學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載ICSCCS T/ZISIA

1-2023工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類分級安全管理指南Guidelines

for

Categorized

and

Classified

Security

Management

Industrial

Internet

Enterprise

Assets2023-12-19

發(fā)布 2023-12-19

實施中關(guān)村網(wǎng)絡(luò)安全與信息化產(chǎn)業(yè)聯(lián)盟

發(fā)布學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載 前 言

......................................................................

I引 言

.....................................................................

II1

范圍

......................................................................

12

規(guī)范性引用文件.............................................................

13

術(shù)語和定義.................................................................

14

縮略語.....................................................................

25

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)范圍.....................................................

26

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類.....................................................

26.1

分類原則

............................................................

26.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類

..............................................

37

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分級.....................................................

67.1

分級原則

............................................................

67.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分級原理及流程

....................................

68

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)安全管理.................................................

88.1

第一級資產(chǎn)安全管理要求

..............................................

88.2

第二級資產(chǎn)安全管理要求

..............................................

88.3

第三級資產(chǎn)安全管理要求

..............................................

9附錄

A

（資料性）

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類推薦編碼方法

........................

11附錄

B

（資料性）

工業(yè)互聯(lián)網(wǎng)企業(yè)業(yè)務(wù)重要度識別

..............................

13參考文獻....................................................................

16學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載 本文件按照

GB/T

《標(biāo)準(zhǔn)化工作導(dǎo)則

第

1

部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由中關(guān)村網(wǎng)絡(luò)安全與信息化產(chǎn)業(yè)聯(lián)盟提出并歸口。家工業(yè)信息安全發(fā)展研究中心、北京六方云信息技術(shù)有限公司、烽臺科技()有限公司、天融信網(wǎng)絡(luò)安全技術(shù)有限公司等。陸冬冬、汪義舟、趙華、曲海闊、韋彥、姜寶剛、蔣俊峰、翟威、孫傳濱、岳美媛、胡浩、劉永鑫、張宗喜、鄒冬、邵小洋等。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載 工業(yè)互聯(lián)網(wǎng)是互聯(lián)網(wǎng)和新一代信息技術(shù)與工業(yè)系統(tǒng)全方位深度融合所形成的產(chǎn)業(yè)和應(yīng)的工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)管理和保護機制，從而在保障工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)安全的基礎(chǔ)上促進工業(yè)互聯(lián)網(wǎng)發(fā)展。工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類是工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)保護工作中的重要前提，是建立統(tǒng)一、對資產(chǎn)規(guī)范化管理。分級有助于行業(yè)組織根據(jù)資產(chǎn)不同級別，確定資產(chǎn)在各個環(huán)節(jié)應(yīng)采取的安全防護策略和管控措施，進而提高組織的資產(chǎn)管理和安全防護水平，確保資產(chǎn)的保密性、完整性和可用性。本文件結(jié)合工業(yè)互聯(lián)網(wǎng)特點提供資產(chǎn)分類分級方法，為工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類分級安全管理提供指導(dǎo)，供工業(yè)互聯(lián)網(wǎng)行業(yè)相關(guān)組織和機構(gòu)參考。II學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類分級安全管理指南1

范圍本文件給出了工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類分級的適用的資產(chǎn)范圍、資產(chǎn)分類分級的原則和方法，并提供了工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)安全管理的指導(dǎo)。本文件適用于工業(yè)互聯(lián)網(wǎng)企業(yè)開展資產(chǎn)分類分級和資產(chǎn)安全管理工作時使用。本文件不適用于工業(yè)互聯(lián)網(wǎng)企業(yè)涉及的數(shù)據(jù)資產(chǎn)。2

規(guī)范性引用文件所有的修改版）適用于本文件。GB/T

分類與編碼通用術(shù)語GB/T

信息安全技術(shù)

