关于加强工业控制系统信息安全管理的通知
工业和信息化部
关于加强工业控制系统信息安全管理的通知
工信部协[2011]451号
各省、自治区、直辖市人民政府，国务院有关部门，有关国有大型企业：
工业控制系统信息安全事关工业生产运行、国家经济安全和人民生命财产安全，为切实加强工业控制系统信息安全管理，经国务院同意，现就有关事项通知如下：
一、充分认识加强工业控制系统信息安全管理的重要性和紧迫性
数据采集与监控（SCADA）、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域，用于控制生产设备的运行。一旦工业控制系统信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患。随着计算机和网络技术的发展，特别是信息化与工业化深度融合以及物联网的快速发展，工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与互联网等公共网络连接，病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临着严峻的形势。与此同时，我国工业控制系统信息安全管理工作中仍存在不少问题，主要是对工业控制系统信息安全问题重视不够，管理制度不健全，相关标准规范缺失，技术防护措施不到位，安全防护能力和应急处置能力不高等，威胁着工业生产安全和社会正常运转。对此，各地区、各部门、各单位务必高度重视，增强风险意识、责任意识和紧迫感，切实加强工业控制系统信息安全管理。
二、明确重点领域工业控制系统信息安全管理要求
加强工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。各地区、各部门、各单位要结合实际，明确加强工业控制系统信息安全管理的重点领域和重点环节，切实落实以下要求。
（一）连接管理要求。
1. 断开工业控制系统同公共网络之间的所有不必要连接。
2. 对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、单向隔离等措施加以防护，并定期进行风险评估，不断完善防范措施。
3. 严格控制在工业控制系统和公共网络之间交叉使用移动存储介质以及便携式计算机。
（二）组网管理要求。
1. 工业控制系统组网时要同步规划、同步建设、同步运行安全防护措施。
2. 采取虚拟专用网络（VPN）、线路冗余备份、数据加密等措施，加强对关键工业控制系统远程通信的保护。
3. 对无线组网采取严格的身份认证、安全监测等防护措施，防止经无线网络进行恶意入侵，尤其要防止通过侵入远程终端单元（RTU）进而控制部分或整个工业控制系统。
（三）配置管理要求。
1. 建立控制服务器等工业控制系统关键设备安全配置和审计制度。
2. 严格账户管理，根据工作需要合理分类设置账户权限。
3. 严格口令管理，及时更改产品安装时的预设口令，杜绝弱口令、空口令。
4. 定期对账户、口令、端口、服务等进行检查，及时清理不必要的用户和管理员账户，停止无用的后台程序和进程，关闭无关的端口和服务。
（四）设备选择与升级管理要求。
1. 慎重选择工业控制系统设备，在供货合同中或以其他方式明确供应商应承担的信息安全责任和义务，确保产品安全可控。
2. 加强对技术服务的信息安全管理，在安全得不到保证的情况下禁止采取远程在线服务。
3. 密切关注产品漏洞和补丁发布，严格软件升级、补丁安装管理，严防病毒、木马等恶意代码侵入。关键工业控制系统软件升级、补丁安装前要请专业技术机构进行安全评估和验证。
（五）数据管理要求。
地理、矿产、原材料等国家基础数据以及其他重要敏感数据的采集、传输、存储、利用等，要采取访问权限控制、数据加密、安全审计、灾难备份等措施加以保护，切实维护个人权益、企业利益和国家信息资源安全。
（六）应急管理要求。
