限制的能力； b）应具备认证机制保护无线访问

十未授权的无线设备进行

本项目包括但不限于： a）应具备扫描物理环境内发射信号的无线设备的功能； b）应具备对物理环境内发射信号的未授权的无线设备进行识别和报告的能力。

DB13/I 50022019

5. 2. 1 审计记录

本项目包括但不限于： a）系统应具备日志功能，并且日志功能处于开启状态； b）应对网络设备的运行状况、用户行为等进行日志记录； c）日志记录内容应包含日期、时间、用户、事件等相关事项，至少保存6个月。

5.2.2监视系统的使用

系统日志应对系统资源使用情况

5.2.3日志信息的保护

5.2.4管理员和操作且志

系统日志应对管理员登录和操作进行记录，内容应包括日期、时间、用户名、登录IP地址、 容及结果等，当审计记录存储上限时应具备发出警告功能

本项目包括但不限于： a）系统时间应与标准时区时间一致； b）如有必要相关工业控制系统可以采用时间戳服务器进行时间管理。

本项目包括但不限于： a）应具备控制系统网络与非控制系统网络的逻辑分区功能； b）应具备关键控制系统网络与其他控制系统网络的逻辑分区功能。

5.3.2物理网络分区

本项目包括但不限于： a）控制系统网络与非控制系统网络之间应进行物理划分： b）关键控制系统网络与其他控制系统网络之间应进行物理划分。

5.3.3与非控制系统网络的独立性

5.3.4关键网络的逻辑和物理隔离

应采取措施将关键控制系统与其他控制系统进行逻辑和物理隔离。

5.3.5区域边界防护

控制系统应具备边界防护设备，对所有区域边界的外部接口进行管理。

5.3.6默认拒绝，例外允许

边界防护设备应按照默认拒绝，例外允许的原则进行功能配置。

5. 3. 7 孤岛模型

安全设备应具备当检测到安全事件时拒绝所有访

5. 3. 8 故障关闭

控制系统应具备检测攻击的工具

控制系统应具备检测攻击的工具

5.5.1拒绝服务的防护

DB13/T 50022019

应具备防护拒绝服务攻击的能力，或以降级模式运行，攻击事件不应对任何功能安全相关系统产 生不利影响。

5.5.2管理通信负荷

应提供管理通信负荷的能力（例如使用限速）来削减拒绝服务攻击事件

5.5.3限制拒绝服务攻击对其他系统和网络的

应提供能力限制所有用户（人、软件进程和设备）引发拒绝服务攻击事件的能力，避免景 控制系统和网络。

3.1操作系统访问控制

6.1. 1 安全登录规程

本项目包括但不限于： a）应对操作系统和数据库用户进行身份鉴别； b）应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施 C）当对服务器进行远程管理时， 应采取必要措施防止鉴别信息在网络传输过程中被窃明

6. 1.2用户标识和鉴别

本项目包括但不限于： a）应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性； b 应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权 限； C 应严格限制默认帐户的访问权限，重命名系统默认帐户：

DB13/T 50022019

）应及时删除多余的、过期的账户，避免共享账户的存在。

6. 1. 3口令管理系统

本项目包括但不限于： a 操作系统和数据库系统管理用户身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要 求并定期更换； b）修改系统默认口令。

6. 1.4系统实用工具的使用

应设置访问控制规则，限制用户对资源的访问！

6. 1. 5 会话超时

应根据安全策略设置登录终端的操作超时锁定。

根据安全策略设置登录终端的操作超时锁定。

6.1.6联机时间的限定

本项目包括但不限于： a）网络内是否存在安装在高风险位置的敏感应用程序； b）如存在此类程序，应设置联机时间（如无特殊要求，则设为正常办公时间）

6. 2. 1审计记录

本项目包括但不限于： 系统应开启日志记录功能； 应对系统关键事件、用户行为等进行日志记录； 日志记录需包含日期、时间、用户、事件等相关事项。

6. 2. 2监视系统的使

6.2.3日志信息的保护

6.2.4管理员和操作且志

应对管理员登录和操作进行记录，内容应包括日期、时间、用户名、登录IP地址、操作内容及结 果等，当审计记录存储上限时应具备发出警告功能。

应对系统故障或错误进行日志记录，记录内容包括日期、时间、系统故障或系统错误内容等，

6. 2. 6 时钟同步

本项目包括但不限于： a)系统时间应与标准时区时间一致：

b）如果与互联网有连接，时间服务应运行，时间服务器应设置正确

6.3.1恶意代码防护

DB13/T 50022019

本项目包括但不限于： a）系统应安装有恶意代码防护产品； b）恶意代码防护产品的防护功能应配置和启用； c）恶意代码防护产品的特征库应为最新版本

6.3.2恶意代码防护的集中管理

系统边界设备的设置，应具备禁止传输和接收一般目的的个人通信功能，如电子邮件或即 软件等。

应禁止或限制其他多余的功能、端口、协议和/

提供安全功能对系统资源使用限制的能力，防

6.6.1对移动存储介质和移动设备的使用控制

本项目包括但不限于： a）应具备安全措施对移动存储介质和移动设备进行禁用和控制； b）应具备对移动存储介质和移动设备进行监视和记录的功能； c）控制系统应具备限制代码和数据传入传出移动存储介质和移动设备的能力

