工控系统安全管理国标征求意见：五大变化，企业必看！

威努特安全网络

2026年10月16日 08:04
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

目前，全国网络安全标准化技术委员会正在就国家标准《网络安全技术 工业控制系统安全管理基本要求》征求意见稿征求意见，意见反馈截至2026年10月25日。修订完成后，新标准将替代GB/T 36323—2018《信息安全技术 工业控制系统安全管理基本要求》（以下简称“2018版”）。

此次修订，标准名称由“信息安全技术”调整为“网络安全技术”，主体结构同步调整，删除原有分级对应表，新增涵盖11个领域的参考控制措施附录。相比2018版，《征求意见稿》篇幅相对精简，要求密度却不降反升。从机构、制度、人员、资产和运维等方面提出了工业控制系统的安全管理基本要求。

对企业而言，针对具体管理要求的调整，值得逐条对照：工控安全由谁负责、风险评估何时开展、安全投入如何保障、系统变更怎样管控、防护效果如何验证。

本文对照2018版，梳理《征求意见稿》中的五个重点变化及落地要点。

1

组织责任：明确负责人牵头，细化部门分工

2018版已要求建立跨部门、跨职能的工控安全联合管理团队，并由最高管理层保障团队权责、分配相关责任与权限。

此次《征求意见稿》进一步明确，由组织负责人牵头，信息化、生产管理、设备管理等部门共同参与，并列明制度落实、技术防护、宣传培训和监督检查等工作。并且，将“谁运营谁负责、谁主管谁负责”写入责任分配原则，落实责任人和责任部门。

建议企业关注：跨部门团队需要有明确的牵头人和职责安排。系统接入、设备维护、风险整改等事项，应具体落实决策、执行和监督责任，减少部门之间的管理空隙。

2

风险评估：明确开展节点，落实定期评估

2018版要求建立并应用工控风险评估过程，并充分论证评估对系统可用性和稳定性的影响。此次修订进一步明确了评估何时开展、如何形成结果，以及哪些情况需要重新评估。

《征求意见稿》提出，在新建或升级工业控制系统上线前、工控网络与企业管理网或互联网连接前，按计划开展风险评估并形成报告。系统或运行环境发生重大变更，发现新的威胁和漏洞，或出现其他可能影响安全状态的条件时，应重新评估。对于重要工业控制系统，提出每年至少开展一次工控安全防护能力相关评估。

建议企业关注：将评估安排嵌入上线、互联和重大变更流程，并为重要系统建立定期评估计划。同时，评估方式必须充分考虑生产影响，保障系统稳定运行。

3

资源保障：安全投入纳入预算，人员能力同步跟进

2018版要求提供建立、运行和持续改进工控安全管理体系所需的资源。《征求意见稿》进一步将工控安全建设投入纳入组织资本计划、年度预算，保障安全防护措施与工业控制系统同步规划、同步建设、同步使用。

这意味着，安全需求与资源配置需要在项目规划阶段形成明确安排，并纳入投资管理流程，使人员、资金和实施条件能够跟上生产系统建设进度。

人员能力建设同样得到细化。《征求意见稿》进一步明确培训对象、内容和管理安排，覆盖新员工入职培训、在岗人员复训及系统变更所需培训，并要求开展考核、留存记录和评价培训效果。管理员、高级管理层和承包商等工控系统用户，也被纳入安全意识培训范围。

建议企业关注：在项目立项和年度预算阶段考虑安全投入，提前安排人员、资金及实施条件，使安全建设能够跟上生产系统建设进度。

4

运行控制：贯通变更流程，明确外部服务责任

2018版提出，安全措施实施前需要评估其可能对工控系统造成的危害，并获得授权；配置管理、系统和服务获取等措施也已有相应规定。

《征求意见稿》进一步将这些工作衔接到运行管理活动中，明确应在发生配置变更前开展评审和安全影响分析，将决策形成文件；变更后检测安全功能，验证变更是否正确实现、是否满足安全需求，并保留记录。

对于外部产品和服务提供商，《征求意见稿》要求其遵守企业安全策略，通过协议明确管理范围、职责划分、访问授权等责任义务，并持续监控相关安全控制措施的合规性。同时，对外部产品选用提出安全标准和认证要求，对纳入网络关键设备目录的PLC等设备，明确相应安全认证或安全检测要求。

建议企业关注：把变更分析、实施授权、结果验证和记录留存衔接起来。将外部服务纳入统一管理，明确管理范围、职责划分和访问授权，避免维护活动游离于企业流程之外。

5

效果评价：关联监测信息，推动响应与改进

2018版要求持续监控实施的安全控制措施，识别安全违规事件，检测工控系统安全异常。

《征求意见稿》进一步明确持续监测计划的内容，包括监控目标、监控频率及评估频率；要求使用独立评估人员或组织，在持续的基础上来监视工业控制系统的安全控制，对评估和监测信息进行关联分析，根据结果采取响应措施，并定期报告安全状态。

建议企业关注：明确监测对象、分析责任和处置流程，让告警和评估结果能够转化为具体行动，再通过持续评价检查措施是否有效。

从这五个变化可以看出，《征求意见稿》进一步推动工控安全管理融入组织职责、业务流程、资源规划和日常运行。企业可结合自身生产业务和系统特点，统筹完善责任分工、评估计划、资源配置、变更管理及监测处置机制，将发现的问题转化为整改行动，并持续验证实施效果，为工业控制系统安全稳定运行提供支撑。