GB/T

工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡(luò)架構(gòu)3

術(shù)語和定義GB/T

10113-2003、GB/T

25069-2022、GB/T

42021-2022

界定的以及下列術(shù)語和定義適用于本文件。3.1工業(yè)互聯(lián)網(wǎng)

industrial

internet[來源：GB/T

42021-2022，3.1]3.2保密性

confidentiality信息對未授權(quán)的個人、實體或過程不可用或不泄露的性質(zhì)。[來源：GB/T

25069-2022，3.41]3.3可用性

availability可由經(jīng)授權(quán)實體按需訪問和使用的性質(zhì)。[來源：GB/T

25069-2022，3.345]3.4完整性

integrity準(zhǔn)確和完備的性質(zhì)。[來源：GB/T

25069-2022，3.613]3.5工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)

industrial

internet

assets務(wù)具有價值的、預(yù)期會給企業(yè)帶來經(jīng)濟利益的信息或資源。3.6分類

按照選定的屬性(或特征)區(qū)分分類對象,將具有某種共同屬性(或特征)的分類對象集合在一起的過程。[來源：GB/T

10113-2003，2.1.2]3.7組織

organization兔學(xué)兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023兔學(xué)兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載具有自身的職責(zé)﹑權(quán)威和關(guān)系以實現(xiàn)其目標(biāo)的個人或集體。[來源：GB/T

25069-2022，3.816]4

縮略語下列縮略語適用于本文件。AGV：自動導(dǎo)引車（

Guided

Vehicle）App：應(yīng)用程序（）CAD：計算機輔助設(shè)計（Computer

Aided

）CPU：中央處理器（

Processing

Unit）DaaS：數(shù)據(jù)即服務(wù)（Data

as

a

）DCS：分布式控制系統(tǒng)（

Control

DDoS：分布式拒絕服務(wù)（Distributed

Denial

of

）ERP：企業(yè)資源規(guī)劃（Enterprise

Resource

）IaaS：基礎(chǔ)設(shè)施即服務(wù)（Infrastructure

as

a

）MES：制造執(zhí)行系統(tǒng)（Manufacturing

Execution

）OA：辦公自動化系統(tǒng)（

Automation

System）PaaS：平臺即服務(wù)（Platform

as

a

）PDM：產(chǎn)品數(shù)據(jù)管理（

Data

）PLC：可編程邏輯控制器（Programmable

Logic

Controller）PLM：產(chǎn)品生命周期管理（Product

Lifecycle

Management）RTU：遠程終端單元（

Terminal

Unit）SaaS：軟件即服務(wù)（Software

as

a

）SCADA：監(jiān)視控制與數(shù)據(jù)采集（

and

Data

Acquisition）SIS：安全儀表系統(tǒng)（

Instrumented

System）SOC：安全運營中心（Security

Center）UPS：不間斷電源系統(tǒng)（

Power

）VR：虛擬現(xiàn)實（Virtual

Reality）5

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)范圍工業(yè)互聯(lián)網(wǎng)企業(yè)經(jīng)營和管理活動中使用和管理的資產(chǎn)，包括但不限于：a) 企業(yè)開展智能化生產(chǎn)、個性化定制、網(wǎng)絡(luò)化協(xié)同、服務(wù)化延伸等業(yè)務(wù)所涉及到的資產(chǎn)；b) 其保密性、完整性和可用性遭到破壞，可能對行業(yè)產(chǎn)業(yè)、業(yè)務(wù)領(lǐng)域、組織的經(jīng)濟活動秩序、生產(chǎn)經(jīng)營秩序造成影響的其他各類資產(chǎn)。

YD/T

6

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類6.1

分類原則工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類宜遵循以下原則：a) 系統(tǒng)性原則：工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類應(yīng)覆蓋組織所有資產(chǎn)，資產(chǎn)類目邏輯、層次、關(guān)系清晰，準(zhǔn)確揭示不同資產(chǎn)類別之間的聯(lián)系和區(qū)別；b) 規(guī)范性原則：所使用的詞語或術(shù)語內(nèi)涵、外延清晰明確，保證用語一致性、簡潔性和繼承性；c) d) 擴展性原則：著眼未來發(fā)展和變化，支持工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類的適時擴展。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載6.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類6.2.1

