四个等级与三个口径
IEC 62443 用安全等级描述抵御威胁的能力强度，分为 SL1 到 SL4，等级越高意味着需要抵御的攻击者手段与资源越强。容易混淆的是三个口径：目标等级 SL-T 由风险评估确定，说明「需要达到什么」；能力等级 SL-C 由产品或系统的固有能力决定，说明「产品能给什么」；达成等级 SL-A 是在实际部署环境中验证后确认真正实现的等级。三者之间的差距就是整改清单。
等级与口径
| SL1 | 抵御偶然或无意造成的破坏 |
|---|---|
| SL2 | 抵御资源有限、手段简单的有意攻击 |
| SL3 | 抵御具有明确动机与一定技能资源的攻击 |
| SL4 | 抵御具备高级手段与持续资源的定向攻击 |
| SL-T | 目标等级：由风险评估确定，需要达到的水平 |
| SL-C | 能力等级：产品或系统固有设计所具备的水平 |
| SL-A | 达成等级：在实际环境中验证后确认实现的水平 |
选用时的判断依据
| 依据 | 说明 | 注意 |
|---|---|---|
| 后果严重程度 | 人身安全、环境影响与经济损失 | 不能只用业务中断时长衡量 |
| 暴露面 | 是否存在远程通道、互联网暴露与第三方接入 | 暴露面越大等级诉求越高 |
| 攻击者动机与能力 | 是否可能被定向攻击 | 关键基础设施需考虑更高级别 |
| 检测与响应能力 | 能否通过发现与处置缩短暴露窗口 | 补偿措施不能替代基本隔离 |
| 监管与合规要求 | 行业监管与等级保护要求 | 两者口径不同，需分别对照 |
三种常见误用
- 全厂统一等级：把整个工厂都定为高等级，成本不可承受，最终以风险接受收场
- 只看产品等级：采购了较高 SL-C 的设备却部署在全通网络中，实际达成等级仍然很低
- 把等级当一次性结论：区域与管道变更后未重新评估，旧结论继续被引用
等级与措施不是一一对应：同一目标等级可以用不同的技术与流程组合达成。标准给出的是要求目标，具体选型要结合现场条件与厂商能力，结论应通过验证获得而不是靠声明。
目标等级定得过高会让措施无法落地，定得过低则等于把关键资产的缺口合法化。定级必须有风险评估支撑并留下书面依据，便于审计复核与技改立项时引用。