NB/T 20428-2017 标准解读

一、标准适用范围与执行边界

• 适用主体：核电厂新建、改建、扩建项目中承担安全级（1E级）及非安全级（SR级）仪表和控制系统（I&C）设计、制造、集成、调试、运行与维护的单位，包括设计院、设备供应商、系统集成商、业主方仪控部门及第三方安全评估机构。
• 适用场景：涉及计算机化系统（含DCS、PLC、SCADA、HMI、工程师站、历史服务器、时间同步系统、网络设备等）的全生命周期活动，覆盖系统架构设计、软硬件选型、网络分区、访问控制、固件更新、日志审计、漏洞管理、应急响应等环节。
• 排除条件：不适用于纯机械式就地仪表、无嵌入式软件的模拟量变送器、未联网的独立便携式测试设备；不覆盖核燃料循环设施、研究堆及非核动力船舶的I&C系统；不替代GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》对非工业场景的通用要求。

二、核心实操技术要求

1. 网络架构强制隔离：安全级I&C网络必须与非安全级网络物理隔离，禁止共用交换机或VLAN；安全级网络内部按功能划分为控制网（CNET）、工程网（ENET）、时钟网（TNET），三者间通过单向光闸或硬件逻辑隔离装置连接，禁用双向路由协议。
2. 身份鉴别硬性指标：所有远程登录（SSH/Telnet/RDP）须启用双因素认证（USB Key+PIN或生物特征+证书），口令长度≥12位、复杂度满足大写+小写+数字+特殊字符组合、有效期≤90天；本地操作员站登录需绑定硬件指纹（TPM 2.0芯片）并记录BIOS/UEFI启动哈希值。
3. 软件配置基线管控：操作系统（Windows Embedded Standard 7/10、VxWorks 6.9+）须关闭Telnet、FTP、SNMP v1/v2c服务；禁用默认账户（如Administrator、root）；所有应用软件须通过NNSA认可的第三方检测机构出具《核级软件安全验证报告》，含内存溢出、栈溢出、SQL注入三项渗透测试结果。
4. 日志与审计规范：关键操作日志（组态下载、参数修改、权限变更、固件升级）须实时同步至独立日志服务器，存储周期≥180天；日志字段至少包含操作时间（UTC+0）、IP地址、用户DN、操作对象OID、操作结果代码；日志服务器须部署于安全级网络外侧独立DMZ区，仅开放514/UDP端口接收。
5. 漏洞响应时效：接收到CNVD/CNNVD发布的高危漏洞通告后，72小时内完成影响分析，15日内提交补丁适配方案，30日内完成现场验证与部署；无可用补丁时，须在48小时内实施临时缓解措施（如端口封禁、访问白名单、流量镜像分析）并报核安全局备案。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：老旧DCS系统无法满足双因素认证→ 解决方案：在工程师站前端加装符合GB/T 33136—2016的KVM over IP硬件认证网关，实现登录层强认证，原有DCS系统无需修改；认证日志独立存储并满足本标准第5.3.2条审计要求。
• 难点2：安全级网络无法直连互联网导致漏洞信息获取滞后→ 解决方案：部署离线漏洞情报同步系统，由非安全级网络每日定时导出CNVD XML格式漏洞摘要（不含POC），经光盘摆渡导入安全级网络漏洞管理平台，平台自动匹配资产指纹并生成处置优先级清单。
• 难点3：多厂商设备日志格式不统一难以集中审计→ 解决方案：在安全级网络出口部署日志标准化代理（Syslog-NG），依据标准附录B《核电厂I&C设备日志字段映射表》将各厂商日志转换为统一JSON Schema（含event_id、device_type、severity、action_result字段），再转发至审计服务器。
• 难点4：固件升级引发控制器看门狗超时停机→ 解决方案：升级前执行《固件兼容性矩阵核查》，确认新固件已通过NNSA指定实验室的EMC抗扰度测试（IEC 61000-4-3 Level 3）；升级过程采用分段加载机制，每加载512KB触发一次看门狗喂狗指令，失败则自动回滚至前一稳定版本。