车间工控灯下黑：加密防火墙全都到位，栽在一台无人看管的Win7工控机上

一家汽车零部件工厂开展网络安全巡检，起初IT部门底气十足：办公网部署防火墙、核心文档启用加密防护，基础安全配置看起来没有短板。可安全工程师走进车间巡查，指着一台接入局域网的工控机抛出疑问：“这台是什么系统？”

凑近核查，机器跑的是Windows 7，长期未打系统补丁、无任何杀毒防护软件，还开放着共享文件夹，全套生产工艺卡就存放在里面。外人只要接入内网，就能直接通过共享目录拷贝核心资料，办公区上线的加密体系，完全覆盖不到这台车间设备。

老板当场神色凝重——像这样的高危工控机，车间里足足有十一台。

老旧工控设备，制造企业典型的“灯下黑”

在大量制造车间里，这类设备十分普遍：搭载老旧Windows系统的工控上位机、对接数控机床的控制终端、服役十年以上的检测电脑、搭载生产数据库的旧服务器。 它们有一个共同痛点：不敢升级。驱动适配受限、产线控制程序仅兼容老系统、停机调试一次就要承担数十万停产损失，没有人愿意冒险改动。

这就造就了一个进退两难的局面：系统厂商早已停止安全补丁更新，漏洞持续暴露，随时可供攻击者利用；企业上新安全产品时，又因为无法安装安全客户端、担心扰动产线稳定，直接将其排除在防护范围之外。 办公区上百台终端的防泄密体系全部落地，唯独存放着工艺配方、加工参数这些最高价值数据的车间工控机，成了安全盲区。

风险还不止于此。为了方便生产取数，不少工厂直接把工控网段和办公网打通在同一局域网，共享目录、FTP、远程桌面随意开放。一旦一台老旧工控机被攻陷，就相当于给内网打开了一道无值守侧门。近些年，勒索病毒从车间工控网络横向渗透、反向入侵办公系统的案例层出不穷。

系统不能动，防护不能停：老旧工控的落地加固方案

核心思路很清晰：既然无法改动设备本身的操作系统，就在网络边界、访问通道、数据出口搭建防护屏障，5条可落地的实操方案：

◆全面盘点建档，摸清家底 联合车间、设备、IT三方逐一摸排，登记所有老旧终端：操作系统版本、存储的核心数据、开启的共享服务与端口。很多企业甚至说不清车间里有多少台这类高危设备。盘点工作量不大，却是所有安全建设的前提，缺少台账，后续防护都是空谈。

◆网络隔离，划圈管控 将工控机单独划分独立VLAN，和办公网、研发网做逻辑隔离，只放行生产必需的访问IP与端口，严控访问流向。和研发网、办公网之间的隔离逻辑一致：就算老设备不幸中毒，病毒也很难跨网段扩散，把风险锁在局部区域。

◆清理无用共享，收敛数据通道 大量共享文件夹都是早年为图便利开通，后续长期闲置。逐台核查清理：非必要共享全部关停；确需跨设备调取生产数据的，改用固定、可审计的专用对接通道，杜绝无门槛开放共享目录。

◆变通补齐终端与数据防护能力 无法部署常规安全客户端的老旧工控机，可以搭配网络准入机制，未登记的陌生设备禁止接入该工控网段；数据防护重心从“本地加密”转向“防止外泄”，尽量不在这类高危终端本地留存敏感工艺文件，人员查阅资料采用带水印、可溯源的受控在线浏览模式。

◆制定分批替换退役规划 安全加固只是应急止血手段，治本终究要依靠设备迭代。按照风险等级、停产替换成本排序，制定逐年更新计划，分批淘汰老旧设备，用三五年周期补齐安全短板。纳入管控计划的风险，和无人知晓、放任不管的隐患，完全是两个概念。

结语

评判一家制造企业的数据安全水平，从来不看办公区配置规整的新电脑，而要看车间角落那些没人盯、不敢碰、被遗忘的老旧工控设备。它们不会主动告警，但多运行一天，风险敞口就多敞开一天。

不妨这周就安排IT和设备人员走进车间巡场，清点老旧工控机，核查共享目录里的文件。大概率，你会发现意想不到的隐患。