评估的产出是什么
工控风险评估的产出不是一份问题清单，而是「哪个区域需要多强的防护」以及「缺口怎么处置」。IEC 62443-3-2 的思路是先做资产与系统梳理，划分区域与管道，再评估各区域的威胁与脆弱性，结合后果严重程度确定目标安全等级，最后把现有措施与目标比较得出差距。与 IT 评估的关键差别是后果要包含人身安全、环境影响与生产连续性，而不只是数据泄露。
实施步骤
| 第一步 | 系统与资产梳理：范围、资产、接口与数据流 |
|---|---|
| 第二步 | 区域与管道划分，检验同质性 |
| 第三步 | 威胁源与脆弱性识别，含物理接触与链路可达性 |
| 第四步 | 后果严重程度与发生可能性评估 |
| 第五步 | 确定每个区域的目标安全等级 |
| 第六步 | 现状措施与目标对比，形成差距清单 |
| 第七步 | 制定处置计划并说明残余风险与接受人 |
评估口径的差别
| 维度 | IT 常用口径 | 工控需补充 |
|---|---|---|
| 后果 | 数据泄露与业务中断 | 人身安全、环境影响、设备损坏与停产损失 |
| 可能性 | 暴露面与漏洞数量 | 物理接触可能性、链路可达性与操作权限 |
| 资产价值 | 数据敏感度与业务重要性 | 对生产的关键度与可替代性 |
| 处置排序 | 按风险分值排序 | 同时考虑停机代价与安全底线要求 |
实务要点
- 用被动手段获取数据：资产与流量信息尽量不依赖主动扫描
- 让工艺与安全人员共同评估后果：安全团队通常不掌握停产损失的真实量级
- 把安全仪表系统单列：它同时涉及人身安全与信息安全，需双重口径评估
- 结论要落到管道上：只写某设备有风险没有意义，要写明从哪里能到达它
- 明确残余风险的接受人：评估的最后一步必须有具名签字
半定量的可能性乘后果分档方法在工控场景更容易落地，因为它能容纳后果难以量化的现实。关键是分档标准在评估开始前定义并获各方认可，而不是事后凑结论。
一次评估长期沿用是最常见的失效方式：工艺改造、网络调整与新增远程通道都会改变结论。评估结论应附带有效期与触发更新的条件，例如新增跨区通道或控制器升级改造。