3. 远程访问安全治理标准与合规要求

工业网关的远程访问安全治理，不能只靠厂商说明书或运维经验来拍板。真正可审计、可复用的做法，是把三套主流要求对齐到同一张控制面上：IEC 62443 管工业自动化与控制系统（IACS）的安全生命周期与区域/管道模型，NIST SP 800-82 管 OT 系统的安全架构与远程访问边界，等保2.0 管我国境内信息系统的等级保护合规基线。三者视角不同，但对远程访问的核心约束高度重叠：身份可信、通道加密、最小权限、行为可审计、异常可阻断。

三套标准的定位差异

IEC 62443 的核心是“区域（Zone）与管道（Conduit）”。远程访问不是一条直连隧道，而是一条受控管道：外部工程师、云平台、运维终端都位于不同信任级别的区域，管道上必须部署访问控制、加密和审计。它强调安全等级（SL1～SL4）与系统能力、组件能力的匹配，远程访问通常要求达到 SL2 以上，涉及关键工艺时按 SL3 设计。

NIST SP 800-82 更偏工程实现，强调 OT 与 IT 的边界隔离、DMZ 中转、多因素认证、会话录制和最小化开放端口。它不要求所有远程访问都走同一产品，但要求架构上可证明“外部不可直达控制层”。

等保2.0 则给出可检查的合规项：身份鉴别、访问控制、安全审计、入侵防范、数据完整性与保密性。远程访问在等保中通常落在“安全区域边界”和“安全计算环境”两个层面，检查时会看是否有双因素、是否有日志留存、是否限制源地址、是否加密传输。

从条款到配置：落地映射的关键动作

把标准变成可执行配置，核心是四件事。第一，身份。等保要求“身份鉴别”，IEC 62443 要求“用户身份与认证”，NIST 要求 MFA。落地时远程访问必须启用双因素，且账号与人员一一对应，禁止共享账号。第二，通道。远程访问必须加密，工业网关侧通常用 IPsec VPN 或 TLS 隧道，证书双向认证，禁用弱算法。第三，权限。按角色分配最小权限，限制可访问的 IP、端口和协议，例如只允许工程师访问 PLC 的 102 端口，不允许访问整个车间网段。第四，审计。所有远程会话必须记录登录时间、源 IP、操作命令、持续时长，日志留存不少于 6 个月，满足等保审计要求。

示例：某水务泵站远程访问合规配置

假设某泵站有 3 台 PLC、1 台工业网关，需要允许外部工程师远程维护。按三标准映射，可形成如下配置示例（参数为教学假设，非实测）：

远程访问策略（示例）
身份：工程师账号 + 短信/OTP 双因素
通道：IPsec IKEv2，AES-256，SHA-256，证书双向认证
权限：仅允许 10.20.30.0/24 访问 PLC 的 102/502 端口
时间：仅工作日 09:00-18:00 可建立会话
审计：会话录像 + 命令日志，留存 180 天
异常：非授权源 IP 连续 3 次失败 → 锁定 30 分钟并告警

判断是否达标，可以看三个证据：登录日志中是否出现双因素记录；抓包或网关日志中是否只有加密流量；审计平台中是否能回放某次远程会话的完整命令序列。三者齐全，基本可对应 IEC 62443 的管道审计、NIST 的会话录制和等保的安全审计。

常见偏差与纠正

实践中常见偏差有三类。一是“有 VPN 就算合规”，但 VPN 只解决通道加密，不解决权限和审计，等保检查时仍会因缺少双因素和日志被扣分。二是“远程访问直连控制层”，违反 NIST 的 DMZ 中转原则，也违反 IEC 62443 的管道隔离要求，正确做法是外部先接入 DMZ 跳板，再跳转到目标设备。三是“日志只存 30 天”，不满足等保 6 个月留存要求，需在网关或平台侧调整日志轮转策略。

把这三套标准对齐后，工业网关的远程访问就不再是“能不能连”的问题，而是“谁在什么时间、从哪来、能做什么、做了什么、是否可追溯”的完整闭环。这个闭环，才是远程访问安全治理真正的合规底座。