合规要求的三个来源
工控场景涉及的合规要求大致分三类：网络安全通用法规与等级保护制度、行业监管的专项要求（电力、石化、轨道交通、市政等），以及国际标准与指南（如 IEC 62443 与 NIST SP 800-82）。三者口径不同：等级保护是国内强制基线，按对象与等级提出要求；行业要求更具体，常规定技术措施与测评周期；标准偏方法与体系，用于设计与对标。企业通常需要一张对照表，把同一件事在不同要求下的表述合并成一项措施。
主要来源
| 法律法规与等级保护 | 国内基线，按系统对象定级并提出技术与管理要求 |
|---|---|
| 行业监管要求 | 电力、石化、轨道、市政等行业有专项规定与测评周期 |
| 标准与指南 | IEC 62443 用于区域管道与安全等级，NIST SP 800-82 提供实施指南 |
| 企业内控与集团规范 | 往往严于法规要求，作为内部统一标准执行 |
| 合同与客户要求 | 供应链上下游常提出额外的安全要求与审计条款 |
同一措施的不同表述
| 措施 | 等级保护对应方面 | 标准中的对应 |
|---|---|---|
| 网络分区与边界隔离 | 安全区域边界 | 受限数据流、区域与管道 |
| 账号与权限管理 | 安全计算环境 | 身份鉴别与访问控制、使用控制 |
| 日志与审计 | 安全区域边界与计算环境 | 事件及时响应 |
| 变更与运维管理 | 安全运维管理 | 安全管理体系与补丁管理 |
| 应急与演练 | 管理制度与应急预案 | 事件响应与恢复要求 |
做对照表的做法
- 按业务动作归类措施，而不是按文件章节归类，避免同一动作反复出现
- 把同一件事的多套表述合并为一项措施，减少重复整改与重复取证
- 标注每项的强制来源与检查方式：文件检查、配置核查还是现场验证
- 把超出强制要求的项目单列，便于向管理层说明安全投入的理由
- 对照表每年复核，法规与行业要求更新后同步修订
合规达标不等于安全充分：合规是基线，无法覆盖企业特有的资产重要性与攻击面。可行的做法是以合规为底线，再按风险评估补足技术深度，两者共用同一份资产与通路清单。
只按测评条款准备材料是常见的失效模式：材料齐全但控制措施并未真正运行，一旦发生事件或接受现场核查就会暴露，还可能涉及合规责任。