为什么必须全周期考虑
工控系统的安全要求贯穿设计、采购、集成、投运、运维到退役的全过程，不能只在投运后补做加固。设计阶段的决定，例如分区方式、协议选择、远程访问通道与账号体系，最难在运维阶段改回来：投运后任何结构性调整都要停机，而停机窗口常常一年只有一次。IEC 62443 因此把安全要求分配到资产所有者、系统集成商与产品供应商三类角色，各自在生命周期中承担不同责任。
各阶段核心动作
| 设计期 | 风险评估、区域与管道划分、确定各区域目标安全等级 |
|---|---|
| 采购期 | 合同写明安全功能、漏洞通报义务与支持周期 |
| 集成与出厂测试期 | 接口与权限验证、组态基线固化、默认账户处理 |
| 投运与验收期 | 策略上线、账号清理、备份与恢复演练 |
| 运维期 | 变更管理、补丁与补偿措施、监控巡检与台账更新 |
| 改造与退役期 | 数据与凭据清除、逻辑归档、设备处置与记录留档 |
角色与责任
| 角色 | 关注重点 | 常见缺口 |
|---|---|---|
| 资产所有者 | 整体风险与运行安全，最终责任 | 把责任全部外推给集成商 |
| 系统集成商 | 分区设计、策略落地与验收交付 | 设计文档与实际配置不一致 |
| 产品供应商 | 固件安全、漏洞通报与支持周期 | 停产设备既无补丁也无替代方案 |
| 服务提供商 | 远程与现场服务的安全行为 | 远程通道长期保留、无审计 |
投运前必须确认
- 所有默认账户与厂家调试账户已清理或改密，口令由企业自己掌握
- 组态与逻辑有可恢复的离线备份，且至少做过一次恢复演练
- 远程访问通道有明确的开通与关闭流程，投运后默认关闭
- 各区域的策略已按清单逐条验证，而不是只在防火墙上写得好看
- 资产台账、网络通路清单与验收文档三方一致
设备停产是工控生命周期中最难处理的现实问题：厂商不再提供固件更新时，只能靠隔离与补偿措施降低风险，并把它列入技改计划。这类风险应显式记录与接受，而不是假装它不存在。
退役阶段最容易被忽略：控制器、工程师站与备份介质中保存着控制逻辑乃至残余凭据，随意报废或转卖相当于把工厂的控制细节交出去。退役应有清除与归档记录。