关于加强工业控制系统信息安全管理的通知
工业和信息化部
关于加强工业控制系统信息安全管理的通知
工信部协[2011]451号
各省、自治区、直辖市人民政府，国务院有关部门，有关国有大型企业：
工业控制系统信息安全事关工业生产运行、国家经济安全和人民生命财产安全，为切实加强工业控制系统信息安全管理，经国务院同意，现就有关事项通知如下：
一、充分认识加强工业控制系统信息安全管理的重要性和紧迫性
数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。一旦工业控制系统信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患。随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着严峻的形势。与此同时，我国工业控制系统信息安全管理工作中仍存在不少问题，主要是对工业控制系统信息安全问题重视不够，管理制度不健全，相关标准规范缺失，技术防护措施不到位，安全防护能力和应急处置能力不高等，威胁着工业生产安全和社会正常运转。对此，各地区、各部门、各单位务必高度重视，增强风险意识、责任意识和紧迫感，切实加强工业控制系统信息安全管理。
二、明确重点领域工业控制系统信息安全管理要求
加强工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。各地区、各部门、各单位要结合实际，明确加强工业控制系统信息安全管理的重点领域和重点环节，切实落实以下要求。
（一）连接管理要求。
1. 断开工业控制系统同公共网络之间的所有不必要连接。
2. 对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、单向隔离等措施加以防护，并定期进行风险评估，不断完善防范措施。
3. 严格控制在工业控制系统和公共网络之间交叉使用移动存储介质以及便携式计算机。
（二）组网管理要求。
1. 工业控制系统组网时要同步规划、同步建设、同步运行安全防护措施。
2. 采取虚拟专用网络（VPN）、线路冗余备份、数据加密等措施，加强对关键工业控制系统远程通信的保护。
3. 对无线组网采取严格的身份认证、安全监测等防护措施，防止经无线网络进行恶意入侵，尤其要防止通过侵入远程终端单元（RTU）进而控制部分或整个工业控制系统。
（三）配置管理要求。
1. 建立控制服务器等工业控制系统关键设备安全配置和审计制度。
2. 严格账户管理，根据工作需要合理分类设置账户权限。
3. 严格口令管理，及时更改产品安装时的预设口令，杜绝弱口令、空口令。
4. 定期对账户、口令、端口、服务等进行检查，及时清理不必要的用户和管理员账户，停止无用的后台程序和进程，关闭无关的端口和服务。
（四）设备选择与升级管理要求。
1. 慎重选择工业控制系统设备，在供货合同中或以其他方式明确供应商应承担的信息安全责任和义务，确保产品安全可控。
2. 加强对技术服务的信息安全管理，在安全得不到保证的情况下禁止采取远程在线服务。
3. 密切关注产品漏洞和补丁发布，严格软件升级、补丁安装管理，严防病毒、木马等恶意代码侵入。关键工业控制系统软件升级、补丁安装前要请专业技术机构进行安全评估和验证。
（五）数据管理要求。
地理、矿产、原材料等国家基础数据以及其他重要敏感数据的采集、传输、存储、利用等，要采取访问权限控制、数据加密、安全审计、灾难备份等措施加以保护，切实维护个人权益、企业利益和国家信息资源安全。
（六）应急管理要求。
制定工业控制系统信息安全应急预案，明确应急处置流程和临机处置权限，落实应急技术支撑队伍，根据实际情况采取必要的备机备件等容灾备份措施。
三、建立工业控制系统安全测评检查和漏洞发布制度
（一）加强重点领域工业控制系统关键设备的信息安全测评工作。全国信息安全标准化技术委员会抓紧制定工业控制系统关键设备信息安全规范和技术标准，明确设备安全技术要求。重点领域的有关单位要请专业技术机构对所使用的工业控制系统关键设备进行安全测评，检测安全漏洞，评估安全风险。工业和信息化部会同有关部门对重点领域使用的工业控制系统关键设备进行抽检。
