网络边界安全的等级保护

在管理网与MES之间部署工业防火墙，只允许与生产相关的流量通过，在满足生产业务的安全 需求（生产从互联网下订单）的同时，实现管理网与生产网的安全隔离。 在生产网与MES之间部署工业防火墙，按照最小权限原则设置防火墙策略。实现DNC网络的纵 向安全隔离，保证MES系统与生产网之间生产指令及反馈信息的安全可靠。 在生产网内部核心交换机部署工业入侵检测系统和工业安全监测审计系统，及时发现、检测针 对生产网的入侵行为及违规指令等（指令错误、指令篡改等）并告警。 在各个车间出口部署工业防火墙，只允许NC程序传输及生产状态信息回传等流量通过。同时，实现各车间之间的安全隔离，杜绝通过视频监控网络非法侵入生产系统等安全隐患，保护关键生产 指令的合法有效。 对生产网内部无线网络进行安全检测，设置无线准入管理，只允许合法设备接入，预防和杜绝 无线网络入侵行为。

对于重要服务器实施安全加固，加强身份认证、访问控制等安全防护措施，提高服务器安全防 护能力，降低系统被破坏及数据被窃取的风险。 在各工作站和操作员站上部署工业主机安全卫士产品，只允许与生产相关的软件运行，防止僵 木蠕传播。 为关键机床及加工中心配备USB隔离设备，防止随意接入USB口，杜绝病毒、木马等进入机床和 加工中心，防止数据泄露，保证生产安全。

在生产网内部部署安全运维管理系统，基于唯一身份标识的集中账号与访问控制策略，实现集 中精细化运维操作管控与审计，杜绝误操作及违规行为，提高工业控制系统及设备安全维护水平。

部署工业安全管理平台，对于整体工业控制安全状态进行实时监控，及时发现网络攻击、异常 指令、违规外联及漏洞等信息并及时应对。 完善管理制度，包括组织架构完善、内部/外部人员安全管理、信息安全培训在内的人员管理制 度，制定总体网络安全策略、网络/数据/介质管理制度、重大信息安全管理制度等，加强信息安全培 训，定期进行信息安全演练等。