自来水厂开展信息系统等级保护测评工作指南

前言

自来水厂作为城市核心基础设施，承载着为千家万户提供安全、稳定、优质供水服务的重大社会责任。其信息系统广泛应用于水资源调度、水源地监测、净水工艺控制、供水管网管理、水质在线监测、客户服务、应急管理等核心业务环节。这些系统，特别是工业控制系统（SCADA/DCS）、水质监测系统（LIMS）、智能水务平台、地理信息系统（GIS）、管网水力模型、客户服务与计费系统、视频监控系统、以及各类数据采集传输单元（RTU/PLC）和智能仪表，深度融合了IT与OT技术。它们存储和处理着水源地数据、水质实时数据、生产工艺参数、管网压力流量数据、客户信息及收费数据等高度敏感且关键的数据。任何一次成功的网络攻击，都可能导致生产调度失控、水质监测数据篡改、供水服务中断、管网压力异常、水处理工艺受损，甚至可能引发水质污染、大规模停水、设备损坏、泄露客户隐私和计费数据错误等严重后果，直接威胁到城市供水安全、人民生命健康和城市经济运行，造成不可估量的社会影响和经济损失。

为有效防范和应对针对自来水厂信息系统的网络安全风险，中华人民共和国网络安全等级保护制度（以下简称“等保”）是国家强制性的网络安全管理制度。特别是，2025年3月8日发布的《关于进一步做好网络安全等级保护有关工作的函》以及公安部网安局发布的公网安〔2025〕1846号文件等一系列新规，进一步强化了等保工作的常态化、动态化、实战化和体系化要求，预示着等保新时代对包括关键信息基础设施在内的运营者提出了更高标准。本指南旨在为各类自来水厂（包括原水泵站、净水厂、供水管网调度中心及相关配套信息系统）提供一份深度契合其业务特点、符合最新等保标准（GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》）以及2025年新规精神的等保测评工作指引，帮助自来水厂运营单位有效提升网络安全防护能力，保障城市供水安全稳定运行，维护人民生命健康和公共利益，促进智慧水务健康可持续发展。

一、 理解等保制度与自来水厂信息系统定级考量

1.1 等保制度核心思想与自来水厂信息系统定级考量

等保制度的核心是对信息系统（或网络）根据其在国家安全、社会稳定、经济建设中的重要性以及一旦发生风险可能造成的危害程度，划分不同的安全保护等级（共分为五级），并按照相应等级的要求进行安全保护和管理。其基本流程包括：定级、备案、测评、整改、监督检查。对于自来水厂而言，信息系统定级需综合考量其在城市生命线保障、公共卫生安全、社会民生服务、行业大数据价值以及企业经营中的重要性，以及一旦发生安全事件可能造成的危害程度。

