1. 课程导入与治理框架
工业网关是连接现场控制网络与外部运维网络的关键边界设备。它把PLC、DCS、CNC、仪表、机器人控制器等OT资产的可访问能力，通过协议转换、端口映射、VPN隧道或反向代理等方式暴露给远程工程师、设备厂商和内部运维人员。远程访问带来的价值非常直接：故障响应从"等工程师到现场"缩短到"分钟级接入"，跨地域产线的调试与巡检成本大幅下降。但与此同时，网关一旦被攻破或配置失当，攻击者获得的不只是一个IT设备，而是进入生产控制网络的跳板。
理解治理框架之前，先要看清典型场景。工业网关远程访问通常出现在以下几类业务中：设备厂商远程诊断，工程师通过网关访问特定PLC进行程序上下载；集团集中运维，总部人员跨厂区访问多台网关下的HMI与交换机；边缘数据采集，网关主动向云平台上报数据，同时保留反向运维通道；临时调试，项目交付期开放短期访问用于联调。这些场景的共同点是"跨信任域"，差异在于访问方向、持续时间和权限粒度。
核心判断：远程访问的安全问题，本质不是"要不要开放"，而是"开放给谁、开放什么、开放多久、如何证明只做了被允许的事"。治理框架围绕这四个问题展开。
安全风险可以从三个层面来看。第一层是身份与通道风险：弱口令、共享账号、长期不更换的密钥、明文或自签名证书、VPN账号离职未回收。第二层是网络暴露风险：网关管理端口直接映射到公网、远程访问通道与生产控制网络之间没有隔离、一台被控设备可横向访问同网段其他PLC。第三层是行为与审计风险：远程操作无录屏、无命令审计、无会话超时，出了问题无法还原"谁在什么时间对哪台设备做了什么"。
下面这张图把典型场景、风险来源和治理控制点放在同一张关系图中，帮助建立整体认知。
治理目标可以概括为四句话：访问可认证、权限可控制、行为可审计、风险可监测。可认证意味着每一次远程接入都有明确且唯一的身份，不依赖"知道密码就能进"；可控制意味着权限按设备、按操作、按时段收敛到最小必要范围；可审计意味着会话过程留痕，能回答"谁在何时对哪台设备做了什么"；可监测意味着异常登录、异常时段访问、异常命令能够被及时发现并阻断。
围绕这四个目标，本课程后续章节会依次展开。先建立资产与访问关系台账，明确"有哪些网关、下面挂哪些设备、谁需要访问"；再进入身份与认证治理，包括账号生命周期、多因素认证、证书与密钥管理；然后是通道与网络治理，涉及VPN选型、隧道加密、微隔离与访问控制策略；接着是权限与会话治理，包括按需授权、临时提权、会话录屏与命令审计；最后是监测、响应与持续运营，把前面建立的控制点串成可运行的治理闭环。
学习建议：每学完一个治理模块，回到自己负责的现场，找出对应的一个真实网关和一条真实访问路径，按"身份—通道—权限—审计"四个维度做一次对照检查。治理框架只有落到具体设备和具体访问关系上，才真正产生价值。
需要特别强调的是，工业网关远程访问治理不是一次性项目，而是持续运营过程。设备会新增，人员会变动，厂商支持周期会结束，临时开放的通道容易被遗忘。因此，治理框架中必须包含定期复核机制：访问关系台账多久更新一次、闲置账号多久清理一次、临时通道到期是否自动关闭、审计日志保留多久。这些运营规则决定了治理体系能否长期有效，而不是停留在一次性的合规检查上。
本章作为课程导入，目标是让读者建立"场景—风险—控制点—运营"的整体视角。后续每一章都会在这个框架下深入一个具体治理领域，并给出可落地的配置示例、检查清单和判断依据。带着自己现场的网关和访问关系来学习，效果最好。