ICS35.030 CCSM10 中华人民共和国国家标准 GB/T44462.2—2024 工业互联网企业网络安全 第2部分:平台企业防护要求 Industrialinternetenterprisecybersecurity— Part2:Protectionrequirementsofindustrialinternetplatformenterprise 2024-09-29发布 2025-01-01实施 国家市场监督管理总局 国家标准化管理委员会发布目 次 前言 Ⅲ ………………………………………………………………………………………………………… 引言 Ⅳ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 缩略语 1 …………………………………………………………………………………………………… 5 工业互联网平台企业安全防护级别的确定 2 …………………………………………………………… 6 工业互联网平台企业安全防护范围 2 …………………………………………………………………… 7 工业互联网平台企业安全防护要求 2 …………………………………………………………………… 7.1 初始级防护要求 2 …………………………………………………………………………………… 7.2 基本级防护要求 10 …………………………………………………………………………………… 7.3 增强级防护要求 21 …………………………………………………………………………………… 附录A(资料性) 工业互联网平台企业安全防护范围 30 ………………………………………………… 参考文献 31 …………………………………………………………………………………………………… ⅠGB/T44462.2—2024 前 言 本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定 起草。 本文件是GB/T44462《工业互联网企业网络安全》的第2部分。GB/T44462已经发布了以下 部分: ———第1部分:应用工业互联网的工业企业防护要求; ———第2部分:平台企业防护要求; ———第3部分:标识解析企业防护要求。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中华人民共和国工业和信息化部提出。 本文件由全国通信标准化技术委员会(SAC/TC485)和全国网络安全标准化技术委员会(SAC/TC260) 共同归口。 本文件起草单位:中国信息通信研究院、国家工业信息安全发展研究中心、中国软件评测中心(工业 和信息化部软件与集成电路促进中心)、中国工业互联网研究院、中国电子技术标准化研究院、北京航空 航天大学、上海宝信软件股份有限公司、卡奥斯物联科技股份有限公司、杭州安恒信息技术股份有限公 司、南京中新赛克科技有限责任公司、奇安信科技集团股份有限公司、北京天融信网络安全技术有限公 司、北京珞安科技有限责任公司、北京启明星辰信息安全技术有限公司、北京神州绿盟科技有限公司、 国网电商科技有限公司、北京升鑫网络科技有限公司、郑州信大捷安信息技术股份有限公司、北京信安 世纪科技股份有限公司、国能大渡河大数据服务有限公司、富士康工业互联网股份有限公司、腾讯 (深圳)科技有限公司、国网河南省电力公司、西安热工研究院有限公司、上海电器科学研究所(集团)有 限公司、北京六方云信息技术有限公司、长扬科技(北京)股份有限公司。 本文件主要起草人:魏亮、赵爽、李诗婧、张倩、柯皓仁、马娟、于广琛、李艺、秦国英、王吉、吴诗雨、 王冲华、周昊、张哲宇、王斌斌、余涛、徐洪涛、李俊鹏、唐刚、张德馨、查奇文、李琳、糜靖峰、洪晟、安成飞、 刘畅、寇增杰、张晓东、崔莹莹、尹雅伟、郭兴科、张福、刘为华、焦靖伟、李林、罗玮、党芳芳、李帅、杨东、 苑鹏飞、李江力、汪义舟。 ⅢGB/T44462.2—2024 引 言 工业互联网企业数量众多、信息化发展程度不同且承载业务类型相异,所属行业网络安全防护规律 差异化明显,为解决现有网络安全防护要求无法满足工业互联网企业发展实际需求的问题,需实施工业 互联网企业网络安全分类分级管理并编制相关标准。 GB/T44462《工业互联网企业网络安全》是指导工业互联网企业开展网络安全分类分级防护工作 的基础性标准,旨在针对应用工业互联网的工业企业、工业互联网平台企业、工业互联网标识解析企业 及企业数据安全,提出不同级别的网络安全管理及安全防护技术要求,用于指导企业落实与自身级别相 适应的安全防护措施,由于文件的使用者需求不同,由四个部分构成。 ———第1部分:应用工业互联网的工业企业防护要求。目的在于提出应用工业互联网的工业企业 开展网络安全分类分级防护工作需要落实的安全要求。 ———第2部分:平台企业防护要求。目的在于提出工业互联网平台企业开展网络安全分类分级防 护工作需要落实的安全要求。 ———第3部分:标识解析企业防护要求。目的在于提出工业互联网标识解析企业开展网络安全分 类分级防护工作需要落实的安全要求。 ———第4部分:数据防护要求。目的在于提出工业互联网企业开展网络安全分类分级防护工作需 要落实的数据安全要求。 本文件面向工业互联网平台企业,提出了初始级、基本级、增强级三个不同级别的安全要求,指导企 业实施工业互联网安全分类分级管理工作,为工业互联网平台企业加强网络安全防护能力建设奠定 基础。 ⅣGB/T44462.2—2024 工业互联网企业网络安全 第2部分:平台企业防护要求 1 范围 本文件规定了工业互联网平台企业在接入层、基础设施层、平台层、应用层、管理以及物理环境等方 面不同级别的网络安全防护要求。 本文件适用于指导工业互联网平台企业开展网络安全分类分级防护工作。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文 件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于 本文件。 GB/T25069 信息安全技术 术语 GB/T39786 信息安全技术 信息系统密码应用基本要求 GB/T42021 工业互联网 总体网络架构 GB50174 数据中心设计规范 3 术语和定义 GB/T25069和GB/T42021界定的以及下列术语和定义适用于本文件。 3.1 工业互联网 industrialinternet 新一代信息通信技术与工业经济深度融合的新型基础设施、应用模式和工业生态,通过对人、机、 物、系统等的全面连接,构建起覆盖全产业链、全价值链的全新制造和服务体系。 [来源:GB/T42021—2022,3.1] 3.2 工业互联网平台 industrialinternetplatform 面向制造业数字化、网络化、智能化需求,构建基于海量数据采集、汇聚、分析的服务体系,支撑制造 资源泛在连接、弹性供给、高效配置的工业云平台。 3.3 工业互联网平台企业 industrialinternetplatformenterprise 面向制造业数字化、网络化、智能化需求,基于云平台等方式对外提供工业大数据、工业APP等资 源和公共服务的企业。 4 缩略语 下列缩略语适用于本文件。 APP:应用程序(Application) 1GB/T44462.2—2024 CPU:中央处理器(CentralProcessingUnit) IP:网际互连协议(InternetProtocol) PKI:公钥基础设施(PublicKeyInfrastructure) SSL:安全套接层(SecureSocketLayer) 5 工业互联网平台企业安全防护级别的确定 工业互联网平台企业应按照工业互联网企业网络安全定级方法相关标准划分级别,由低到高划分 为一级、二级、三级,采取不同程度的安全防护。工业互联网平台企业的安全防护要求分为初始级、基本 级和增强级三个级别,如表1所示,其中: ———一级工业互联网平台企业应按照初始级防护要求采取防护措施; ———二级工业互联网平台企业应按照基本级防护要求采取防护措施; ———三级工业互联网平台企业应按照增强级防护要求采取防护措施。 表1 工业互联网平台企业安全防护级别的确定 企业级别 安全防护要求级别 一级 初始级 二级 基本级 三级 增强级 6 工业互联网平台企业安全防护范围 工业互联网平台企业安全防护范围从接入层安全、基础设施层安全、平台层安全、应用层安全、安全 管理以及物理环境安全要求等方面展开,参见附录A。具体内容包括: a) 接入层安全防护:主要指针对网关等接入设备提出安全防护规范,包括接入设备安全、接入层 网络安全等方面; b) 基础设施层安全防护:包括计算环境安全、网络安全、网络设备安全、虚拟化安全等方面; c) 平台层安全防护:包括通用组件安全、通用接口安全、容器安全等方面; d) 应用层安全防护:包括面向各类工业应用场景的业务应用安全等方面; e) 安全管理:包括机构管理、制度管理、人员管理、安全建设管理、安全运维管理等方面; f) 物理环境安全:包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防 潮、防静电、温湿度控制、电力供应