上锁的控制柜不与外部连接。

没有直接的互联网连接。

使用防火墙和 VPN 隔离不同的网络。

将不同的生产区域划分为不同的出入控制区域。

让可信网络尽可能小，并独立于其他网络。

采取适当措施，保护控制器之间的交叉通信以及控制器与现场设备之间通过标准通信协议（现场总线系统）进行的通信。

保护这些网络，防止未经授权的物理访问。

只能在受保护的环境中使用现场总线系统。它们不受加密等额外措施的保护。对现场总线系统及其组件的开放式物理或数据访问存在严重的安全风险。

对所有设备进行实物保护，即确保只有经过授权的人员才能接触到计算机、网络设备和电缆、控制器、输入/输出系统、电源等

在将受信任网络区与外部网络连接时，确保所有连接只能通过正确配置的安全互联，如防火墙或防火墙系统，其配置为 "默认拒绝"，即阻止除满足操作要求所明确需要的流量之外的所有流量。

只允许授权用户登录系统，并强制执行定期更改的高强度密码。

⮫ “一般情况”

持续维护授权用户、用户组和访问权限的定义，以随时正确反映所有个人的当前权限和责任。用户的权限不应超过其工作所需的权限。

请勿使用系统发送电子邮件、即时消息或浏览互联网。如果需要，可使用单独的计算机和网络来实现这些功能。

不允许在系统中安装任何未经授权的软件。

限制临时连接便携式电脑、USB 记忆棒和其他可移动数据载体。普通用户可实际访问的计算机应禁用可移动数据载体端口。

如果需要连接便携式计算机，例如用于服务或维护目的，则应在连接前立即对其进行仔细的病毒扫描。

所有 CD、DVD、USB 记忆棒和其他可移动数据载体，以及带有软件或软件更新的文件，在进入可信区域前也应进行病毒检测。

持续监控系统，防止入侵企图。

确定并维护事件响应计划，包括如何从潜在灾难中恢复。

定期审查组织以及技术系统和安装是否符合安全政策、程序和做法。