第二級安全保護能力：應能夠防護免受來自外部小型組織的、擁有少量資源的威脅源發起的惡意攻擊、一般的自然災害，以及其他相當危害程度的威脅所造成的重要資源損害，能夠發現重要的安全漏洞和處置安全事件，在自身遭到損害後，能夠在一段事件内恢複部分功能。
以下加粗字段為等保二級與一級的差別，需重點關注。
1|11安全通用要求
1.1安全實體環境
1.1.1實體位置選擇
本項要求包括：
a）機房場地應選擇在具有防震、防風和防雨等能力的建築内；
b）機房場地應避免設在建築物的頂層或地下室，否則應加強防水和防潮措施。
1.1.2實體通路控制
機房出入口應安排專人值守或配置電子門禁系統，控制、鑒别和記錄進入的人員。
1.1.3防盜竊和防破壞
本項要求包括：
a）應将裝置或主要部件進行固定，并設定明顯的不易除去的辨別；
b）應将通信線纜鋪設在隐蔽安全處。
1.1.4防雷擊
應将各類機櫃、設施和裝置等通過接地系統安全接地。
1.1.5防火
本項要求包括：
a）機房應設定火災自動消防系統，能夠自動檢測火情、自動報警，并自動滅火；
b）機房及相關的工作房間和輔助房應采用具有耐火等級的建築材料。
1.1.6防水和防潮
本項要求包括：
a）應采取措施防止雨水通過機房窗戶、屋頂和牆壁滲透；
b）應采取措施防止機房内水蒸氣結露和地下積水的轉移與滲透。
1.1.7防靜電
應釆用防靜電地闆或地面并采用必要的接地防靜電措施。
1.1.8溫濕度控制
應設定溫濕度自動調節設施，使機房溫濕度的變化在裝置運作所允許的範圍之内。
1.1.9電力供應
本項要求包括：
a）應在機房供電線路上配置穩壓器和過電壓防護裝置；
b）應提供短期的備用電力供應，至少滿足裝置在斷電情況下的正常運作要求。
1.1.10電磁防護
電源線和通信線纜應隔離鋪設，避免互相幹擾。
1.2安全通信網絡
1.2.1網絡架構
本項要求包括：
a）應劃分不同的網絡區域，并按照友善管理和控制的原則為各網絡區域配置設定位址；
b）應避免将重要網絡區域部署在邊界處，重要網絡區域與其他網絡區域之間應采取可靠的技術隔離手段。
1.2.2通信傳輸
應釆用校驗技術保證通信過程中資料的完整性。
1.2.3可信驗證
可基于可信根對通信裝置的系統引導程式、系統程式、重要配置參數和通信應用程式等進行可信驗證，并在檢測到其可信性受到破壞後進行報警,并将驗證結果形成審計記錄送至安全管理中心。
1.3安全區域邊界
1.3.1邊界防護
應保證跨越邊界的通路和資料流通過邊界裝置提供的受控接口進行通信。
1.3.2通路控制
本項要求包括：
a）應在網絡邊界或區域之間根據通路控制政策設定通路控制規則，預設情況下除允許通信外受 控接口拒絕所有通信；
b）應删除多餘或無效的通路控制規則，優化通路控制清單，并保證通路控制規則數量最小化；
c）應對源位址、目的位址、源端口、目的端口和協定等進行檢查，以允許/拒絕資料包進出；
d）應能根據會話狀态資訊為進出資料流提供明确的允許/拒絕通路的能力。
1.3.3入侵防範
應在關鍵網絡節點處監視網絡攻擊行為。
1.3.4惡意代碼防範
應在關鍵網絡節點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的更新和更新。
1.3.5安全審計
本項要求包括：
a）應在網絡邊界、重要網絡節點進行安全審計，審計覆寫到每個使用者，對重要的使用者行為和重要安全事件進行審計；
b）審計記錄應包括事件的日期和時間、使用者、事件類型、事件是否成功及其他與審計相關的資訊；
c）應對審計記錄進行保護，定期備份，避免受到未預期的删除、修改或覆寫等。
1.3.6可信驗證
可基于可信根對邊界裝置的系統引導程式、系統程式、重要配置參數和邊界防護應用程式等進行可信驗證，并在檢測到其可信性受到破壞後進行報警，并将驗證結果形成審計記錄送至安全管理中心。
1.4安全計算環境
1.4.1身份鑒别
本項要求包括：
a) 應對登入的使用者進行身份辨別和鑒别，身份辨別具有唯一性，身份鑒别資訊具有複雜度要求并定期更換；