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類方法可以分為三類：a) 應(yīng)用工業(yè)互聯(lián)網(wǎng)的工業(yè)企業(yè)（簡稱聯(lián)網(wǎng)工業(yè)企業(yè)），主要指將新一代信息通信技術(shù)與工業(yè)系統(tǒng)深度融合，推動企業(yè)模型化研發(fā)、智能化制造、網(wǎng)絡(luò)化協(xié)同、個性化定制、數(shù)字化管理、服務(wù)化延伸，實現(xiàn)智能控制、運營優(yōu)化和生產(chǎn)組織方式的變革，主要涉及原材料工業(yè)、裝備工業(yè)、消費品工業(yè)和電子信息制造業(yè)等行業(yè)；b) 工業(yè)互聯(lián)網(wǎng)平臺企業(yè)（簡稱平臺企業(yè)），主要指面向工業(yè)企業(yè)提供云服務(wù)等資源協(xié)作、信息服務(wù)及應(yīng)用（工業(yè)

）服務(wù)等的企業(yè)；c) 標(biāo)識解析企業(yè)，主要指從事工業(yè)互聯(lián)網(wǎng)標(biāo)識注冊服務(wù)、解析服務(wù)及其運行維護的機構(gòu)法對工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)進行分類，可以把工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分為應(yīng)用工業(yè)互聯(lián)網(wǎng)的工業(yè)企業(yè)資產(chǎn)（簡稱聯(lián)網(wǎng)工業(yè)企業(yè)資產(chǎn)）、工業(yè)互聯(lián)網(wǎng)平臺企業(yè)資產(chǎn)（簡稱平臺企業(yè)資產(chǎn)）、標(biāo)識解析企業(yè)資產(chǎn)等三大類，每類資產(chǎn)之下再分若干子類。分類的編碼方法見附錄

A。6.2.2

聯(lián)網(wǎng)工業(yè)企業(yè)資產(chǎn)指聯(lián)網(wǎng)工業(yè)企業(yè)生產(chǎn)經(jīng)營涉及的各種資產(chǎn)，按

GB/T

42021-2022

描述的聯(lián)網(wǎng)工業(yè)企業(yè)所涉及的互聯(lián)主體，聯(lián)網(wǎng)工業(yè)企業(yè)資產(chǎn)包括智能機器、工業(yè)控制系統(tǒng)、工業(yè)信息系統(tǒng)/軟件、工業(yè)互聯(lián)網(wǎng)應(yīng)用軟件及網(wǎng)絡(luò)設(shè)備。智能機器生產(chǎn)輔助設(shè)備、智能終端以及物聯(lián)網(wǎng)設(shè)備等。a) 智能生產(chǎn)設(shè)備指與工業(yè)智能生產(chǎn)相關(guān)的各類資產(chǎn)，包括但不限于工業(yè)機器人、數(shù)控機床。b) 智能生產(chǎn)輔助設(shè)備

能巡檢設(shè)備、工具車間、機修車間等使用的設(shè)備。c) 智能終端指工業(yè)互聯(lián)網(wǎng)業(yè)務(wù)中與生產(chǎn)管理過程相關(guān)的終端設(shè)備，包括但不限于廠區(qū)電腦、

設(shè)備、平板電腦、智能穿戴。d) 物聯(lián)網(wǎng)設(shè)備理并作出反應(yīng)的智能設(shè)備，包括但不限于協(xié)議轉(zhuǎn)換設(shè)備、物聯(lián)網(wǎng)感知終端。工業(yè)控制系統(tǒng)保工業(yè)基礎(chǔ)設(shè)施自動化運行、過程監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)，包括但不限于

SCADA、DCS、PLC、。a) SCADA

系統(tǒng)指以計算機為基礎(chǔ)的面向工業(yè)生產(chǎn)過程控制與調(diào)度自動化監(jiān)控的系統(tǒng)，負(fù)責(zé)對現(xiàn)場信號、工業(yè)設(shè)備的監(jiān)測和控制，包括但不限于超級監(jiān)控軟件、

遠程終端控制單元。b) DCS

指面向工業(yè)生產(chǎn)過程控制級和過程監(jiān)控級組成的以通信網(wǎng)絡(luò)為紐帶的多級計算機系統(tǒng)，由多個控制器、操作站和通信網(wǎng)絡(luò)組成，用于實現(xiàn)工業(yè)過程的自動化控制。c) PLC

