1. 课程导入
一、为什么工业网络安全成为工程必修课
过去，工业控制系统（ICS）依赖“物理隔离”作为主要安全边界：DCS、PLC、RTU 运行在专网中，工程师站位于厂区内，外部人员难以接触。然而，随着工业互联网、远程运维、预测性维护和 IT/OT 融合的推进，这一边界正在快速消失。OT 网络开始使用以太网、TCP/IP、OPC UA、MQTT 等通用协议，控制设备与 MES、ERP、云平台产生数据交换，攻击面从“物理端口”扩展到“协议、软件、供应链和人员”。
工业网络安全的特殊性在于：可用性与安全性同等重要，甚至优先级更高。一条产线停机可能造成数十万至数百万元损失，而安全补丁不能随意重启关键设备。因此，工业安全不能照搬 IT 的“先隔离、再打补丁”思路，而要在可用性、完整性、机密性之间做工程权衡。IEC 62443 正是为这种权衡提供的一套国际通用语言。
核心判断：工业网络安全不是“加防火墙”或“装杀毒软件”的单点问题，而是覆盖组织、流程、系统、组件四个层面的工程体系。IEC 62443 的价值在于把“谁负责、保护什么、达到什么等级、如何验证”变成可审计、可交付的工程要求。
二、IEC 62443 标准体系概览
IEC 62443 是面向工业自动化与控制系统（IACS）的网络安全系列标准，由 IEC TC65 制定，并与 ISA99 委员会工作成果高度一致。它不是一个单一标准，而是一个“横向覆盖 + 纵向分层”的体系。理解其结构，是后续所有章节的导航图。
从上到下，标准体系回答四个问题：通用层定义术语和模型；策略层规定组织如何建立安全管理体系；系统层指导风险评估、分区隔离和安全等级分配；组件层约束设备厂商的开发过程与产品安全能力。四层之间不是孤立的，而是“组织要求 → 系统设计 → 组件实现”的逐级分解关系。
三、核心方法：从风险评估到安全等级
IEC 62443 的工程主线可以概括为一条可执行路径：资产识别 → 风险评估 → 分区与管道 → 目标 SL 分配 → 系统与组件选型 → 验证与运维。其中“分区（Zone）与管道（Conduit）”是系统层最核心的建模方法：把具有相同安全需求的资产划入同一分区，分区之间的通信路径定义为管道，并对每条管道提出安全要求。
| 阶段 | 关键活动 | 主要输出 | 对应标准 |
|---|---|---|---|
| 资产识别 | 盘点 PLC、HMI、交换机、工程师站、历史库 | 资产清单与网络拓扑 | 62443-2-1 |
| 风险评估 | 识别威胁、脆弱性、后果与可能性 | 风险登记表与目标 SL | 62443-3-2 |
| 分区与管道 | 按功能与安全需求划分 Zone，定义 Conduit | 分区图与通信矩阵 | 62443-3-2 |
| 系统要求 | 将 SL 分解为系统安全要求（SR）与需求增强（RE） | 系统安全需求规格 | 62443-3-3 |
| 组件选型 | 核查设备是否满足 62443-4-2 的组件要求 | 设备安全能力清单 | 62443-4-2 |
| 验证与运维 | 渗透测试、配置核查、补丁与监控 | 验证报告与运维记录 | 62443-2-2 / 2-3 |
四、典型场景：一个汽车零部件工厂的改造
某汽车零部件工厂原有三条冲压线，PLC 与 HMI 位于同一扁平网络，工程师站可直连互联网下载程序。按 IEC 62443 方法改造后：将冲压控制、质量检测、办公网络划分为三个 Zone；在控制 Zone 与办公 Zone 之间设置工业防火墙作为 Conduit，仅允许 OPC UA 数据单向流出；对远程运维通道启用双因素认证与跳板机审计；对关键 PLC 固件版本建立基线并纳入补丁管理流程。改造后，目标 SL 从“无明确要求”提升到 SL2，既满足客户审计要求，也未影响产线节拍。
工程提示：分区不是“画得越细越好”。分区过细会增加管道数量和运维复杂度，分区过粗则无法隔离风险。实践中常以“功能单元 + 安全等级 + 通信关系”三个维度综合判断。
五、常见误区与复盘
- 误区一：把 IEC 62443 当成产品认证标签。它既包含产品要求，也包含组织与系统要求。只买“通过 62443 认证”的设备，不等于系统安全。
- 误区二：先买安全设备，后做风险评估。没有目标 SL，防火墙策略和补丁优先级都缺乏依据，容易过度投资或遗漏关键路径。
- 误区三：忽视运维阶段。安全等级不是一次性交付物，配置漂移、人员变更、新漏洞都会使达成 SL 下降，必须通过周期性核查维持。
- 误区四：把 IT 安全策略直接复制到 OT。IT 强调机密性优先，OT 强调可用性与功能安全，补丁窗口、重启策略、扫描方式都需要重新设计。
# 工业网络资产盘点示例（简化）
zone: 冲压控制区
assets:
- PLC-01 型号: S7-1500 固件: V2.9 协议: PROFINET
- HMI-01 型号: TP1200 固件: V15 协议: PROFINET
- SW-01 型号: SCALANCE XC216 管理: 启用
conduit:
- 到质量检测区: OPC UA 只读，端口 4840
- 到办公区: 禁止直连，经工业防火墙
target_sl: SL2
achieved_sl: 待验证六、学习目标与课程结构
本课程共 30 章，围绕“标准理解 → 风险评估 → 系统设计 → 组件与运维 → 案例复盘”展开。完成学习后，你应能够：
- 解释 IEC 62443 四层标准体系及 SL 等级含义；
- 独立完成一个小型工业网络的风险评估与分区设计；
- 将目标 SL 分解为系统安全要求和组件选型条件；
- 制定补丁管理、远程运维和事件响应的基本流程；
- 识别常见误区，并用工程语言与 IT、OT、管理层沟通。