政策层面和等级划分建议：

  • 国家政策要求： 根据《中华人民共和国网络安全法》、《关键信息基础设施安全保护条例》以及住建部、水利部、公安部、网信办等部门发布的各项法规和指导意见（如《城市供水行业网络与信息安全管理办法》、《信息安全技术 工业控制系统安全控制要求》），自来水厂的核心业务系统和工业控制系统通常被视为需要进行网络安全等级保护的重点对象，并且可能被认定为关键信息基础设施。其中，生产控制系统（SCADA/DCS）、调度管理系统、核心水质监测系统等定级为三级是普遍的、强制性的要求。 住建部、水利部发布的行业标准和规范，也明确要求供水企业加强网络安全管理，落实等级保护制度。
  • 一级/二级： 适用于自来水厂的非核心系统，如员工考勤、内部行政管理系统、企业官网、宣传展示页面、非涉密的人力资源系统、边缘数据报表系统（无控制权）。这类系统遭到破坏，对自来水厂核心业务和供水安全影响较小。
  • 三级：这是自来水厂绝大多数核心业务系统和工业控制系统必须达到的等级。包括：
    • 生产控制系统（SCADA/DCS）及PLC/RTU： 水源地取水控制、净水工艺（混凝、沉淀、过滤、消毒）控制、泵站加压控制、管网阀门控制、设备启停控制、工艺参数实时采集和调节等工业控制系统。
    • 供水调度管理系统： 控制管网压力、流量、水池水位，平衡供需，优化调度，实现区域供水调度的IT支撑系统。
    • 水质监测与管理系统（LIMS）： 水源水、出厂水、管网水实时取样、在线监测、实验室分析数据管理与预警，确保水质达标。
    • 水厂核心生产管理系统（MES/ERP）： 生产计划、物料管理、设备维护、能耗管理等生产层面支撑系统。
    • 地理信息系统（GIS）及管网模型： 供水管网拓扑、设备分布、水力模型分析、漏损检测的可视化管理平台。
    • 客户服务与计费系统： 用户开户、抄表、水费计算、在线缴费、故障报修、客户信息管理等系统。
    • 能耗管理与优化系统： 监测和优化水厂生产及泵站运行能耗。
    • 关键视频监控与安防系统： 涉及水源地、水厂核心区域（加药间、中控室）、泵站等重要区域的视频监控系统。
    • 数据中台与大数据平台： 存储和处理海量工艺数据、水质数据、管网数据、客户数据、运行数据，并提供数据分析、决策支持、风险预警服务的系统。
    • 作为载体的基础架构： 承载上述系统的云计算平台、自建数据中心、网络设备、服务器、数据库、存储、操作员站/工程师站。
      这些系统一旦被破坏，可能导致生产控制命令被篡改、水质监测数据失真、供水调度失灵、管网压力异常引发爆管、客户敏感信息泄露（如姓名、地址、电话、账号）、水费数据篡改、恶意控制设备启停、系统被植入木马或病毒造成大规模供水中断或水质安全事件，对城市供水安全、人民生命健康、环境生态、企业经济效益、甚至社会稳定造成严重损害。
  • 四级： 适用于国家级或区域性的特大型水务集团核心控制系统、涉及国家级水资源战略调配、或承担重大国家任务供水保障的关键信息基础设施。这类平台一旦遭受破坏，将可能对国家经济安全、社会稳定和国家安全造成特别重大损害。对于大多数自来水厂而言，三级保护已能满足现有业务安全需求及监管要求，但平台规模、流量、数据敏感度、涉及产业链的重要性达到一定程度时，应积极评估定级为四级。

1.2 2025年等保新规定（公安部公网安〔2025〕1846号文件等）的关键要求

2025年3月8日发布的《关于进一步做好网络安全等级保护有关工作的函》和公安部网安局发布的公网安〔2025〕1846号文件等新规，将等保制度推向新时代，着重强调了常态化、动态化、实战化和体系化。这些新规定对自来水厂的网络安全管理提出了更高、更具体的要求：

  • 常态化安全运营与动态监测： 要求自来水厂建立常态化的安全运营机制，对生产控制系统（SCADA/DCS）、调度管理系统、水质监测系统、工业控制设备（PLC/RTU）、运营管理系统、网络边界进行7x24小时实时监测和预警。从传统的“事后测评”向“事前预防、事中监测、事后响应”的闭环管理转变，确保安全风险能被及时发现、评估和处置，防范生产中断、水质安全事件、数据泄露、服务中断、恶意攻击等事件。
  • 深化应急响应与实战演练： 强调应急预案的实战性和可操作性。自来水厂需定期组织高强度、全流程的应急响应演练，模拟针对核心业务系统和工业控制系统的典型网络攻击场景，如：工业控制协议流量异常导致水处理工艺失控、DDoS攻击导致SCADA系统无法访问、勒索病毒加密生产数据和操作员站、外部APT攻击渗透至PLC/RTU层篡改工艺参数、水质在线监测数据被篡改、客户服务系统用户数据大规模泄露、恶意指令导致泵站设备损坏等。 演练结果需形成报告并进行分析改进，提升在突发事件中的快速恢复能力，确保供水业务的连续性和数据安全。
  • 增强工业控制系统安全、移动应用安全及API安全： 鉴于自来水厂大量使用工业控制系统、移动巡检App和各类API接口进行数据交互，新规将更加重视这些领域的安全防护。提出更严格的工控网络安全分区、安全隔离、专用防火墙、深度包检测（DPI）、白名单控制、工业协议安全加固；移动巡检App代码审计、加固、运行时安全保护；API接口认证、授权、流量监控、异常行为检测等要求。
  • 细化数据安全与隐私保护： 自来水厂作为数据密集型业务，涉及海量的个人敏感信息（客户姓名、地址、电话、账号）和企业运行数据（水质、流量、压力、工艺参数）。新规将进一步强化数据分类分级、数据生命周期安全管理（采集、传输、存储、处理、共享、销毁）、数据脱敏、数据去标识化与匿名化、以及跨境数据传输安全评估等要求。特别是对于水源地和出厂水质关键指标、生产控制指令、客户身份信息、计费金额、设备运行状态等敏感数据，必须实施高级别加密存储和传输，严格控制访问权限，防范数据篡改、非法泄露和滥用，确保用户合法权益和供水安全。
  • 供应链安全与第三方合作安全管理： 自来水厂需与众多服务商（如工控设备供应商、IT运维服务商、云服务商、软件开发商、水表生产商、支付机构、地图服务商、监管部门）进行合作。新规将强化对采购第三方产品和服务的源头安全审查、服务过程安全评估、接口安全管理以及第三方服务商的网络安全管理要求。
  • 优化安全管理制度与高级别人员要求： 不仅关注技术防护，更强调完善的安全管理体系、清晰的岗位职责、充足的安全预算和专业安全人才（特别是工业控制系统安全、网络安全、数据安全、隐私保护专家）的培养。自来水厂运营企业需建立健全网络安全组织架构，完善安全管理制度体系，并加强全员（包括工控运维、IT运维、研发、业务、客服人员）的安全意识和技能培训。

