2. 核心概念与术语
各位工程师朋友，咱们今天聊点实在的。IEC 62443 这套标准，说白了就是一套工业控制系统安全的方法论。但再好的方法论，也得先把概念理清楚。我见过不少项目，团队一上来就谈“我们要做安全”，结果连资产清单都没列全，漏洞扫描报告堆了一桌子，却不知道哪个威胁才是真正要命的。
所以这一章，咱们把六个核心概念掰开揉碎。你吃透了它们，后面讲安全等级、区域划分、风险评估，你就能听懂我在说什么了。
资产（Asset）——你要保护的东西
什么是资产？简单说，就是“你丢了会心疼的东西”。在工业物联网场景下，资产不只是那台 PLC 或者服务器。
- 硬件资产：控制器、传感器、执行器、工业交换机、防火墙
- 软件资产：组态软件、HMI 程序、固件、数据库
- 数据资产：工艺参数、配方、生产日志、报警记录
- 人员资产：操作员、工程师、安全管理员
威胁（Threat）——谁想伤害你
威胁是“可能造成伤害的源头”。它可以是人，也可以是自然事件。我习惯把威胁分成三类：
- 恶意人为威胁：黑客、内部不满员工、竞争对手、勒索软件团伙
- 非恶意人为威胁：操作失误、配置错误、维护不当
- 环境威胁：雷击、火灾、水淹、电磁干扰
你想想看，很多工厂只防黑客，却忽略了操作员误触按钮带来的风险。其实在工业现场，人为失误导致的停机事故，比网络攻击多得多。
漏洞（Vulnerability）——你的软肋在哪
漏洞是资产本身存在的弱点。它可能是代码里的 bug，也可能是配置上的疏忽，甚至是管理流程的缺失。
| 漏洞类型 | 举例 | 常见场景 |
|---|---|---|
| 技术漏洞 | 未打补丁的 Windows XP、弱口令、未加密通信 | 老旧工控机、默认密码未改 |
| 配置漏洞 | 防火墙规则过于宽松、VLAN 未隔离 | IT/OT 网络直连 |
| 管理漏洞 | 没有变更管理流程、U 盘随意插拔 | 现场维护无记录 |
我曾经帮一家汽车零部件厂做安全评估，发现他们的工程师为了方便调试，把 PLC 的 Web 服务端口直接暴露在办公网。这就是典型的配置漏洞——攻击者只要扫描到那个端口，就能直接下载梯形图程序。
风险（Risk）——你到底有多危险
风险 = 威胁 × 漏洞 × 后果。这是安全领域最经典的公式。但我要提醒你，这不是数学乘法，而是逻辑关系。
举个例子：
- 你有一台老旧 PLC（漏洞）
- 它连接了互联网（威胁可触及）
- 一旦被攻破，整条产线会停摆（后果严重）
这就是高风险。反过来，如果那台 PLC 是孤立的，不联网，即使漏洞再多，风险也低。
安全等级（Security Level, SL）——你的安全目标
IEC 62443 定义了四个安全等级，从 SL 1 到 SL 4。等级越高，防护越强，成本也越高。
| 安全等级 | 防护能力 | 典型场景 |
|---|---|---|
| SL 1 | 防止偶然或随意攻击 | 非关键辅助系统 |
| SL 2 | 防止简单故意攻击 | 一般生产线 |
| SL 3 | 防止复杂故意攻击 | 关键基础设施 |
| SL 4 | 防止国家级攻击 | 国防、核电 |
我建议你根据业务影响来确定目标安全等级。别一上来就追求 SL 4，那意味着你要上硬件加密、双因子认证、物理隔离……成本翻好几倍。先问自己：这个系统停了，公司能承受多久？
安全区域与管道（Zone & Conduit）——你的防御地图
这是 IEC 62443 里最实用的概念。说白了，就是把你的网络“切块”。
- 安全区域（Zone）：一组具有相同安全需求的资产集合。比如“控制区”、“现场设备区”、“办公区”。
- 管道（Conduit）：连接不同区域的通信路径。管道本身也要有安全控制，比如防火墙、VPN、访问控制列表。
为什么要这么分？因为你不希望办公网的打印机被攻破后，直接影响到车间的机器人。区域划分就是建立“防御纵深”。
下面这张图，是我自己总结的“安全区域与管道”逻辑框架。你一看就明白。
你看，办公区、控制区、现场设备区，各自有各自的安全等级。它们之间通过管道连接，管道上部署防火墙或访问控制列表。这样即使办公区被攻破，攻击者要进入控制区还得过防火墙这一关。
嗯，到这里，六个核心概念就讲完了。资产、威胁、漏洞、风险、安全等级、区域与管道——它们是 IEC 62443 的骨架。后面所有章节，都会围绕这些概念展开。你先把它们刻在脑子里，后面学起来就顺了。