OT 与 IT 的本质差别
OT（Operational Technology，运营技术）指用于监测与控制物理过程的硬件与软件：PLC、DCS、RTU、HMI、SCADA、仪表与驱动器。IT 处理的是数据与业务。两者最根本的差别是失效后果不同：IT 停机是业务中断与经济损失，OT 停机可能伴随设备损坏、物料报废、环境污染乃至人身伤害。因此风险处置顺序也不同：OT 把可用性与功能安全放在机密性之前，机密性服务（强制加密、深度包检测）必须通过时延与可靠性验证才允许串在生产链路上。
基本信息
| 适用领域 | 电力、石化、冶金、制药、汽车与离散制造、轨道交通、市政水务燃气 |
|---|---|
| 主要标准 | IEC 62443 系列、NIST SP 800-82、GB/T 22239-2019 工业控制系统安全扩展要求 |
| 典型协议 | Modbus、DNP3、IEC 61850、IEC 60870-5-104、PROFINET、EtherNet/IP、OPC UA |
| 设备生命周期 | 控制器与仪表常见 15~25 年，远长于 IT 设备 |
| 变更窗口 | 大修或计划停机，部分装置数年一次 |
六维差异对照
| 维度 | IT 网络 | OT 网络 |
|---|---|---|
| 首要目标 | 机密性、完整性、合规 | 可用性与人身安全优先，其次是完整性 |
| 通信协议 | 通用协议栈：HTTP、DNS、SMB、SSH | 工业实时协议，多为周期轮询或组播，对抖动敏感 |
| 设备周期 | 3~5 年换代，接口标准化程度高 | 15~25 年，型号停产仍继续运行，固件难以升级 |
| 补丁策略 | 月度例行，可随时重启 | 停机窗口内集中实施，不能停机则用补偿措施 |
| 网络形态 | 边界相对清晰，云端与远程办公接入多 | 分层分区、逻辑隔离，跨区只保留必要通道 |
| 响应方式 | 隔离取证、保留证据优先 | 先恢复生产，取证与恢复并行，必要时物理熔断 |
融合场景的协作点
- 资产与拓扑对齐：IT 侧 CMDB 与 OT 侧控制器台账必须能互相映射，否则事件定位会卡在网络边界
- 数据交换：历史数据经工业 DMZ 单向或代理上送管理层，禁止控制器直接对企业网或公网开放
- 远程运维：厂商与内部工程师的远程支持统一走跳板机与审计通道，先授权后开通、用完即关
- 变更协同：OT 侧变更申请必须包含网络策略变更，避免网段调整后策略失效导致生产中断
- 事件响应：OT 事故指挥权通常在控制工程师而非 IT 安全团队，预案要写清双方交接点
- 合规对齐：等保 2.0 工控扩展要求需同时满足物理环境与控制网络两侧条款
「可用性优先」不等于放弃安全，它的实际含义是：同一次风险处置中允许为维持生产而推迟深度取证或临时降低部分监控强度，但补偿措施、时间盒与事后复盘缺一不可。具体取舍依据企业已批准的风险准则与监管要求确定。
把 IT 的漏洞扫描器、自动补丁与终端防护直接推进生产网段，是工控环境的高频事故源：老旧控制器的协议栈对异常报文与并发连接非常敏感，一次扫描就可能触发控制器重启或通信中断。