2.2 等保2.0 工业控制系统安全扩展要求（GB/T 22239-2019）

信源等级：L1/L2 ｜ 最后核验：2026-09-17 权威来源：国家标准全文公开系统（openstd.samr.gov.cn）、GB/T 22239-2019 标准解读（云图科技/CSDN）、ICSISIA 工业控制系统信息安全产业联盟

一、标准档案

项目	内容
标准号	GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》
发布	2019-05-10（国家市场监督管理总局、中国国家标准化管理委员会）
实施	2019-12-01
性质	等保2.0 核心标准（替代 GB/T 22239-2008）

二、总体结构：通用要求 + 四大扩展要求

等级保护安全要求
├── 安全通用要求（所有对象必须满足）
└── 安全扩展要求
    ├── 8.2 云计算安全扩展要求
    ├── 8.3 移动互联安全扩展要求
    ├── 8.4 物联网安全扩展要求
    └── 8.5 工业控制系统安全扩展要求（本主题）

• 针对云计算、移动互联、物联网和 工业控制系统 提出的特殊要求；
• 工业控制系统扩展要求针对现场控制层和现场设备层提出，与安全通用要求共同构成针对工控系统的完整安全要求。

三、工控安全扩展要求：9 个控制点（逐级变化）

序号	控制点	一级	二级	三级	四级
1	室外控制设备防护	2	2	2	2
2	网络架构	2	3	3	3
3	通信传输	0	1	1	1
4	访问控制	1	2	2	2
5	拨号使用控制	0	1	2	3
6	无线使用控制	2	2	4	4
7	控制设备安全	2	2	5	5
8	产品采购和使用	0	1	1	1
9	外包软件开发	0	1	1	1

（数字 = 该级别下要求项数量；来源：GB/T 22239-2019 标准解读，表14）

四、关键要求项举例（三级以上重点）

网络架构（工控特色）

• 涉及实时控制和数据传输的工控系统，应使用独立网络设备组网，物理层面实现与其他数据网及外部公共信息网的安全隔离；
• 系统内使用广域网进行控制指令或数据交换的，应采用认证技术实现身份认证、数据加密传输；
• 安全域与安全域之间的边界防护机制失效时及时报警。

控制设备安全

• 控制设备自身身份鉴别、访问控制；
• 控制设备远程维护的通道安全（结合通用要求中的远程管理要求）；
• 控制设备组态文件、程序、参数的完整性保护。

通信传输

• 涉及控制指令/遥测数据的通信应具备完整性校验与加密措施。

拨号/无线使用控制

• 拨号接入严格管控（三级 2 项、四级 3 项）；
• 无线使用控制：无线接入点认证、无线网络加密、无线设备清单管理（三级 4 项）。

五、配套等保标准族（工控相关）

标准号	名称	作用
GB/T 22240-2020	网络安全等级保护定级指南	定级（工控系统按业务重要性定级，常见三/四级）
GB/T 28448-2019	网络安全等级保护测评要求	测评实施（含工控扩展要求测评）
GB/T 25070-2019	网络安全等级保护安全设计技术要求	方案设计（“一个中心、三重防御”）
GB/T 20984-2022	信息安全技术 信息安全风险评估方法	风险评估
GB/T 32919-2016	工业控制系统信息安全控制应用指南	工控安全控制应用
GB/T 42456-2023	工业自动化和控制系统信息安全 IACS 组件的安全技术要求	组件级安全要求（对标 IEC 62443-4-2）

六、等保2.0 工控落地要点（产品视角）

1. 定级与备案：工控系统按等保定级（电网/轨交/炼化核心系统多为三级），测评频率 三级每年一次、四级每半年一次；
2. 四同步要求：安全技术措施与业务系统同步规划、同步建设、同步使用（新建/改造工控系统刚性合规）；
3. 产品对标：工控防火墙/审计/主机卫士可对照扩展要求”网络架构/访问控制/控制设备安全/通信传输”等控制点形成合规卖点；
4. 测评工具链：配合测评机构完成 8.5 扩展要求项的符合性验证，是工控安全服务商标准交付物。

七、来源引用

1. 国家标准全文公开系统：GB/T 22239-2019（openstd.samr.gov.cn）
2. 云图科技：网络安全等级保护基本要求（GB/T 22239-2019）标准解读（2022）
3. ICSISIA：等保2.0下工业控制系统安全防护（icsisia.com）
4. CN-SEC：GB/T 22239-2019 二、三、四级要求项对比（2025-10）