主要技术内容
3术语和定义
GB 32167-2015《油气输送管道完整性管理规范》、GB/T 29639-2020《生产经营单位生产安全事故应急预案编制导则》、GB/T 24363 《信息安全应急响应计划规范》、GB/T 38645 《网络安全事件应急演练指南》、GB/T 20986 《网络安全事件分类分级指南》界定的以及下列术语和定义适用于本文件。
3.1 油气管网网络安全事件
网络安全事件：指由于恶意攻击、系统脆弱性、违规操作或其他原因，致使信息系统或工控系统的机密性、完整性、可用性受损的事件。
3.2 勒索软件
通过加密或锁定方式阻断系统/数据正常使用并勒索赎金的恶意程序。
3.3 信息泄露/数据篡改
未经授权的数据外泄、批量导出、越权访问或对关键数据/控制指令的非法更改。
3.4 工控系统入侵
对SCADA、PLC等工控资产实施的未授权访问、控制或破坏。
3.5 SCADA/PLC/SIS
分别指监控与数据采集系统、可编程逻辑控制器、安全仪表系统。
3.6 IOC
威胁指标（Indicators of Compromise），用于指示入侵或恶意活动的特征。
3.7 应急预案
针对潜在的油气管网安全事件，事先制定的行动计划，包括事故预警、应急响应、事故处置、善后恢复等内容，以减少人员伤亡、财产损失和环境破坏。
3.8 应急响应
当油气管网发生安全事件时，依据应急预案迅速采取的措施，包括事故报告、应急指挥、人员疏散、事故控制、抢险救援等，以最大程度降低事故影响。
3.9 事故风险评估
对油气管网运行过程中可能发生的事故进行分析，识别事故类型、发生概率、影响范围，并提出相应的防控和应急措施。
3.10预警机制
基于传感监测、数据分析和风险评估，对可能发生的油气管网安全事件进行预警，并采取相应的防范措施。
3.11 剧本（Playbook）
针对特定事件类型预先设计并标准化的应急处置流程模板，由触发条件、前置条件、步骤序列、人工确认点、回退策略及评估指标等组成。
3.12 应急编排（Security Orchestration）
指在网络安全事件处置中，对“监测预警—态势研判—决策支持—处置动作—设备联动”进行流程化、标准化与自动化调度的技术与管理活动。应急编排以事件为触发，通过剧本（Playbook）将告警聚合、告警降噪、证据固化、指令下发与回执校验形成闭环，实现跨信息技术与运营技术（IT/OT：Information Technology/ Operational Technology）资源的协同处置与可追溯审计。编排系统不得改变生产控制系统（Process Control System, PCS）与安全仪表系统（Safety Instrumented System, SIS）的安全完整性等级（Safety Integrity Level, SIL）配置；涉及高风险动作应遵循“自动执行+人工确认”的人机协同原则，通过只读/受限接口与既有联锁策略相容，并保留完整的审计日志与回退机制。
注：应急编排应与事件分级、预警级别、职责分工及资源保障机制一致对接，并在演练中验证可操作性与安全边界。
3.13 恢复时间目标 / 恢复点目标（RTO / RPO）
恢复时间目标（Recovery Time Objective, RTO）是指自事件触发起到业务或系统恢复至可接受服务水平所允许的最长时间要求；
恢复点目标（Recovery Point Objective, RPO）是指可容忍的数据丢失时间窗口，用以约束备份、快照与日志回放的最小粒度与频度。
RTO/RPO 应结合油气管网的业务重要性与OT/IT差异分别设定，并与事件分级、预警级别、应急资源能力相匹配：在不突破本质安全与合规边界的前提下，优先保障生产控制与调度指挥等关键职能，次序覆盖计量计费、运营管理与支撑系统。
4缩略语
ETA：Event Tree Analysis，事件树分析
FMEA：Failure Mode and Effects Analysis，失效模式及影响分析
