停线9小时，因为一个U盘
一家零部件厂的注塑车间，工人用U盘拷贝程序，带进去一个勒索病毒，三台注塑机的控制电脑瘫痪，产线停了9小时。事后统计损失超过80万，而他们之前的安全投入几乎是零。
工业数据安全不是买个防火墙就完事，是要把IT和OT的边界管起来。
七条底线
第一条，网络分区。办公网、生产网、设备网三区隔离，跨区必须走单向或受控网闸。他们的车间交换机原来直接连办公网，病毒就是这么长驱直入的。
第二条，U盘管控。生产网禁用未知U盘，只允许注册过的加密盘，这条最关键。
第三条，远程运维留痕。厂商远程接入必须走堡垒机、录屏、限时、有人陪同。我见过厂商远程改完参数就走的，出问题找不到原因。
第四条，账户最小权限。操作工、工艺、设备、IT各自的角色权限分清楚，别共用管理员密码。
第五条，备份。关键系统每日增量备份、每周全备份，备份介质离线保存，并且每季度做一次恢复演练。没演练过的备份不算备份。
第六条，资产台账。多少台PLC、什么型号、什么固件版本，台账不清，补丁都没法打。
第七条，应急预案。写清楚出事后谁决策、谁断网、谁恢复，一年至少演练一次。
投入多少合适
中型工厂的工业安全基础投入在30到80万之间，年运维20万左右。比起停线9小时，这笔钱不贵。安全不是成本，是保险。
出事那天的决策链
复盘那次病毒事件，还有一个教训：出事后没人敢决策。信息主管想断网怕担责，生产想继续跑怕停产损失，扯皮了两个多小时才断网，损失扩大了近一倍。
后来我们把应急预案写成傻瓜流程：疑似安全事件发生后15分钟内，值班长有权先行隔离受影响网段，事后补报告。同时每半年做一次实战演练，模拟勒索病毒、误删数据库两种场景。演练不为表演，是为了让每个人知道自己该干什么。去年他们又遇到一次异常流量，15分钟完成隔离，产线没停一分钟。安全体系好不好，看的是出事那半小时。
厂商管理是另一条暗线。他们清理出17个存在多年的远程账号，其中6个来自早已退场的服务商。现在规矩改成：外部账号按项目开、到期自动失效、每季度审计一次。安全漏洞往往不是被黑客发现的，是被离职的账号养着的。