2011年9月，工信部印發《關於加強工業控製係統信息安全管理的通知》工信部協 [2011] 451號文(簡稱451號文)
，掀開了工業控製係統安全的“麵紗”，通過規範管理等要求，使各工業企業單位
，理解工業控製係統安全的重要性。時隔5年
，2016年10月工信部印發《工業控製係統信息安全防護指南》(簡稱指南)，從11項30個要點詳細明確安全防護工作的指導方針。5年的時間裏
，國內涉及工業控製係統信息安全領域的公司，如雨後春筍般發芽、chengchang
，kuangenwangluozuoweigongyekongzhixitongxinxianquanlingyudelingjunqiye
，tongguozhenduizheliangfenwenjiandexizhifenxi
，xiwangnengweigongyekongzhixitongxinxianquandecongyezhetigongcankao。

1、 背景不同

2016年10月，工信部印發了《工業控製係統信息安全防護指南》
，為wei工gong業ye企qi業ye製zhi定ding工gong控kong安an全quan防fang護hu實shi施shi方fang案an提ti供gong指zhi導dao方fang向xiang。該gai指zhi南nan的de製zhi訂ding，是shi在zai國guo內nei深shen化hua製zhi造zao業ye與yu互hu聯lian網wang融rong合he發fa展zhan的de大da背bei景jing下xia

，國guo內nei工gong業ye控kong製zhi係xi統tong信xin息xi安an全quan問wen題ti突tu出chu的de情qing況kuang下xia，國guo內nei工gong控kong安an全quan多duo個ge標biao準zhun發fa布bu，工gong控kong安an全quan技ji術shu蓬peng勃bo發fa展zhan的de環huan境jing下xia，基ji於yu管guan理li、深入技術
、結合業務，以新高度為工業企業提供全麵的工控安全建設指導。

回顧2010年震網事件剛剛爆發
，引起了全世界範圍內對工業控製係統信息安全的關注，但國內對工業控製係統信息安全問題的重視程度不夠、管理製度缺失、相關標準規範不完整，因此工信部印發451號文，從管理要求和製度責任角度
，為工業企業提供建議參考。

在國內深化製造業與互聯網融合發展的大背景下
，該《指南》的發布不再是“就安全，說安全”
，而是使工業控製係統安全作為業務發展的重要組成部分，安全與業務的結合不再是分離
，而是融合。

2、 對象不同

由於國內工業控製係統信息安全背景的變化
，該《指南》的發布對象與451號文比較，所麵向的目標更精準，從各省
、自治區、直zhi轄xia市shi人ren民min政zheng府fu
，國guo務wu院yuan有you關guan部bu門men明ming確que到dao地di方fang工gong業ye和he信xin息xi化hua主zhu管guan部bu門men，從cong大da型xing國guo有you企qi業ye擴kuo展zhan到dao所suo有you工gong業ye控kong製zhi係xi統tong的de應ying用yong企qi業ye
，並bing且qie提ti到dao從cong事shi工gong業ye控kong製zhi係xi統tong規gui劃hua

、設計

、建設、運維、評估的企事業單位也適用該《指南》，從主管單位、到工業企業、到服務組織都需要以該《指南》作為指導。

3、 目的不同

印發《指南》的(de)通(tong)知(zhi)中(zhong)明(ming)確(que)了(le)工(gong)業(ye)和(he)信(xin)息(xi)化(hua)部(bu)指(zhi)導(dao)和(he)管(guan)理(li)全(quan)國(guo)工(gong)業(ye)企(qi)業(ye)工(gong)控(kong)安(an)全(quan)防(fang)護(hu)和(he)保(bao)障(zhang)工(gong)作(zuo)的(de)職(zhi)責(ze)，以(yi)管(guan)理(li)和(he)技(ji)術(shu)防(fang)護(hu)指(zhi)南(nan)的(de)形(xing)式(shi)，要(yao)求(qiu)各(ge)地(di)工(gong)業(ye)和(he)信(xin)息(xi)主(zhu)管(guan)部(bu)門(men)指(zhi)導(dao)工(gong)業(ye)企(qi)業(ye)製(zhi)定(ding)工(gong)控(kong)安(an)全(quan)防(fang)護(hu)實(shi)施(shi)方(fang)案(an)，推(tui)動(dong)企(qi)業(ye)分(fen)期(qi)分(fen)批(pi)達(da)到(dao)該(gai)指(zhi)南(nan)相(xiang)關(guan)要(yao)求(qiu)，從(cong)而(er)提(ti)升(sheng)國(guo)內(nei)工(gong)控(kong)安(an)全(quan)整(zheng)體(ti)防(fang)護(hu)水(shui)平(ping)。而(er)451文在當時的背景下
，以通知的形式呼籲政府和大型國企要高度重視，增強風險意識、責任意識和緊迫感，切實加強工業控製係統信息安全管理。

