附件3

工业控制系统网络安全自查表

（各企业组织填写）

工业控制系统网络安全自查表（一）
单位信息	单位全称
法人代表
通讯地址	省 市 县（区）
单位网址
邮政编码
所属行业
销售收入
经济类型	□ 国有事业单位

□ 国有及国有控制企业 （□ 中央 □ 地方）

□ 股份制企业 □ 外商及港澳台投资企业4

□ 集体企业 □ 民营企业

□ 其他：
工业控制系统网络安全负责人	姓名
职务
所属部门
工作电话
电子邮件
传真
工业控制系统网络安全联系人	姓名
职务
所属部门
工作电话
电子邮件
传真
工业控制系统基本情况	工业控制系统总数量/套
已开展安全等级保护测评的工业控制系统数量/套
系统名称	系统简介
注：《工业控制系统网络安全自查表（一）》填写本单位工业控制系统整体情况。

工业控制系统网络安全自查表（二）
工业控制系统名称
工业控制系统网络安全负责人	姓名
职务
所属部门
工作电话
功能描述	（描述该系统的功能、业务流程）

业务互联

情况描述	（描述与其他工业控制系统、上层监控系统、MES系统等互联情况）

系统组成结构描述	（描述该工业控制系统的组成情况、网络拓扑图等）

安全等级保护测评开展情况	（工业控制系统已开展网络安全等级保护测评的，描述网络安全等级保护测评情况，包括测评结论及存在的问题等内容；未开展网络安全等级保护测评的，描述开展安全等级保护测评计划）

工业互联网平台或工业云使用情况	（描述工业生产系统通过自己建设或使用第三方工业互联网平台或工业云的情况）

工业控制系统构成情况	类型	设备	国内品牌	国外品牌
工业生产

控制设备	可逻辑编程控制器（PLC）/台
分布式控制系统（DCS）/台
远程终端设备（RTU）/台
数控机床/台
工业机器人/台
智能仪表/台
其它/台
工业网络

通信设备	工业交换机/台
工业路由器/台
串口服务器/台
其它/台
工业主机

设备	工业主机/台
组态软件&数据采集与监控系统（SCADA）软件/套
工业数据库/套
其它/台
工业生产

信息系统	制造执行系统（MES）/套
ERP管理系统/套
工业云/套
工业应用程序（APP）/套
其它/套
工业网络

安全设备	工业防火墙/台
工业网闸/台
主机安全防护设备/台
其它/台
资产管理

方面	是否明确工业控制系统资产管理责任部门和责任人。	(是 (否 (不涉及
是否建立工业控制系统资产清单。	(是 (否 (不涉及
是否根据资产状态变化及时更新工业控制系统资产清单。	(是 (否 (不涉及
是否定期开展工业控制系统资产核查，内容包括但不限于系统配置、权限分配、日志审计、病毒查杀、数据备份、设备运行状态等情况。	(是 (否 (不涉及
是否根据承载业务的重要性、规模，以及发生网络安全事件的危害程度等因素，建立重要工业控制系统清单并定期更新，实施重点保护。	(是 (否 (不涉及
是否对重要工业控制系统相关的关键工业主机、网络设备、控制设备等，应实施冗余备份。	(是 (否 (不涉及
配置管理

方面	是否强化账户及口令管理，避免使用默认口令或弱口令，定期更新口令。	(是 (否 (不涉及
是否遵循最小授权原则，合理设置账户权限，禁用不必要的系统默认账户和管理员账户，及时清理过期账户。	(是 (否 (不涉及
是否建立工业控制系统安全配置清单、安全防护设备策略配置清单。	(是 (否 (不涉及
是否定期开展配置清单审计，及时根据安全防护需求变化调整配置，重大配置变更实施前进行严格安全测试，测试通过后方可实施变更。	(是 (否 (不涉及
供应链安全方面	是否与工业控制系统厂商、云服务商、安全服务商等供应商在签订的协议中，明确各方需履行的安全相关责任和义务，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等。	(是 (否 (不涉及
工业控制系统使用关键设备（如PLC、DCS、SIS等）时，是否对关键设备出具了具备资格的机构安全认证合格或者安全检测符合要求的安全报告。	(是 (否 (不涉及
宣传教育