（二）建立工业控制系统信息安全检查制度。工业控制系统运营单位要从实际出发，定期组织开展信息安全检查，排查安全隐患，堵塞安全漏洞。工业和信息化部适时组织专业技术力量对重点领域工业控制系统信息安全状况进行抽查，及时通报发现的问题。
（三）建立信息安全漏洞信息发布制度。开展工业控制系统信息安全漏洞信息的收集、汇总和分析研判工作，及时发布有关漏洞、风险和预警信息。
四、进一步加强工业控制系统信息安全工作的组织领导
各地区、各部门、各单位要将工业控制系统信息安全管理作为信息安全工作的重要内容，按照谁主管谁负责、谁运营谁负责、谁使用谁负责的原则，建立健全信息安全责任制。各级政府工业和信息化主管部门要加强对工业控制系统信息安全工作的指导和督促检查。有关行业主管或监管部门、国有资产监督管理部门要加强对重点领域工业控制系统信息安全管理工作的指导监督，结合行业实际制定完善相关规章制度，提出具体要求，并加强督促检查确保落到实处。有关部门要加快推动工业控制系统信息安全防护技术研究和产品研制，加大工业控制系统安全检测技术和工具研发力度。国有大型企业要切实加强工业控制系统信息安全管理的领导，健全工作机制，严格落实责任制，将重要工业控制系统信息安全责任逐一落实到具体部门、岗位和人员，确保领导到位、机构到位、人员到位、措施到位、资金到位。
二〇一一年九月二十九日
关于无纸化办公信息系统使用的法律风险评估
武志国
woo_eye@qq.com
一、待分析事项
自动化办公、无纸化办公突出的特点是突破了传统意义上的工作方式和用工制度，但证据的认定和采信却是所必需面对的法律问题。现需要分析集团企业OA系统/EAS系统运用中，涉及操作人员电子签名和系统形成数据电文的法律风险。
备注：（1）电子签名，操作人员通过密码（用于识别签名人身份）登录指定的OA或EAS系统并使用系统中同意或不同意的管理模块，表明其认可其中数据内容的行为。（2）数据电文，是指操作人员通过自己设定的密码登录指定的OA或EAS电子系统，并使用系统中数据录入和上传等功能模块在OA或EAS系统中生成、发送、接收或者储存的信息文件。
二、具体的意见
（一）电子签名和数据电文的法律效力
按照法律规定，使用电子签名、数据电文的文书，不得仅因为其采用电子签名、数据电文的形式而否定其法律效力，可靠的电子签名与手写签名或者盖章具有同等的法律效力。
（二）数据电文作为证据的使用
按照法律规定，数据电文不得仅因为其是以电子或者类似手段生成、发送、接收或者储存的而被拒绝作为证据使用。
最高人民法院《关于行政诉讼证据若干问题规定》（2002）第64条规定：“以有形载体固定或者显示的电子数据交换、电子邮件以及其他数据资料，其制作情况或真实性经对方当事人确认，或者以公证等其他有效方式予以证明的，与原件具有同等的证明效力。”需要注意的是，公证也只能证明某种结果事实，但不能证明行为过程。
（三）电子签名主体确定性和数据电文内容确定性方面的法律风险
由于业务及大量风险控制工作均是由电脑程序和软件系统完成，所以，电子信息系统的技术性和管理性安全就成为网络办公运行的最为重要的技术风险。虽然设计有多层安全系统，并不断出现新的、安全性的技术及方案，以保护信息系统的平稳运行，但是安全系统仍然是网络中最为薄弱的环节。这种风险既来自计算机系统停机、磁盘列阵破坏等不确定因素，也来自网络外部的数字攻击，伪造、盗用、冒用他人电子签名，以及计算机病毒破坏等因素，以及技术本身的有限性导致的风险——电子签名主体确定性和数据电文内容确定性方面的法律风险。
按照法律规定，审查数据电文作为证据的真实性，首先审查其技术的可靠性：
（1）生成、储存或者传递数据电文方法的可靠性；（2）保持内容完整性方法的可靠性；（3）用以鉴别发件人方法的可靠性。
（四）为了防止电子签名无效或数据电文真实性不被认可，应从技术角度注意以下事项：
1.确保数据电文符合以下形式和保存要求
（1）能够有效地表现所载内容并可供随时调取查用；
（2）能够可靠地保证自最终形成时起，内容保持完整、未被更改。数据电文的格式与其生成、发送或者接收时的格式相同，或者格式不相同但是能够准确表现原来生成、发送或者接收的内容；