6.6.2对移动存储介质和移动设备的安全状态的检查

本项目包括但不限于： a）应具备安全措施对移动存储介质和移动设备的安全状态进行检查； b）应对扫描结果进行监视和记录。

6. 6. 3 移动代码

本项目包括但不限于： a 系统是否提供禁用/控制使用移动代码的功能； b）应提供监视和记录移动代码的功能； C）应定义限制使用的移动代码技术列表

6.6.4移动代码的完整性

DB13/T 50022019

应提供在允许代码执行前验证移动代码的完整性的能力

操作系统硬盘被移作他用时，应清除其储存的数据资源，确保无法被其他用户获取，

7监视控制与数据采集系统安全

.1.1用户（人）的标识和认证

控制系统应提供对所有用户（人）标识和认

应提供对所有用户（人）标识和认证能力。

7.1. 2 唯一标识和认证

控制系统应提供对所有用户（人）唯

控制系统应提供对所有用户（人）唯

7.1.3非可信网络的多因子认证

通过非可信网络访问（远程访问）控制系统时，控制系统应为其提供多因子认证的能力，但要拒 绝下行控制参数访间。

7.1.4对所有网络的多因子认证

7. 1. 6 唯一标识和认证

控制系统应对所有用户（软件进程、设备）提供唯一标识和认证的

控制系统应提供对所有账户的管 修改、禁用和移除账户的能力

7.1. 8 统一的账号管理

控制系统应提供能力支持统一的帐号管理

7.1.10认证码管理

本项目包括但不限于： a) 控制系统应具有定义初始认证码的能力； b) 在控制系统安装完毕后，应可变更默认认证码： c) 应具备周期性更改认证码的功能； d）应保护认证码存储和传输时不被未经授权的泄露和更改

7.1.11软件进程标识凭证的硬件安全

7. 1. 12 无线访问管理

7.1.13无线唯一标识和认证

DB13/T50022019

对参与无线通信的所有的用户（人、软件进程或设备），控制系统应提供唯一标识和认证的能力

7.1.14口令认证的加强

对于使用口令认证的控制系统，控制系统应提供能力，实施可配置的基于最小长度和不同字符类 令强度。

7.1.15限制用户（人）的口令生成和口令有效期

7.1.16限制所有用户的口令有效期

7.1.17公钥基础设施证书

当使用公钥基础设施PKI时，控制系统应提供能力按照普遍接受的最佳实践运行PKI或从现PKI 中获取公钥证书。

7.1. 18 公钥认证加强

使用公钥认证的控制系统，应具备证书有效性验证和标识映射功能

7.1.19公钥认证的硬件安全

7. 1. 20 认证反馈

程中，控制系统应提供将认证信息反馈模糊化白

7.1.21失败的登录尝试

控制系统应具备登录失败处理功能

控制系统应具备登录失败处理功能

7.1.22系统使用通知

DB13/I 50022019

DB13/T 50022019

7.2.2对所有用户执行授权

7.2.3映射许可到角色

控制系统应为资产所有者提供修改许可到角色的映射能力

控制系统应支持主管在可配置的时间 三工越权于当前用户（人）的授权

控制系统应支持主管在可配置的时间

在行为可能对工业流程产生严重影响之处，控制系统应支持双授权

控制系统应具备用户超时锁定功能。

7.2. 7 远程会话终正

控制系统应提供在可配置的不活跃时间周期后自动终止远程会话或由用户手动终止远程会话日

7. 2. 8 并发会话控制

对任意给定用户（人、软件进程或设备）镀锌电焊网标准，控制系统应提供将每个接口的并发会话的数目限制为 个可配置的数目的能力。

7.2.9可审计的事件

本项目包括但不限于： a）访问控制、请求错误、系统事件、备份和存储、配置变更、潜在侦查行为和审计日志事件； b）每个审计记录应包括时间戳、源、类别、类型、事件id和事件结果。

7.2.10中央管理的、系统范围的审计跟踪

本项目包括但不限于： a）控制系统应具备对整个控制系统内多个元器件的审计记录进行中央管理的功能； b）控制系统应具备审计记录输出功能，

7.2.11审计存储容量

装饰装修标准规范范本控制系统应具备预防审计存储容量超出限制的功能。