學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載式的輸入輸出來控制各種類型的機械設(shè)備或生產(chǎn)過程，基本構(gòu)成為

CPU、

板、內(nèi)存、電源等。d) SIS

系統(tǒng)、安全聯(lián)鎖系統(tǒng),以及繼電保護系統(tǒng)、安全閥門。工業(yè)信息系統(tǒng)/管理軟件發(fā)管理系統(tǒng)。a) 辦公軟件指支持日常辦公業(yè)務(wù)的通用軟件，包括但不限于

、郵件系統(tǒng)。b) 業(yè)務(wù)管理系統(tǒng)指工業(yè)企業(yè)為達成所需的業(yè)務(wù)環(huán)節(jié)所部署的信息化系統(tǒng)，包括但不限于

、MES、標(biāo)識解析。c) 研發(fā)管理系統(tǒng)指為從事產(chǎn)品研發(fā)工作的單位開發(fā)、管理部分甚至所有與研發(fā)活動相關(guān)的研發(fā)管理工具。包括但不限于

、、。工業(yè)互聯(lián)網(wǎng)應(yīng)用軟件需求的應(yīng)用軟件。a) 研發(fā)設(shè)計類應(yīng)用軟件驗證等各類應(yīng)用軟件。b) 生產(chǎn)制造類應(yīng)用軟件指面向企業(yè)內(nèi)部生產(chǎn)制造的各類應(yīng)用，如計劃管理、作業(yè)管理、生產(chǎn)監(jiān)控、物料管理、質(zhì)量監(jiān)控等各類應(yīng)用軟件。c) 運維服務(wù)類應(yīng)用軟件用軟件。d) 經(jīng)營管理類應(yīng)用軟件指面向企業(yè)內(nèi)部經(jīng)營管理的各類軟件，如采購管理、銷售管理、資產(chǎn)管理、項目管理、物流管理、財務(wù)管理、供應(yīng)鏈管理等各類延伸應(yīng)用。網(wǎng)絡(luò)設(shè)備用硬件設(shè)備，包括通信網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)安全設(shè)備、網(wǎng)絡(luò)存儲設(shè)備及其他設(shè)備。a) 通信網(wǎng)絡(luò)設(shè)備路由器等通信設(shè)備。b) 網(wǎng)絡(luò)安全設(shè)備漏洞掃描、安全審計、蜜罐、安全態(tài)勢感知等防護設(shè)備及軟件。c) 網(wǎng)絡(luò)存儲設(shè)備指用于網(wǎng)絡(luò)存儲的相關(guān)設(shè)備，包括但不限于網(wǎng)絡(luò)存儲、存儲陣列、存儲交換機。d) 其他設(shè)備指用于信息通信的其他設(shè)備，包括但不限于網(wǎng)絡(luò)攝像頭、監(jiān)控系統(tǒng)、、門禁系統(tǒng)。6.2.3

平臺企業(yè)資產(chǎn)

App產(chǎn)，包括工業(yè)互聯(lián)網(wǎng)平臺及管理服務(wù)類資產(chǎn)等。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載工業(yè)互聯(lián)網(wǎng)平臺包括邊緣接入層資產(chǎn)、

層資產(chǎn)、PaaS

層資產(chǎn)、SaaS

DaaS

a) 邊緣接入層資產(chǎn)火墻、身份認(rèn)證、抗

等）。b) IaaS

層資產(chǎn)服務(wù)器、存儲設(shè)備。c) PaaS

層資產(chǎn)各類資產(chǎn)，包括但不限于微服務(wù)組件、數(shù)據(jù)模型、容器鏡像。d) SaaS

層資產(chǎn)于工業(yè)

App、知識庫、第三方依賴庫、

應(yīng)用服務(wù)。e) DaaS

層資產(chǎn)使用所需的數(shù)據(jù)應(yīng)用調(diào)用鏈路等。本文件不涉及數(shù)據(jù)服務(wù)過程中的數(shù)據(jù)資產(chǎn)。平臺管理服務(wù)類資產(chǎn)指為工業(yè)互聯(lián)網(wǎng)平臺提供安全管理及運維服務(wù)的資產(chǎn)，包括平臺運維管理類資產(chǎn)及平臺安全管理類資產(chǎn)。a) 平臺運維管理類資產(chǎn)于平臺運維管理系統(tǒng)、數(shù)據(jù)管理系統(tǒng)、監(jiān)控系統(tǒng)。b) 平臺安全管理類資產(chǎn)件、工業(yè)應(yīng)用等進行安全防護的各類資產(chǎn)，包括但不限于態(tài)勢感知、。6.2.4

