ot-ics-security-standards

在可用性优先于机密性且需保障物理安全的工业控制系统（ICS）和操作技术（OT）环境中实施安全防护。适用于可编程逻辑控制器（PLC）、远程终端单元（RTU）、人机界面（HMI）、分布式控制系统（DCS）、监控与数据采集主站（SCADA Masters）、历史数据库或安全仪表系统（SIS）等场景，涵盖普渡/ISA-95层级模型及位于3.5层的工业隔离区（Industrial DMZ）。遵循以下标准与框架： - ISA/IEC 62443系列标准： - 62443-2-1（安全管理要求） - 62443-3-2（区域与管道划分及其ZCR工作流程） - 62443-3-3（系统安全等级要求） - 62443-4-1（组件开发生命周期安全要求） - 62443-4-2（组件技术安全要求） - SL-T（目标安全等级）、SL-C（当前安全等级）、SL-A（可实现安全等级） - 七大基础安全需求 - NIST SP 800-82 Rev.3 及其OT扩展指南 - IEC 62351（电力系统通信安全） - NERC CIP（北美电力可靠性公司关键基础设施保护标准） 涉及未认证的现场协议，包括：Modbus TCP（端口502）、DNP3 / IEEE 1815 Secure Authentication SAv5、EtherNet/IP与通用工业协议（CIP）、PROFINET、S7comm、IEC 60870-5-104、BACnet。 OPC UA安全策略选择：Aes256_Sha256_RsaPss、Aes128_Sha256_RsaOaep、Basic256Sha256；以及已弃用的Basic128Rsa15/Basic256；SecurityMode设置为None时的风险考量。 采用被动监控方式（如TAP或SPAN端口镜像），并解释为何主动扫描可能导致控制器宕机。部署数据二极管或单向网关实现物理隔离。管理供应商及原始设备制造商（OEM）对工厂网络的远程访问权限。保护工程工作站及其项目文件安全。应对长达二十年的资产生命周期挑战，包括无法打补丁的遗留Windows系统。防范针对工控系统的恶意软件，例如Stuxnet、Industroyer、TRITON、PIPEDREAM和FrostyGoop。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本