为什么顺序不同
传统信息安全的优先级是机密性、完整性、可用性，工控环境的实际顺序通常是可用性、完整性、机密性。原因很直接：控制器停机的后果可能是设备损坏、物料报废与人身风险，而多数工艺数据的机密性损失在可承受范围内。可用性优先不等于放弃安全，它改变的是措施选择与实施节奏：优先采用不影响生产的隔离与监测手段，把需要停机或可能引入新故障点的措施放到维护窗口。
三个维度的实际含义
| 可用性 | 控制回路与生产连续性不因安全措施中断或降级 |
|---|---|
| 完整性 | 控制逻辑与工艺数据不被篡改、不被静默替换 |
| 机密性 | 工艺参数、配方与产量等数据的外泄控制 |
| 冲突时 | 优先保证可用性，但取舍理由需书面记录并经审批 |
| 判断依据 | 以企业批准的风险准则与人身安全要求为最终依据 |
措施与可用性影响
| 措施 | 对可用性的影响 | 适配方式 |
|---|---|---|
| 网络隔离与访问控制 | 低 | 优先实施，先收敛可达范围 |
| 镜像与被动监测 | 低 | 优先实施，先建立可见性 |
| 补丁与固件升级 | 高，需停机与验证 | 纳入检修计划，提前评估兼容性 |
| 主动漏洞扫描 | 中到高 | 仅在停机窗口并由厂商确认后实施 |
| 串联加密或深度检测 | 中，引入时延与故障点 | 先测时延、抖动与失效模式 |
| 终端白名单与防护 | 低到中 | 先在工程师站与服务器试点再推广 |
四条实践推理
- 先收敛可达范围再谈检测：隔离降低事件发生的概率，成本低且对生产影响小
- 检测能力要在不打扰生产的前提下建立：被动流量与设备自身日志是主要来源
- 需要停机的措施提前纳入检修计划，不能临时申请，否则会被无限期推迟
- 任何新措施都要回答「它自己故障时会怎样」，避免引入新的单点
可用性优先也意味着应急处置顺序不同：先恢复生产、再深度取证是常见且合理的做法。但恢复动作本身要有记录，避免覆盖或破坏可用于复盘的证据。
把可用性优先当作拒绝一切安全措施的理由，是另一种失效：长期的「生产优先」会让已知缺口永久保留，直到被真实攻击或监管检查暴露，届时处置成本更高。