b) 應具有登入失敗處理功能，應配置并啟用結束會話、限制非法登入次數和當登入連接配接逾時自動退出等相關措施；
c) 當進行遠端管理時，應釆取必要措施防止鑒别資訊在網絡傳輸過程中被竊聽。
1.4.2通路控制
本項要求包括：
a）應對登入的使用者配置設定賬戶和權限；
b）應重命名或删除預設賬戶，修改預設賬戶的預設密碼；
c）應及時删除或停用多餘的、過期的賬戶，避免共享賬戶的存在；
d）應授予管理使用者所需的最小權限，實作管理使用者的權限分離。
1.4.3安全審計
本項要求包括：
a）應啟用安全審計功能，審計覆寫到每個使用者，對重要的使用者行為和重要安全事件進行審計；
b）審計記錄應包括事件的日期和時間、使用者、事件類型、事件是否成功及其他與審計相關的資訊；
c）應對審計記錄進行保護，定期備份，避免受到未預期的删除、修改或覆寫等。
1.4.4入侵防範
本項要求包括：
a）應遵循最小安裝的原則，僅安裝需要的元件和應用程式；
b）應關閉不需要的系統服務、預設共享和高危端口；
c）應通過設定終端接入方式或網絡位址範圍對通過網絡進行管理的管理終端進行限制；
d）應提供資料有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的内容符合系統設定要求；
e）應能發現可能存在的已知漏洞，并在經過充分測試評估後，及時修補漏洞。
1.4.5 惡意代碼防範
應安裝防惡意代碼軟體或配置具有相應功能的軟體，并定期進行更新和更新防惡意代碼庫。
1.4.6可信驗證
可基于可信根對計算裝置的系統引導程式、系統程式、重要配置參數和應用程式等進行可信驗證， 并在檢測到其可信性受到破壞後進行報警，并将驗證結果形成審計記錄送至安全管理中心。
1.4.7資料完整性
應采用校驗技術保證重要資料在傳輸過程中的完整性。
1.4.8資料備份恢複
本項要求包括：
a）應提供重要資料的本地資料備份與恢複功能；
b）應提供異地資料備份功能，利用通信網絡将重要資料定時批量傳送至備用場地。
1.4.9剩餘資訊保護
應保證鑒别資訊所在的存儲空間被釋放或重新配置設定前得到完全清除。
1.4.10個人資訊保護
本項要求包括：
a）應僅采集和儲存業務必需的使用者個人資訊；
b）應禁止未授權通路和非法使用使用者個人資訊。
1.5安全管理中心
1.5.1系統管理
本項要求包括：
a）應對系統管理者進行身份鑒别，隻允許其通過特定的指令或操作界面進行系統管理操作，并對 這些操作進行審計；
b）應通過系統管理者對系統的資源和運作進行配置、控制和管理，包括使用者身份、系統資源配置、系統加載和啟動、系統運作的異常處理、資料和裝置的備份與恢複等。
1.5.2審計管理
本項要求包括：
a）應對審計管理者進行身份鑒别，隻允許其通過特定的指令或操作界面進行安全審計操作，并對這些操作進行審計；
b）應通過審計管理者對審計記錄進行分析，并根據分析結果進行處理，包括根據安全審計政策對審計記錄進行存儲、管理和查詢等。
1.6安全管理制度
1.6.1安全政策
應制定網絡安全工作的總體方針和安全政策，闡明機構安全工作的總體目标、範圍、原則和安全架構等。
1.6.2管理制度
本項要求包括:
a）應對安全管理活動中的主要管理内容建立安全管理制度；
b）應對管理人員或操作人員執行的日常管理操作建立操作規程。
1.6.3制定和釋出
本項要求包括：
a）應指定或授權專門的部門或人員負責安全管理制度的制定；
b）安全管理制度應通過正式、有效的方式釋出，并進行版本控制。
1.6.4 評審和修訂
應定期對安全管理制度的合理性和适用性進行論證和審定，對存在不足或需要改進的安全管理制度進行修訂。
1.7安全管理機構
1.7.1 崗位設定
本項要求包括：
a）應設立網絡安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，并定 義各負責人的職責；
b）應設立系統管理者、審計管理者和安全管理者等崗位，并定義部門及各個工作崗位的職責。
1.7.2人員配備
