排序不能只看风险分值
安全投入的排序除了风险高低，还要看三件事：措施能否在不影响生产的前提下实施、实施后能否被验证、以及不做的后果是否触及人身安全与监管红线。工控环境的现实约束是停机窗口稀缺，因此低影响高收益的措施（分区收敛、账号清理、被动监测、备份与演练）应排在前面；需要停机或引入新故障点的措施（补丁、串联检测、大规模改造）应纳入检修计划。
排序依据
| 后果严重程度 | 是否涉及人身安全、环境影响与关键生产 |
|---|---|
| 暴露面 | 是否存在远程通道、互联网暴露与第三方接入 |
| 实施影响 | 是否需要停机、是否引入新的故障点 |
| 可验证性 | 实施后能否证明已经生效 |
| 合规强制 | 是否为法规或行业监管明确要求 |
| 维护成本 | 长期的人力、许可与备件投入 |
优先级参考
| 优先级 | 措施类型 | 理由 |
|---|---|---|
| 高 | 分区与通路收敛、账号与权限清理、备份与恢复演练 | 影响低、收益直接、结果可验证 |
| 高 | 被动监测与日志汇聚 | 建立可见性，是其他措施的前提 |
| 中高 | 第三方与远程接入管控 | 关闭最危险的外部入口 |
| 中 | 补丁与固件更新 | 需停机与兼容验证，纳入检修计划 |
| 中 | 终端防护与白名单试点 | 先在工程师站与服务器落地再推广 |
| 长期 | 老旧设备替换 | 成本高、周期长，按技改节奏推进 |
制定计划的五个做法
- 先做基础项：台账、通路清单与备份是其他一切措施的前提
- 把措施分为不需要停机与需要停机两类，分别排入不同计划
- 需要停机的措施提前纳入检修申请，避免逐个临时申请失败
- 为每项措施定义验收标准，没有验收标准的措施等同于未实施
- 每年复盘一次：已完成、未完成与失效项分别说明原因
投入产出比常见的误区是把许可与设备采购当作主要成本，而忽略人力与运维成本：多数措施的长期成本在持续维护、定期复核与故障处置，预算应包含这部分。
只采购不建流程是常见浪费：设备上线后无人维护规则与账号，两年后策略与实际脱节，只能重新投入做一次改造。