工控账号为什么更乱
办公环境里账号可以统一由目录服务管理，员工离职当天就能回收全部权限。工业现场做不到这一点：控制器、触摸屏、变频器、交换机、网关各自维护一套本地账号，很多设备根本不支持外部认证，口令策略也各不相同；厂商为了服务方便会保留维护账号；交接班与抢修的现实压力催生了共享账号；投运多年的设备上还留着已经离职人员的账号。结果是「谁能进到哪台设备」这件事在多数现场没有清单。账号管理的目标就是先把这件事变成可查的清单，再逐项收敛。
基本信息
| 账号类型 | 设备本地账号、厂商或供应商维护账号、组态软件内账号、操作系统账号、远程接入账号 |
|---|---|
| 重点清理对象 | 出厂默认账号、离职人员账号、无人认领的共享账号、已结束项目的供应商账号 |
| 权限模型 | 按角色划分：监视、操作、组态与下载、管理与维护，避免普遍拥有下载权限 |
| 口令保管 | 采用受控保险箱或封存方式集中保管，避免写在设备旁、贴在柜门或放在共享文档 |
| 复核节奏 | 至少按季度核对账号清单，人员变动与项目结束时即时处理 |
| 技术替代 | 设备不支持集中认证时，用访问来源限制、集中入口与操作留痕补足 |
落地要点
- 先做清点：把每台可登录设备的账号逐个读出来登记，形成账号台账并标注用途与责任人
- 账号唯一化：能改的都改成一人一号，无法做到的记录原因并纳入例外清单
- 默认账号处理：出厂默认账号一律修改或停用，不能改的用网络层限制来源
- 权限收敛：能下载程序与修改参数的权限只授予必要人员，并保留授权记录
- 离场即回收：人员离职、调岗、供应商离场时按清单逐项回收，并复核设备侧实际状态
- 口令管理：口令集中保管、定期更换，更换后同步更新记录，避免运维找不到口令
- 定期复核：按周期核对账号清单与实际设备状态，发现新增或不明账号立即处理
账号类型与治理做法
| 账号类型 | 主要风险 | 治理做法 |
|---|---|---|
| 出厂默认账号 | 公开可查，无需漏洞即可登录 | 修改或停用，无法修改时限制访问来源 |
| 共享账号 | 无法追责，人员变动后权限收不回 | 拆分账号，或改为集中入口加实名登录 |
| 供应商维护账号 | 场景结束后仍在设备上有效 | 项目结束即停用，需要时按次开通 |
| 离职人员账号 | 无人认领但可随时访问 | 人员变动流程中强制包含账号回收核对 |
| 拥有下载权限的账号 | 可直接改写控制逻辑 | 最小化授权，关键操作需记录或双人确认 |
工控设备普遍不支持集中认证，因此「账号合规」在这个领域靠的是台账加核对，而不是策略自动下发。台账要有责任人和最近核对日期，否则它会在半年内变成一份没人维护的旧文件。