2. 工业远程访问的资产与角色梳理

工业远程访问安全治理的第一步，不是急着上VPN、跳板机或零信任网关，而是把"谁在访问什么"这件事彻底盘清楚。资产不清、角色不明，后续所有访问控制策略都会建立在流沙之上。本章聚焦两个核心问题：OT侧有哪些资产需要被纳入远程访问管理范围，以及哪些主体会发起远程访问请求，并给出资产台账与责任矩阵的落地方法。

一、OT资产识别：从控制层级出发

OT资产识别不能按IT思路简单罗列IP和主机名，而应沿着工业控制系统的层级结构逐层梳理。典型工厂的OT资产分布在以下层级：

• 现场层：传感器、执行器、变频器、智能仪表。这一层通常不直接暴露远程访问接口，但通过RTU或PLC间接被访问，需记录其归属回路与工艺段。
• 控制层：PLC（可编程逻辑控制器）、DCS控制器、RTU（远程终端单元）、安全仪表系统SIS。这是远程访问的核心目标，工程师下装程序、修改逻辑、诊断故障都发生在此层。
• 监控层：HMI（人机界面）、SCADA服务器、操作员站、历史数据库。远程访问常通过HMI进行画面查看和报警确认。
• 工程层：工程师站、组态服务器、OPC服务器、域控服务器。这一层是远程访问的"跳板"，外部厂商往往先接入工程师站再横向移动到控制器。

识别时建议采用"物理位置+网络区域+资产类型+通信协议"四元组描述每个资产。例如：一号联合装置现场机柜间 / 控制网VLAN 210 / Siemens S7-1500 PLC / S7comm over TCP 102。这样的描述能直接支撑后续访问策略的编写。

需要特别注意的是，很多工厂存在"影子资产"——临时接入的调试笔记本、厂商自带的网关、老旧串口服务器。这些资产往往不在正式台账中，却是远程访问风险的高发点。识别阶段应通过交换机MAC地址表、ARP表、被动流量镜像三种手段交叉比对，找出未登记设备。

二、远程访问主体分类

远程访问主体可按"归属关系+访问目的+访问时长"三个维度分类：

• 内部工程师：本厂或集团内的自动化工程师、仪表工程师。他们通常需要长期、高频访问，权限范围较大，但身份可信度最高。典型场景是夜间在家处理产线停机故障。
• 外部厂商：PLC厂商、DCS厂商、变频器厂商、机器人厂商的技术支持人员。访问频率低但权限深，常需要下装程序或修改组态。访问时长通常与项目或故障处理周期绑定。
• 运维外包：网络运维、服务器运维、安全运维外包人员。他们主要访问工程师站、交换机、防火墙等基础设施，一般不直接操作控制器，但拥有横向移动的潜在能力。

三类主体的风险特征差异明显：内部工程师是"高权限、高信任"，外部厂商是"高权限、低信任"，运维外包是"中权限、中信任"。责任矩阵必须体现这种差异，而不是一刀切。

三、资产台账的建立方法

资产台账不是一张Excel表那么简单，它需要具备可查询、可关联、可审计三个能力。建议字段设计如下：

台账建立后，必须与网络侧的资产发现结果定期比对。建议每月执行一次被动流量扫描，将新出现的IP与台账比对，差异项进入"待确认资产"清单，由责任部门在5个工作日内确认或清除。

四、责任矩阵的建立

责任矩阵解决的是"谁对哪个资产的哪种访问负责"。推荐使用RACI模型的简化版：申请方、审批方、执行方、审计方。以"外部厂商远程下装PLC程序"为例：

• 申请方：外部厂商现场负责人，提交访问申请单，注明资产编号、访问目的、预计时长。
• 审批方：资产责任部门主管+信息安全负责人双签。资产责任部门判断工艺必要性，信息安全判断访问方式是否合规。
• 执行方：内部工程师负责开通临时账号、配置跳板机策略、全程陪同或录屏。
• 审计方：安全运营团队事后核查操作日志，确认无越权访问和未授权变更。

责任矩阵应随资产台账同步更新。当资产责任人变更、厂商合同到期、外包人员轮换时，矩阵中的对应行必须同步调整，否则会出现"账号还在、人已离职"的典型风险。

五、从梳理到治理的衔接

资产台账和责任矩阵建立完成后，下一步才是设计访问控制策略。此时你已经知道：哪些资产需要被保护、哪些主体需要访问、访问的深度和频率如何、谁审批谁负责。这些信息直接决定了后续是采用"VPN+跳板机"还是"零信任网关"，是"按需开通临时账号"还是"长期固定权限"。

资产与角色梳理不是一次性任务，而是持续运营的基础。只有台账准确、责任清晰，后续的访问审批、会话审计、异常检测才有可靠的参照基准。