工业边缘项目一旦涉及等级保护，最容易被低估的不是"买防火墙"或"开日志"，而是把一个分布在电站、柜体、专网和云平台之间的系统，整理成边界清晰、责任清楚、证据完整的测评对象。
这篇文章面向合规负责人、集成商、IT / OT 负责人，梳理等保 2.0 在工业网关层的设计要点、高频整改项、实施周期和长期维护机制。
一、先纠正三个常见误区
误区 1：工业网关"过等保"
等保的测评对象是网络和信息系统，不是某台孤立设备。工业网关、防火墙、加密网关、平台和运维流程共同构成系统安全能力。
更准确的说法是：网关作为系统中的计算节点、通信节点和边界组件，为系统通过等级测评提供支撑。
误区 2：三级系统一定强制国密
等保 2.0 与商用密码应用安全性评估（密评）相关，但不是同一个工作。是否必须使用国密算法、是否需要开展密评，取决于系统等级、行业监管要求、关键信息基础设施属性以及密码应用方案。
不能简单写成"三级等保必然强制国密"。更稳妥的表述是：涉及关键信息基础设施、电力调度、金融或特定监管场景时，需同步评估国密和密评要求。
误区 3：拿到一张三年有效的证书
等级保护不是"拿证后三年不管"。测评报告和备案材料是合规证据，后续还需接受监督检查、复测和变更评估。
三级及以上系统常被行业客户或监管要求定期开展测评；具体周期以属地公安、行业主管部门和项目合同为准。长期合规能力比一次测评报告更重要。
二、等保 2.0 的基本框架
等保 2.0 常用核心标准包括：
- GB/T 22239-2019：《信息安全技术 网络安全等级保护基本要求》；
- GB/T 22240-2020：《信息安全技术 网络安全等级保护定级指南》；
- GB/T 28448-2019：《信息安全技术 网络安全等级保护测评要求》。
等级从一级到五级逐级增强。工业边缘和工控场景常见的是二级和三级；电力涉网项目、重要生产系统或被认定为关键信息基础设施的系统，通常会面临更严格要求。
注意：一级到五级并不是简单的"产品配置档位"，而是系统受损后对公民、法人、公共利益、社会秩序和国家安全造成危害程度的分级。
三、标准流程与项目实际流程
1. 标准视角
等级保护工作可以概括为：
- 确定对象与边界：识别系统资产、网络边界、数据流、部署位置和运维角色；
- 定级：评估系统重要性，形成定级报告，按要求完成专家评审、主管部门确认和备案；
- 差距分析：对照选定等级的基本要求，输出技术和管理整改清单；
- 建设整改：补齐身份认证、边界防护、审计、加密、备份、管理制度和运维流程；
- 等级测评：委托测评机构开展测试、访谈、查验和实地核查；
- 问题闭环：处理高风险项和中低风险项，形成整改证据；
- 持续运营：变更评估、漏洞响应、日志审计、应急演练和定期复测。
2. 项目视角
实际项目中，定级、差距分析和整改经常交叉推进。例如先做预评估，发现系统边界不清楚，再回到资产梳理和定级；整改中发现远程运维通道无法审计，又引出管理流程和平台能力建设。
因此，不要把等保当成纯文档工作，也不要当成安全产品采购清单。它更接近一次系统安全治理和运行机制重构。
四、工业网关层的关键测评点
以下按等保 2.0 的常见技术框架拆解。工业控制系统还会结合工控安全扩展要求，具体以测评机构适用准则和项目监管要求为准。
1. 安全物理环境
工业网关常部署在现场柜、户外柜、配电房或逆变器旁，而不是标准机房，因此要关注：
- 柜体防拆、上锁和物理访问记录；
- 防水、防潮、防雷、过温和断电保护；
- 现场环境监控与告警上报；
- 设备标识、资产编号和责任人信息；
- 维护窗口、钥匙 / 电子开门权限的管理。
这一层通常不是网关软件单独解决，而是柜体、工程安装和运维制度配合。
2. 安全通信网络
网关承担业务数据、管理数据和维护数据的转发，需要明确网络分区：
- 采集网、业务网、管理网、调试网是否隔离；