應配備一定數量的系統管理者、審計管理者和安全管理者等。
1.7.3授權和審批
本項要求包括：
a）應根據各個部門和崗位的職責明确授權審批事項、審批部門和準許人等；
b）應針對系統變更、重要操作、實體通路和系統接入等事項執行審批過程。
1.7.4溝通和合作
本項要求包括：
a）應加強各類管理人員、組織内部機構和網絡安全管理部門之間的合作與溝通，定期召開協調會議，共同協作處理網絡安全問題；
b）應加強與網絡安全職能部門、各類供應商、業界專家及安全組織的合作與溝通；
c）應建立外聯機關聯系清單，包括外聯単位名稱、合作内容、聯系人和聯系方式等資訊。
1.7.5稽核和檢查
應定期進行正常安全檢查，檢查内容包括系統日常運作、系統漏洞和資料備份等情況。
1.8安全管理人員
1.8.1人員錄用
本項要求包括：
a）應指定或授權專門的部門或人員負責人員錄用；
b）應對被錄用人員的身份、安全背景、專業資格或資質等進行審査。
1.8.2人員離崗
應及時終止離崗人員的所有通路權限，取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬體裝置。
1.8.3安全意識教育和教育訓練
應對各類人員進行安全意識教育和崗位技能教育訓練，并告知相關的安全責任和懲戒措施。
1.8.4外部人員通路管理
本項要求包括：
a）應在外部人員實體通路受控區域前先提出書面申請，準許後由專人全程陪同，并登記備案；
b）應在外部人員接入受控網絡通路系統前先提出書面申請，準許後由專人開設賬戶、配置設定權限, 并登記備案；
c）外部人員離場後應及時清除其所有的通路權限。
1.9安全建設管理
1.9.1定級和備案
本項要求包括：
a）應以書面的形式說明保護對象的安全保護等級及确定等級的方法和理由；
b）應組織相關部門和有關安全技術專家對定級結果的合理性和正确性進行論證和審定；
c）應保證定級結果經過相關部門的準許；
d）應将備案材料報主管部門和相應公安機關備案。
1.9.2安全方案設計
本項要求包括：
a）應根據安全保護等級選擇基本安全措施，依據風險分析的結果補充和調整安全措施；
b）應根據保護對象的安全保護等級進行安全方案設計；
c）應組織相關部門和有關安全專家對安全方案的合理性和正确性進行論證和審定，經過準許後才能正式實施。
1.9.3産品采購和使用
本項要求包括：
a）應確定網絡安全産品釆購和使用符合國家的有關規定；
b）應確定密碼産品與服務的采購和使用符合國家密碼管理主管部門的要求。
1.9.4自行軟體開發
本項要求包括：
a）應将開發環境與實際運作環境實體分開，測試資料和測試結果受到控制；
b）應在軟體開發過程中對安全性進行測試,在軟體安裝前對可能存在的惡意代碼進行檢測。
1.9.5外包軟體開發
本項要求包括：
a）應在軟體傳遞前檢測其中可能存在的惡意代碼；
b）應保證開發機關提供軟體設計文檔和使用指南。
1.9.6工程實施
本項要求包括：
a）應指定或授權專門的部門或人員負責工程實施過程的管理；
b）應制定安全工程實施方案控制工程實施過程。
1.9.7測試驗收
本項要求包括：
a）應制訂測試驗收方案，并依據測試驗收方案實施測試驗收，形成測試驗收報告；
b）應進行上線前的安全性測試，并出具安全測試報告。
1.9.8系統傳遞
本項要求包括：
a）應制定傳遞清單，并根據傳遞清單對所交接的裝置，軟體和文檔等進行清點；
b）應對負責運作維護的技術人員進行相應的技能教育訓練；
c）應提供建設過程文檔和運作維護文檔。
1.9.9等級測評
a）應定期進行等級測評，發現不符合相應等級保護标準要求的及時整改；
a）應在發生重大變更或級别發生變化時進行等級測評；
c）應確定測評機構的選擇符合國家有關規定。
1.9.10服務供應商選擇
本項要求包括：
a）應確定服務供應商的選擇符合國家的有關規定；
b）應與標明的服務供應商簽訂相關協定，明确整個服務供應鍊各方需履行的網絡安全相關義務。
1.10安全運維管理
1.10.1 環境管理
本項要求包括：
