工業控制系統通常是對實時性要求較高的系統，工業控制系統安全擴充要求重點對現場裝置層和現場控制層的裝置提出了補充要求，同時在安全通用要求的基礎上也對工業控制系統的網絡架構、通信傳輸、通路控制等提出了特殊要求。
工業控制系統通常是可用性要求較高的等級保護對象。工業控制系統(ICS)是各種類型控制系統的總稱，典型的包括資料采集與監視控制系統(SCADA)系統、集散控制系統(DCS)和其它控制系統等。工業控制系統通常用于諸如電力、水和污水處理、石油和天然氣、化工、交通運輸、制藥、紙漿和造紙、食品和飲料以及離散制造(如汽車、航空航天和耐用品)等行業。
工業控制系統從上到下一般分為5個層級，依次為企業資源層、生産管理層、過程監控層、現場控制層和現場裝置層，不同層級的實時性要求不同。由于定級對象劃分的不同，需要保護的工業控制系統對象可能跨越上述5個層級的多個層級。
對工業控制系統的安全防護應包括各個層級，由于企業資源層、生産管理層、過程監控層通常是由計算機裝置構成，是以這些層級按照安全通用要求提出的要求進行保護，工業控制系統安全擴充要求主要針對現場控制層和現場裝置層提出特殊安全要求，它們與安全通用要求一起構成對工業控制系統的完整安全要求。
工業控制系統安全擴充要求涉及的控制點主要包括室外控制裝置防護、撥号使用控制、無線使用控制、控制裝置安全等，以及在網絡架構、通信傳輸、通路控制、産品采購和使用、外包軟體開發等方面的額外要求。
工業控制系統安全擴充要求控制點/要求項的逐級變化
| 序号 | 控制點 | 一級 | 二級 | 三級 | 四級 |
| 1 | 室外控制裝置防護 | 2 | 2 | 2 | 2 |
| 2 | 網絡架構 | 2 | 3 | 3 | 3 |
| 3 | 通信傳輸 | 1 | 1 | 1 | |
| 4 | 通路控制 | 1 | 2 | 2 | 2 |
| 5 | 撥号使用控制 | 1 | 2 | 3 | |
| 6 | 無線使用控制 | 2 | 2 | 4 | 4 |
| 7 | 控制裝置安全 | 2 | 2 | 5 | 5 |
| 8 | 産品采購和使用 | 1 | 1 | 1 | |
| 9 | 外包軟體開發 | 1 | 1 | 1 |
基本要求一至四級，詳情見下表
| 工業控制系統安全擴充要求 | 工業控制系統安全擴充要求 | 工業控制系統安全擴充要求 | 工業控制系統安全擴充要求 |
| 安全實體環境 | 安全實體環境 | 安全實體環境 | 安全實體環境 |
| 室外控制裝置實體防護 | 室外控制裝置實體防護 | 室外控制裝置實體防護 | 室外控制裝置實體防護 |
| 本項要求包括： | 本項要求包括： | 本項要求包括： | 本項要求包括： |
| a) 室外控制裝置應放置于采用鐵闆或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風、散熱、防盜、防雨和防火能力等； | a) 室外控制裝置應放置于采用鐵闆或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風、散熱、防盜、防雨和防火能力等； | a)室外控制裝置應放置于采用鐵闆或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風、散熱、防盜、防雨和防火能力等； | a)室外控制裝置應放置于采用鐵闆或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具有透風、散熱、防盜、防雨和防火能力等； |
| b) 室外控制裝置放置應遠離強電磁幹擾、強熱源等環境，如無法避免應及時做好應急處置及檢修， 保證裝置正常運作。 | b) 室外控制裝置放置應遠離強電磁幹擾、強熱源等環境，如無法避免應及時做好應急處置及檢修， 保證裝置正常運作。 | b)室外控制裝置放置應遠離強電磁幹擾、強熱源等環境，如無法避免應及時做好應急處置及檢修，保證裝置正常運作。 | b)室外控制裝置放置應遠離強電磁幹擾、強熱源等環境，如無法避免應及時做好應急處置及檢修，保證裝置正常運作。 |
| 安全通信網絡 | 安全通信網絡 | 安全通信網絡 | 安全通信網絡 |
| 網絡架構 | 網絡架構 | 網絡架構 | 網絡架構 |
| 本項要求包括： | 本項要求包括： | 本項要求包括： | 本項要求包括： |
| a) 工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用技術隔離手段； | a) 工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用技術隔離手段； | a)工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用單向的技術隔離手段； | a)工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用符合國家或行業規定的專用産品實作單向安全隔離； |