- OT 侧与 IT 侧之间是否有防火墙、网闸或纵向加密装置；
- 远程接入是否通过专线、VPN 或指定安全通道；
- 通信链路是否有冗余和断链恢复机制；
- 数据传输是否满足完整性和保密性要求；
- 是否使用 TLS 1.2 及以上版本、IPsec 或行业认可的加密方案；
- 涉及国密时，算法、证书、密钥管理和协议选择是否与密评方案一致。
工业现场要避免"只给平台加 TLS，网关到设备仍长期裸奔"的片面整改。协议不支持加密时，可以通过专网隔离、边界防护、链路管控和审计弥补，并说明残余风险。
3. 安全区域边界
边界防护不只看是否部署防火墙，还要看策略是否有效：
- 边界拓扑图、资产清单和访问关系是否清楚；
- 非授权设备能否接入现场网络；
- 无线、4G / 5G、调试口和 USB 口是否受控；
- 访问控制策略是否按最小化原则配置；
- 是否具备入侵防范、异常流量或异常行为告警能力；
- 边界设备自身是否加固、升级和留痕。
在电站场景中，网关经常是远程维护的入口。这个入口必须具备身份认证、权限控制、会话审计和临时开通机制，不能长期开放root 登录。
4. 安全计算环境
这是工业网关最核心的整改区域，常见要求包括：
| 方向 | 落地要点 |
|---|---|
| 身份鉴别 | 唯一账号、口令策略、登录失败处理、远程管理强化认证 |
| 访问控制 | 按角色分配权限，清理默认账号、共享账号和多余权限 |
| 安全审计 | 登录、配置变更、控制指令、升级、数据导出全程留痕 |
| 入侵防范 | 最小化端口和服务，漏洞扫描，补丁和基线管理 |
| 恶意代码 | 按嵌入式环境选择轻量防护、白名单或镜像校验 |
| 数据完整性 | 配置签名、固件验签、点表变更校验 |
| 数据保密性 | 敏感配置加密存储，传输按等级要求加密 |
| 数据备份 | 本地备份、远程备份和恢复验证 |
审计日志应至少满足相关法规和测评要求的留存周期。中国《网络安全法》要求网络日志留存不少于六个月，项目还应按行业和客户要求核对是否有更长周期。
5. 安全管理中心
单台网关的日志如果不集中，很难证明"谁在什么时间做了什么"。管理中心需要覆盖：
- 统一资产管理：设备、版本、责任人、站点、网络位置；
- 集中身份和权限管理：管理员、审计员、运维员职责分离；
- 集中日志：设备日志、操作日志、告警和安全事件关联；
- 集中监控：在线率、异常登录、升级失败、边界告警；
- 安全策略下发：口令策略、访问控制、加密和审计配置；
- 时间同步：保证日志时标可信，便于事件追踪。
6. 安全管理体系
技术措施没有制度配合，测评时很容易暴露问题：
- 网络安全责任制和授权审批；
- 资产、账号、权限和数据分类管理；
- 变更管理、发布管理和配置基线；
- 漏洞预警、补丁评估和升级窗口；
- 应急预案、事件上报和恢复演练；
- 供应商和外包运维人员管理；
- 安全培训和操作记录留存。
管理制度不等于堆文档。测评关注的是制度是否可执行，以及现场是否有对应记录。
五、二级与三级的差异
等级越高，要求越严格。二级和三级的差异不能简单理解为"多买几个产品"，而是身份鉴别、审计完整性、边界防护、数据保护和集中管理的可信度要求提升。
| 维度 | 二级常见做法 | 三级常见强化方向 |
|---|---|---|
| 系统边界 | 清晰划分业务和管理网络 | 更严格的分区、边界策略和访问控制 |
| 身份鉴别 | 唯一账号、口令策略、失败处理 | 远程管理和特权账号强化认证，关键操作审批 |
| 安全审计 | 基础登录和操作日志 | 集中审计、日志保护、审计员与管理员分离 |
| 通信保护 | 按数据敏感性选择保护措施 | 关键链路加密、完整性保护，必要时结合国密方案 |
| 入侵防范 | 基础加固和异常告警 | 更完整的入侵检测 / 防范和事件闭环 |