a）應指定專門的部門或人員負責機房安全，對機房出入進行管理，定期對機房供配電、空調、溫濕度控制、消防等設施進行維護管理；
b）應對機房的安全管理做出規定，包括實體通路、物品進出和環境安全等；
c）應不在重要區域接待來訪人員，不随意放置含有敏感資訊的紙檔檔案和移動媒體等。
1.10.2資産管理
應編制并儲存與保護對象相關的資産清單，包括資産責任部門、重要程度和所處位置等内容。
1.10.3媒體管理
本項要求包括：
a）應将媒體存放在安全的環境中，對各類媒體進行控制和保護，實行存儲環境專人管理，并根據存檔媒體的目錄清單定期盤點；
b）應對媒體在實體傳輸過程中的人員選擇、打包、傳遞等情況進行控制，并對媒體的歸檔和査詢等進行登記記錄。
1.10.4裝置維護管理
本項要求包括：
a）應對各種裝置（包括備份和備援裝置）、線路等指定專門的部門或人員定期進行維護管理；
b）應對配套設施、軟硬體維護管理做出規定，包括明确維護人員的責任、維修和服務的審批、維修過程的監督控制等。
7.1.10.5漏洞和風險管理
應采取必要的措施識别安全漏洞和隐患，對發現的安全漏洞和隐患及時進行修補或評估可能的影響後進行修補。
7.1.10.6網絡和系統安全管理
本項要求包括：
a）應劃分不同的管理者角色進行網絡和系統的運維管理，明确各個角色的責任和權限；
b）應指定專門的部門或人員進行賬戶管理，對申請賬戶、建立賬戶、删除賬戶等進行控制；
c）應建立網絡和系統安全管理制度，對安全政策、賬戶管理、配置管理、日志管理、日常操作、更新 與打更新檔、密碼更新周期等方面作出規定；
d）應制定重要裝置的配置和操作手冊，依據手冊對裝置進行安全配置和優化配置等；
e）應詳細記錄運維記錄檔，包括日常巡檢工作、運作維護記錄、參數的設定和修改等内容。
1.10.7惡意代碼防範管理
本項要求包括：
a）應提高所有使用者的防惡意代碼意識，對外來計算機或儲存設備接入系統前進行惡意代碼檢查等；
b）應對惡意代碼防範要求做出規定，包括防惡意代碼軟體的授權使用、惡意代碼庫更新、惡意代碼的定期清除等；
c）應定期檢查惡意代碼庫的更新情況，對截獲的惡意代碼進行及時分析處理。
1.10.8配置管理
應記錄和儲存基本配置資訊，包括網絡拓撲結構、各個裝置安裝的軟體元件、軟體元件的版本和補 丁資訊、各個裝置或軟體元件的配置參數等。
1.10.9密碼管理
本項要求包括：
a）應遵循密碼相關國家标準和行業标準;
b）應使用國家密碼管理主管部門認證核準的密碼技術和産品。
1.10.10變更管理
應明确變更需求，變更前根據變更需求制定變更方案，變更方案經過評審、審批後方可實施。
1.10.11備份與族複管
本項要求包括：
a）應識别需要定期備份的重要業務資訊、系統資料及軟體系統等；
b）應規定備份資訊的備份方式、備份頻度、存儲媒體、儲存期等；
c）應根據資料的重要性和資料對系統運作的影響，制定資料的備份政策和恢複政策、備份程式和恢複程式等。
1.10.12安全事件處置
本項要求包括：
a）應及時向安全管理部門報告所發現的安全弱點和可疑事件；
b）應制定安全事件報告和處置管理制度，明确不同安全事件的報告、處置和響應流程，規定安全事件的現場處理、事件報告和後期恢複的管理職責等；
c）應在安全事件報告和響應處理過程中，分析和鑒定事件産生的原因，收集證據，記錄處理過程，總結經驗教訓。
1.10.13應急預案管理
本項要求包括：
a）應制定重要事件的應急預案，包括應急處理流程、系統恢複流程等内容；
b）應定期對系統相關的人員進行應急預案教育訓練，并進行應急預案的演練。
1.10.14外包運維管理
本項要求包括：
a）應確定外包運維服務商的選擇符合國家的有關規定；
b）應與標明的外包運維服務商簽訂相關的協定，明确約定外包運維的範圍、工作内容。
1|22雲計算安全擴充要求
2.1安全實體環境
2.1.1基礎設施位置
應保證雲計算基礎設施位于中國境内。
2.2安全通信網絡
2.2.1網絡架構
本項要求包括：
a）應保證雲計算平台不承載高于其安全保護等級的業務應用系統；
b）應實作不同雲服務客戶虛拟網絡之間的隔離；
