Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS IEC 62443——工业通信网络与系统安全标准系列（安全程序与系统安全要求）
Industrial Communication Networks — Network and System Security: Part 2-1 Security Program; Part 3-3 System Security Requirements and Security Levels
🔐 BS IEC 62443 是英国标准（BSI）采用 IEC 62443 系列标准而形成的工业自动化与控制系统（IACS）网络安全标准体系，是全球工控网络安全领域公认的权威标准。本批收录的两个分部——BS IEC 62443-2-1:2011（建立工业自动化控制系统安全程序）与 BS IEC 62443-3-3:2013（系统安全要求与安全等级，含 2014 年 4 月勘误）——分别从”安全管理体系”与”系统技术要求”两个层面，为工控系统的网络安全建设提供了系统化指导。随着制造业数字化与工业互联网的深入，IEC 62443 已成为新建与改造工控系统安全设计的首选参考。
🚨 工控系统一旦遭受网络攻击，轻则生产中断，重则引发安全事故。IEC 62443 强调”纵深防御”与”全生命周期”安全理念：安全防护不是购买单一产品，而是从管理、技术、人员三个维度建立的持续体系。
一、系列构成与适用范围 📌
IEC 62443 系列按主题分为多个层面，本批收录两个关键分部：
| 标准号 | 分部主题 | 覆盖对象 | 核心内容 |
|---|---|---|---|
| BS IEC 62443-2-1:2011 | 建立工业自动化控制系统安全程序 | 资产运营方（IACS 所有者/运营者） | 网络安全管理系统（CSMS）要素、风险分析、安全策略与实施 |
| BS IEC 62443-3-3:2013 | 系统安全要求与安全等级 | 系统集成商与产品供应商设计安全系统 | 基础要求（FR）、系统要求（SR）、安全等级（SL）与保障措施 |
💡 Part 2-1 面向”用方”（如何建立安全程序），Part 3-3 面向”供方”（系统应满足哪些安全要求）。两者的结合，构成了工控安全 “管理+技术” 的完整闭环。
二、工控安全程序（Part 2-1）技术要点 🔧
BS IEC 62443-2-1:2011 规定了建立 IACS 网络安全管理系统（CSMS）的要素，并与 ISO/IEC 27001 等通用信息安全标准建立了关联。其核心要素包括：
- 风险分析：识别业务理由（business rationale），进行风险识别、分类与评估。
- 应对风险：通过 CSMS 对已识别的风险提出处理措施，包括缓解、转移与接受。
- 安全程序要素：涵盖组织、人员、流程与技术，建立安全组织架构与职责分工。
- 持续改进：通过审计、监控与评估，实现安全程序的持续改进。
✅ 建立 CSMS 的第一步是”分清边界与资产”：明确工控系统的安全区域（zones）与管道（conduits），识别关键资产与依赖关系，再针对性地开展风险评估与防护。
三、系统安全要求（Part 3-3）技术要点 ⚙️
BS IEC 62443-3-3:2013 规定了工业控制系统的系统安全要求（SR）与安全等级（SL），是产品与系统设计的技术核心。标准采用”基础要求（Foundational Requirements, FR）— 系统要求（System Requirements, SR）— 安全等级（Security Levels, SL）”的框架：
- 基础要求（FR）：分为识别与认证控制（FR1）、使用控制（FR2）、系统完整性（FR3）、数据保密性（FR4）、受限数据流（FR5）、及时响应事件（FR6）、资源可用性（FR7）等类别。
- 系统要求（SR）：在每个基础要求下细化具体的技术要求，如口令管理、会话控制、访问控制、审计记录等。
- 安全等级（SL）：SL 1~4 由低到高，表征系统所能抵御的攻击能力（非故意性 / 简单故意性 / 熟练故意性 / 高级故意性）。
- 公共约束：包括支持关键功能、补偿性对策、最小权限等通用设计约束。
⚠️ 安全等级不是”越高越好”：等级越高，成本与复杂度越大。应根据风险评估结果，为不同 Zone/Conduit 选取适配的安全等级，实现风险与成本的平衡。
四、安全等级与应用选型 🔥
在系统设计中，安全等级的确定通常遵循”资产价值 × 威胁 × 脆弱性”的风险评估路径：
| 安全等级 | 防御对象 | 典型应对能力 | 常见应用 |
|---|---|---|---|
| SL 1 | 非故意的偶然事件 | 基本隔离与口令保护 | 一般过程控制、辅助系统 |
| SL 2 | 低技能故意攻击 | 访问控制、审计与补丁管理 | 关键过程装置 |
| SL 3 | 熟练攻击者 | 纵深防御、入侵检测、加密 | 重要基础设施、核电化工 |
| SL 4 | 高级威胁行为者 | 高级防护与监测、隔离强化 | 最高保密与安全要求场所 |
💡 常见工程做法：先按工艺重要性与潜在后果划分 Zone/Conduit 并赋值 SL，再对照 Part 3-3 的 SR 表逐项设计，最后通过测试（如渗透测试、脆弱性扫描）验证达到的等级。
五、工程实践应用要点 🛠️
- 🔍 资产梳理与区域划分：先绘制工控网络拓扑，划分安全区域（Zone）与数据管道（Conduit）。
- 📊 风险评估：结合行业威胁情报，评估各区域的风险水平，确定目标安全等级。
- 🔧 分层防护：部署边界防火墙、工业防火墙/IDS、主机加固、访问控制与补丁管理，形成纵深防御。
- 📋 管理落地：建立安全组织、制度与应急响应预案，并定期开展培训、审计与演练。
六、常见问题解答 ❓
❓ 问：IEC 62443 与 ISO 27001 是什么关系？
答：ISO 27001 是通用的信息安全管理体系标准，IEC 62443 是在其基础上针对工控系统（IACS）的行业化、专业化标准。Part 2-1 明确了两者要素的对应关系，可兼容实施。
答：ISO 27001 是通用的信息安全管理体系标准，IEC 62443 是在其基础上针对工控系统（IACS）的行业化、专业化标准。Part 2-1 明确了两者要素的对应关系，可兼容实施。
❓ 问：什么是 Zone 与 Conduit？
答：Zone 是按网络安全策略划分的逻辑区域，内部资产具有相似的安全要求；Conduit 是 Zone 之间或与外部网络的数据通信通道，是实施访问控制与监测的关键点。
答：Zone 是按网络安全策略划分的逻辑区域，内部资产具有相似的安全要求；Conduit 是 Zone 之间或与外部网络的数据通信通道，是实施访问控制与监测的关键点。
❓ 问：安全等级 SL 1~4 如何确定？
答：通过风险评估确定：综合资产价值、威胁可能性与脆弱性，选择目标 SL。等级越高防护越强，但成本也越高，应根据风险与预算平衡选择。
答：通过风险评估确定：综合资产价值、威胁可能性与脆弱性，选择目标 SL。等级越高防护越强，但成本也越高，应根据风险与预算平衡选择。
🔍 问：老工控系统如何按 62443 整改？
答：可采取”渐进化”策略：先划分 Zone/Conduit 与网络隔离，再补充访问控制、审计与补丁管理，最后逐步引入入侵检测与加密等高级措施，避免影响生产连续性。
答：可采取”渐进化”策略：先划分 Zone/Conduit 与网络隔离，再补充访问控制、审计与补丁管理，最后逐步引入入侵检测与加密等高级措施，避免影响生产连续性。