| 数据备份 | 本地备份和恢复验证 | 更高可用性要求，按业务影响设计远程备份或容灾 |
| 运维管理 | 制度和记录可用 | 变更、审批、应急和监督机制更完整 |
是否为三级，不能只看"接没接调度专网"，应结合系统重要性、服务对象、业务中断影响和数据敏感性综合定级，并履行定级评审与备案流程。
六、高频整改项与处理方式
1. 系统边界和资产不清楚
表现：拓扑图与现场不一致；网关、平台、专网、云服务的责任边界模糊。
整改：建立资产台账、网络拓扑、数据流图和责任矩阵。先明确测评范围，再谈技术整改。
2. 远程运维入口不可审计
表现：供应商通过公网 SSH 直接登录；共享账号；无会话录像；离场后账号仍有效。
整改：接入统一身份认证和堡垒能力；按项目临时授权；保留登录、命令、文件传输和升级日志；项目结束后立即回收权限。
3. 身份鉴别弱
表现：默认账号未禁用；弱口令；所有运维人员共用 admin；远程管理无强化认证。
整改：唯一账号、最小权限、口令策略、登录失败锁定。远程管理和特权账号按等级与测评要求引入第二种鉴别因素或等效控制。
4. 审计日志不完整
表现：只有系统日志，没有配置变更和控制指令日志；日志存本地且易被删除；时间不同步。
整改：网关侧默认记录登录、登出、配置读取和修改、协议启停、控制下发、固件升级、证书变更和数据导出；日志集中上传并防篡改。
5. 通信保护不足
表现：公网或无线链路明文传输；TLS 版本过旧；证书不校验；调试口暴露。
整改：按数据敏感性选择 TLS 1.2+、IPsec 或行业加密方案；管理证书和密钥生命周期；关闭不必要端口和调试服务；不能加密的 OT 链路通过隔离、管控和审计补偿。
6. 入侵防范和漏洞管理缺失
表现：系统版本长期不升级；漏洞清单不存在；补丁直接上线；端口服务大量开放。
整改：建立资产版本基线、漏洞评估、测试验证、灰度升级和回滚机制。工业环境不能盲目自动打补丁，但也不能长期不处理。
7. 配置和固件完整性不足
表现：固件可被替换；配置修改无审批； OTA 包没有验签。
整改：引入安全启动、固件签名、OTA 验签、A/B 回滚和配置版本管理。升级失败必须能回退，而不是把业务变成一次性赌注。
8. 数据备份与恢复没有验证
表现：只写"有备份"，从未恢复过；备份数据权限不受控。
整改：明确备份数据范围、周期、保留期、加密和访问权限；至少定期恢复演练，并保留演练记录。
9. 管理制度与现场记录脱节
表现：制度写了审批，现场仍随时改配置；应急预案没有联系人、决策链和演练记录。
整改：把审批、变更、应急、账号授权落到工单系统；测评前准备真实运行记录，而不是临时补文档。
七、成本结构和周期估算
等保成本高度依赖系统范围、已有基础、整改深度和测评机构排期。以下只能作为规划框架，不能替代项目评估。
1. 一次性成本
- 资产梳理、拓扑梳理和差距分析；
- 网络改造、柜体改造和安全设备采购；
- 网关软件改造：认证、加密、审计、升级、日志；
- 管理平台或日志平台建设；
- 测评服务、整改实施和复测；
- 人员培训和制度编写。
2. 持续成本
- 日志巡检和安全事件分析；
- 漏洞预警、补丁评估和升级验证；
- 账号和权限季度复核；
- 应急演练和恢复演练；
- 变更评估、定期测评和监督检查配合。
3. 常见隐藏成本
- 现场断网改造和停机窗口；
- 老设备协议不支持加密带来的补偿设计；
- 平台侧存储和日志检索扩容；
- 供应商安全责任切割和合同修订；
- 整改后运维复杂度上升。
4. 周期参考
| 阶段 | 参考周期 | 主要变量 |
|---|---|---|
| 边界梳理与定级备案 | 2-6 周 | 资产清晰度、审批流程 |
| 差距分析 | 2-6 周 | 范围大小、资料完整度 |
| 整改实施 | 1-6 个月 | 网络改造、软件开发、采购周期 |
| 测评与报告 | 2-8 周 | 机构排期、现场配合度 |