二、 自来水厂等保测评工作流程：深度契合业务实践

自来水厂开展等保测评工作，通常遵循以下六个阶段，并需深度结合其业务特性进行针对性落地：

2.1 阶段一：启动与准备

自来水厂运营企业需成立由主管领导牵头，生产调度部门、水质管理部门、信息技术部门（或自动化部门）、安全管理部门、设备运维部门、总经办等共同参与的专项工作组，明确职责分工。在预算申请和资源调配时，应充分考虑水厂业务的连续性、高可用性以及对生产运行的影响。选择具备国家认可资质、且对工业控制系统安全、能源/水务行业信息安全有深入了解的第三方测评机构至关重要，能有效提升预测评和正式测评的质量，并确保其对水务业务流程和关键技术有准确理解。

2.2 阶段二：定级备案与范围确定

  • 信息系统梳理与资产普查： 全面普查自来水厂所有信息资产，包括但不限于：
    • 核心工业控制系统（ICS）： SCADA/DCS系统、PLC/RTU、工程师站、操作员站、历史数据库、工业以太网交换机、工业防火墙、现场仪表、传感器、执行机构。
    • 生产管理系统： 水质监测LIMS系统、调度管理系统、GIS管网系统、能耗管理系统、水力模型软件、设备维护管理系统（CMMS）。
    • 管理信息系统： 客户服务与计费系统（CRM）、财务管理系统、物资管理系统、人力资源系统、办公自动化系统。
    • 特种应用： 移动巡检App、水质取样App、视频监控系统。
    • 基础架构： 数据中心、云计算平台（IaaS/PaaS/SaaS）、操作系统、数据库（Oracle, SQL Server, MySQL, Historian等）、存储系统、网络设备（路由器、交换机、防火墙、负载均衡）、中间件。
    • API接口： 与水司集团平台、监管机构、支付机构、第三方服务商等对接的所有API接口。
    • 数据资产： 水源地水文数据、水质实时监测数据、生产工艺参数（pH、浊度、余氯等）、管网压力流量数据、设备运行状态、客户信息（姓名、地址、电话、账号）、抄表数据、水费结算记录、视频监控数据。
  • 系统定级与备案： 依据《网络安全等级保护定级指南》（GB/T 22240）和水利部、住建部等行业标准，对各类信息系统进行定级。所有生产控制系统（SCADA/DCS）、调度管理系统、核心水质监测系统、客户服务与计费系统、以及承载这些系统的数据中心或云计算平台，建议定为三级或更高。 定级报告需详细阐述系统功能、数据流向、以及遭到破坏后可能对供水保障、水质安全、用户数据、社会稳定、国家经济秩序造成的具体影响。定级报告需经专家评审，并提交所在地公安机关网安部门、住建/水利主管部门进行备案。对于定为四级的系统，还需报送网信办等进行审核。

2.3 阶段三：差距分析与安全规划

邀请测评机构进行预测评，对照相应等级的等保标准，识别自来水厂现有信息系统与标准要求之间的差距。这份“安全差距分析报告”将指出：例如，工控系统与管理信息系统之间缺乏严格的物理或逻辑隔离；操作员站存在通用操作系统漏洞未及时修复；PLC/RTU缺乏身份认证机制，存在未授权访问风险；水质监测数据未加密传输；缺乏工业白名单机制；应急预案未完全覆盖生产中断或水质安全事件场景；员工网络安全意识薄弱等问题。基于此，制定详细的安全整改方案，包括技术加固措施（如部署工业防火墙、单向隔离装置、工控主机卫士、漏洞扫描系统、行为审计系统、数据加密存储与传输方案、强化身份认证与访问控制；建设灾备系统；对关键操作员站进行安全加固）和管理制度优化（如制定工控系统安全管理制度、数据分类分级与生命周期管理制度、应急响应预案，加强供应链安全管理和员工安全意识培训）。