制定工业控制系统信息安全应急预案，明确应急处置流程和临机处置权限，落实应急技术支撑队伍，根据实际情况采取必要的备机备件等容灾备份措施。
三、建立工业控制系统安全测评检查和漏洞发布制度
（一）加强重点领域工业控制系统关键设备的信息安全测评工作。全国信息安全标准化技术委员会抓紧制定工业控制系统关键设备信息安全规范和技术标准，明确设备安全技术要求。重点领域的有关单位要请专业技术机构对所使用的工业控制系统关键设备进行安全测评，检测安全漏洞，评估安全风险。工业和信息化部会同有关部门对重点领域使用的工业控制系统关键设备进行抽检。
（二）建立工业控制系统信息安全检查制度。工业控制系统运营单位要从实际出发，定期组织开展信息安全检查，排查安全隐患，堵塞安全漏洞。工业和信息化部适时组织专业技术力量对重点领域工业控制系统信息安全状况进行抽查，及时通报发现的问题。
（三）建立信息安全漏洞信息发布制度。开展工业控制系统信息安全漏洞信息的收集、汇总和分析研判工作，及时发布有关漏洞、风险和预警信息。
四、进一步加强工业控制系统信息安全工作的组织领导
各地区、各部门、各单位要将工业控制系统信息安全管理作为信息安全工作的重要内容，按照谁主管谁负责、谁运营谁负责、谁使用谁负责的原则，建立健全信息安全责任制。各级政府工业和信息化主管部门要加强对工业控制系统信息安全工作的指导和督促检查。有关行业主管或监管部门、国有资产监督管理部门要加强对重点领域工业控制系统信息安全管理工作的指导监督，结合行业实际制定完善相关规章制度，提出具体要求，并加强督促检查确保落到实处。有关部门要加快推动工业控制系统信息安全防护技术研究和产品研制，加大工业控制系统安全检测技术和工具研发力度。国有大型企业要切实加强工业控制系统信息安全管理的领导，健全工作机制，严格落实责任制，将重要工业控制系统信息安全责任逐一落实到具体部门、岗位和人员，确保领导到位、机构到位、人员到位、措施到位、资金到位。
二〇一一年九月二十九日
铁路运输多种经营企业财务管理办法
铁道部
铁路运输多种经营企业财务管理办法
1990年8月26日，铁道部
第一章 总 则
第1条 为认真执行国家的有关政策、法令、法规，加强铁路运输多种经营企业（下称多经企业）的财务管理，促进其健康稳定地发展，特制定本办法。
第2条 多经企业是从事除铁路客货运输主业、工附业和原由主业代办的外委工作任务以外的生产、经营和服务业务的全民所有制经济实体，实行独立核算，自负盈亏。
第3条 多经企业应加强财产和资金的管理，正确核算成本，合理分配利润，并根据不同的经营业务推行多种形式的经营承包责任制，以调动企业和职工的积极性，不断提高经济效益。
第4条 多经企业要按照工商登记批准的经营范围开展营业，并向税务部门办理登记。各项收费标准必须经物价部门批准，做到依法经营，照章纳税。
第5条 多经企业应配备能够胜任本职工作的财会人员并任免财务负责人。铁路局、分局及站段的多经企业管理部门应设置相应的财会机构和配备足够的财会人员，负责对所属多经企业财会工作的全面管理。主办单位的财务部门对同级多经企业的财会工作负有监督、指导责任，要有专人负责此项日常工作。
第6条 多经企业与主办单位之间在经济上要划分清楚，不得互相侵占财产，不得互相挤列成本，不得互相挪用资金。经济往来应按规定列帐清算。
第二章 固定资产管理
第7条 多经企业新建和购置固定资产应纳入计划，其资金来源，一是自筹，二是借入，三是外单位投入。借入资金应由多经企业留用的利润中归还（1989年12月31日前借入，并经国家有关部门批准，准予在税前归还的贷款除外）。
第8条 多经企业使用主办单位多余闲置的固定资产，应按有偿调拨办理或按双方协议支付使用费。
第9条 多经企业的固定资产，应由各局参照《铁路运输企业固定资产管理办法》的规定，制订具体办法进行管理，并按照国务院国发〔1985〕63号《国营企业固定资产折旧试行条例》的规定，实行分类折旧，自提自用。
第三章 流动资金管理
