无法实施 MFA 的 SCADA 历史服务器的验收决策
某能源集团的 OT/IT 融合项目进入验收阶段。一台用于采集 12 座变电站遥测数据的 SCADA 历史数据服务器（historian）运行供应商定制系统：供应商书面确认不支持多因素认证，禁止安装第三方安全代理，否则保修与技术支持失效。该系统使用一个本地管理员账户，密码 8 位、90 天轮换，由 3 名运维人员共享，远程维护经供应商提供的 VPN 通道进入。企业安全基线要求：高价值资产启用 MFA、日志集中留存 180 天、EDR 全覆盖、高危漏洞 15 天内修复。现状：historian 与企业 IT 处于同一 VLAN，未做分段；未接入 SIEM，日志本地保存 7 天；过去 6 个月 EDR 在该主机上误报两次，运维人员曾临时卸载代理以恢复采集。该主机在 CMDB 中标记为“高价值”。供应商称下一代产品将在 18 个月后支持 MFA。监控团队担心分段会造成遥测数据采集中断。集团上月刚发生一起供应商 VPN 账号泄露导致的横向移动事件（未波及 OT）。该项目已列入集团年度重点工程，延期将影响监管报送的可靠性指标。安全团队被要求在两周内给出结论：强制整改、接受例外，还是实施补偿控制后附条件验收。
1. 在两周内，你的结论是强制整改、接受例外还是补偿控制后附条件验收？请给出论证过程。
Read the worked answer
先界定约束：不支持 MFA、禁止第三方代理是硬约束（保修与可用性）；把“强制整改”当结论等于要求停运，业务不可接受，也不是风险管理做法。
也不能无条件例外：当前状态是多个控制同时缺失--扁平网络、共享账户、日志仅 7 天、代理被临时卸载。风险明显高于可接受水平，签一个字放行是最坏结果。
结论：附条件验收 + 分层补偿控制 + 与 18 个月路线图挂钩的到期日。
降低概率：网络分段与白名单（仅允许 historian 与 12 座变电站网关、必要采集端通信，管理流量走独立管理网段）；远程维护收口到跳板机 + PAM 会话录制 + 双人审批；应用白名单与主机加固（关闭不必要服务与端口）。
降低影响：旁路日志采集（SPAN/TAP）接入 SIEM 并留存 180 天；离线配置与历史数据定期备份并验证可恢复；制定遥测中断时的手工采集与回填预案并演练。
验证与触发条件：分段完成前不得接入生产；EDR 卸载必须走变更工单并限时恢复；出现异常外联或供应商 VPN 账号异常立即重评。
回应监控团队的担心：分段方案需与监控团队共同设计白名单与回退步骤，并在测试环境验证。用“可验证的实施方案”替代“不会中断”的口头保证。
2. 共享账户与 EDR 被临时卸载这两个现象，分别暴露了什么控制问题？如何在不影响生产的前提下解决？
Read the worked answer
共享账户的问题：违反唯一身份与问责原则，无法审计到人，也无法实施最小权限（三人共享一个管理员账户，任何操作都可归因于三人中的任意一人）。技术上不必修改应用：用 PAM 托管该账户，运维人员先以个人身份强认证登录，再由 PAM 代填共享凭据并全程录屏，即可恢复问责链；配合双人授权用于高危操作。
EDR 卸载问题：暴露三件事--变更与例外流程缺失、代理与 OT 应用的兼容性未做前置测试、监控未把“代理离线”当作事件。解决顺序：测试环境做兼容性验证与排除项调优 → 形成标准操作程序 → 代理离线告警接入 SIEM 并设 15 分钟响应 → 任何卸载需工单、责任人、时限。
共同根因：OT 的变更管理与安全运营流程尚未融合，安全团队与运维团队缺少共同的服务目标，导致“为了恢复生产可以绕过安全”成为默认做法。
治理动作：把这两个场景写成明确的例外条款与恢复时限，纳入季度检查；否则同类绕过会反复发生。
3. 如果业务方坚持 18 个月内不做改造，你如何把这一决定转化为可治理的状态？
Read the worked answer
把口头承诺转为正式的风险接受：明确风险所有者（OT 负责人 + 业务负责人）、量化残余风险、列出补偿控制清单与验证方式、设定 KRI 与重评触发条件、写明到期日并与供应商路线图对齐。
建立节奏：季度复审，向风险委员会提交状态（补偿控制完成率、异常外联次数、代理在线率、漏洞暴露窗口）。没有节奏的例外等于永久豁免。
设提前退出条件：发生同类供应商账号泄露事件、分段完成前出现异常外联、供应商路线图延期超过一个季度--任一触发即重新评估，必要时升级到验收否决。
记录反对意见：CISO 的职责不是让风险消失，而是让风险被看见、被拥有、被复审。如果决定与安全建议不一致，应在会议记录中写清建议内容与不采纳的理由。
检验标准：一年后能否拿出证据证明补偿控制确实生效，而不是只有一份签字文件。