2.4 阶段四：安全建设与整改加固

这是等保工作中最核心且耗时的阶段，自来水厂需严格按照整改方案执行，确保供水业务的安全稳定运行和数据隐私保护。

  • 物理环境安全： 对于水源地、水厂核心区域、泵站等重要场所，需保障机房/控制室的物理安全，包括严密的门禁系统、视频监控、环境监控、消防、防雷、双路供电等。对于依赖云计算平台的服务，需确认云服务商的物理安全保障措施符合要求。
  • 网络安全： 严格执行工控系统与管理信息系统的安全分区与物理隔离，部署单向安全隔离装置。在工控网络内部，部署层次化防护，包括工业防火墙、入侵检测/防御系统（IDS/IPS）、工业DPI（深度包检测）设备。进行网络分区隔离，如生产控制大区、生产管理区、管理信息区、DMZ区，并严格控制不同区域间的VLAN访问。强化网络设备安全配置，关闭不必要的服务和端口。
  • 主机和工业控制设备安全： 对服务器、数据库、虚拟机、操作员站、工程师站进行操作系统加固、漏洞补丁及时更新、部署防病毒和工控主机防护软件。强化远程连接安全（如工业VPN、堡垒机、多因素认证）。特别关注PLC/RTU等现场设备的固件安全、配置管理和访问控制。
  • 应用安全（含工控应用）： 对SCADA/DCS操作 HMI、水质监测应用、调度管理系统、客户服务系统、移动巡检App、API接口进行安全测试（渗透测试、代码审计、漏洞扫描）和加固。强化用户身份认证（包括多因素认证）、访问控制（最小权限原则）、会话管理、数据加密传输，防止SQL注入、XSS、CSRF、接口滥用等常见Web漏洞。
  • 数据安全： 建立完善的数据分类分级体系，将水源地和出厂水质关键指标、生产控制指令、客户敏感信息、交易数据确认为最高级别敏感数据。对这些敏感数据实施加密存储（如数据库加密、文件系统加密）和加密传输（如TLS/SSL、工业加密协议）。实施统一的日志管理和审计机制，记录所有对敏感数据的访问和操作行为。建立完善的数据备份与恢复机制，包括异地容灾，确保数据完整性和可用性。
  • 云平台安全： 对于部署在云平台上的系统，需严格遵循云服务商的安全最佳实践和平台安全指南。配置VPC网络隔离、安全组策略、访问控制列表。定期检查云资源安全配置。
  • 移动应用安全： 对移动巡检App、水质取样App进行代码审计、加固、混淆，防止逆向工程。强化App与后端服务器的通信安全（HTTPS、API Token）。实施App运行时安全保护，防止篡改。
  • 安全管理中心与应急响应： 建立健全具备安全信息和事件管理（SIEM）功能的平台，集中收集和分析来自工控设备、网络设备、主机、应用系统、安全设备的日志和事件告警，进行安全事件关联分析和可视化展示，实现主动预警，并与公安机关协同处置。建立完善的应急响应体系，制定针对自来水厂特有风险（如水质数据篡改、生产工艺失控、供水服务中断、客户数据泄露、工控设备损坏、恶意指令导致大规模停水等）的专项应急预案，并定期组织桌面演练和实战演练，提升水厂应对突发事件的能力，确保供水业务连续性和城市安全。
  • 供应链安全管理： 建立严格的第三方合作方评估与管理机制，对所有提供工控设备、IT运维、云服务、软件开发、地图、支付、水表等服务的供应商进行安全能力评估，签订详细的网络安全责任协议（SLA），明确各自的安全职责和义务。

2.5 阶段五：开展正式测评

当自来水厂认为各项安全建设与整改已基本完成并满足对应等级要求时，即可通知选定的测评机构进行正式测评。测评机构将依据最新的等保标准和行业安全标准，对自来水厂的信息系统进行全面的技术测评和管理测评。