c）應具有根據雲服務客戶業務需求提供通信傳輸、邊界防護、入侵防範等安全機制的能力。
2.3安全區域邊界
2.3.1通路控制
本項要求包括：
a）應在虛拟化網絡邊界部署通路控制機制，并設定通路控制規則；
b）應在不同等級的網絡區域邊界部署通路控制機制，設定通路控制規則。
7.2.3.2入侵防範
本項要求包括：
a）應能檢測到雲服務客戶發起的網絡攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；
b）應能檢測到對虛拟網絡節點的網絡攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等；
c）應能檢測到虛拟機與主控端、虛拟機與虛拟機之間的異常流量。
2.3.3安全審計
本項要求包括：
a）應對雲服務商和雲服務客戶在遠端管理時執行的特權指令進行審計，至少包括虛拟機删除、虛 拟機重新開機；
b）應保證雲服務商對雲服務客戶系統和資料的操作可被雲服務客戶審計。
2.4安全計算環境
2.4.1通路控制
本項要求包括：
a）應保證當虛拟機遷移時，通路控制政策随其遷移；
b）應允許雲服務客戶設定不同虛拟機之間的通路控制政策。
2.4.2鏡像和快照保護
本項要求包括：
a）應針對重要業務系統提供加強的作業系統鏡像或作業系統安全加強服務；
b）應提供虛拟機鏡像、快照完整性校驗功能，防止虛拟機鏡像被惡意篡改。
2.4.3資料完整性和保密性
本項要求包括：
a）應確定雲服務客戶資料、使用者個人資訊等存儲于中國境内，如需出境應遵循國家相關規定；
b）應確定隻有在雲服務客戶授權下，雲服務商或第三方才具有雲服務客戶資料的管理權限；
c）應確定虛拟機遷移過程中重要資料的完整性，并在檢測到完整性受到破壞時采取必要的恢複措施。
2.4.4資料備份恢複
本項要求包括：
a）雲服務客戶應在本地儲存其業務資料的備份；
b）應提供查詢雲服務客戶資料及備份存儲位置的能力。
2.4.5剩餘資訊保護
本項要求包括：
a）應保證虛拟機所使用的記憶體和存儲空間回收時得到完全清除；
b）雲服務客戶删除業務應用資料時,雲計算平台應将雲存儲中所有副本删除。
2.5安全建設管理
2.5.1雲服務商選擇
本項要求包括：
a）應選擇安全合規的雲服務商，其所提供的雲計算平台應為其所承載的業務應用系統提供相應等級的安全保護能力；
b）應在服務水準協定中規定雲服務的各項服務内容和具體技術名額；
c）應在服務水準協定中規定雲服務商的權限與責任，包括管理範圍、職責劃分、通路授權、隐私保護、行為準則、違約責任等；
d）應在服務水準協定中規定服務合約到期時，完整提供雲服務客戶資料,并承諾相關資料在雲計算平台上清除。
2.5.2供應鍊管理
本項要求包括：
a）應確定供應商的選擇符合國家有關規定；
b）應将供應鍊安全事件資訊或安全威脅資訊及時傳達到雲服務客戶。
2.6安全運維管理
2.6.1雲計算環境管理
雲計算平台的運維地點應位于中國境内，境外對境内雲計算平台實施運維操作應遵循國家相關規定。
1|33移動互聯安全擴充要求
3.1安全實體環境
3.1.1無線接入點的實體位置
應為無線接入裝置的安裝選擇合理位置,避免過度覆寫和電磁幹擾。
3.2安全區域邊界
3.2.1邊界防護
應保證有線網絡與無線網絡邊界之間的通路和資料流通過無線接入網關裝置。
3.2.2通路控制
無線接入裝置應開啟接入認證功能，并且禁止使用WEP方式進行認證，如使用密碼，長度不小于8位字元。
3.2.3入侵防範
本項要求包括：
a）應能夠檢測到非授權無線接入裝置和非授權移動終端的接入行為；
b）應能夠檢測到針對無線接入裝置的網絡掃描、DDoS攻擊、密鑰破解、中間人攻擊和欺騙攻擊 等行為；
c）應能夠檢測到無線接入裝置的SSID廣播、WPS等高風險功能的開啟狀态；
d）應禁用無線接入裝置和無線接入網關存在風險的功能，如：SSID廣播、WEP認證等；
e）應禁止多個AP使用同一個認證密鑰。
3.3安全計算環境
3.3.1移動應用管控
