为什么外设是重点
在已完成网络隔离的现场，外部代码进入控制网络的主要途径就是人与可移动设备：拷贝程序、导出报表、更新病毒库、供应商带来的工具，都需要物理介质或外接设备。管控如果只停留在口头制度，实际执行时总会有一次「就这一次」的例外，而恶意代码只需要一次。有效的管控是三层同时设：制度上确定谁可以用、用什么样的介质、如何登记；技术上限制端口与设备类型，只放行授权设备；流程上明确接入前后的检查动作与记录方式，让每次介质使用都能追溯到人。
基本信息
| 主要风险 | 恶意代码随介质进入隔离网络、文件被带走造成数据泄露、外设被用作其他用途 |
|---|---|
| 管控层次 | 制度（登记、专用介质、禁止私带）、技术（端口与设备控制）、流程（检查与留痕） |
| 技术手段 | 端口禁用或按需启用、设备类型控制、介质白名单、接入前扫描、写保护使用 |
| 必须覆盖的设备类型 | 大容量存储、网络类外设、键盘类设备、调试与串口适配器、光驱与移动终端 |
| 推荐配套 | 专用清洗或转存终端、单向导入导出流程、介质专用与实名编号 |
| 记录要求 | 登记使用人、时间、介质编号、用途与检查结果 |
落地要点
- 专用介质：为工程用途配置编号管理的中转介质，禁止使用私人 U 盘与手机存储
- 端口按需启用：默认关闭外部接口，需要时临时开启并记录，用完恢复
- 设备类型管控：不只限制存储设备，网络类与输入类外设一并纳入策略
- 接入前检查：介质在受控终端上检查后再接入生产主机，必要时使用写保护方式只读接入
- 专用转存终端：放在隔离网络边界处，作为唯一的数据进出点并纳入监控
- 使用登记：每次介质使用留记录，为事后追溯提供依据
- 替代手段：能用受控网络通道传输的数据就不要经介质，减少人为环节
场景与对应做法
| 场景 | 风险 | 做法 |
|---|---|---|
| 拷取程序与组态文件 | 带入恶意代码或带出工程数据 | 专用介质加登记，接入前检查，导出内容做审批 |
| 安装软件与更新病毒库 | 来源不可控的安装包进入生产 | 经转存终端与验证后导入，保留来源记录 |
| 给手机或其他设备充电 | 借充电口建立数据或调试连接 | 使用不含数据线的专用充电口或充电插座 |
| 外接调试适配器 | 调试接口被长期保留，形成未管理通道 | 用时登记、用后拆除并核对端口状态 |
| 打印工程资料 | 外设自带存储或网络功能 | 使用受控打印机，避免外设直连生产主机 |
只禁用大容量存储是不够的：网络类外设可以把隔离网络直接连到外部，输入类设备可以记录击键。外设管控要按设备类别建立策略，并对新出现的设备类型定期更新规则。