| 问题闭环 | 1-4 周 | 高风险项数量 |
基础较好、范围清晰的系统可能数月内完成；涉及网络重构、多站点改造、老系统兼容和长周期采购时，超过一年也并不异常。
八、工业网关层的特殊工程约束
1. 环境不标准
现场柜体、户外柜、高温、粉尘、湿气和雷击都会影响安全设计。防拆传感器、环境监控和物理访问记录要结合部署场景选择，不能照搬机房方案。
2. 资源受限
嵌入式平台的 CPU、内存和存储有限。国密、TLS、日志采集和入侵检测能力需要做性能评估，避免为了合规把采集和控制业务拖慢。
实践上可以采用分层策略：
- 控制平面和关键遥测优先保障；
- 日志分级、压缩和滚动上传；
- 加密按链路敏感性区分；
- 本地只做轻量检测，深度分析放管理中心；
- OTA 和安全基线支持灰度发布。
3. 业务连续性优先
工业系统不能为了整改随意停机。所有变更都要考虑：
- 变更窗口和影响范围；
- 配置备份和回滚方案；
- 升级失败后的自动恢复；
- 远程整改失败时的人工兜底；
- 调度、采集和控制链路的优先级。
4. 远程运维是重点，也是风险点
工业网关分散、现场不可常驻，远程运维不可避免，但必须满足：
- 统一入口和统一身份；
- 按项目和角色临时授权；
- 敏感命令二次确认或审批；
- 会话日志和命令审计；
- 网络限速、时段限制和地址白名单；
- 运维结束自动回收权限。
这既是等保测评重点，也是真实安全能力的分水岭。
九、长期维护机制
1. 定期测评与监督检查
等保不是一次性项目。系统运行期间要关注：
- 行业主管部门和属地公安的检查要求；
- 测评报告有效期和客户采信要求；
- 高风险项是否持续闭环；
- 安全能力是否仍与当前系统一致。
不要把长期维护简化为"证书到期再补测"。
2. 变更管理
以下变化可能影响原有等级和测评结论：
- 新增调度、市场交易或远程控制功能；
- 从私有部署改为云平台或托管运维；
- 增加外部供应商远程访问；
- 改变网络边界或数据流向；
- 升级系统架构、关键安全组件或数据库；
- 数据规模和用户范围显著变化。
重大变更应重新评估定级、备案和测评范围。
3. 漏洞和补丁运营
建立漏洞跟踪闭环：
- 资产版本清单；
- 漏洞预警来源；
- 影响评估和利用条件分析；
- 补丁测试；
- 灰度发布；
- 回滚和复盘。
对无法立即修复的老设备，要有补偿措施、隔离策略和残余风险说明。
4. 日志与权限巡检
建议常态化执行：
- 每月检查异常登录、越权访问和批量失败；
- 每季度复核账号、角色和授权；
- 每季度核对关键配置基线；
- 每半年验证备份恢复；
- 每年开展安全应急演练。
频率可按系统等级和业务风险调整，但必须有记录、有责任人和闭环结果。
十、边缘运行时中的角色
在 Zenova EdgeOS 这类光伏储能边缘固件系统中，等保相关能力应尽量内置：
- 基于角色的本地和远程访问控制；
- 登录、配置变更、控制指令和 OTA 审计；
- TLS / 国密能力按项目组合启用；
- 固件签名、安全启动和 A/B 回滚；
- 远程运维会话留痕和权限回收；
- 集中日志、告警和健康状态上报；
- 点表、配置和固件版本基线管理。
这些能力不能替代系统级测评和管理制度，但能显著减少项目层重复开发，让整改从"临时补丁"变成可维护的运行能力。
TL;DR
等保 2.0 的对象是系统，不是单台工业网关。落地时先明确资产、边界、责任和数据流，再围绕物理环境、通信网络、区域边界、计算环境、管理中心和管理制度建设能力。二级到三级的重点是身份鉴别、集中审计、边界防护、数据保护和运维机制增强。
高频整改集中在远程运维、账号权限、日志审计、通信加密、漏洞管理、固件完整性和备份恢复。周期从数月到一年以上都有可能，取决于范围、基础和整改深度。长期看，等保不是一次性证书，而是变更管理、漏洞响应、权限复核、日志审计和应急演练的持续运营。