七个基本要求的分组
IEC 62443-3-3 把系统安全要求组织为七个基本要求（Foundational Requirements，FR），每个 FR 下再展开具体系统要求（SR）与要求增强（RE）。七个分组分别是身份鉴别与访问控制、使用控制、系统完整性、数据保密性、受限数据流、事件及时响应与资源可用性。这套分组的作用是让差距分析有稳定维度：按七个方向逐项检查现状与缺口，而不是零散堆砌措施。
七个基本要求
| FR1 身份鉴别与访问控制 | 账号、口令与多因素、会话管理、统一认证 |
|---|---|
| FR2 使用控制 | 授权范围、最小权限、权限的生命周期管理 |
| FR3 系统完整性 | 通信完整性、恶意代码防护、固件与配置完整性校验 |
| FR4 数据保密性 | 敏感数据识别与加密、信息泄露防护 |
| FR5 受限数据流 | 区域划分、管道控制、网络分段与边界防护 |
| FR6 事件及时响应 | 审计日志、事件检测、告警与处置 |
| FR7 资源可用性 | 拒绝服务防护、冗余设计与容量管理 |
落地重点与难点
| 基本要求 | 落地重点 | 工控特有难点 |
|---|---|---|
| FR1 | 账号唯一化、禁用默认账户、关键操作多因素 | 设备与协议常不支持集中认证 |
| FR2 | 角色划分与定期权限复核 | 共享账号与工程师账户复用普遍 |
| FR3 | 固件与组态校验、离线介质管控 | 老旧设备无签名与校验机制 |
| FR4 | 识别敏感数据并加密传输 | 协议本身无加密，需网关或隧道补偿 |
| FR5 | 区域与管道收敛、白名单控制 | 网络扁平化与临时通道破坏边界 |
| FR6 | 统一日志与时间同步、告警分级 | 设备日志能力弱、时钟不统一 |
| FR7 | 关键链路冗余、安全设备故障直通 | 串联的安全设备本身可能成为单点 |
按 FR 做差距分析
- 每个区域逐项问三个问题：现在的措施是什么、能否被证明、缺口在哪里
- 把缺口按后果排序，优先处理同时影响安全与可用性的项
- 为每条缺口写明补偿措施与整改计划时间点，避免只列问题不做处置
- 把结论落实到区域与管道文档，便于后续复核与审计引用
标准中系统要求以分组编号形式呈现，检查表直接引用编号能减少沟通歧义。同组要求在不同版本或行业附录中可能有补充表述，引用与落实时以现行版本为准。
只做技术措施不建流程，七个方向的措施会很快失效：账号变更、权限复核、日志审查与固件更新都需要稳定流程与明确责任人支撑，否则措施只在上线当天成立。