（3）能够识别数据电文的发件人、收件人以及发送、接收的时间。
符合上述第（1）和第（2）项的要求，即可被视为“原件”。
2.确保电子签名为可靠的电子签名：
（1）电子签名制作数据用于电子签名时，属于电子签名人专有；
（2）签署时电子签名制作数据仅由电子签名人控制；
（3）签署后对电子签名的任何改动能够被发现；
（4）签署后对数据电文内容和形式的任何改动能够被发现。
3.成本等可行的，必要时可由依法设立的电子认证服务提供者提供认证服务。
电子认证服务，是指持有《电子认证服务许可证》的电子认证服务机构，为电子签名相关各方提供真实性、可靠性验证的活动。
（五）为了防止电子签名无效或数据电文真实性不被认可，从法律风险制度保证角度
即便目前的技术足以维护电子签名的完整性与真实性，但其难以应对快速的科技进步，一旦从其他环节破坏电子签名可靠性的技术出现，则数据电文和电子签名的可靠性将大打折扣。仅以电子签名和数据电文作为唯一得证据，其法律证明效力较弱扣。需要将电子证据与其他证据互相印证，尽可能排除了可能的疑点。
建议与操作人员签署责任书，明确电子签名人应当妥善保管电子签名制作数据。电子签名人知悉电子签名制作数据已经失密或者可能已经失密时，应当及时告知有关各方，并终止使用该电子签名制作数据。
民用机场停车场建设和管理暂行规定
民航局
民用机场停车场建设和管理暂行规定
1990年7月21日，民航局
第一条 根据一九八八年十月三日公安部、建设部关于《停车场建设和管理暂行规定》，为加强民用机场（含军民合用机场的民用部份，下同）停车场的建设和管理，维护停车场的秩序，保障交通安全畅通，特制定本规定。
第二条 本规定所指停车场系机场内候机楼、宾馆等大型建筑物附近为社会车辆提供服务的停放场所。
第三条 停车场的建设，必须符合机场规划和保障机场内道路交通安全畅通的要求。规划设计应遵守公安部、建设部一九八八年十月三日制定的《停车场规划设计规则（试行）》的有关规定。
机场内停车场的设计方案（包括有关的主体工程设计方案）须经基建机场管理部门和民航机场公安（交通管理）部门审核，方可办理施工手续；停车场竣工后，必须经基建机场管理部门和民航机场公安部门共同验收，合格后方可使用。
第四条 新建、改建和扩建的机场候机楼、宾馆等大型公共建筑，必须修建或增建停车场和非机动车停车场（棚）。停车场应与主体工程同时设计，同时施工，同时使用，否则不予批准施工。
本规定所指的大型公共建筑已竣工使用而未按标准配建停车场的，应补建或扩建停车场地。
第五条 民航机场公安部门应当协同基建机场管理部门制定停车场规划，并对停车场的建设实施监督。
第六条 机场候机楼、宾馆停车场实行合理的收费制度。由民航机场根据有关规定制定管理办法，实施统一管理。
第七条 车辆流量较大的候机楼停车场，要组织人员负责维护秩序，按顺序派车。出租汽车以外的其他机动车辆，应在停车场的指定位置依次停放。
第八条 凡到民用机场承揽客运业务的出租汽车，必须申请民航机场公安部门制发的机场客运许可证，经批准后方可在机场运营。
第九条 出租汽车驾驶人员在机场运营服务时，必须严格遵守下列规定：
（一）遵守国家治安、交通法规及机场有关规章制度；
（二）必须持有机场客运许可证件，无许可证者不得进入机场运营；
（三）车辆应在指定的位置依次停放，依先后秩序接待乘客，严禁任意停放车辆，或私揽业务，强拉乘客；
（四）热情服务，礼貌待客，严禁欺骗、敲诈乘客；
（五）严禁出租汽车运载赃物、违禁物品和进行流氓、赌博、倒卖外币等违法犯罪活动。
第十条 对违反本规定者，民航公安部门和基建机场管理部门予以制止纠正，并视情节轻重，根据有关规定给予警告、罚款、吊销机场客运许可证的处罚。
属于违反机场治安管理和交通违章的行为由民航机场公安机关依法予以处罚。构成犯罪的，依法追究刑事责任。
注：1997年1月6日民航总局已对此条进行修正，修正内容如下：
第十条第一款修改为：“对违反本规定者，有关部门应当制止、纠正，并依法予以处罚。”
第十一条 本规定由民航局负责解释。
第十二条 本暂行规定自发布之日起施行。