》》背景概述《《

近年来，新一轮科技革命和产业变革风起云涌，互联网、云计算、物联网、大数据等信息技术元素正在深入推动制造业融合创新发展。制造业从传统模式向数字化、网络化、智能化的转变，封闭专有化生产场景演进为开放、互联、共享的制造环境，必将引发信息安全问题。
面对种种风险及挑战，国家从战略层面，先后出台了《中华人民共和国网络安全法》《中华人民共和国密码法》《关键信息基础设施安全保护条例》等法律法规，从顶层设计对重要行业安全防护工作做出了宏观指引与要求，并明确了相关主体的责任义务。
》》需求分析《《
01/ 标准合规性需求
作为国防装备的研发生产与服务供应商，军工企业要加快完成安全技术体系与管理体系的建设工作，使之符合《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）、《工业控制系统信息安全防护指南》及军工智能化网络安全相关要求。
02/ 业务安全性需求
从军工企业工控网络与架构、生产监控与管理层及工控协议安全三个层面进行需求分析：
工控网络与架构
军工企业的生产业务主要由生产管理系统、生产控制系统、试验测试系统、生产监控系统等组成军工工业控制系统。由于系统繁多，大多军工企业存在对数据流向不清晰、隔离措施不完善、隔离强度不达标等问题，造成各网络子域间及跨网交换非授权访问风险以及病毒横向传播风险。
现场控制与过程监控层面
军工工控系统数控机床等生产设备各类端口管控措施不到位，工作站、服务器无法打补丁，设备身份鉴别方式过于单一等情况，存在重要生产数据泄漏风险。
工控协议安全层面
当前在军工工控网络中，各类安全威胁不断涌入控制系统，而军工企业内部缺少对工业流量监测审计的手段，无法针对工控系统协议层面存在的恶意攻击、异常流量进行审计，更无法对工控指令攻击和控制参数篡改进行实时监测和告警，网络入侵极易得逞，从而导致安全生产事故的发生。
》》政策标准《《
中华人民共和国公安部
《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019，本标准除等级保护通用要求外，还对云计算、移动互联、物联网、工业控制和大数据等新技术、新应用提出了扩展要求，智能制造安全方案要遵循以上要求。
国家标准化管理委员会
《信息安全技术信息系统密码 应 用 基 本 要 求》（GB/T 39786-2021），本标准是商用密码应用与安全性评估工作的重要里程碑，可适用于指导、规范军工企业信息系统密码应用的规划、建设、运行、测评等工作。
中华人民共和国工业和信息化部
《工业控制系统信息安全防护指南》，本指南以当前我国工业控制系统面临的安全问题为出发点，注重防护要求的落地性，从管理、技术两方面明确工业企业工控安全防护要求。
》》解决方案《《
安盟信息以“安全、可信、合规”及“军工智能制造发展”为目标，符合国家、行业网络安全监管要求为前提，结合智能化生产系统的特点，形成军工智能制造安全技术体系、安全管理体系、仿真验证体系及安全运营体系。
合理将军工智能制造生产系统分层、分区、划域，解决应用“个性化”安全需求，打造全面的工控安全感知、数据安全交换、实时决策分析、预测预警、精准管控及安全协同处理的智能化军工工控安全保障能力，促进军工智能制造可持续发展。
防护设计 / 体系架构
依据国家标准及行业现状，将军工企业智能制造工控网络结构采用分层、分区的原则，对工控安全建设进行整体规划，并参考《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）中的工业控制系统层次模型进行防护设计。

安全技术体系
安全技术体系是军工企业工控安全纵深防御的具体体现，通过安全设备与技术实现工控系统各层安全。
1.现场控制层安全
在数控机床、质检设备、试验设备、贴片机前部署工控安全网关设备（机甲卫士），解决移动设备接入、数据安全传输、工业指令控制等安全问题；在 AGV 小车、机器人等无线设备内集成安盟华御终端安全接入模块，并与中心网关对接，解决数据传输的认证、授权、加密等安全问题。
2.过程监控层安全
工控生产监控与管理层重点需要强化与现场控制执行层边界隔离，提升区域内各生产管理系统的基础环境、生产管理数据的安全防护效果，实现统一安全管理，建立工业控制系统整体安全态势感知、密码应用监测能力。
安全管理体系
安全管理体系是军工企业工控安全顶层策略方针和指导思想，指导企业建立完善的工控安全管理体系，规范日常操作及安全运维等。
仿真验证体系
仿真验证体系是军工业务融合工控安全的关键，对新加入系统及设备通过仿真生产环境严格验证，提早规避风险，并协助军工企业进行应急演练、安全攻防、技术培训等工作开展。
安全运营体系
安全运营体系是军工企业生产系统稳定运行的支撑和保障，全面提升全网安全感知、风险实时预测、精准管控、协同处理的能力。