| b) 工業控制系統内部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段。 | b) 工業控制系統内部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段； | b)工業控制系統内部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段； | b)工業控制系統内部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段； |
| — | c) 涉及實時控制和資料傳輸的工業控制系統，應使用獨立的網絡裝置組網，在實體層面上實作與其它資料網及外部公共資訊網的安全隔離。 | c)涉及實時控制和資料傳輸的工業控制系統，應使用獨立的網絡裝置組網，在實體層面上實作與其他資料網及外部公共資訊網的安全隔離。 | c)涉及實時控制和資料傳輸的工業控制系統，應使用獨立的網絡裝置組網，在實體層面上實作與其它資料網及外部公共資訊網的安全隔離。 |
| 通信傳輸 | 通信傳輸 | 通信傳輸 | 通信傳輸 |
| — | 在工業控制系統内使用廣域網進行控制指令或相關資料交換的應采用加密認證技術手段實作身份認證、通路控制和資料加密傳輸。 | 在工業控制系統内使用廣域網進行控制指令或相關資料交換的應采用加密認證技術手段實作身份認證、通路控制和資料加密傳輸。 | 在工業控制系統内使用廣域網進行控制指令或相關資料交換的應采用加密認證技術手段實作身份認證、通路控制和資料加密傳輸。 |
| 安全區域邊界 | 安全區域邊界 | 安全區域邊界 | 安全區域邊界 |
| 通路控制 | 通路控制 | 通路控制 | 通路控制 |
| 本項要求包括： | 本項要求包括： | 本項要求包括： | 本項要求包括： |
| 應在工業控制系統與企業其他系統之間部署通路控制裝置，配置通路控制政策，禁止任何穿越區域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務。 | a) 應在工業控制系統與企業其他系統之間部署通路控制裝置，配置通路控制政策，禁止任何穿越區域邊界的E-Mail、Web、Telnet、Rlogin、FTP 等通用網絡服務； | a)應在工業控制系統與企業其他系統之間部署通路控制裝置，配置通路控制政策，禁止任何穿越區域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務； | a)應在工業控制系統與企業其他系統之間部署通路控制裝置，配置通路控制政策，禁止任何穿越區域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務； |
| — | b) 應在工業控制系統内安全域和安全域之間的邊界防護機制失效時，及時進行報警。 | b)應在工業控制系統内安全域和安全域之間的邊界防護機制失效時，及時進行報警。 | b)應在工業控制系統内安全域和安全域之間的邊界防護機制失效時，及時進行報警。 |
| 撥号使用控制 | 撥号使用控制 | 撥号使用控制 | 撥号使用控制 |
| 本項要求包括： | 本項要求包括： | 本項要求包括： | 本項要求包括： |
| — | 工業控制系統确需使用撥号通路服務的，應限制具有撥号通路權限的使用者數量，并采取使用者身份鑒别和通路控制等措施。 | a)工業控制系統确需使用撥号通路服務的，應限制具有撥号通路權限的使用者數量，并采取使用者身份鑒别和通路控制等措施； | a)工業控制系統确需使用撥号通路服務的，應限制具有撥号通路權限的使用者數量，并采取使用者身份鑒别和通路控制等措施； |
| — | — | b)撥号伺服器和用戶端均應使用經安全加強的作業系統，并采取數字證書認證、傳輸加密和通路控制等措施。 | b)撥号伺服器和用戶端均應使用經安全加強的作業系統，并采取數字證書認證、傳輸加密和通路控制等措施； |
| — | — | — | c)涉及實時控制和資料傳輸的工業控制系統禁止使用撥号通路服務。 |
| 無線使用控制 | 無線使用控制 | 無線使用控制 | 無線使用控制 |
| 本項要求包括： | 本項要求包括： | 本項要求包括： | 本項要求包括： |
