构建智慧钢铁安全基座：某钢铁企业工控网络安全三级联动防护体系建设实践

工信部、国资委等十部委发布的《加强工业互联网安全工作的指导意见》和工信部发布的《工业互联网企业网络安全分类分级管理指南(试行)》(以下简称《指南》)、《工业互联网企业网络安全分类分级防护系列规范(试行)》(以下简称《防护规范》)等文件要求，需加快构建企业工业互联网企业网络安全分类分级管理体系，推进工业互联网创新发展，加强差异化、精细化管理，有效落实企业网络安全主体责任，提高网络安全防护能力和水平，促进工业互联网高质量发展，推动制造业数字化转型升级。

某钢铁企业主营钢铁冶炼、轧制、加工及销售和煤焦化产品生产，规模实力强，年产能超千万吨以上，已连续三年入围《财富》中国500强。随着该企业“智慧制造”战略的持续推进，生产制造流程加速向数字化、网络化、扁平化、集中化与智能化转型。工业控制系统作为钢铁企业生产运营的“神经中枢”，其安全性要求与日俱增。

近年来，该集团下属各生产基地频繁发生工控安全事件，网络攻击手段呈现多样化、复杂化趋势，并且攻击范围不断拓展，由此引发的生产中断及经济影响日趋严重，工控网络安全已成为关乎钢铁企业安全生产的核心问题。为切实履行网络安全保障责任，该钢铁企业已启动网络安全等级保护测评及工业互联网企业分类分级建设工作。在实施过程中，亟须针对现存网络安全隐患与系统脆弱性，开展全面的安全加固与整改优化。

本项目基于工业控制系统的实际安全风险，严格遵循工业和信息化部发布的分类分级标准，展开对该钢铁企业各分厂实施工业网络安全能力建设工作。通过构建安全分区、逻辑隔离与重点防护体系，强化工业控制网络的安全防护能力，有效提升工控系统的安全性，增强其抵御病毒入侵和网络攻击的韧性，为企业生产系统的稳定可靠运行提供坚实保障 。

• 标准合规需求

由于钢铁工业属原材料制造行业，因此钢铁生产企业是国家重点保护对象。根据《中华人民共和国网络安全法》第二十一条规定，“......要求对关系到国计民生的关键信息基础设施要采取重点保护措施”。至此，该集团对工业互联网安全合规的需求愈发迫切。

• IT与OT两化融合的安全防护需求

集团信息网与工控网直连，导致工控网受攻击面扩大，如何做好信息网（IT）与工控网（OT）在融合过程中的安全隔离与防护是首要需要考虑的，同时，根据工业控制系统的自身特点，除了网络的必要防护之外（比如边界隔离、入侵检测、网络审计等），其最核心的就是主机安全防护，缺乏防护将可能导致全网瘫痪；

• 统一网络威胁管理、网络威胁整体监管需求

IT和OT的各种系统数据独立存放，如果敏感数据区域遭受攻击，难以统一地分析、研判和溯源，给网络的整体稳定运行造成安全隐患。安全监测结果展现单一维度，并没有针对海量的安全数据进行统一可视化和分类分场景展现，因此面对安全事件时响应滞后，效率低下且被动。

• 运维行为安全管理与审计需求

工控系统内系统运维管理单位众多，需要频繁开展现场/远程运维工作，工控安全审计需求较高。在工控现场，运维人员的运维操作大多是直接将运维笔记本接入工控网络，因此，应对运维行为进行防护、审计，以便出现事故时有据可查。

重点行业工业企业需建立完善与自身等级相匹配的网络安全方针、策略和规划，落实安全防护措施、加强重要数据保护，提升安全防护能力。三级工业互联网企业应建设企业级工业互联网安全监测平台，并接入省级工信厅态势感知平台和国家级工信部工业互联网安全监测预警和态势感知平台。

三、解决方案

该集团工控网络安全的防护体系架构建设经历了一个从隔离到纵深防御、再到持续性防御的动态防御过程，网络安全威胁监测分析与端网联动平台网络安全防护体系建设规划主要可概括为“一个过程，三个体系”：

• 一个过程：事前防御，事中控制和事后溯因

• 三个体系：安全技术体系，安全管理体系和安全运维体系

整个保障体系的构建完全响应工控系统的内在需求，不仅能够有效防御网络攻击，还具备发现隐患、管理威胁、预知威胁的能力。方案的设计思路充分考虑到企业工业控制系统的业务连续性和工业特性，依据等保2.0和《关键信息基础设施安全保护条例》要求，长扬科技就本方案制定针对性的技术路线，设计思路如下所示：

长扬工控网络安全防护体系架构

本项目在工控网络部署工控安全态势感知总平台，平台将收集各分厂的工控安全厂级监测分析平台的数据进行集中分析，通过关联分析和安全风险模型等技术实现对各分厂的网络安全事件监测、综合分析及预警及处置管理，形成集监测、预警、响应、处置、事件回填的闭环式安全感知，为网络安全管理决策提供技术研判的支撑依据。

为满足工信厅和工信部与集团公司的网络安全监管要求，建立联防联控的安全监测机制，本项目的工控态势感知系统将与集团公司现有网络安全态势感知平台及省级工业互联网安全监测平台和国家级工业互联网安全监测平台对接进行数据融合，实现全网、全流量、全主机无死角安全管控。

各厂区工控内部网络根据“纵深防御、精准防御、整体防控”的原则，从“设备安全、控制安全、网络安全、数据安全”四个方面进行工控网络安全能力建设，提升工控网络安全的风险预警与安全防护能力，保障安全生产。

四、项目价值

• 构建主动协同防御体系，全面提升工控安全保障水平

通过态势感知平台的高效运行，项目成功构建起主动防御与实战化协同防御体系，系统性破解了网络资产不明、异常行为分散分析、威胁监测碎片化、处置流程缺失闭环等安全治理难题。平台凭借资产动态测绘、全网流量智能分析及威胁情报联动机制，实现风险预判、精准溯源与快速响应，推动工控信息安全保障能力显著跃升，形成覆盖监测预警、分析研判、应急处置的全链条技术保障体系。同时，依托该保障体系，企业创新安全管理模式，以规划先行、资源统筹、动态优化为原则，建立“预防-响应-改进”的良性循环机制，推动安全管理从“被动查改”向“主动升级”转型，有效降低安全风险成本，释放管理效能提升的显著红利，为智慧钢铁建设注入可持续的安全动能。

• 构建三级联动监测体系，全面落实工业互联网安全合规要求

将安全平台接入省级和国家级工业互联网安全监测平台，建立网络安全监测预警与信息通报制度，升级工业互联网安全监测技术手段。成功构建了企业、省级、国家级三级协同联动的工业互联网安全监测体系。

• 构建钢铁工控安全闭环体系，树立行业标杆

针对工控系统的技术特点以及钢铁企业自身的业务特点，通过构建涵盖风险分级管控、漏洞闭环管理、应急协同响应的全链条安全方案，为钢铁领域提供可落地、可扩展的工控安全实践范本，树立化工行业数字化转型安全防护新标杆。