方面	是否定期开展工业控制系统网络安全相关法律法规、政策标准宣传教育工作。	(是 (否 (不涉及
是否针对工业控制系统和网络相关运维人员，定期开展工控安全专业技能培训及考核。	(是 (否 (不涉及
主机与终端安全方面	是否在工程师站、操作员站、工业数据库服务器等主机上部署防病毒软件，并定期进行病毒库升级和查杀。	(是 (否 (不涉及
是否对具备存储功能的介质，在其接入工业主机前，应进行病毒、木马等恶意代码查杀。	(是 (否 (不涉及
主机是否采用应用软件白名单技术，只允许部署运行经企业授权和安全评估的应用软件，并有计划的实施操作系统、数据库等系统软件和重要应用软件升级。	(是 (否 (不涉及
是否拆除或封闭工业主机上不必要的通用串行总线（USB）、光驱、无线等外部设备接口，关闭不必要的网络服务端口。	(是 (否 (不涉及
是否对接入外部设备采取访问控制措施。	(是 (否 (不涉及
是否对工业主机、工业智能终端设备（控制设备、智能仪表等）、网络设备（工业交换机、工业路由器等）的访问实施用户身份鉴别，关键主机或终端的访问采用双因子认证。	(是 (否 (不涉及
是否根据承载业务特点、业务规模、影响工业生产的重要程度等因素，对工业以太网、工业无线网络等组成的工业控制网络实施分区分域管理，部署工业防火墙、网闸等设备实现域间横向隔离。	(是 (否 (不涉及
当工业控制网络与企业管理网或互联网连通时，是否实施网间纵向防护，并对网间行为开展安全审计。	(是 (否 (不涉及
是否在设备接入工业控制网络时应进行身份认证。	(是 (否 (不涉及
应用第五代移动通信技术（5G）、无线局域网技术（WiFi）等无线通信技术组网时，是否制定严格的网络访问控制策略，对无线接入设备采用身份认证机制，对无线访问接入点定期审计，关闭无线接入公开信息（SSID）广播，避免设备违规接入。	(是 (否 (不涉及
在远程访问时，是否禁止工业控制系统面向互联网开通不必要的超文本传输协议（HTTP）、文件传输协议（FTP）、Internet远程登录协议（Telnet）、远程桌面协议（RDP）等高风险通用网络服务，对必要开通的网络服务采取安全接入代理等技术进行用户身份认证和应用鉴权。	(是 (否 (不涉及
在远程维护时，是否使用互联网安全协议（IPsec）、安全套接字协议（SSL）等协议构建安全网络通道（如虚拟专用网络（VPN）），并严格限制访问范围和授权时间，开展日志留存和审计。	(是 (否 (不涉及
在工业控制系统中使用加密协议和算法时，是否符合相关法律法规要求（如优先采用商用密码，实现加密网络通信、设备身份认证和数据安全传输）。	(是 (否 (不涉及
上云安全

方面	工业云平台为企业自建时，是否利用用户身份鉴别、访问控制、安全通信、入侵防范等技术做好安全防护，有效阻止非法操作、网络攻击等行为。	(是 (否 (不涉及
工业设备上云时，是否对上云设备实施严格标识管理，设备在接入工业云平台时采用双向身份认证，禁止未标识设备接入工业云平台。业务系统上云时，应确保不同业务系统运行环境的安全隔离。	(是 (否 (不涉及
应用安全

方面	访问制造执行系统（MES）、组态软件和工业数据库等应用服务时，是否进行用户身份认证；访问关键应用服务时，是否采用双因子认证，并严格限制访问范围和授权时间。	(是 (否 (不涉及
工业企业自主研发的工业控制系统相关软件，是否通过企业自行或委托第三方机构开展的安全性测试，测试合格后方可上线使用。	(是 (否 (不涉及
系统数据

安全方面	是否定期梳理工业控制系统运行产生的数据，开展数据分类分级，识别重要数据和核心数据并形成目录。	(是 (否 (不涉及
是否围绕数据收集、存储、使用、加工、传输、提供、公开等环节，使用密码技术、访问控制、容灾备份等技术对数据实施安全保护。	(是 (否 (不涉及
数据是否需向境外提供，并依法依规进行数据出境安全评估。	(是 (否 (不涉及
安全运营

方面	是否在工业控制网络部署监测审计相关设备或平台，在不影响系统稳定运行的前提下，及时发现和预警系统漏洞、恶意软件、网络攻击、网络侵入等安全风险。	(是 (否 (不涉及
是否在工业控制网络与企业管理网或互联网的边界，采用工业控制系统蜜罐等威胁诱捕技术，捕获网络攻击行为，提升主动防御能力。	(是 (否 (不涉及
是否建立工业控制系统网络安全运营中心，利用安全编排自动化与响应（SOAR）等技术，实现安全设备的统一管理和策略配置，全面监测网络安全威胁，提升风险隐患集中排查和事件快速响应能力。	(是 (否 (不涉及
是否制定工控安全事件应急预案，明确报告和处置流程，根据实际情况适时进行评估和修订，定期开展应急演练。	(是 (否 (不涉及
重要设备、平台、系统访问和操作日志留存时间是否不少于六个月，并定期对日志备份，便于开展事后溯源取证。	(是 (否 (不涉及
是否对重要系统应用和数据定期开展备份及恢复测试，确保紧急时工业控制系统在可接受的时间范围内恢复正常运行。	(是 (否 (不涉及
是否对新建或升级工业控制系统上线前、工业控制网络与企业管理网或互联网连接前，开展安全风险评估。	(是 (否 (不涉及
对于重要工业控制系统，是否自行或委托第三方专业机构每年至少开展一次工控安全防护能力相关评估。	(是 (否 (不涉及
是否关注重大工控安全漏洞及其补丁程序发布，并及时采取升级措施，短期内无法升级的，应开展针对性安全加固。	(是 (否 (不涉及
是否对重要工业控制系统定期开展漏洞排查，发现重大安全漏洞时，对补丁程序或加固措施测试验证后，方可实施补丁升级或加固。	(是 (否 (不涉及
责任落实

方面	工业企业承担本企业工控安全主体责任，是否建立工控安全管理制度，明确责任人和责任部门，按照“谁运营谁负责、谁主管谁负责”的原则落实工控安全保护责任。	(是 (否 (不涉及
是否强化企业资源保障力度，确保安全防护措施与工业控制系统同步规划、同步建设、同步使用。	(是 (否 (不涉及
注：每一套工业控制系统填写一张《工业控制系统网络安全自查表（二）》，多套工业控制系统可分别填写。