第10条 多经企业所需要的流动资金，可用主办单位的自有资金，本单位留利、银行贷款或经银行批准通过内部集资等渠道解决，不得占用主办单位生产经营的流动资金、更新改造基金、大修理基金和国家安排的基本建设资金。
第11条 多经企业借用主办单位的自有资金，应支付资金使用费。
第12条 多经企业的低值易耗品，应在保证生产需要的前提下，本着勤俭节约的精神进行购置和配备，并按有关规定建立保管、领用、摊销和报废等管理制度。
第13条 多经企业要建立商品、产品、材料的采购、保管、支出和赔偿等管理制度。
第14条 多经企业要严格货币资金的管理，认真执行结算、信贷和现金管理的各项规定。
第四章 成本管理
第15条 多经企业必须计算完全成本，加强成本的计划管理，实行成本管理责任制。要通过成本的预测，计划、核算、分析和考核，不断挖掘潜力，努力降低成本，提高经济效益。
第16条 多经企业成本的核算，应严格执行国务院国发〔1984〕34号《国营企业成本管理条例》的规定，划清各项业务的成本界限，正确计算成本，不准扩大成本开支范围和提高开支标准。
第17条 主业职工到多经企业工作，其工资、奖励、福利等开支，均由多经企业的成本和有关专用基金负担。
第五章 纳税和利润分配
第18条 多经企业各种经营业务所取得的收入都必须如数入帐，并按国家规定向税务部门缴纳流转税。
第19条 多经企业的实现利润应按国家规定缴纳所得税，并统一纳入中央级预算管理。但考虑到目前实际情况，在铁道部大包干体制未改变前，暂按财政部、铁道部、中国人民建设银行（86）财工字第442号文件规定执行。即在大包干前，铁路兴办的多种经营企业，已按有关规定在当地缴纳所得税的，仍继续缴纳；没有缴纳的以及在大包干后兴办的多经企业不再向地方缴纳所得税。
第20条 未向地方缴纳所得税的多经企业，按实现利润总额（计税利润）的30％逐级汇总上缴铁路局财务处（汇缴方法由铁路局自定），再由铁路局财务处集中上缴铁道部。
向地方缴纳所得税的多经企业，其上缴额不足计税利润30％的，应将其差额补交铁道部，上缴方法同上款。
各铁路局应适当集中一部分多经利润，作为铁路局留利，统一安排使用。集中办法由各局自订。
第21条 多经企业的利润，应按四、三、三的比例，分别建立生产发展、职工福利、职工奖励三项基金。
第六章 会计核算
第22条 多经企业要有健全的会计制度，会计科目、成本项目和会计报表等由铁道部统一制定，并在征得财政部同意后下发施行。
第23条 多经企业要切实加强会计核算基础工作，坚持原始凭证的合法性和薄记的真实性、准确性、全面正确地反映企业的经营活动。
第24条 多经企业应单独编制决算，逐级审核、汇总、上报。报送程序如下：
1、多经企业的决算，应逐级汇总上报铁路局多种经营管理机构，同时抄送主办单位财务部门。
2、铁路局多经管理机构汇总各分局和路局直属多经企业的决算，审核后报送铁路局财务处。
3、铁路局财务处负责对多经企业决算的审核，经铁路局领导签章后，随同主业决算一并上报铁道部财务司。
4、铁道部财务司负责汇总各铁路局多经企业决算，审核后随同运输主业决算一起报财政部审批。
第七章 财经纪律
第25条 多经企业应认真执行国家的财经政策、法令、法规。财会人员应该按照《会计法》行使职权，按规定办理会计业务，进行会计核算，实行会计监督。
第26条 多经企业的一切财务活动，都必须纳入决算；不允许有帐外资金和帐外财产；也不准搞帐外帐，私设“小金库”或以任何名义截留、转移、私分利润；严禁巧立名目，乱发奖金，实物和补贴。
第27条 多经企业应严格遵守财经纪律，接受财政、税务、物价、工商、审计和上级财务部门等有关方面的监督检查。
第28条 对多经企业违反财经纪律的事项，有关部门应按国务院国发〔1987〕58号《关于违反财政法规处罚的暂行规定》和财政部、审计署联合发布的〔1987〕财法字第52号《违反财政法规处罚的暂行规定施行细则》的有关规定处理。
第八章 附 则
第29条 本办法适用于铁道部大包干期间。
第30条 本办法自一九九0年一月一日起实行。