標(biāo)識解析企業(yè)資產(chǎn)括標(biāo)識解析基礎(chǔ)平臺類資產(chǎn)、標(biāo)識解析應(yīng)用類資產(chǎn)、標(biāo)識解析服務(wù)類資產(chǎn)。標(biāo)識解析基礎(chǔ)平臺類資產(chǎn)析系統(tǒng)及其他基礎(chǔ)設(shè)施。a) 標(biāo)識解析基礎(chǔ)設(shè)施指識別和管理物品、信息等的基礎(chǔ)資源，包括但不限于標(biāo)識載體、標(biāo)識讀取設(shè)備。b) 標(biāo)識解析系統(tǒng)指通過建立統(tǒng)一的標(biāo)識體系將工業(yè)中的設(shè)備、機器和物料等對象標(biāo)識映射至實際信息器。c) 其他基礎(chǔ)設(shè)施的區(qū)塊鏈等新型基礎(chǔ)設(shè)施。學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載標(biāo)識解析應(yīng)用類資產(chǎn)資產(chǎn)。a) 智能化生產(chǎn)標(biāo)識解析應(yīng)用指企業(yè)內(nèi)部的生產(chǎn)制造和運維管理過程中，能夠?qū)ΡO(jiān)測設(shè)備或者傳感器進行打碼標(biāo)識、注冊、查詢的各類應(yīng)用。b) 個性化定制標(biāo)識解析應(yīng)用指面向企業(yè)和用戶之間，對定制平臺生成的訂單打碼標(biāo)識、注冊、查詢的各類應(yīng)用。c) 網(wǎng)絡(luò)化協(xié)同標(biāo)識解析應(yīng)用查看和靈活排產(chǎn)的各類應(yīng)用。d) 服務(wù)化延伸標(biāo)識解析應(yīng)用塊的位置，從而實現(xiàn)產(chǎn)品聯(lián)網(wǎng)與數(shù)據(jù)采集的各類應(yīng)用。標(biāo)識解析服務(wù)類資產(chǎn)指為標(biāo)識解析提供支撐的服務(wù)類資產(chǎn)，包括標(biāo)識解析服務(wù)系統(tǒng)及標(biāo)識解析安全服務(wù)系統(tǒng)。a) 標(biāo)識解析服務(wù)系統(tǒng)指提供基于標(biāo)識解析的其他服務(wù)平臺。b) 標(biāo)識解析安全服務(wù)系統(tǒng)指用于對工業(yè)互聯(lián)網(wǎng)標(biāo)識注冊服務(wù)、解析服務(wù)及其運行維護提供安全防護的各類資產(chǎn)。7

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分級7.1

分級原則工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分級宜遵循以下原則：a) 業(yè)務(wù)性原則：應(yīng)充分考慮各類資產(chǎn)應(yīng)用業(yè)務(wù)場景，保證資產(chǎn)分級的可行性和實用性；b) 就高從嚴(yán)原則：當(dāng)多個因素可能影響資產(chǎn)分級時，按照可能造成的最高影響對象和影響程度確定資產(chǎn)級別；c) 科學(xué)性原則：依據(jù)資產(chǎn)重要性和業(yè)務(wù)敏感性，進行系統(tǒng)化、標(biāo)準(zhǔn)化分級，保證工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分級的客觀準(zhǔn)確；d) 自主定級原則：依據(jù)相關(guān)的標(biāo)準(zhǔn)和規(guī)定，組織根據(jù)自身實際情況和需求，開展自主評估，并對資產(chǎn)進行自主定級；e) 動態(tài)更新原則：根據(jù)資產(chǎn)的業(yè)務(wù)屬性、重要性和可能造成的危害程度的變化，對資產(chǎn)分級、資產(chǎn)清單等進行定期審核更新。7.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分級原理及流程7.2.1

