每次审核拉美工业环境时，我都发现同样的脱节。IT部门有控制措施、政策甚至认证。OT（运营技术）部门运行着15年未打补丁的系统，使用无加密协议，文化优先级是保持工厂运转而忽视网络风险。
这是我们在工业OT网络安全研究中记录的系统性模式。
结构性问题
IT环境优先级为机密性、完整性、可用性。OT环境完全相反：可用性优先。SCADA系统不能停机打补丁。
区域内发现的漏洞
- 72%的SCADA系统运行已停止安全更新的软件版本
- 65%的OT网络未与企业IT网络有效隔离
- 58%的工业协议无加密传输数据
- 仅14%拥有更新的OT资产清单
IEC 62443 vs ISO 27001
使用ISO 27001作为管理框架，IEC 62443技术控制用于OT区域。
行动计划
- OT资产清单
- 按IEC 62443进行网络分段
- OT异常监测
- 整合风险评估
工业网络安全诊断是第一步。