FTA：Fault Tree Analysis，故障树分析
GIS：Geographic Information System，地理信息系统
HAZOP：Hazard and Operability Analysis，危害与可操作性分析
IoC：Indicator of Compromise，妥协指示
SCADA：Supervisory Control And Data Acquisition，数据采集与监视控制系统
DMZ: Demilitarized Zone，隔离区/缓冲区网络
SOC：Security Operations Center，安全运营中心
SIEM: Security Information and Event Management，安全信息与事件管理
IDS: Intrusion Detection System，入侵检测系统
IPS: Intrusion Prevention System，入侵防御系统
SIS: Safety Instrumented System，安全仪表系统
SIL: Safety Integrity Level，安全完整性等级
5油气管网安全事件应急预案总体技术要求
5.1 事故风险评估方法
事故风险评估方法是制定油气管网工控系统网络安全事件应急预案的重要基础。该方法综合运用定性分析与定量分析相结合的手段，评估油气管网的潜在网络安全风险。首先，基于历史事故数据和专家经验，采用 HAZOP（危害与可操作性分析）、FMEA（失效模式及影响分析）等方法识别可能的事故类型。其次，运用数学模型，如FTA（故障树分析）和 ETA（事件树分析），量化事故发生的概率和后果影响。最后，结合风险矩阵法，对事故风险进行分类，确定应急预案的响应级别。
5.2 预警分级与响应机制
5.2.1 监测对象与来源
组织应建立覆盖IT与OT的一体化安全监测，至少包括：边界防护（防火墙/网闸）、入侵检测/工控安全监测（IDS/IPS、工业协议深度检测）、终端与服务器防护（EDR/反病毒）、账号与目录服务审计、应用与数据库审计、网络流量、SOC/SIEM汇聚分析与威胁情报（IOC）订阅。监测对象应覆盖：调度/控制中心、SCADA主备系统、工程师站、历史数据库、站控机、远程维护通道、数据中心与关键应用系统。
5.2.2 预警分级
预警采用红、橙、黄、蓝四级，对应事件分级I、II、III、IV的潜在风险等级。
蓝色：发现弱迹象或单点异常；
黄色：存在清晰攻击特征或局部影响；
橙色：可能演变为较大及以上事件，需戒备；
红色：高度确定或已造成重大影响，需立即组织跨部门响应。
表1 预警级别与事件分级（潜在风险）对应关系
预警颜色 对应事件分级（潜在风险） 判定说明
红色 I（潜在风险） 高度确定将/已造成重大影响，需立即组织跨部门响应
橙色 II（潜在风险） 可能演变为较大及以上事件，需戒备
黄色 III（潜在风险） 存在清晰攻击特征或局部影响
蓝色 IV（潜在风险） 发现弱迹象或单点异常
5.2.3 触发与联动
当网络安全监测发现异常情况，达到触发条件时，系统宜自动生成处置建议并推送值守人员；涉及高风险动作（如大范围隔离、主备切换、阀门远程控制等）应采用“人工二次确认+双人复核+可回滚”机制。
对DDoS/通信异常：连续N分钟（其中基线阈值 N 应由企业依据历史监测数据和业务连续性要求确定，并在应急预案及相关配置中明确。）出现链路拥塞且关键服务不可用，自动触发“限流/清洗预案”；
对勒索/恶意程序：发现核心服务器加密行为或横向移动≥X台资产，自动触发“隔离-备份-清除”序列；
对工控入侵/异常指令：检测到未授权写操作/工艺越限趋势，自动触发“只读/手控切换+联锁保护”序列。
5.2.4 响应与信息通报
达到橙色及以上预警时，各单位应进入戒备状态（增配值守、准备线路切换、备份校验、专家待命），并按通信录进行内部通报；研判为III级及以上事件风险时，应按报告时限执行逐级报送与外部协同准备。