資產(chǎn)級別及特征織等對象的影響程度大小，工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)級別從低到高分為以下三級：a)

B），資產(chǎn)安全屬性（保密性、完整性、可用性）遭到破壞后，影響對象為組織，影響范圍較?。ㄒ话憔窒拊诒窘M織），影響程度為一般；b)

B），資產(chǎn)安全屬性（保密性、完整性、可用性）遭到破壞后，影響對象為組織或業(yè)務(wù)c)

B），兔ｗｗｗ．ｂｚｆｘｗ兔．ｃ學(xué)ｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023兔ｗｗｗ．ｂｚｆｘｗ兔．ｃ學(xué)ｏｍ標(biāo)準(zhǔn)下載資產(chǎn)安全屬性（保密性、完整性、可用性）遭到破壞后，影響對象為行業(yè)產(chǎn)業(yè)，影響范圍大（一個或多個子行業(yè)），影響程度為嚴(yán)重。7.2.2

分級要素資產(chǎn)分級要素包括影響對象和影響程度。影響對象影響對象包括以下三種情形：a）

組織：影響范圍可以是一個業(yè)務(wù)領(lǐng)域的部分組織。一般指資產(chǎn)的安全屬性（保密,造成影響；b）

業(yè)務(wù)領(lǐng)域：影響范圍可以是子行業(yè)內(nèi)一個或多個業(yè)務(wù)領(lǐng)域。一般指資產(chǎn)的安全屬,可能對一個或多個業(yè)務(wù)領(lǐng)域的經(jīng)濟活動秩序、生產(chǎn)經(jīng)營秩序等造成影響；c）

完整性、可用性）遭到破壞后，可能對本行業(yè)產(chǎn)業(yè)鏈及其他細分子行業(yè)產(chǎn)業(yè)鏈的經(jīng)濟秩序、生產(chǎn)經(jīng)營秩序等造成影響。影響程度小，包括以下三種情形：a）

引發(fā)或?qū)е乱话憧煽氐纳鐣绊懙?；b）

中等影響：可能會導(dǎo)致本組織的部分業(yè)務(wù)無法開展或行業(yè)內(nèi)某個業(yè)務(wù)領(lǐng)域其他組織的個別業(yè)務(wù)短時間內(nèi)無法開展、造成較大的經(jīng)濟損失、引發(fā)或?qū)е螺^大的社會影響、可能導(dǎo)致主管部門輕微處罰（包括責(zé)令整改、口頭警告等）情況等；c）

嚴(yán)重影響：可能會導(dǎo)致本組織的全部業(yè)務(wù)或行業(yè)產(chǎn)業(yè)、細分子行業(yè)內(nèi)多個業(yè)務(wù)領(lǐng)域的業(yè)務(wù)無法開展、造成重大的經(jīng)濟損失、引發(fā)或?qū)е轮卮蟮纳鐣绊憽⒈槐O(jiān)管部門處以較嚴(yán)重處罰（包括處以罰款、停業(yè)整頓等）情況等。7.2.3

分級流程工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)的分級一般執(zhí)行如下步驟：a) 可用性）遭到破壞后可能影響的對象，包括行業(yè)產(chǎn)業(yè)、業(yè)務(wù)領(lǐng)域、組織；b) 確定影響程度。確定該類工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)安全屬性（保密性、完整性、可用性）遭到破壞后影響程度的大小，包括一般、中等、嚴(yán)重；c) 完整性、可用性）遭受破壞后的影響對象、影響程度，參考表

1

對工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)定級。表

1表

1

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)級別矩陣表7.2.4

重新分級學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載8

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)安全管理8.1

第一級資產(chǎn)安全管理要求8.1.1

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)管理體系本項要求包括：a) 設(shè)立資產(chǎn)管理崗位，并明確崗位職責(zé)；b) 建立資產(chǎn)臺賬，臺賬內(nèi)容應(yīng)包含資產(chǎn)必要屬性，包括但不限于登記時間、資產(chǎn)名稱、區(qū)域或位置、分類、分級、唯一編碼或標(biāo)識信息、所屬業(yè)務(wù)系統(tǒng)、基本屬性IP維護和定期盤點。8.1.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)識別與發(fā)現(xiàn)本項要求包括：a) 明確資產(chǎn)識別的需求和范圍；b) c) 對資產(chǎn)設(shè)置唯一標(biāo)識編碼（規(guī)則參照附錄

