当IT碰上OT，安全策略还能“各管各的”吗？

一、不是加个防火墙，就能管住工控系统

现在很多企业上了云、搞了自动化，IT系统日新月异，但产线上的PLC、DCS、SCADA这些OT设备，还在用十年前的补丁策略，甚至有些连Windows XP都没换掉。这时候你拿ISO 27001去套——发现标准里写的“访问控制”“变更管理”“风险评估”，落到车间现场全卡壳：谁给PLC做权限分级？谁审批一次PLC程序升级？OT工程师和IT安全员开会，说的不是一个词典。

九蚂蚁在陪几十家企业过ISO 27001的过程中发现：真正卡脖子的，从来不是文档写不写得漂亮，而是安全策略能不能跨过那堵看不见的“协议墙”——IT讲TCP/IP，OT认Modbus；IT要日志集中分析，OT设备连SNMP都不支持。

二、统一策略≠一刀切，而是“分层对齐”

我们不建议企业把OT资产硬塞进IT的安全流程里。更务实的做法是：用ISO 27001的框架做“策略锚点”，再为OT环境定制适配层。比如——

• 风险评估时，把“控制器固件漏洞”和“OA系统弱口令”放在同一张风险矩阵里打分；
• 访问控制不强推AD域控，但要求所有HMI操作留痕、关键指令双人复核；
• 应急响应流程里，明确IT SOC和产线值班工程师的协同触发点（比如当检测到异常OPC UA连接激增，自动推送告警到车间大屏+IT工单系统）。

这背后不是妥协，而是让标准真正长进业务肌理里。

三、认证不是终点，而是融合治理的起点

有客户拿到证书后松了口气，结果半年后被勒索软件锁了MES系统——因为只管了IT侧备份，忘了OT侧历史数据库压根没进备份清单。ISO 27001的价值，恰恰在“持续改进”这个动作里：每季度回顾一次OT资产台账更新率、每年验证一次跨系统应急演练的真实性。

在九蚂蚁，我们帮客户做的不只是材料整理和迎审辅导，而是从第一次差距分析开始，就带着IT和OT团队坐在一起画“数据流地图”、标“信任边界”、定“共管责任”。安全策略只有能被产线班组长看懂、被自动化工程师执行，才算真正落地。

别让标准躺在文件柜里，让它站在控制室门口，和你一起盯住每一次参数修改。