水系统运营技术网络安全：首要五步

董事会简报 · 决策者视角 · 发布日期：2026年9月30日

核心要点

• 基线要求早已白纸黑字写明。CISA–EPA–FBI联合发布的情况说明书《保护水系统的首要网络行动》列出了八项行动：减少互联网暴露面、定期评估、立即更改默认密码、清点OT/IT资产、演练事件响应与恢复计划、备份OT/IT系统、降低漏洞暴露面、培训员工[1]。
• 威胁并非假设。在2026年7月30日的警报中，CISA报告称针对水务行业PLC的攻击者活动显著增加——攻击者更改密码以将操作员锁在系统之外，更改IP地址以断开设备连接，并触发烧水通知和持续的人工操作[2]。
• 暴露在互联网上的HMI是被扫描的重点弱点。EPA和CISA警告称，暴露的HMI使外部人员能够读取屏幕、地图和事件日志，并进行可能扰乱供水和污水处理运营的更改[3]。
• 监管形势比大多数董事会材料所呈现的更为复杂。EPA 2023年3月的解释性备忘录原本要求各州在卫生调查期间评估ICS/OT网络安全；EPA在诉讼后于2023年10月撤回了该备忘录[5]。推动该备忘录的压力并未消失，但联邦层面的抓手目前并不存在——不要将项目建立在一份可能无法挺过下一次开庭的备忘录之上。
• IEC 62443为董事会提供了共同语言：将OT划分为区域和管道，为每个区域分配目标安全等级（SL 1–4），按风险比例应用七大基础要求族[4]。
• 以下五项举措均可在本季度利用现有人员和适度预算启动，且每一项都留下董事会能够实际核验的检查点。

为何此事进入董事会议程

供水和污水处理公用事业运营着运营技术——SCADA服务器、PLC、RTU、加药控制以及为其提供数据的传感器网络——它们紧邻业务IT系统。联邦指南对结果的表述直言不讳：这些OT和IT系统往往过于脆弱，一旦遭到入侵便可能扰乱服务，并对公共健康产生连锁影响[1]。

有三件事将这一话题从机房推到了董事会。

第一，攻击者简化了他们的套路。CISA 2026年7月的警报描述了针对水务行业PLC的活动显著增加。入侵者修改设备密码以将操作员锁在外面，更改IP地址以切断设备连接，公用事业公司最终发布烧水通知并连续多日手动运行。警报强调各种规模的实体都在遭受攻击，包括拥有成熟安全项目的实体，并敦促运营者尽快将公开暴露的PLC和其他OT设备从互联网上撤下[2]。

第二，攻击面是可搜索的。EPA和CISA经常通过公共扫描平台发现暴露在互联网上的HMI。在没有防护控制的情况下，这些HMI使未经邀请的用户能够查看操作员界面、配水地图、事件日志和安全设置——并进行可能扰乱处理过程的更改[3]。一台可从开放互联网访问的HMI，就是一扇被卸下门闩的控制室大门。

第三，监管底线。这里的情况不像当初宣传的那样整齐。EPA 2023年3月的解释性备忘录指示各州评估被调查的公共供水系统中使用的ICS或其他OT是否具备足够的网络安全，并要求纠正重大缺陷[5]。随后各州和行业协会提起诉讼，EPA于当年10月撤销了该备忘录[5]。因此，董事会一直警惕的联邦要求从未生效——而这恰恰是等待的糟糕借口。那些持续追问这些问题的州、保险公司以及供应链上游的客户仍在追问。无论有无备忘录，网络安全态势正从自愿性项目向检查结果转变。

