4. 工控安全标准与合规面试题

在工控安全工程师面试中，标准与合规类问题往往不是考“你背没背过条款”，而是考“你能不能把条款落到现场”。面试官真正想确认的是三件事：你能否把IEC 62443、等保2.0、NIST SP 800-82三套体系对应起来；你能否基于现场证据做合规差距分析；你能否在审核现场用工程语言回答审核员的追问。本章围绕这三条主线展开，并给出可直接用于面试作答的映射表与差距分析模板。

一、三套标准的分工与映射逻辑

先把定位说清楚。IEC 62443是国际电工委员会面向工业自动化与控制系统（IACS）的纵向标准族，核心是“分区与管道（Zones & Conduits）”加“安全等级SL1–SL4”，强调按风险给区域定级、再按等级选措施。等保2.0是中国《网络安全法》下的强制性合规基线，工控场景主要落在“工业控制系统安全扩展要求”，分五级，强调“一个中心、三重防护”。NIST SP 800-82是美国NIST面向OT系统的指南，最新版为Rev.3，特点是给出OT与IT的差异对照和具体实施建议，本身偏指南而非强制认证。

面试中常被问：“这三套怎么对应？”不要泛泛说“差不多”，要给出可操作的映射锚点。下面这张表是面试可直接口述的映射示例，参数为教学示例，实际项目需按版本核对。

口述时补一句关键判断：IEC 62443的SL等级是“按区域风险定级”，等保是“按系统等级定基线”，NIST 800-82是“按OT特性给实施建议”。三者不是一一对应，而是“目标可映射、粒度不同、证据要求不同”。这句话能立刻体现你理解体系差异，而不是死记条款号。

二、合规差距分析怎么做：从条款到证据

面试官常给一个场景：“某水厂SCADA系统要做等保三级测评，你如何做差距分析？”回答不能停在“对照条款逐条检查”，要给出可执行流程。

第一步，定边界与定级。明确SCADA服务器、工程师站、PLC、RTU、交换机、防火墙、上位机网络是否纳入范围。示例：某水厂SCADA覆盖1台历史库服务器、2台操作员站、3台PLC、1台核心交换机、1台边界防火墙，按等保三级工控扩展要求做差距分析。

第二步，建“条款—证据—现状—差距”四列台账。证据要具体到可核查对象，例如“边界访问控制”对应证据是防火墙策略导出、ACL截图、拓扑图；“安全审计”对应证据是日志服务器配置、日志留存周期、审计记录样例。下面给出可直接填写的差距分析模板（示例数据为教学假设）。

条款（等保2.0工控扩展） | 要求要点 | 现场证据 | 现状 | 差距 | 整改建议 | 优先级
安全区域边界-访问控制 | 区域间按最小必要放行 | 防火墙策略、拓扑图 | 存在any-any放行 | 未做最小化 | 收敛策略，仅放行OPC/Modbus端口 | 高
安全计算环境-身份鉴别 | 双因素或强口令 | 账号清单、登录策略 | 共用admin账号 | 无个体鉴别 | 建个人账号+双因素 | 高
安全计算环境-安全审计 | 日志留存≥6个月 | 日志服务器配置 | 仅本地留存7天 | 留存不足 | 接日志服务器，留存180天 | 中
安全管理中心-漏洞管理 | 定期漏洞扫描 | 扫描报告 | 无扫描记录 | 缺失 | 每季度扫描并闭环 | 中

第三步，判断差距等级。不是所有差距都同等紧急。判断依据建议用“可利用性×影响面”：边界any-any放行、共用admin账号属于高优先级，因为一旦被利用可直接横向移动或提权；日志留存不足属于中优先级，影响事后追溯但不直接导致入侵。面试时说出这个判断依据，比单纯列清单更有说服力。

第四步，给出整改闭环。整改建议要落到具体动作和验证方式，例如“收敛防火墙策略后，用策略比对工具确认无any-any，再抓包验证OPC端口可达、其他端口不可达”。这就是从“差距”到“验证”的闭环。

三、审核应对：如何回答审核员的追问

审核现场最怕两种回答：一是“我们买了设备就算合规”，二是“条款没写所以没做”。正确姿态是“以风险为锚，以证据为凭”。举三个高频追问及应答思路。

追问一：“你们做了分区，依据是什么？”应答结构：先讲分区依据（按工艺流程、控制层级、信任等级），再讲管道控制（区域间只放行必要协议与端口），最后给证据（分区图、防火墙策略、数据流清单）。示例：将SCADA划分为“控制区（PLC/RTU）”“监控区（操作员站/历史库）”“管理区（办公网）”，控制区与监控区之间仅放行OPC UA 4840端口，监控区与管理区之间仅放行只读数据采集端口。

追问二：“IEC 62443的SL2你们达到了吗？”不要直接说“达到”，要说“我们按SL2目标做了差距评估，当前在远程访问和补丁管理两项存在差距，已列入整改计划，预计某时间点闭环”。审核员更认可“有评估、有差距、有计划”的答案，而不是拍胸脯。

追问三：“等保三级和62443 SL2冲突吗？”应答：不冲突，等保是合规基线，62443是风险分级，二者可叠加。等保三级对应62443大致SL2–SL3区间，但具体要看区域风险。示例：某区域等保要求三级，但62443评估为SL2，则按较高要求执行，即取并集而非取交集。

四、面试作答的通用结构

把上述内容压缩成一个可复用的作答框架，面试时按此展开即可：

1. 定标准与范围：说清用哪套标准、覆盖哪些资产、定级依据。
2. 给映射：用“控制目标”把三套标准锚定，避免逐条背条款。
3. 做差距：按“条款—证据—现状—差距—整改—优先级”台账展开，证据要具体。
4. 判优先级：用“可利用性×影响面”排序，体现风险思维。
5. 给闭环：整改动作+验证方式，证明不是纸面合规。
6. 应对追问：以风险为锚、以证据为凭，承认差距但给出计划。

最后提醒一个易错点：不要把等保2.0的“工控扩展要求”与“通用要求”混为一谈。工控扩展是在通用要求基础上增加OT特性条款，面试时若只答通用要求，会被认为不懂工控。正确做法是先答通用要求覆盖了什么，再答工控扩展额外要求了什么，例如“工控扩展在边界防护上强调工业协议白名单，在计算环境上强调控制设备资源受限下的轻量鉴别”。这句话能直接体现你的工控专业度。

掌握以上映射逻辑、差距分析台账和审核应答结构，你就能在标准与合规类面试中，把“背条款”转化为“讲落地”，把“合规”讲成“风险可控”。