Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
CAN CSA Z7376-12 (2017) 工业控制系统（ICS）网络安全要求详解
为工业自动化环境提供系统化安全保障的加拿大国家标准
标准概况与适用范围
CAN CSA Z7376-12 (2017) 是由加拿大标准协会（CSA）制定的关于工业控制系统（Industrial Control System, ICS）网络安全的强制性国家标准。该标准于2012年首次发布，2017年经全面修订后形成当前版本，主要针对面向工业自动化和控制系统的信息物理系统提出安全要求。
标准适用于石油天然气、电力、化工、制造、水利及交通等关键基础设施中的各类工业控制系统，包括分布式控制系统（DCS）、可编程逻辑控制器（PLC）、监控与数据采集系统（SCADA）以及安全和仪表系统（SIS）。其核心目的是帮助组织通过风险评估与安全等级（Security Level, SL）体系，识别系统脆弱性并实施适当的安全措施，以防止恶意网络攻击、误操作和意外事件对工业设施造成影响。
💡 实用提示： 在应用该标准前，应优先组建包含自动化工程师与网络安全专家的联合团队，对全厂范围内的控制系统进行资产清查和关键度梳理，这有助于后续等级目标设定的准确性。
主要技术内容与安全等级要求
安全等级（SL）体系
Z7376-12 沿用了 IEC 62443 系列的等级定义方法，将安全能力划分为 SL 1（防偶然性违规）、SL 2（防简单蓄意攻击）、SL 3（防复杂蓄意攻击）和 SL 4（防高级针对性攻击）四个层级。每一个等级均覆盖身份认证、访问控制、数据完整性、通信保密性与系统可用性等关键域。
| 安全等级 | 目标风险环境 | 核心控制要求 | 适用场景举例 |
|---|---|---|---|
| SL 1 | 低风险 / 非关键辅助系统 | 基本用户认证，单一权限分离，日志记录 | 暖通空调监控、照明控制系统 |
| SL 2 | 中等风险 / 一般生产过程 | 双因子认证，基于角色的访问控制（RBAC），防重放保护，软件更新验证 | 化工厂批次控制、管线安全监控 |
| SL 3 | 较高风险 / 关键基础设施节点 | 端口与服务最小化，加密隧道，异常行为监测，全生命周期密钥管理 | 油气管道SCADA、电网调度系统 |
| SL 4 | 高风险 / 国家安全级设施 | 完全冗余架构，物理隔离，形式化安全验证，实时攻击取证 | 核电站安全仪控、国防工业控制系统 |
系统分割（Zoning & Conduits）
标准强制要求将工业网络划分为不同的安全区域，并根据通信需求在区域之间设置专用通信通道（Conduits）。每个区域具有独立的安全等级，所有跨区域通信必须通过规则化的通道设备进行，以降低攻击跨传播的可能性。同时，标准还引入了“安全度”（Security Degree）概念，用于评价系统实际达到的防护强度。
⚠️ 重要注意事项： 常见误区是直接将企业IT网络的防火墙策略平移到工业网络中使用，这往往会影响控制协议的实时性和可靠性。Z7376-12 强调必须针对工业协议（如 PROFINET、EtherNet/IP）的特殊性进行深度包检测与白名单配置。
实施要点与应用建议
风险评估与等级确定
组织应按照标准提供的风险分析方法，识别所有潜在的威胁源、脆弱点与后果，从而为系统中的每一个特定区域确定“目标安全等级”（SL-T）。标准要求所有新建和改造项目在详细设计阶段即完成 SL-T 分析，并将结果作为安全方案的基础。
符合性测试与认证
目前 CSA 与授权的第三方实验室共同提供基于 Z7376-12 的产品与系统认证服务。测试内容包括功能验证、渗透测试与压力测试。建议设备供应商及早申请认证，以满足项目采购清单的门槛要求。
✅ 标准实施的益处： 按照 Z7376-12 构建的纵深防御体系，不仅能够抵御针对性攻击、降低业务中断损失，还能提升企业对政策制定者与保险机构的信用评级。许多北美油气企业已将达标作为供应商准入的必要条件。
⛔ 安全关键要求： 任何接入关键基础设施运行网络的工业控制系统，其所处的安全区域必须至少达到 SL 2 等级，且需通过独立第三方评估验证，否则视为违反标准强制条款。
与其他标准的关系
Z7376-12 与 IEC 62443 系列存在紧密的引用与协调关系：
- IEC 62443-3-2 — 提供安全等级概念与区划方法，是 Z7376-12 的技术来源之一。
- IEC 62443-2-1 — 对应安全管理体系要求，Z7376-12 直接采用其政策框架。
- NIST SP 800-82 — 在风险评估与 IACS 安全实践层面可互为补充，但在等级定义细节上有差异。
- CAN/CSA-ISO 27001 — 适用于管理侧信息安全，L7/L6 级融合策略已在加拿大政府部门推行，以实现管理层与技术层的统一合规。
标准总体遵循“基本原则统一、本地化细化”的原则，在保留 IEC 62443 核心条款的同时，补充了北极管道、页岩气井场等加拿大特有场景的应用指南。
常见问题（FAQ）
问： Z7376-12 是否强制所有工业系统都必须达到 SL 4 等级？
答： 不是。标准要求组织通过风险评估确定每个系统或区域的目标安全等级，不鼓励盲目追求高等级。通常只有承担极高后果的场合（如核安全系统）才需要 SL 4。
答： 不是。标准要求组织通过风险评估确定每个系统或区域的目标安全等级，不鼓励盲目追求高等级。通常只有承担极高后果的场合（如核安全系统）才需要 SL 4。
问： 如何开始实施该标准？最重要的第一步是什么？
答： 最重要的第一步是进行全面的风险与资产分析，从而识别关键系统并确定适当的目标安全等级（SL-T）。后续的等级选择、区域划分与控制措施均基于此。
答： 最重要的第一步是进行全面的风险与资产分析，从而识别关键系统并确定适当的目标安全等级（SL-T）。后续的等级选择、区域划分与控制措施均基于此。
问： Z7376-12 与 IEC 62443 之间是什么关系？
答： Z7376-12 在技术层面基本采纳了 IEC 62443 系列的核心理念与等级框架，但在等级定义细节、测试方法及某些北极工况要求上进行了适应加拿大工业环境的调整。可以认为它是 IEC 62443 的加拿大国家采纳版。
答： Z7376-12 在技术层面基本采纳了 IEC 62443 系列的核心理念与等级框架，但在等级定义细节、测试方法及某些北极工况要求上进行了适应加拿大工业环境的调整。可以认为它是 IEC 62443 的加拿大国家采纳版。
问： 是否可以通过第三方认证来证明符合 Z7376-12？
答： 是的。CSA 集团及其认可的实验室提供基于该标准的产品认证和系统认证服务。通过认证既能证明合规，也便于在项目招标中满足客户要求。
答： 是的。CSA 集团及其认可的实验室提供基于该标准的产品认证和系统认证服务。通过认证既能证明合规，也便于在项目招标中满足客户要求。