5.2.5 取证与留痕
预警与处置同步进行证据保全：应保留日志、流量包、内存/磁盘镜像与关键时间戳；证据链不得被自动化动作覆盖或销毁。
5.3 应急组织架构与职责分工
5.3.1 组织体系
企业应建立“总部—区域（控制中心）—场站（现场）”三级应急组织。总部设应急领导小组及常设应急办公室；区域设应急工作组；场站设现场指挥席位。
5.3.2 指挥关系与分级承担
a) Ⅰ级、Ⅱ级事件由总部统一指挥，区域与场站服从调度；
b) Ⅲ级、Ⅳ级事件由区域指挥，必要时请求总部增援；
c) 指挥权转换与升级应形成书面记录。
5.3.3 专业工作组设置（最少配置）
a) 技术处置组；
b) 信息报告与对外协调组；
c) 后勤与物资保障组；
d) 证据与合规组（负责取证、留痕与报送合规）。
5.3.4 职责要点
a) 技术处置组：监测研判、隔离封堵、恢复验证，提出高风险动作“二次确认+回滚点”；
b) 信息报告与对外协调组：按时限和清单完成对内通报与对外报送；
c) 后勤与物资保障组：应急设备、镜像与工具调配，驻场与交通保障；
d) 证据与合规组：日志、流量、镜像与时间戳采集、封存、移交。
5.3.5 OT/IT 协同要求
涉及 SCADA/PLC/RTU 控制域的处置应由工控工程人员参与并复核；任何改变控制状态的动作不得破坏 SIS/联锁边界与既定 SIL 配置。
5.3.6 值守与演练
企业应实行 7×24 值守；每年应完成一次专项演练并形成评估。
5.3.7 文档与记录
各级指挥机构应保存指令、会议纪要、动作回执和证据清单，形成可追溯案卷。
5.3.8 最小人员编制与到岗时限
a) 总部层面应配备：信息报告与对外协调≥1人；
b) 区域（控制中心）层面应配备：技术处置≥2人、现场指挥≥1人；
c) Ⅰ、Ⅱ级事件通报后，所有人员30 min 内到岗。
5.3.9 任职资格
关键岗位人员应具备：工控安全或网络安全专业能力资格/厂商认证≥1项；年度不少于24学时的持续培训记录。
5.3.10 交接班与在岗记录
值守交接应形成交接清单、告警遗留项、联系方式三项记录；现场处置全过程应形成指令记录、动作回执、时间戳三类原始凭证。
5.3.11 冗余与授权替代
指挥、通信、证据三类关键能力应具备等效冗余；主要负责人不在位时应有书面授权替代，授权链不得中断。
5.3.12 外包与承包商管理
涉及第三方的处置动作应纳入本标准统一指挥；第三方人员进入控制域前应完成身份核验、最小权限配置与保密承诺。
5.4 应急处置总体要求
5.4.1 总体原则与顺序
处置应遵循“先隔离、再止损、留证据、控扩散、稳恢复”。任何处置不得破坏 SIS/联锁安全边界或改变既定 SIL 配置。
5.4.2 先期控制
确认事件后应立即启动相应响应，快速定位受侵资产与网段；应优先隔离管理信息区与生产控制区异常通道；必要时实施限速、黑洞路由或访问控制封堵。站场出现异常写入或指令漂移时，应切换只读/手动或由 SIS 接管，并冻结远程写入操作。数据侧应暂停受影响数据库的写入，并对受影响数据库生成只读快照及相应的哈希值，用于后续完整性校验和取证分析。
5.4.3 分类处置要点
a) DDoS/链路拥塞：应实施流量清洗与路径优化；必要时启用备用线路。
b) 勒索/恶意程序：应阻断横向移动与域内信任链，隔离感染域，使用经校验的干净镜像与备份分区分批复网；不得向未知地址支付赎金或使用来源不明的解密工具。
c) 工控入侵/异常指令：应保持只读接管与本地可视监控，强制隔离工程师站与远程维护通道，轮换账户与密钥，复核控制策略与下载文件一致性，经双人复核后逐级恢复自动控制。
5.4.4 高风险动作控制
跨域隔离、主备/容灾切换、阀门远程闭合及策略批量改写等高风险动作应实行人工二次确认与双人复核，并在执行前明确回滚点与紧急停止条件。
5.4.5 报告与发布
