值守要做的五件事
OT 安全运营的日常可以归纳为五件事：一是巡检，确认监测点、采集通道、时间同步与存储这些基础设施本身工作正常；二是研判，对告警做分级与定性，判断是误报、异常还是攻击；三是处置与升级，按级别决定动作并通知对应责任人；四是同步变更，把维护窗口、改造计划与当天告警对照，避免把已批准的工程操作当成攻击；五是复盘，把一段时间内的告警、事件与处置结果整理成可读的结论，用于调整规则与基线。值守方式应当与资产重要度匹配：关键资产与边界告警可设 7×24，其余按班次处理，但升级路径必须随时可达。
基本信息
| 值守模式 | 按关键资产与边界告警设 7×24，其余按班次处理，明确各时段响应时限 |
|---|---|
| 日常例程 | 基础设施巡检、告警队列清理、研判与处置、变更对照、记录归档 |
| 协同机制 | 与工艺、设备管理、网络运维建立固定联系人与通知路径 |
| 交接班要求 | 未闭环告警、待确认事项与特殊工况必须书面交接 |
| 升级路径 | 按级别确定通知对象与时限，并明确谁有权决定停机与隔离 |
| 复盘节奏 | 按周或按月复盘，输出结论并跟踪规则与基线的调整 |
日常例程清单
- 巡检监测点与采集通道：确认没有静默丢包、采集中断与存储告急
- 核对时间同步：所有来源时间一致是后续关联分析的前提
- 清理告警队列：按级别处理，避免积压形成新的盲点
- 对照变更与维护窗口：把当天已批准的工程操作从告警中排除
- 跟催未闭环事项：每条已定性告警都要有结论与责任人
- 记录与交接：异常工况、未决问题与特殊操作在交接班时明确传递
- 周期复盘：统计告警分布与误报来源，提出规则与基线的调整建议
时段与动作
| 时段 | 动作 | 责任 |
|---|---|---|
| 接班 | 核对基础设施状态与未闭环告警 | 值守人员 |
| 班中 | 研判告警、处置与升级、对照变更 | 值守人员与对应专业 |
| 交班 | 书面交接未闭环事项与特殊工况 | 交班与接班人员 |
| 周期性 | 巡检基础设施、复核规则与基线 | 值守与安全工程人员 |
| 事件后 | 复盘与整改，输出规则调整建议 | 安全负责人与专业方 |
名义上的 7×24 值守如果没有明确响应时限与考核，实际效果与无人值守差别不大。更现实的做法是分级：对关键资产与区域边界的告警设短响应时限与到场要求，其他级别按班次处理，但升级联系人必须随时可达。