工业互联网安全管理规范.docxVIP

工业互联网安全管理规范

1适用范围

本规范适用于制造业、能源、交通、水利、市政、医疗等涉及工业生产运营的领域，覆盖工业互联网规划、建设、运营、维护、迭代、停用全生命周期的安全管理活动，约束主体包括工业生产企业、工业互联网平台运营方、工业互联网标识解析服务机构、工业应用程序（以下简称工业APP）开发与运营主体、工业互联网安全技术服务商、工业设备供应商等所有参与工业互联网生态建设的主体。

2基本原则

2.1主体责任原则。坚持“谁运营谁负责、谁建设谁负责、谁提供服务谁负责”，各参与主体依法依规承担相应的工业互联网安全责任，落实安全管理和技术防护措施。

2.2分级分类原则。根据工业互联网系统的重要程度、承载业务的核心属性、涉及数据的敏感级别，实施差异化、精准化的安全防护，避免过度防护或防护不足。

2.3纵深防御原则。构建覆盖设备层、控制层、网络层、平台层、应用层、数据层的多层级防护体系，形成多道安全防线，提升整体抗攻击能力。

2.4动态适配原则。结合工业互联网技术迭代、业务模式创新和网络威胁演变，持续优化安全管理策略和技术防护手段，确保防护能力与安全需求相匹配。

2.5最小权限原则。所有账号、访问权限、操作权限均按业务必需的最小范围配置，严格控制高权限账号数量，防止权限滥用。

2.6安全可控原则。优先采用安全可信的工业产品、技术和服务，核心技术、关键产品需具备自主可控能力，