本項要求包括：
a）應具有選擇應用軟體安裝、運作的功能；
b）應隻允許可靠證書簽名的應用軟體安裝和運作。
3.4安全建設管理
3.4.1移動應用軟體采購
本項要求包括：
a）應保證移動終端安裝、運作的應用軟體來自可靠分發管道或使用可靠證書簽名；
b）應保證移動終端安裝、運作的應用軟體由可靠的開發者開發。
3.4.2移動應用軟體開發
本項要求包括：
a）應對移動業務應用軟體開發者進行資格審査；
b）應保證開發移動業務應用軟體的簽名證書合法性。
1|44物聯網安全擴充要求
4.1安全實體環境
4.1.1感覺節點裝置實體防護
本項要求包括：
a）感覺節點裝置所處的實體環境應不對感覺節點裝置造成實體破壞,如擠壓、強振動；
b）感覺節點裝置在工作狀态所處實體環境應能正确反映環境狀态（如溫濕度傳感器不能安裝在陽光直射區域）。
4.2安全區域邊界
4.2.1接入控制
應保證隻有授權的感覺節點可以接入。
4.2.2入侵防範
本項要求包括：
a）應能夠限制與感覺節點通信的目标位址，以避免對陌生位址的攻擊行為；
b）應能夠限制與網關節點通信的目标位址，以避免對陌生位址的攻擊行為。
4.3安全運維管理
4.3.1感覺節點管理
本項要求包括：
a）應指定人員定期巡視感覺節點裝置、網關節點裝置的部署環境，對可能影響感覺節點裝置、網關節點裝置正常工作的環境異常進行記錄和維護；
b）應對感覺節點裝置、網關節點裝置入庫、存儲、部署、攜帶、維修、丢失和報廢等過程作出明确規定，并進行全程管理。
1|55工業控制系統安全擴充要求
5.1安全實體環境
5.1.1室外控制裝置實體防護
本項要求包括：
a）室外控制裝置應放置于采用鐵闆或其他防火材料制作的箱體或裝置中并緊固；箱體或裝置具 有透風、散熱、防盜、防雨和防火能力等；
b）室外控制裝置放置應遠離強電磁幹擾、強熱源等環境，如無法避免應及時做好應急處置及檢修,保證裝置正常運作。
5.2安全通信網絡
5.2.1網絡架構
本項要求包括：
a）工業控制系統與企業其他系統之間應劃分為兩個區域，區域間應采用技術隔離手段；
b）工業控制系統内部應根據業務特點劃分為不同的安全域，安全域之間應采用技術隔離手段；
c）涉及實時控制和資料傳輸的工業控制系統，應使用獨立的網絡裝置組網，在實體層面上實作與其他資料網及外部公共資訊網的安全隔離。
5.2.2通信傳輸
在工業控制系統内使用廣域網進行控制指令或相關資料交換的應采用加密認證技術手段實作身份認證、通路控制和資料加密傳輸。
5.3安全區域邊界
5.3.1通路控制
本項要求包括：
a）應在工業控制系統與企業其他系統之間部署通路控制裝置，配置通路控制政策，禁止任何穿越 區域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務；
b）應在工業控制系統内安全域和安全域之間的邊界防護機制失效時，及時進行報警。
5.3.2撥号使用控制
工業控制系統确需使用撥号通路服務的，應限制具有撥号通路權限的使用者數量，并采取使用者身份鑒别和通路控制等措施。
5.3.3無線使用控制
本項要求包括：
a）應對所有參與無線通信的使用者（人員、軟體程序或者裝置）提供唯一性辨別和鑒别；
b）應對所有參與無線通信的使用者（人員、軟體程序或者裝置）進行授權以及執行使用進行限制。
5.4安全計算環境
5.4.1控制裝置安全
本項要求包括：
a）控制裝置自身應實作相應級别安全通用要求提出的身份鑒别、通路控制和安全審計等安全要求,如受條件限制控制裝置無法實作上述要求，應由其上位控制或管理裝置實作同等功能或通 過管理手段控制；
b）應在經過充分測試評估後,在不影響系統安全穩定運作的情況下對控制裝置進行更新檔更新、固件更新等工作。
5.5安全建設管理
5.5.1産品采購和使用
工業控制系統重要裝置應通過專業機構的安全性檢測後方可采購使用。
5.5.2外包軟體開發
應在外包開發合同中規定針對開發機關、供應商的限制條款，包括裝置及系統在生命周期内有關保密、禁止關鍵技術擴散和裝置行業專用等方面的内容