4
、 內容不同

在具體的條款內容上，《指南》與451號文比較，在技術的深入性、業務的兼容性方麵更全麵、更具體、更可操作。

《指南》與451號文在管理和技術內容方麵的對比

指南451號文

安全軟件選擇與管理設備選擇與升級管理要求

配置和補丁管理設備選擇與升級管理要求

邊界安全防護連接管理要求

組網管理要求

物理和環境安全防護

身份認證配置管理要求

遠程訪問安全

安全監測和應急預案演練應急管理要求

資產安全

數據安全數據管理要求

供應鏈管理設備選擇與升級管理要求

落實責任進一步加強工業控製係統信息安全工作的組織領導

工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)信(xin)息(xi)安(an)全(quan)防(fang)護(hu)指(zhi)南(nan)意(yi)義(yi)重(zhong)大(da)，它(ta)對(dui)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)應(ying)用(yong)企(qi)業(ye)以(yi)及(ji)從(cong)事(shi)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)工(gong)作(zuo)的(de)企(qi)業(ye)起(qi)到(dao)了(le)很(hen)好(hao)的(de)指(zhi)導(dao)作(zuo)用(yong)，解(jie)決(jue)了(le)大(da)家(jia)麵(mian)臨(lin)的(de)很(hen)多(duo)困(kun)惑(huo)和(he)難(nan)題(ti)，並(bing)提(ti)供(gong)了(le)很(hen)好(hao)的(de)針(zhen)對(dui)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)麵(mian)臨(lin)的(de)網(wang)絡(luo)安(an)全(quan)問(wen)題(ti)的(de)解(jie)決(jue)思(si)路(lu)和(he)落(luo)地(di)技(ji)術(shu)手(shou)段(duan)，主(zhu)要(yao)體(ti)現(xian)在(zai)：

(1)管理要求的精準化

《指南》中涉及管理的內容包括安全軟件管理、配置和補丁管理
、身份認證管理、供gong應ying鏈lian管guan理li等deng具ju體ti的de管guan理li要yao求qiu。從cong工gong業ye企qi業ye麵mian臨lin的de最zui急ji迫po的de管guan理li問wen題ti出chu發fa，並bing結jie合he工gong業ye企qi業ye的de信xin息xi安an全quan管guan理li現xian狀zhuang，提ti出chu精jing準zhun的de管guan理li指zhi導dao方fang針zhen。

(2)技術要求的全麵化

《指南》中對技術要求的闡述非常全麵
，包含了工業控製係統信息安全防護的方方麵麵，包括結構安全方麵的邊界安全防護、遠程訪問安全;行為安全方麵的安全監測和應急預案演練;本體安全方麵的安全軟件選擇與管理、物理和環境安全防護、身份認證、資產安全、數據安全;安全持續性方麵的配置和補丁管理、供應鏈管理、落實責任。

(3)技術實現的具體化

《指南》中zhong對dui技ji術shu要yao求qiu的de闡chan述shu非fei常chang具ju體ti，不bu是shi抽chou象xiang的de描miao述shu技ji術shu原yuan理li
，而er是shi具ju體ti的de防fang護hu技ji術shu措cuo施shi，讓rang工gong業ye企qi業ye能neng夠gou直zhi觀guan明ming了le的de理li解jie技ji術shu措cuo施shi的de具ju體ti操cao作zuo和he實shi施shi過guo程cheng。例li如ru
，第di七qi條tiao第di一yi款kuan“在工業控製網絡部署網絡安全監測設備，及時發現、報告並處理網絡攻擊或異常行為”;第七條第二款“在重要工業控製設備前端部署具備工業協議深度包檢測功能的防護設備，限製違法操作”。

(4)業務兼容的可操作性

《指南》並bing不bu是shi完wan全quan以yi信xin息xi安an全quan的de角jiao度du進jin行xing闡chan述shu，而er是shi結jie合he工gong業ye企qi業ye的de業ye務wu現xian場chang環huan境jing，讓rang信xin息xi安an全quan的de防fang護hu措cuo施shi能neng夠gou真zhen正zheng融rong入ru到dao工gong業ye現xian場chang的de業ye務wu場chang景jing中zhong
，為wei業ye務wu係xi統tong的de安an全quan穩wen定ding運yun行xing保bao駕jia護hu航hang。例li如ru
，第di一yi條tiao第di一yi款kuan“在(zai)工(gong)業(ye)主(zhu)機(ji)上(shang)采(cai)用(yong)經(jing)過(guo)離(li)線(xian)環(huan)境(jing)中(zhong)充(chong)分(fen)驗(yan)證(zheng)測(ce)試(shi)的(de)防(fang)病(bing)毒(du)軟(ruan)件(jian)或(huo)應(ying)用(yong)程(cheng)序(xu)白(bai)名(ming)單(dan)軟(ruan)件(jian)
，隻(zhi)允(yun)許(xu)經(jing)過(guo)工(gong)業(ye)企(qi)業(ye)自(zi)身(shen)授(shou)權(quan)和(he)安(an)全(quan)評(ping)估(gu)的(de)軟(ruan)件(jian)運(yun)行(xing)”提到的離線環境和充分測試，這是工業企業對軟件係統的上線要求;第六條第三款“確需遠程維護的，采用虛擬專用網絡(VPN)等遠程接入方式進行”考慮了遠程運維在業務係統中普遍存在的現實情況提出的防護指導技術要求。

針zhen對dui工gong業ye控kong製zhi係xi統tong網wang絡luo攻gong擊ji的de手shou段duan不bu斷duan更geng新xin和he變bian化hua，工gong業ye控kong製zhi係xi統tong信xin息xi安an全quan的de防fang禦yu技ji術shu也ye在zai不bu斷duan的de提ti高gao和he改gai進jin，工gong業ye控kong製zhi係xi統tong信xin息xi安an全quan的de標biao準zhun規gui範fan在zai不bu斷duan的de演yan進jin和he發fa布bu，所suo以yi《指南》的印發

，從全局考慮，以新的高度對工業企業的安全防護方案提出指導，將全麵提升國內工業控製係統信息安全的整體防護水平。