Ⅱ级及以上事件应在12小时内逐级报告；Ⅲ级、Ⅳ级事件应在 24小时内报告；涉及关键信息基础设施影响或数据泄露的应同步履行属地监管、网信与公安网安报送。对外发布应口径统一、依法依规。
5.4.6 自动化编排
自动化仅适用于低风险、高频动作（如隔离标记、账户冻结、基线校验、IOC 下发）；高风险动作不得跳过人工确认。每一步骤应生成回执并纳入审核。
5.4.7 目标与指标
一般入侵“发现—隔离”用时不应超过 30分钟；重大攻击“确认—主备/容灾接管”用时不应超过2小时；关键业务恢复应满足企业既定 RTO/RPO 目标。
5.4.8 结束与移交
威胁解除、系统稳定、证据完整与对外协同收束后方可宣布结束；结束后应移交至恢复与调查环节并完成记录归档。
6油气管网工控系统网络安全事件应急预案的基本要求
油气管网工控系统网络安全事件应急预案是保证油气管网在发生安全事件时能够迅速、高效响应的基础。有效的应急预案不仅需要具有全面性、系统性和实用性，还应具备灵活性，以应对各种可能的突发事件。应急预案的设计应当确保覆盖从事故预防、监测、响应到处置的全过程，并能处理多重复杂事件，避免因应急预案滞后或应对不力造成更大的损失。
6.1 预案编制的技术要求
6.1.1 评估范围与对象
风险评估应以油气管网业务连续性与本质安全为导向，覆盖调度与管控数据中心、长输干线枢纽站场及阀室、计量与压气（泵）站的 SCADA/PLC/RTU 控制域、生产 DMZ 与管理信息区、广域承载与远程维护通道。
6.1.2 方法与要素
评估应以资产清单与数据分级为基础，结合威胁情报、脆弱性扫描与历史告警证据，识别恶意攻击（含 DDoS、勒索软件与恶意程序传播）、信息泄露或数据篡改、工控系统入侵与 SCADA 失效等情形；对“发生可能性—业务与安全后果—处置资源可达性”进行综合判定，并映射至事件分级与触发条件。
6.1.3 后果与场景划分
对可能引发工艺偏差、装置停运、油品泄漏或供气波动的网络事件，后果评估应同时计入人身与设备安全、重点用户保供影响及社会稳定预期；对仅影响管理信息区而不触及生产控制域的情形，应按业务影响度与恢复目标（RTO/RPO）加权评定。
6.1.4 结论表达与阈值校准
评估结论应以“事件—影响对象—范围/时长—数据级别/外泄规模—典型触发指标—建议分级”的结构化方式形成基线，作为预警与响应分级的直接依据，并与表2保持一致。表中参数 N、X 等阈值应结合企业历史流量与资产重要性进行校准，明确不可用时长、失控站场数量、外泄记录条数与未授权写操作等判定口径，确保值守席位可以据此快速完成分级判断与剧本触发。
6.1.5 工具化落地与控制要求
评估结果应同步固化到 SOC/SIEM 与应急编排平台的监测规则与工单模板中，形成“检测规则—告警归并—剧本触发—处置回执”的闭环。涉及高风险动作的触发条件应设置人工二次确认与回滚点；任何处置不得突破 SIS/联锁安全边界或改变既定 SIL 配置。
6.1.6 时点与复审
风险评估宜在新建或改造系统投运前完成初评，确保每年复审一次并更新；发生重大网络安全事件或组织级演练后，应对评估结论与表2参数进行校正，更新监测阈值、分级触发与响应资源匹配关系。
表2 油气管网网络安全事件风险评估示例
事件类型 关键影响对象 影响范围/时长 数据级别/外泄规模 典型触发指标（示例） 建议分级
恶意攻击（DDoS/勒索/恶意程序） 调度/控制中心核心服务 服务不可用≥30min 或预计RTO>2h — 清洗前峰值>平日×N；勒索加密命中核心服务；横向移动≥X台 ≥II级
恶意攻击（一般） 非关键业务系统 局部不可用<30min — 攻击源单一、可快速阻断 IV级/III级
信息泄露/数据篡改 关键数据/控制指令 — 外泄≥阈值条或涉及关键数据；出现未授权写操作 异常导出、哈希不一致、越权访问日志 ≥II级/III级
工控入侵/SCADA失效 SCADA/PLC控制域 失控≥10min且≥X站场 — 未授权指令下发、工程师站异常变更 ≥II级
工控入侵（局部） 单站控制回路 可控可回退 — 本地越权访问、维护通道异常 III级/IV级