A8.1.3

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)風(fēng)險評估與處置本項要求包括：a) 依據(jù)相關(guān)標(biāo)準(zhǔn)定期開展風(fēng)險評估，評估內(nèi)容包括但不限于資產(chǎn)的網(wǎng)絡(luò)安全風(fēng)險和合規(guī)遵循風(fēng)險；b) 按照資產(chǎn)風(fēng)險評估結(jié)果及時開展風(fēng)險處置相關(guān)活動，包括風(fēng)險規(guī)避、風(fēng)險降低、風(fēng)險轉(zhuǎn)移和接受風(fēng)險。8.1.4

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)防護具有訪問控制機制，管理資產(chǎn)使用權(quán)限，并定期審查和維護。8.1.5

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)監(jiān)測本項要求包括：a) 綜合考慮資產(chǎn)安全需求和重要程度，明確需監(jiān)測的資產(chǎn)范圍；b) 在不影響業(yè)務(wù)運轉(zhuǎn)的前提下，監(jiān)測資產(chǎn)運行狀態(tài)；c) 根據(jù)資產(chǎn)分類分級制定資產(chǎn)監(jiān)測指標(biāo)、閾值及運行狀態(tài)判定標(biāo)準(zhǔn)。8.2

第二級資產(chǎn)安全管理要求在滿足第一級資產(chǎn)安全管理要求的基礎(chǔ)上滿足以下要求。8.2.1

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)管理體系本項要求包括：a) 基于資產(chǎn)分類分級和生命周期制定、發(fā)布和執(zhí)行管理體系文件，實現(xiàn)資產(chǎn)流程化管理，涵蓋資產(chǎn)的采購、入庫、存儲、部署、使用、維修、變更、廢棄等過程；b) 設(shè)定和執(zhí)行資產(chǎn)管理的考核指標(biāo)和考核工作機制；c) 明確資產(chǎn)與部門、業(yè)務(wù)的歸屬關(guān)系，并實施資產(chǎn)授權(quán)管理；d) 對可移動資產(chǎn)制定使用規(guī)范，包括但不限于領(lǐng)用、借用和外帶的審批和記錄。8.2.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)識別與發(fā)現(xiàn)本項要求包括：a)

智能；b) 建立資產(chǎn)識別管理流程，及時發(fā)現(xiàn)新增資產(chǎn)和處理廢棄資產(chǎn)。8.2.3

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)風(fēng)險評估與處置本項要求包括：學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載a) 跟蹤資產(chǎn)漏洞信息，并及時評估風(fēng)險程度及影響范圍，預(yù)警和及時開展風(fēng)險處置活動；b) 跟蹤資產(chǎn)威脅情報，并及時評估風(fēng)險程度及影響范圍，預(yù)警和及時開展風(fēng)險處置活動。8.2.4

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)防護本項要求包括：a) 通信環(huán)境、網(wǎng)絡(luò)邊界、計算環(huán)境；b) 對資產(chǎn)進行安全配置，并定期檢查和修復(fù)資產(chǎn)漏洞；c) 建立資產(chǎn)版本管理流程，及時跟蹤資產(chǎn)版本和補丁迭代記錄。8.2.5

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)監(jiān)測本項要求包括：a) 定期開展資產(chǎn)安全演練或滲透測試，及時發(fā)現(xiàn)資產(chǎn)安全隱患；b) 實施多層次、多維度的資產(chǎn)安全事件監(jiān)測。8.2.6

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)應(yīng)急響應(yīng)本項要求包括：a) 制定應(yīng)急處置機制，明確責(zé)任人及其職責(zé)；b) 制定符合相關(guān)要求的應(yīng)急預(yù)案；c) 預(yù)備應(yīng)急資源，對重要資產(chǎn)采取備份措施；d) 配置安全取證及溯源設(shè)備，用于安全事件應(yīng)急響應(yīng)；e) 定期開展應(yīng)急響應(yīng)培訓(xùn)，提升相關(guān)人員的安全意識及應(yīng)急響應(yīng)能力。8.3