首要五项举措

这五项举措将联邦联合指南[1]编排为中型公用事业公司周一即可启动的事项。顺序是刻意的：你无法围绕从未清点过的资产进行保护、分段或演练。

步骤	行动	董事会级检查点
1. 清点	枚举每一个OT/IT资产：控制器、HMI、RTU、传感器、历史数据库、链路[1]	存在指定的负责人和最新清单——并标记出面向互联网的设备
2. 分段	使用区域、管道和DMZ将OT与IT及互联网隔离[1][4]	存在网络拓扑图；办公室与厂区之间的流量路径经过有记录的防火墙
3. 远程访问	消除暴露的PLC/HMI；所有远程访问通过受控、受监控的网关[1][2][3]	没有任何控制设备可从公共互联网访问；每个远程会话都可追溯到具名人员
4. 补丁与加固	降低漏洞暴露面：更改默认凭据、打补丁或采取补偿措施、备份OT/IT系统[1]	存在按风险排序的补丁和备份日历，包括只能在停机时打补丁的设备
5. 响应与演练	制定并演练网络安全事件响应与恢复计划[1]	已举行桌面演练；人工操作程序已编写并演练

举措1——建立资产清单

分段、监控和响应都假定你知道存在什么。联合指南将OT/IT资产清单列为首要行动之一是有原因的[1]。对大多数公用事业公司来说，这是一项发现工作，而非采购：走访厂区和远程站点，列出每一个控制器、HMI、RTU、无线电链路、加药泵控制器和联网仪表，并记录固件、凭据所有者以及网络可达性。标记任何可从公共互联网访问的设备——该标记是举措3的输入[1][2]。

CISA警报补充了一个值得圈出的细节：由操作员、供应商和集成商安装的蜂窝调制解调器往往不在清单之内，因为没有任何系统会扫描它们[2]。它们也正是泵站最终暴露在开放互联网上的途径。

举措2——网络分段：区域与管道

这里的架构标准是IEC 62443，即工业自动化和控制系统安全的国际系列标准。其核心模型将环境划分为区域（共享安全要求的资产），由管道（受控的通信通道）连接，为每个区域分配SL 1至SL 4的目标安全等级，然后应用七大基础要求族中的控制措施：标识与认证、使用控制、系统完整性、数据机密性、受限数据流、事件及时响应和资源可用性[4]。用厂区的话说：控制器、SCADA服务器和业务系统不再共享一个扁平网络；它们之间的流量经过防火墙和DMZ；现场设备网络与SCADA服务器网络隔离[1][4]。该标准在设计上就是基于风险的，因此小型公用事业公司以较小规模应用同样的逻辑，而不是花钱买一套企业级项目[4]。

举措3——掌控远程访问

远程访问正是清点和分段被悄然瓦解的地方：供应商支持隧道、泵站上的蜂窝调制解调器、端口转发路由器的HMI。CISA 2026年警报将把公开暴露的PLC和其他OT从互联网上撤下作为其核心建议[2]；EPA–CISA情况说明书对HMI也说了同样的话——扫描平台能找到它们，外部人员可以操纵它们[3]。纠正模式在联邦指南中是一致的：没有任何控制设备可直接从公共互联网访问，所有远程会话通过受监控且需凭据的网关，每条路径都启用多因素认证，每个会话都可归因于具有明确目的的具名人员[1][2][3]。

举措4——打补丁、加固与备份

水务OT无法像办公室IT那样打补丁。加药线和消毒系统连续运行，一些遗留控制器永远无法接受现代固件。因此指南将两项行动配对：降低漏洞暴露面（立即更改默认密码、关闭未使用的服务、按风险排序的计划打补丁）以及备份OT/IT系统，使勒索软件或控制器损坏成为一项恢复工作，而非凭记忆重建[1]。在无法打补丁的地方，补偿控制——更严格的分段、受限协议、更密切的监控——承担风险，直到更换设备获得预算。

举措5——演练响应

最后一项举措是董事会最常跳过的。制定并演练事件响应与恢复计划[1]：谁宣布事件、谁将厂区切换到手动、谁通知监管机构和公众、系统如何从举措4所做的备份中恢复。一次走查SCADA丢失场景的桌面演练将暴露差距——纸质程序、缺失的备件、无人测试过的联络树——这些现在修复只需数小时，而在事件中途发现则需数天[1]。

