中国船级社
生效日期：2025年12月1日
目
第1节一般规定..1.1.1-般要求 [1.1.2船舶网络防火墙分级 11.1.4数据提供与保密. 1.1.3持证要求. .2 .21.1.5变更管理... .21.1.7规范性引用文件 1.1.6术语及缩略语.. .3 .2
第1节一般规定 2.1.1一般要求 .4第2节接口要求.. .4 .42.2.1物理接口.. 2.2.2数据接口 .4第3节安全能力要求. .4 ft'2.3.1标识和鉴别 2.3.2使用控制 .42.3.3系统完整性 62.3.4数据保密性 ..92.3.5受限数据流. 2.3.6事件的及时响应 01 ..102.3.7资源可用性 ..102.3.8软硬件要求. 2.3.9安全要求. ..11 ..11第4节1级船舶网络防火墙功能要求. ..122.4.1组网与部署 2.4.2网络层控制 .12 ..122.4.3应用层控制. ..132.4.4攻击防护 2.4.5日志审计 ..14 .14第5节ⅡI级船舶网络防火墙附加功能要求 ..152.5.1一般要求. 2.5.2组网与部署. ..15 152.5.3应用层控制. .5第6节IⅢI级船舶网络防火墙附加功能要求 2.5.4配置管理. .15 ..152.6.1一般要求. ..152.6.2组网与部署. 2.6.3边界防护. ..15第7节性能要求 .15 .152.7.1性能指标. .15第3章船舶网络防火墙检验要求. 第1节图纸资料 .17 .17.17
3.1.1文件资料.第2节测试验证准备 3.2.1一般要求 ..18 .183.2.2测试验证环境. .18
第3节验证要求 193.3.1接口测试 3.3.2功能验证 193.3.3安全能力验证 193.3.4性能测试.
第1章通则
第1节一般规定
1.1.1一般要求
1.1.1.1本指南规定了船舶边界防火墙的技术要求和产品检验要求，适用于船舶边界防火墙的检验.
1.1.1.2船舶网络防火墙包括船舶边界防火墙和部署在船载计算机系统内的防火墙等，其应用场景示例如图1.1.1.2所示.
（1）部署在船舶网络系统边界
图1.1.1.2船舶网络防火墙应用场景示例
1.1.2船舶网络防火墙分级
1.1.2.1船舶网络防火墙按照表1.1.2.1分为3个级别：
船舶网络防火墙分级
表1.1.2.1序号 级别 技术要求 适用范围1 级（level 1） 满足本指南第2.1、2.2、2.3、2.4和2.7节的要求SL0级的船舶及CBS2 II级(level 3) II级（level 2） 满足本指南第2.1、2.2、2.3、2.6和2.7节的要求SL3-SL4的船舶及CBS 满足本指南第2.1、2.2、2.3、2.5和2.7节的要求SL1-SL2的船舶及CBS
1.1.3持证要求
1.1.3.1船舶边界防火墙应持有型式认可证书，应用在其它场景的船舶网络防火墙可自
1.1.4数据提供与保密
1.1.4.1CCS对申请方提交的数据和信息按CCS《钢质海船入级规范》第1篇第2章第12节的要求进行信息披露，知识产权及保密原则遵循CCS《钢质海船入级规范》第1篇第2章第1节3.1.10的要求.
1.1.5变更管理
1.1.5.1对于通过CCS认可/检验的船舶网络防火墙，当其软件、设备部件等发生重要变更（包括但不限于软件版本重大升级，功能、性能的改变，操作流程的改变，设备部件的变更）时，申请方应通知CCS，CCS可要求重新评估，以确保其满足相关的技术要求.
1.1.6术语及缩略语
1.1.6.1《船舶网络安全指南》的术语和定义适用于本指南，本指南附加术语和定义如下:
(1）防火墙：设置在网络环境之间的一种安全屏障，它由一台专用设备或若干组件和技术的组合组成，网络环境之间两个方向的通信流均通过此屏障，并且只有按照本地安全策略定义的、已授权的通信流才允许通过.应用在船舶网络中的防火墙统称为船舶网络防火墙.
（2）船舶网络系统：船舶上部署的CBS系统的统称，包含IT系统网络和OT系统网络.
(3）船舶边界防火墙（Shipboundaryfirewall）：是指部署在船舶网络系统与外部网络的边界、或船舶安全区域边界的船舶网络防火墙.
境下，描述其各项功能均能保持正确运行的性质. （4）健壮性（Robustmess）：对某一系统或组件在无效数据输入或者在高强度输入等环
（5）健壮性测试（Robustness testing）：应对系统错误（包括无效、高强度或非期望的输入或恶意攻击）的有效处理能力进行的测试.
1.1.6.2《船舶网络安全指南》的缩略语适用本指南，本指南附加缩略语如下：
（1）CA：证书认证机构（Certificate Authority）(2）PKI：公钥基础设施（Public Key Infrastructure）（3）DoS：拒绝服务（Denialof Service） （4）DDoS：分布式拒绝服务（Distributed DenialofService）
