机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。
应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
可基于可信根对通信设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
a）应在网络边界根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
b）应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；
c）应对源地址、目的地址、源端口、目的端口和协议等进行检査，以允许/拒绝数据包进出。
可基于可信根对边界设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并 定期更换；
b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。
应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施。
应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施。
a）应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；
a）应指定专门的部门或人员负责机房安全,对机房出入进行管理，定期对机房供配电、空调、温湿 度控制、消防等设施进行维护管理；
b）应对机房的安全管理做出规定,包括物理访问、物品进出和环境安全等方面。
应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档 介质的目录清单定期盘点。
应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理。
应釆取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影 响后进行修补。
a）应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限；
b）应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制。
a）应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等；
b）应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期査杀等。
b）应明确安全事件的报告和处置流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责。
应确保云服务客户数据、用户个人信息等存储于中国境内，如需出境应遵循国家相关规定。
a）应选择安全合规的云服务商，其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力；
c）应在服务水平协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等。
应保证有线网络与无线网络边界之间的访问和数据流通过无线接入安全网关设备。
无线接入设备应开启接入认证功能，并且禁止使用WEP方式进行认证，如使用口令，长度不小于8位字符。
a）感知节点设备所处的物理环境应不对感知节点设备造成物理破坏，如挤压、强振动；
b）感知节点设备在工作状态所处物理环境应能正确反映环境状态（如温湿度传感器不能安装在阳光直射区域）。
应指定人员定期巡视感知节点设备、网关节点设备的部署环境，对可能影响感知节点设备、网关节点设备正常工作的环境异常进行记录和维护。
a）室外控制设备应放置于釆用铁板或其他防火材料制作的箱体或装置中并紧固；箱体或装置具 有透风、散热、防盗、防雨和防火能力等；
b）室外控制设备放置应远离强电磁干扰、强热源等环境，如无法避免应及时做好应急处置及检修，保证设备正常运行。
a）工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用技术隔离手段；
b）工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段。
应在工业控制系统与企业其他系统之间部署访问控制设备，配置访问控制策略，禁止任何穿越区域 边界的E-Mail,Web,Telnet,Rlogin,FTP等通用网络服务。
a）应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性标识和鉴别；
a）控制设备自身应实现相应级别安全通用要求提出的身份鉴别、访问控制和安全审计等安全要求，如受条件限制控制设备无法实现上述要求，应由其上位控制或管理设备实现同等功能或通过管理手段控制；
b）应在经过充分测试评估后，在不影响系统安全稳定运行的情况下对控制设备进行补丁更新、固件更新等工作。