| a) 應對所有參與無線通信的使用者（人員、軟體程序或者裝置）提供唯一性辨別和鑒别； | a) 應對所有參與無線通信的使用者（人員、軟體程序或者裝置）提供唯一性辨別和鑒别； | a)應對所有參與無線通信的使用者（人員、軟體程序或者裝置）提供唯一性辨別和鑒别； | a)應對所有參與無線通信的使用者（人員、軟體程序或者裝置）提供唯一性辨別和鑒别； |
| b) 應對無線連接配接的授權、監視以及執行使用進行限制。 | b) 應對所有參與無線通信的使用者（人員、軟體程序或者裝置）進行授權以及執行使用進行限制。 | b)應對所有參與無線通信的使用者（人員、軟體程序或者裝置）進行授權以及執行使用進行限制； | b)應對所有參與無線通信的使用者（人員、軟體程序或者裝置）進行授權以及執行使用進行限制； |
| — | — | c)應對無線通信采取傳輸加密的安全措施，實作傳輸封包的機密性保護； | c)應對無線通信采取傳輸加密的安全措施，實作傳輸封包的機密性保護； |
| — | — | d)對采用無線通信技術進行控制的工業控制系統，應能識别其實體環境中發射的未經授權的無線裝置，報告未經授權試圖接入或幹擾控制系統的行為。 | d)對采用無線通信技術進行控制的工業控制系統，應能識别其實體環境中發射的未經授權的無線裝置，報告未經授權試圖接入或幹擾控制系統的行為。 |
| 安全計算環境 | 安全計算環境 | 安全計算環境 | 安全計算環境 |
| 控制裝置安全 | 控制裝置安全 | 控制裝置安全 | 控制裝置安全 |
| 本項要求包括： | 本項要求包括： | 本項要求包括： | 本項要求包括： |
| a) 控制裝置自身應實作相應級别安全通用要求提出的身份鑒别、通路控制和安全審計等安全要求，如受條件限制控制裝置無法實作上述要求，應由其上位控制或管理裝置實作同等功能或通過管理手段控制； | a) 控制裝置自身應實作相應級别安全通用要求提出的身份鑒别、通路控制和安全審計等安全要求， 如受條件限制控制裝置無法實作上述要求，應由其上位控制或管理裝置實作同等功能或通過管理手段控制； | a)控制裝置自身應實作相應級别安全通用要求提出的身份鑒别、通路控制和安全審計等安全要求，如受條件限制控制裝置無法實作上述要求，應由其上位控制或管理裝置實作同等功能或通過管理手段控制； | a)控制裝置自身應實作相應級别安全通用要求提出的身份鑒别、通路控制和安全審計等安全要求，如受條件限制控制裝置無法實作上述要求，應由其上位控制或管理裝置實作同等功能或通過管理手段控制； |
| b) 應在經過充分測試評估後，在不影響系統安全穩定運作的情況下對控制裝置進行更新檔更新、固件更新等工作。 | b) 應在經過充分測試評估後，在不影響系統安全穩定運作的情況下對控制裝置進行更新檔更新、固件更新等工作。 | b)應在經過充分測試評估後，在不影響系統安全穩定運作的情況下對控制裝置進行更新檔更新、固件更新等工作； | b)應在經過充分測試評估後，在不影響系統安全穩定運作的情況下對控制裝置進行更新檔更新、固件更新等工作； |
| — | — | c)應關閉或拆除控制裝置的軟碟驅動、CD光牒驅動、USB接口、串行口或多餘網口等，确需保留的應通過相關的技術措施實施嚴格的監控管理； | c)應關閉或拆除控制裝置的軟碟驅動、CD光牒驅動、USB接口、串行口或多餘網口等，确需保留的應通過相關的技術措施實施嚴格的監控管理； |
| — | — | d)應使用專用裝置和專用軟體對控制裝置進行更新； | d)應使用專用裝置和專用軟體對控制裝置進行更新； |
| — | — | e)應保證控制裝置在上線前經過安全性檢測，避免控制裝置固件中存在惡意代碼程式。 | e)應保證控制裝置在上線前經過安全性檢測，避免控制裝置固件中存在惡意代碼程式。 |
| 安全建設管理 | 安全建設管理 | 安全建設管理 | 安全建設管理 |
| 産品采購和使用 | 産品采購和使用 | 産品采購和使用 | 産品采購和使用 |
| — | 工業控制系統重要裝置應通過專業機構的安全性檢測後方可采購使用。 | 工業控制系統重要裝置應通過專業機構的安全性檢測後方可采購使用。 | 工業控制系統重要裝置應通過專業機構的安全性檢測後方可采購使用。 |
| 外包軟體開發 | 外包軟體開發 | 外包軟體開發 | 外包軟體開發 |
| — | 應在外包開發合同中規定針對開發機關、供應商的限制條款，包括裝置及系統在生命周期内有關保密、禁止關鍵技術擴散和裝置行業專用等方面的内容。 | 應在外包開發合同中規定針對開發機關、供應商的限制條款，包括裝置及系統在生命周期内有關保密、禁止關鍵技術擴散和裝置行業專用等方面的内容。 | 應在外包開發合同中規定針對開發機關、供應商的限制條款，包括裝置及系統在生命周期内有關保密、禁止關鍵技術擴散和裝置行業專用等方面的内容。 |
參考資料：
網絡安全等級測評師教育訓練教程
網絡安全等級保護基本要求
網絡安全等級保護測評要求
等