工业领域数据安全风险评估规范怎么用

很多工厂的安全负责人拿到评估规范，第一反应是「条文看懂了，但下周要交的自查表从哪下手」。规范的写法偏框架，落到车间、产线、供应商和外包运维时，常常卡在范围怎么划、资料谁来填、报告怎么留。这篇不讲概念，按一次完整评估的时间线拆成动作清单，你照着排就能开工。

很多工厂的安全负责人拿到评估规范，第一反应是「条文看懂了，但下周要交的自查表从哪下手」。规范的写法偏框架，落到车间、产线、供应商和外包运维时，常常卡在范围怎么划、资料谁来填、报告怎么留。

这篇不讲概念，按一次完整评估的时间线拆成动作清单。你可以把它当成项目排期表：先定边界，再定人和材料，然后去现场验，最后定级整改、出报告留证。照着排就能开工，中途不容易被各部门来回拉扯。

先划范围：哪些产线、系统和人算在这一次评估里

范围没定清，后面所有清单都会反复扩项。做法是把评估对象按「系统 + 数据 + 人」三列出来，先求全再求准。一份范围表通常要覆盖 MES、SCADA、PLM、工控网关、质检数据库、供应商协同平台，以及外包运维、驻场工程师、远程调试账号。

• 数据形态上要单独标出「出厂区」的那部分，比如客户图纸外发、配方上传第三方平台，这一类往往单独走审批
• 判断不适用的情况：只做办公网、完全不碰生产系统和工艺数据的纯贸易型公司，用通用数据安全评估口径更合适，硬套工业规范只会增加无效工作量
• 范围定完先给管理层签字确认，后面所有清单和证据都围绕这份范围展开，避免中途反复扩项

分工与要准备的材料：谁填表、谁签字、翻哪些记录

评估最耗时的不是判断，是等材料。开工前按角色分三份清单：IT/OT 运维填资产与账号，生产与工艺部门填数据流向，法务与采购填供应商与合同条款，安全团队负责汇总和交叉验证。每份清单都指定一个填写人和一个签字人，避免表交上来没人认账。

• 一次性把要翻的原始材料列出来：网络拓扑、资产台账、账号权限表、数据导出申请记录、对外接口清单、第三方接入协议
• 提前确认数据的责任人：同一份工艺参数可能在工艺部、设备部和 IT 各有一版，先对齐哪份是准的，否则评估结论会互相打架
• 拿不准规范条目怎么落到自己厂里，可以先到 工业领域数据安全风险评估规范要点（/industrial-data-security-assessment） 对一遍口径，再看 工业企业数据安全防护要求（/industrial-data-security-requirements） 补齐防护侧的动作

现场核对：把纸面清单拿到车间和设备旁验一遍

1. 走一遍真实链路按「数据从哪产生、经谁的手、落到哪台机器」走一遍，重点看工艺参数怎么从设备采集进 MES，又怎么被导出去做分析。走完和纸面流程比对，不一致的地方记下来。
2. 抽三类账号登一次外包运维账号、共享的工程师账号、长期不用的离职账号，现场登一次看权限是不是还开着。登不进去说明权限已收，能登进去就是一条待整改。
3. 核对高频出口U 盘、图纸打印、远程桌面、邮件外发、第三方平台上传，每一个都问清有没有审批和留痕，现场看一遍申请记录。
4. 偏差以现场为准回填发现清单和现场不符时，以现场为准回填表格，别按纸面交差，这类偏差在后续复查里最容易被打回。

风险定级与整改排期：哪些必须马上改，哪些可以排到下一轮

定级别只按数据敏感度单维排序，否则会把一个轻易可利用的中等数据问题排到低优先级。按「影响范围 × 可被利用的难易度」两维度粗分三档，先做高影响且容易被利用的。

• 必须当期整改的典型情形：权限长期超标、对外接口无鉴权、日志留存不足以还原操作、外包账号与内部账号混用
• 可以进下一轮计划的：制度类文档缺失、培训覆盖不足、备份演练频次不够，这些排期但要写清责任人和完成时间
• 整改项尽量落到具体系统和账号上，不要写成「加强管理」这种无法验收的表述，否则复查时没法证明做过

排期表上每一条整改都要有责任人、完成时间和验收方式。验收方式写「登账号看不到超标权限」这种能复现的，比写「已整改」有用得多。

报告与留证：怎么写、存多久、下次评估怎么接上

报告正文按范围、方法、发现、定级、整改计划、附件六块组织。附件放账号截图、接口清单、审批记录，正文只留结论和依据。这样复查时对方翻附件就能核对，不用你在正文里反复解释。

• 证据要能还原到具体时间点和操作人：导出记录带时间戳，会议纪要有参会人，整改前后各留一份对照截图
• 留存别只放一个人电脑里，按公司文档管理制度归档，并登记哪些材料可对外提供、哪些只内部用
• 给下一次评估留接口：把本次的范围表、清单模板和整改台账存好，下一轮直接更新，不用从零再问一遍各部门

留多久、哪类证据必须留原件，各行业监管口径不完全一样，评估前到 指南中心（/guides） 查当时的留存要求，别凭印象定。