工控密评：现场设备层改造难点-等保测评网

一般信息系统做密评，讨论的是"该加的密码有没有加"；工业控制系统做密评，先要回答的是"加了之后生产还转不转"。这个差别决定了工控密评的重心不在机房和服务器，而在车间里的那层设备。

一、现场设备层为什么最难

现场设备层指 PLC、RTU、DCS 控制器、智能仪表、变频器、执行器这一层，直接连着传感器和执行机构，难在四个硬约束：

四条摆在一起，难点就清楚了：密码的强约束与工业的强实时、强可用之间存在结构性冲突。

这一步最容易被跳过，却决定改造量。密评的测评对象是"密码应用"，不是"每一台设备"，先要把现场流动的数据分两类：

《商用密码应用安全性评估管理办法》第六条把范围定在"重要网络与信息系统"，GB/T 39786-2021《信息系统密码应用基本要求》则按物理和环境、网络和通信、设备和计算、应用和数据四个层面给指标。范围界定与数据分级因此是第一步，决定后面是改三个点还是改三十个点。

范围划清之后，能落地的做法有四条，共同点是把密码能力往"有算力的一侧"集中，而不是往现场设备上摊。

边界集中加密。在办公网与 OT 网络之间、OT 各安全区之间、以及远程运维入口，部署国密 IPSec 或 SSL VPN 网关，把跨区流量收敛到少数几个密码节点，一次覆盖通信数据完整性、重要数据机密性与安全接入认证三项指标。现行的《工业控制系统信息安全防护指南》同样要求远程维护走 VPN，取向一致。
上位机与服务器侧做扎实。SCADA 服务器、MES、历史数据库这些有算力的节点才是主战场：登录用数字证书配合智能密码钥匙，关键操作走协同签名，数据库落盘加密，日志用签名保证完整性。这
现场层用补偿性措施。改不了密码的设备，用工业防火墙做协议深度包检测、按白名单只放行必要功能码、关键区段做单向隔离、主机侧封堵非必要 USB 与无线接口。这不算密码技术，但属有效风险补偿，前提是方案里如实记录逻辑。
明文协议外层封装。对必须跨区传输的重要数据，在协议外再做一层国密隧道。代价是兼容性和时延，务必先试点验证对控制周期的影响。

工控密改最常见的失败，是先动现场设备，改到一半产线不稳，项目停摆。合理顺序是从外到内、从软到硬：

定级与范围确认：明确哪些系统属于重要网络与信息系统，关基单位还要对照 GM/T 0133-2024（2025 年 7 月 1 日实施）的关基密码应用要求。
资产与数据流梳理：把"数据在哪、经哪几段链路、谁在使用"画成一张图，标出重要数据位置，作为后续工作的底稿。
高风险项清零：明文传输重要数据、密钥硬编码在组态文件或脚本里、设备保留默认口令、远程运维通道无加密——这四类优先级最高，多数不涉及停产。
管理要求先补：管理制度、人员管理、建设运行、应急处置四个方面合计占三成权重，成本低、周期短，适合并行推进。
技术层从外到内：园区与 OT 边界、OT 内部安全区之间、上位机与服务器，最后才是现场设备层。每往内一层，停产风险上升一档。
借检修窗口分段割接：先旁路观察、再串接上线，保留一键回退。不要在连续生产期间做不可逆变更。
复测与备案：报告形成后 30 日内完成备案，《商用密码管理条例》还要求运行后每年至少评估一次，未通过的需要改造，改造期间须保证运行安全。

"买了密码机就合规"。密码机只提供密码运算能力；应用侧仍用口令登录、重要数据仍明文落库，对应指标照样不得分。
"现场设备全部更换"。先做范围界定与数据分级：能论证不适用的论证，能补偿的写清逻辑，剩下的才真需要换。
"等保测评过了密评就没问题"。两套指标体系不同，《商用密码管理条例》第四十二条要求的是加强衔接、避免重复评估，不是互相替代。等保关注边界、访问控制与审计，密评关注密码技术用没用、用得对不对。

差距分析与方案编制通常需要二到四周，改造实施视系统数量与停产窗口约三个月到九个月，正式评估与报告出具一般四到八周。投入方面，密码产品采购、应用改造、集成实施、评估服务加总，通常从数十万元量级起步，多厂区项目会显著上浮；具体金额与工期以属地要求和项目实际情况为准。

密评报告必须由具备资质的检测机构出具。辅导类工作通常包括差距分析、密码应用方案编制、改造过程陪跑，以及协助对接持牌检测机构。工控场景尤其要把方案做在前面——返工的代价不只是钱，还有产线时间。流程细节可参考密评办理流程，机构与资质信息见密评机构，定级与备案要求见等保定级。