工控网络结合军工行业特点，参照等保三级防护要求和行业主管部门相关要求进行防护。结合工控网络对可用性、实时性的要求，对工控网络依据“专网专用、安全分区，环境可控，纵深防御、综合审计”的思路建设安全保密技术防护体系，整体实现工控网络安全保密需要。

》》方案说明《《
01/ 现场控制层安全
对不同的安全子域采用工业防火墙进行逻辑隔离，并进行细粒度控制，满足军工企业物理环境苛刻要求和工控系统传输实时性的要求。
分子域防护更安全，现场设备接入采用基于国密算法技术建立加密传输隧道，控制数据的安全。
02/ 生产管理层和生产监控层安全
安全区域边界

1.在生产管理层边界部署安全隔离与数据交换平台，实现与办公网数据安全上传，提升外联安全接入区隔离强度，实现接近于物理隔离的高安全隔离目标。
2.生产管理层内部各区域边界部署防火墙或工业防火墙实现区域隔离，保障各功能区域之间互联安全。
3.采用工业应用审计系统对工控网络中的全流量通信、操作行为、异常行为等进行审计及预警；通过部署入侵检测系统实时监测工控网络异常流量，对异常的、入侵行为的数据进行检测和报警，对异常操作行为与数据进行实时检测和报警。
安全通讯网络
针对军工企业的实际安全需求，终端安全接入模块与 AGV 小车、机器人等物联网设备进行融合安全设计。
从无线接入可信性、通讯机密性与完整性提升无线物联设备接入安全防护能力，确保军工生产系统安全可靠稳定运行。
安全计算环境
在监控工作站、服务器等部署工控主机卫士软件，在数控机床等生产设备部署机甲卫士。
以白名单方式阻止非法进程运行及非法 USB 等外设接入，防止工业主机被破坏。
安全管理中心
建设安全管理中心，部署工控漏扫、堡垒机、准入控制、日志审计、安全管理平台、态势感知等。
对军工生产全景进行安全态势感知、分析、预警及准入控制，并对异常报警行为形成工单分配给人工进行干预处理，同时与相应防护设备进行协同防御。
》》用户收益《《
01/ 促进军工智能制造智能化发展
通过本方案建设军工工控安全保障体系，可解决军工工控智能化建设过程中带来的信息安全风险，保障军工智能制造工控业务系统安全及设备可靠运转，同时促进军工智能制造业质量变革、效率变革、动力变革，加快我国由国防装备研发生产大国向强国迈进。
02/ 构建军工智能制造体系化安全
通过强化区域内网络、主机及数据的安全防护，大大增强了军工工控现场控制执行层、生产监控层、生产管理层的整体安全防护能力，确保军工工控安全生产可持续运营，构建以密码应用赋能边界安全、工控系统安全的纵深防护体系。
03/ 提升军工智能制造生产安全性
方案深度融合军工企业智能化系统应用，降低军工企业的安全运营风险，提高安全运维效率，为军工智能制造业自动化、智能化建设提供可靠的安全保障。
04/ 满足标准合规性要求
符合《信息安全技术网络安全等级保护基本要求》 (GBT22239-2019)、《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）、《工业控制系统信息安全防护指南》等相关政策、标准及监管要求。
05/ 增强军工智能制造商用密码安全能力
融合军工智能制造生产环境中智能物联设备及无线通讯的功能要求，针对该场景的实际安全需求，从无线接入可信性、通讯机密性与完整性提升无线物联设备接入安全防护能力，确保智能制造生产系统安全可靠稳定运行。