6.2 预案管理与修订要求
6.2.1 管理与版本控制
本预案应实行受控管理与版本追溯，由应急管理部门统筹，信息安全与生产运行部门协同执行，确保文本、指挥流程与技术实施一致；版本应统一编号并标注生效日期与密级，新版生效则旧版自动废止，变更记录应可追溯至条款号与生效批示。
6.2.2 评审周期与触发
预案需每年开展一次全面评审并形成年度版本；必要时修订。
6.2.3预案宣贯
有效版本应受控发放并留存回执，相关岗位应在新版生效10个工作日内完成分层培训/桌面推演并据此调整通报顺序与工单模板。
6.2.4 归档与合规监督
评审与修订全过程资料（问题清单、改进计划、验证结论、发放回执）应归档备查并纳入持续改进闭环，保存期限不得低于企业档案制度或监管要求；预案管理与修订应符合国家与行业标准并接受监督检查，不符合项应限期整改并经复核闭环。
6.3 事故报告和应急响应要求
6.3.1 报告启动与时限
发生事件后应立即报告并启动响应；Ⅱ级及以上事件12小时内逐级报告，Ⅲ/Ⅳ级事件24小时内报告；涉及关键基础设施影响或数据泄露时同步向属地监管、网信与公安网安报送。
6.3.2 报告渠道与内容
报告应通过受控渠道提交，明确责任人与联系方式；首次报告包含级别、时间地点、受影响系统/站场、初判类型与触发条件、影响范围、已采取措施、资源需求与预计恢复时点；后续按T+24小时、结束节点补报。
6.3.3 保密与分发
报告及附件应标注密级并编制分发清单；任何单位和个人不得迟报、漏报、瞒报；对外发布应依法依规且与对内口径一致。
6.3.4 启动与指挥
达到分级触发条件应立即启动响应；Ⅰ/Ⅱ级由总部指挥，Ⅲ/Ⅳ级由区域（控制中心）指挥；指挥权的启动、移交与升级应形成书面记录并可追溯。
6.3.5 处置边界与高风险动作
处置不得破坏 SIS/联锁 边界或改变既定 SIL 配置；跨域隔离、主备/容灾切换、阀门远程闭合、策略批量改写等应实施人工二次确认与双人复核，并预设回滚点与紧急停止条件。
6.3.6 持续优化与学习
系统宜基于历史事件与演练数据开展规则/模型优化，定期更新剧本与阈值；优化结果应经灰度验证后生效，不得影响在运行安全
6.3.7 外部协同
应急指挥中心应按需联动设备与系统厂商提供紧急支持与密钥/证书恢复；必要时纳入政府应急平台统一指挥。
6.3.8 结束与移交
在威胁解除、系统稳定、证据完整、风险可控、对外协同收束条件同时满足后方可宣布结束；结束后应移交至恢复与调查并完成记录归档。
6.3.9 调查启动与范围
Ⅱ级及以上事件响应结束后24小时内成立调查组，Ⅲ/Ⅳ级事件72小时内完成初步调查；调查应覆盖时间轴复原、原因分类（技术/配置/访问控制/流程与人员/外部攻击）、指挥与处置评估、合规审查及影响评估。
6.3.11 证据保全与保存
日志、流量、内存/磁盘镜像与关键时间戳等证据应依法采集、封存与移交，保证完整性与可追溯；保存期限不短于一般事件3年、重大及以上事件5年。
6.3.12 整改与预案修订
调查结论应形成问题清单、整改措施、责任人与时限；整改完成后应通过复测/模拟对抗/桌面推演验证；据此应修订分级阈值、监测规则与剧本/编排配置，并同步至相关模板。
适用范围
本文件规定了油气管网工控系统网络安全事件应急预案的术语和定义、总体技术要求、应急响应机制、处置技术要求、应急保障及预案演练管理要求。
本标准规定了油气管网发生网络安全事件时的预警、报告、分级响应、处置、应急保障、演练与恢复要求。适用于管输企业总部、区域公司、场站及相关支撑单位。本标准所称网络安全事件主要包括：分布式拒绝服务等恶意攻击、勒索软件和恶意程序传播，涉及关键数据和敏感信息的信息泄露或数据篡改，工控系统入侵导致的SCADA系统失效或异常控制等。
当网络安全事件具备引发工艺偏差、介质异常释放或可能引发次生事故的风险时，事发单位应同步启动生产安全应急预案并与本标准规定的网络处置流程协同执行。
是否包含专利
否