第三級資產(chǎn)安全管理要求在滿足第二級資產(chǎn)安全管理要求的基礎(chǔ)上滿足以下要求。8.3.1

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)管理體系建立資產(chǎn)安全運營體系，充分融合人員、流程和技術(shù)手段，實現(xiàn)持續(xù)動態(tài)的安全運營。8.3.2

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)識別與發(fā)現(xiàn)本項要求包括：a) 建立資產(chǎn)指紋庫，支撐資產(chǎn)識別；b) 建立資產(chǎn)畫像，實現(xiàn)資產(chǎn)關(guān)聯(lián)分析。8.3.3

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)風(fēng)險評估與處置本項要求包括：a) 評估工業(yè)控制系統(tǒng)等特定資產(chǎn)漏洞風(fēng)險時，需在不影響業(yè)務(wù)運行的前提下，開展漏洞檢測與驗證活動，必要時在離線環(huán)境中開展；b) 建立和執(zhí)行供應(yīng)鏈安全、上線安全、運行安全、資產(chǎn)轉(zhuǎn)移和廢棄過程的風(fēng)險評估和管控流程。8.3.4

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)防護本項要求包括：a) 構(gòu)建資產(chǎn)統(tǒng)一安全管理平臺，實現(xiàn)對基礎(chǔ)防護設(shè)備的安全集中管理；b) 并與安全防護系統(tǒng)協(xié)同聯(lián)動。8.3.5

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)監(jiān)測本項要求包括：a) 建立綜合性監(jiān)測平臺，實現(xiàn)威脅情報共享和信息集成；學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載T/ZISIA

1-2023學(xué)兔兔ｗｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)準(zhǔn)下載b) 進行協(xié)同監(jiān)測，與多組織及行業(yè)合理共享監(jiān)測數(shù)據(jù)；c) 結(jié)合大數(shù)據(jù)和人工智能等新技術(shù)，將資產(chǎn)監(jiān)測與數(shù)據(jù)分析相結(jié)合，建立資產(chǎn)安全威脅級別和智能預(yù)警機制。8.3.6

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)應(yīng)急響應(yīng)本項要求包括：a) 定期開展安全事件應(yīng)急演練；b) 搭建仿真環(huán)境，定期開展安全事件模擬演練，優(yōu)化預(yù)案、提升技能、加強協(xié)作；c) 建立協(xié)同應(yīng)急機制，實現(xiàn)信息共享、資源協(xié)調(diào)和相互支援。10010102030402

01

02

03

04030102030401020304ｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)兔ｗ兔學(xué)準(zhǔn)下載T/ZISIA

1-2023ｗｗ．ｂｚｆｘｗ．ｃｏｍ標(biāo)兔ｗ兔學(xué)準(zhǔn)下載附錄

A（資料性）工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類推薦編碼方法A.1

工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類推薦編碼方法工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)分類代碼是對工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)類別的編碼，采用層次編碼方法，代碼由本文規(guī)定的

5

位資產(chǎn)編碼字符加企業(yè)自定義的字符構(gòu)成：a) 第一位表示工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)的第一層分類（如：聯(lián)網(wǎng)工業(yè)企業(yè)資產(chǎn)），用英文字母（A～Zb) 第二位和第三位表示工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)的第二層分類（如：聯(lián)網(wǎng)工業(yè)企業(yè)資產(chǎn)中的智能機器類），用兩位阿拉伯?dāng)?shù)字（01～99）表示；c) 第四位和第五位表示工業(yè)互聯(lián)網(wǎng)企業(yè)資產(chǎn)的第三層分類（如：聯(lián)網(wǎng)工業(yè)企業(yè)資產(chǎn)中的智能機器類的智能終端），用兩位阿拉伯?dāng)?shù)字（01～99）表示；d) 企業(yè)自定義的字符由企業(yè)自行編排。編碼結(jié)構(gòu)如圖

所示。 企業(yè)自定義（如：資產(chǎn)序號）工業(yè)互