  • 技术测评： 对生产控制系统（SCADA/DCS）、水质监测系统、调度管理系统、客户服务系统、移动App、API接口以及承载的基础设施进行渗透测试、漏洞扫描、安全配置核查。检查工业防火墙、单向隔离装置、通用防火墙、WAF、IDS/IPS、加密机制、身份认证方案的策略配置和有效性。审查日志审计的完整性和可追溯性。将特别侧重检查工控系统安全（分区隔离、协议安全、设备安全）、数据安全防护（加密、脱敏）、用户身份认证、访问控制、App安全、API安全和业务连续性保障能力。
  • 管理测评： 查阅水厂安全管理制度（含工控安全管理制度）、运维管理流程、应急响应预案、人员安全培训记录；访谈工控运维人员、IT运维人员、生产调度人员、水质管理人员、设备维护人员、安全管理人员、客服人员等关键岗位人员，了解其网络安全意识和操作规范；检查供应商安全管理、系统变更管理、外部人员访问管理、数据共享审批等相关记录。测评机构将特别关注自来水厂特有的业务风险（如工控系统漏洞暴露、数据流转复杂、涉及公共安全高风险等）与网络安全管理方案的契合度，以及对住建部、水利部、公安部等主管部门政策要求的落实情况。
  • 测评报告输出： 测评机构根据测评结果，出具详细的《网络安全等级保护测评报告》。报告将明确指出发现的问题、风险点，并给出针对性的整改建议。

2.6 阶段六：问题整改与复测

自来水厂收到测评报告后，需立即组织团队对报告中列出的所有不符合项进行分析，制定详细的整改计划，并优先解决高危、中危风险。考虑到水厂业务的连续性，整改措施需在不影响水厂正常生产运行和供水服务的前提下进行。例如，工控系统升级、网络配置变更可能需要安排在计划停水或生产量较低的时期进行。在完成整改后，向测评机构提交整改报告。对于重大高风险问题，可能需要进行复测以验证整改效果。最终，当所有不符合项都得到有效整改，并经测评机构验证后，取得“符合等级保护要求”或“基本符合等级保护要求”的结论。

三、 常态化运营与持续改进

等保测评的通过并非一劳永逸，而是自来水厂网络安全建设的一个里程碑，后续更需要常态化的运营与持续改进。

  • 定期复测与自查： 依据等保管理办法，三级系统至少每年测评一次，四级及以上系统需每年测评一次。同时，自来水厂应建立内部网络安全自查和审计机制，确保安全策略的持续有效性。
  • 安全运营中心（SOC）/工控安全监测平台建设： 建立健全安全运营中心或专业的工控安全监测平台，实现对所有工控系统、IT系统、网络、App、API接口的7x24小时实时监控、事件分析和威胁情报预警，做到“看得见、防得住、溯得了”，并与公安机关协同处置。
  • 威胁情报与漏洞管理： 持续关注针对工业控制系统、水务行业以及常见技术栈的最新网络安全威胁和漏洞信息。定期对核心系统和应用（特别是工控设备）进行漏洞扫描和渗透测试，及时修补并加固。
  • 新技术与新业务安全审计： 随着智慧水务建设进程，不断引入新的服务模块（如智能表务、物联网水表）、新的技术（如AI驱动的水质预测、区块链溯源）。需对其进行独立的安全风险评估和等保测评。将安全前置到系统设计、业务规划和研发阶段。
  • 全员网络安全意识与技能提升： 定期对所有工控运维、IT运维、生产调度、水质管理、设备维护、产品经理和管理层人员进行定制化的网络安全意识和技能培训，让他们理解自己的操作对城市供水安全和用户数据的影响，并掌握基本防护技能。
  • 应急预案常态化演练： 严格按照公网安〔2025〕1846号文件精神，每年定期组织实战化的网络安全应急演练，覆盖不同安全事件场景，检验预案的有效性和团队的协同响应能力，确保自来水厂在遭受网络攻击时能够迅速响应、恢复正常供水服务。

结语

自来水厂作为城市生命线，其网络安全直接关系到城市平稳运行，关系到人民群众的生命健康和公共利益。积极、主动、持续地推行网络安全等级保护工作，并严格遵循2025年等保新规要求，不仅是法律法规的强制性要求，更是自来水厂运营单位提升风险管理能力、保障业务连续性、维护公共信任、实现可持续发展的必然选择。通过将等保制度深度融入日常技术研发、生产运营与管理之中，自来水厂将能够构建起坚实的网络安全防线，为城市供水大动脉的健康发展保驾护航。