供应链安全的实质
工控供应链安全覆盖设备与软件采购、集成交付、备件与固件更新，以及服务与外包整条链条。风险不在「厂商是否可信」这一层，而在可验证的具体事实：固件与组态能否校验来源、漏洞通报渠道是否通畅、停产设备有无替代路径、服务人员的权限与作业方式是否受约束。供应链安全的实质是把这些要求写进合同，并在交付时逐项验证。
六个关注点
| 产品安全能力 | 是否支持账号分级、操作日志、固件签名与安全启动 |
|---|---|
| 漏洞通报与响应 | 是否有通报渠道、响应时限与影响范围说明 |
| 支持周期 | 设备的支持年限与停产计划是否明确 |
| 交付完整性 | 固件与软件包的来源、版本与校验方式 |
| 服务与外包 | 服务人员的权限范围、作业审批与审计要求 |
| 备件与替换 | 停产设备的备件来源与替代方案评估 |
分阶段措施
| 阶段 | 措施 | 常见缺失 |
|---|---|---|
| 采购需求 | 把安全功能、漏洞通报与支持年限写入合同 | 只写功能性指标 |
| 到货验收 | 核对型号、固件版本与来源 | 只验收功能是否可用 |
| 集成交付 | 核对组态基线与默认账户清理结果并留档 | 交付文档不全 |
| 运行期 | 跟踪厂商通告并评估受影响设备 | 无固件清单，无法评估影响 |
| 服务期 | 约定远程接入与现场作业方式并留痕 | 口头约定无合同约束 |
| 退役期 | 明确数据与凭据清除的责任方 | 直接报废或转卖 |
四条可落地要求
- 关键设备合同中写明漏洞通报渠道、响应时限与支持年限
- 交付时提供固件与软件包的来源与校验方式，便于日后核对
- 第三方服务人员的接入统一走受控通道并保留完整记录
- 建立停产与待替换设备清单，提前评估替代方案而不是坏了再找
供应链风险无法靠「不用某家厂商」彻底消除：任何产品都可能存在漏洞。可行的思路是让风险可管理：信息可得（能收到通告）、影响可评估（有资产与固件清单）、处置有路径（有补丁或补偿措施）。
二手或翻新设备在工控领域并不罕见：来源不明的控制器固件可能已被改动，且无官方支持。使用前应做固件校验与功能确认，并明确记录其无厂商支持的残余风险。