应向供应商提出什么要求

这五项举措中的每一项最终都落在供应商控制的接口上：带服务端口的传感器、使用未记录协议的变送器、附带固定密码笔记本电脑工具的分析仪。采购部门应向仪表和系统供应商索取与公用事业公司正在学习在内部产出的相同的证据——有记录的网路行为、凭据管理、固件更新路径，以及使清点和监控更容易而非更困难的数据接口。

数字输出仪表在这方面有具体的帮助。通过Modbus RTU/TCP等标准工业协议暴露测量值的变送器和传感器，可以用与厂区其他部分相同的工具进行枚举、监控和分段。无需专有中间件，没有不透明的旁路通道。在评估供应商时，优先选择那些文档读起来像“可以交给审计师的文档”的供应商：公开的通信行为、明确的凭据实践、稳定到足以据此设计的规范。例如，上海七枚的多参数水质传感系列将RS-485和以太网连接的Modbus RTU/TCP集成记录为从传感器到厂区控制和数据平台的标准路径[6]——这正是公用事业团队可以直接纳入其区域与管道设计的规范类型[4]。

底线

没有任何单一产品能保障水系统的安全。一套流程可以。清点存在什么，对其进行分区，关闭远程访问的大门，维护并备份软件资产，并演练糟糕的那一天。这五项举措均出自联邦联合指南[1]，与行业正在趋同的IEC 62443架构一致[4]，并回答了公用事业公司越来越频繁地被问到的问题[2][3][5]。本季度为其提供资金的董事会，将在威胁曲线和文书工作两方面都明显领先。

参考文献

1. CISA（与EPA和FBI）——”保护水系统的首要网络行动”（联合情况说明书，2024年2月）：供水和污水处理系统行业实体的八项优先网络行动，包括OT/IT资产清点、减少互联网暴露面、备份和事件响应演练。https://cisa.gov/resources-tools/resources/top-cyber-actions-securing-water-systems
2. CISA——警报，2026年7月30日：”CISA敦促供水和污水处理系统行业保护OT免受针对PLC的活动”：水务行业PLC攻击显著增加，包括密码更改、锁定、烧水通知和持续手动操作。https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs
3. EPA和CISA——联合情况说明书（2024年12月）：”互联网暴露的人机界面”：供水和污水处理系统中可公开发现的人机界面的风险，包括查看屏幕、地图、日志和安全设置以及进行破坏性更改。https://www.epa.gov/system/files/documents/2024-12/joint-factsheet-epa-cisa-internet-exposed-human-machine-interfaces-508c.pdf
4. OPC基金会——”工业通信协议的安全部署：基于风险管理的方法”（白皮书，PDF）：概述IEC 62443作为国际IACS网络安全框架——区域与管道、安全等级1–4以及七大基础要求。https://opcfoundation.org/wp-content/uploads/2026/04/Secure-Deployment-of-Industrial-Communication-Protocols-A-Risk-Management-Based-Approach-PI-FCG-OPCF-ODVA-v01.00.pdf
5. ASDWA——”EPA发布关于卫生调查中网络安全的解释性备忘录”（2023年3月），以及EPA——”撤销2023年3月3日网络安全备忘录”（2023年10月）：该备忘录将卫生调查要求解释为涵盖ICS/OT网络安全，以及其在密苏里州等诉美国EPA案后遭撤销。https://www.asdwa.org/?p=25754 ；https://www.epa.gov/system/files/documents/2023-10/action-memo_rescinding-cyber-memo_october-2023.pdf
6. 上海七枚——”四合一多参数传感器：完整技术深度解析”（技术概述）：四合一多参数传感器，具备Modbus RTU数字通信，可与厂区控制和数据平台集成。https://chimaytech.net/ru?p=30795

关于作者：由上海七枚技术编辑团队撰写——该编辑团队依托公司在数字水质仪表系统集成方面的实践及其与SCADA和厂区数据平台的互操作性。