培训要解决什么
工控现场的安全事件多数与人的行为有关：用 U 盘在办公网与生产网之间拷文件、把调试笔记本同时接入两个网段、为省事长期旁路联锁、把口令写在便签上贴在机柜。培训的目标不是让所有人成为安全专家，而是让现场清楚几件必须遵守的动作，以及发现异常时找谁、怎么报告。
必须讲清的四类内容
| 介质与设备 | U 盘与外接设备的使用原则，笔记本接入生产网的条件 |
|---|---|
| 账号与口令 | 实名使用、不共享、改动设备默认口令需经授权 |
| 操作边界 | 不擅自旁路联锁、不擅自开通远程通道、不擅自改动接线 |
| 报告路径 | 发现异常、可疑通信或陌生人进入现场时的联系人与流程 |
常见不安全行为与替代做法
| 行为 | 风险 | 替代做法 |
|---|---|---|
| 私人 U 盘拷程序 | 引入恶意代码并破坏控制逻辑 | 使用登记过的专用介质并先做检查 |
| 笔记本直连生产网 | 终端被感染后横向传播 | 使用受控终端并登记接入 |
| 便签记录口令 | 口令泄露无痕迹可查 | 使用集中管理方式，禁止明文留存 |
| 长期旁路联锁 | 安全功能失效且无人知晓 | 旁路必须审批并设置到期时间 |
| 擅自改接线 | 绕过网络侧控制并破坏台账 | 变更走申请与记录流程 |
培训落地做法
- 按岗位分层：操作员、控制工程师、承包商与管理人员内容深度不同
- 用现场案例代替通用课件：用本厂或行业事件讲清具体后果
- 把要求写进作业票与操作规程，让培训内容与日常表单一致
- 每半年或人员变动后重训，并保留签到与考核记录
- 与承包商入场教育结合，第三方人员同样必须覆盖
培训效果不取决于时长与考试分数，而取决于现场是否真的按规则做。可用的检查方式是抽查现场：机柜是否上锁、是否有便签口令、介质是否受控、员工是否知道异常上报路径。
只培训操作员而忽略管理层与承包商是常见缺口：管理层决定停机窗口与资源投入，承包商直接接触设备与调试口，两类人的行为影响同样大。